Pomiar poziomu świadomości w zakresie bezpieczeństwa: dowiedz się, jak wygląda sytuacja w twojej organizacji

Pomiar poziomu świadomości bezpieczeństwa pokazuje, jak twoi pracownicy radzą sobie obecnie z phishingiem i innymi zagrożeniami cyfrowymi, jeszcze przed rozpoczęciem jakichkolwiek szkoleń. W praktyce łączy to niezapowiedzianą symulację ataku phishingowego z krótkim testem wiedzy. Wynik stanowi twój punkt wyjścia: zestaw danych liczbowych, z którymi porównywane będą wszystkie późniejsze pomiary.

Jeśli pominiesz ten punkt wyjścia, będziesz prowadzić program podnoszenia świadomości w zakresie bezpieczeństwa, kierując się tylko przeczuciem. Nadal możesz szkolić pracowników, ale nie będziesz w stanie pokazać, jakie zmiany przyniosło szkolenie. W tym artykule wyjaśniamy, jak wygląda pomiar poziomu wyjściowego, które dane są istotne i jak przeprowadzić taki pomiar w pięciu krokach.

Czym jest pomiar poziomu świadomości w zakresie bezpieczeństwa?

Pomiar bazowy to pierwszy usystematyzowany pomiar tego, jak bardzo Twoja organizacja jest naprawdę świadoma zagrożeń bezpieczeństwa. Daje odpowiedź na dwa pytania: co pracownicy wiedzą o zagrożeniach cyfrowych i jak naprawdę reagują, gdy takie zagrożenie trafi do ich skrzynki odbiorczej? Wiedzę i zachowanie mierzy się osobno, bo te dwie rzeczy rzadko się pokrywają. Mnóstwo osób, które potrafią idealnie opisać phishing, i tak klika w przekonującą fałszywą wiadomość e-mail.

Pełny pomiar wyjściowy składa się więc z dwóch lub trzech elementów:

• Symulacja ataku phishingowego. Realistyczny, ale nieszkodliwy fałszywy e-mail phishingowy, który pozwala sprawdzić, jak naprawdę zachowują się użytkownicy: kto klika, kto wpisuje dane logowania, a kto zgłasza wiadomość.
• Sprawdzenie wiedzy. Krótki quiz na takie tematy jak phishing, hasła i bezpieczna praca zdalna, który pokazuje, gdzie są luki w wiedzy.
• Opcjonalnie: krótka ankieta dotycząca kultury organizacyjnej. Czy ludzie mają odwagę zgłaszać błędy i czy w ogóle postrzegają bezpieczeństwo jako część swojej pracy? Wasze nastawienie pozwala przewidzieć, jak będą się później kształtować wyniki.

Po co zaczynać od pomiaru wyjściowego?

Najważniejszy powód jest prosty: bez punktu odniesienia nie da się wykazać postępów. „Świadomość wzrosła” to tylko opinia. „Wskaźnik kliknięć spadł z jednego na cztery do jednego na dwadzieścia” to wynik. Ta różnica ma znaczenie, gdy prosisz kierownictwo o budżet, i ma znaczenie dla audytorów.

• Dzięki temu efekty szkolenia stają się widoczne. Każdy kolejny pomiar jest porównywany z wartością wyjściową, więc widzisz, czy zachowanie faktycznie się zmienia, zamiast tylko zakładać, że tak jest.
• To daje dowód na zgodność z wymogami. Standardy takie jak NIS2 i ISO 27001 wymagają od organizacji, żeby szkoliły pracowników i pokazały, że te szkolenia przynoszą efekty. Punkt odniesienia i okresowe ponowne pomiary to właśnie ten dowód.
• To pokazuje, na co warto się skupić. Wyniki w podziale na działy i tematy pokazują, kto czego potrzebuje, dzięki czemu wysiłek włożony w szkolenia trafia tam, gdzie przynosi efekty.
• To buduje poczucie pilności. Ogólne statystyki łatwo zlekceważyć; dane z twojej własnej organizacji – już nie. Według raportu Verizon „Data Breach Investigations Report” czynnik ludzki odgrywa rolę w około sześciu na dziesięć przypadków naruszeń bezpieczeństwa. Pomiar bazowy pokazuje, co to konkretnie oznacza dla twojej organizacji.

Co mierzycie? Cztery liczby, które mają znaczenie

Dobry pomiar wyjściowy daje ci niewielki zestaw liczb, które możesz śledzić na bieżąco. Cztery wskaźniki wystarczą, by wykonać większość pracy:

• Współczynnik klikalności. Odsetek odbiorców, którzy kliknęli link w symulowanej wiadomości phishingowej. Najczęściej podawana liczba, ale nie ta najważniejsza.
• Wskaźnik wprowadzania danych. Odsetek osób, które idą o krok dalej i wpisują dane logowania na fałszywej stronie logowania. To właśnie tam dochodzi do prawdziwych szkód.
• Wskaźnik zgłaszania. Odsetek osób, które zgłaszają podejrzaną wiadomość e-mail. Najbardziej niedoceniany wskaźnik ze wszystkich: jeden czujny pracownik, który szybko zgłasza problem, chroni wszystkich kolegów, którzy otrzymali tę samą wiadomość.
• Wynik z wiedzy. Średni wynik z testu wiedzy, najlepiej w podziale na poszczególne tematy, żebyś wiedział, czy luka dotyczy phishingu, haseł, czy może czegoś zupełnie innego.

Mierz na poziomie grupy: według zespołu, działu lub lokalizacji. Celem pomiaru wyjściowego jest usprawnienie organizacji, a nie wystawianie poszczególnych osób na pokaz. Dzięki temu będziesz też spokojnie działać zgodnie z przepisami o ochronie prywatności.

Jak przeprowadzić pomiar bazowy w pięciu krokach

1. Określ zakres działania i uporządkuj podstawowe kwestie. Zdecyduj, kto weźmie w tym udział – najlepiej wszyscy, którzy mają skrzynkę e-mailową, w tym kierownictwo. Upewnij się, że w waszej polityce bezpieczeństwa jest ogólnie zaznaczone, że symulacje phishingu są jej częścią, i zaangażuj radę pracowniczą. Ogłoś tę politykę, ale nigdy nie podawaj konkretnej daty.
2. Zrób niezapowiedzianą symulację ataku phishingowego. Wykorzystaj realistyczny, aktualny pretekst i rozłóż wysyłanie wiadomości na kilka dni, żeby koledzy nie mogli się nawzajem ostrzec i żeby zachować element zaskoczenia. Dobre narzędzie do symulacji phishingu losowo rozdzieli to za ciebie i automatycznie śledzi kliknięcia, wprowadzanie danych oraz generuje raporty.
3. Dodaj krótki test wiedzy. Wystarczy dziesięć do piętnastu pytań z głównych tematów. Niech będzie krótki: chodzi o wysoki odsetek odpowiedzi, a nie o egzamin. Ciekawi cię, jakie narzędzia się do tego nadają? Porównaliśmy dziewięć z nich w naszym przeglądzie narzędzi do oceny świadomości bezpieczeństwa.
4. Przeanalizuj wyniki według działów i tematów. Połącz zachowanie (symulację) z wiedzą (oceną). Dział, który osiąga wysokie wyniki w zakresie wiedzy, ale wciąż popełnia błędy, wymaga innego podejścia niż ten, który po prostu nigdy nie słyszał o „quishingu”.
5. Ustal cele i zaplanuj ponowny pomiar. Na przykład: zwiększenie wskaźnika raportowania, zmniejszenie wskaźnika wprowadzania danych. Planuj ponowny pomiar co kwartał, używając tych samych wskaźników i przy podobnym poziomie trudności, żeby porównywać rzeczy podobne.

Od punktu wyjścia do programu: jak sprawić, by liczby zaczęły się zmieniać

Pomiar wyjściowy bez dalszych działań to po prostu kosztowna migawka. Prawdziwa wartość pojawia się dopiero wtedy, gdy wyniki pomiaru zostaną wykorzystane w programie. Sprawdzona metoda to coś zupełnie innego niż coroczna sesja uświadamiająca: krótkie, cykliczne sesje szkoleniowe, które utrzymują zainteresowanie tematem tydzień po tygodniu. Właśnie tak wygląda nowoczesne szkolenie z zakresu świadomości bezpieczeństwa: kilkuminutowe wyzwania, elementy grywalizacji, które podtrzymują zaangażowanie, oraz świeże scenariusze dostosowane do aktualnego krajobrazu zagrożeń.

Potem zmierz to jeszcze raz w stałych odstępach czasu. Spodziewaj się, że liczba kliknięć i szybkość wprowadzania danych spadną, a co co najmniej równie ważne – wzrośnie liczba zgłoszeń. Podziel się wynikami grupy z całym zespołem i pochwal tych, którzy zgłaszają problemy: rosnąca liczba zgłoszeń to najwyraźniejszy znak, że świadomość przekłada się na konkretne działania.

Typowe błędy przy pomiarze wartości wyjściowej

• Ogłaszaj dokładny moment. Wtedy sprawdzasz, jak bardzo ludzie są czujni w zapowiedzianym tygodniu testowym, a nie jak się zachowują w zwykły wtorek.
• Publiczne piętnowanie. Podawanie wyników w podziale na poszczególne osoby niszczy kulturę zgłaszania, którą próbujesz budować, a do tego powoduje problemy z prywatnością.
• Skupianie się wyłącznie na wskaźniku kliknięć. Wskaźnik zgłoszeń mówi więcej o twojej odporności niż wskaźnik kliknięć. Organizacja, w której nikt nie zgłasza problemów, jest niestabilna, niezależnie od tego, jak niski jest wskaźnik kliknięć.
• Traktowanie tego jako jednorazowego zdarzenia. Pomiar bazowy zasługuje na tę nazwę dopiero wtedy, gdy następuje po nim drugi pomiar. Liczby szybko tracą na aktualności.
• Nie przesadzaj z pierwszą symulacją. Zarówno niemożliwy do uwierzenia e-mail typu spear phishing, jak i oczywista podróbka dają bezużyteczne wyniki. Wybierz poziom trudności ze środka skali, który przypomina to, co faktycznie trafia do twojej organizacji.

Najczęściej zadawane pytania dotyczące pomiaru poziomu świadomości w zakresie bezpieczeństwa

Jak często warto powtarzać pomiar?

Raz na kwartał to powszechny i praktyczny rytm. Powtarzaj te same pomiary o porównywalnym stopniu trudności, bo inaczej trend nic nie znaczy. Po roku będziesz miał pięć punktów danych: wartość bazową plus cztery kolejne pomiary – i historię, którą możesz przedstawić kierownictwu i audytorom.

Czy dozwolone są nieogłoszone symulacje ataków phishingowych?

Tak, pod warunkiem, że potraktujesz je ostrożnie. Upewnij się, że pracownicy wiedzą ogólnie, że symulacje są częścią polityki bezpieczeństwa, zgłaszaj wyniki na poziomie grupy i nigdy nie nakładaj kar za przypadkowe kliknięcie. Przed rozpoczęciem skonsultuj się z radą pracowniczą. Przy takim podejściu symulacja jest narzędziem szkoleniowym i jest zgodna z RODO.

Jaki wskaźnik kliknięć można uznać za dobry przy pierwszym pomiarze?

Nie ma jednego uniwersalnego punktu odniesienia: wynik zależy w dużej mierze od stopnia trudności symulacji i branży. Wyniki dwucyfrowe to nic niezwykłego przy pierwszym pomiarze, więc nie przejmuj się tą liczbą. Wynik bazowy to nie ocena, tylko punkt wyjścia. Liczy się kierunek, w jakim pójdą kolejne pomiary.

Jak długo trwa pomiar wyjściowy?

W sumie licz się z okresem od dwóch do czterech tygodni: symulacja rozłożona na kilka dni, tydzień na sprawdzenie wiedzy i trochę czasu na analizę. Samo przygotowanie zajmuje niewiele czasu dzięki nowoczesnym narzędziom; ten przedział czasowy ma głównie zapewnić, że badanie będzie przeprowadzone bez uprzedzenia i będzie reprezentatywne.

Pomiar wyjściowy to najmniej efektowna część programu podnoszenia świadomości w zakresie bezpieczeństwa, ale tak naprawdę to właśnie ona jest najważniejsza. Zastępuje on domysły konkretnymi liczbami i sprawia, że szkolenie przestaje być tylko formalnością, a staje się czymś, czym naprawdę możesz sterować. Najpierw zmierz, potem szkol: dzięki temu wszystko, co zrobisz później, będzie działać lepiej.