Aké sú najčastejšie chyby firiem pri ochrane pred phishingom?

Pozitívny trend s vážnymi medzerami

V súčasnosti sa stretávame s pozitívnym trendom v oblasti vzdelávania zamestnancov v rámci kybernetickej bezpečnosti, ktorý sa prejavuje čoraz častejším zavádzaním rôznych foriem vzdelávania, školení a aktivít zameraných na zvyšovanie povedomia zamestnancov v tejto oblasti. Firmy aj ich zamestnanci si čoraz intenzívnejšie uvedomujú, že kybernetická bezpečnosť zohráva kľúčovú úlohu nielen v pracovnom ale aj v osobnom živote. Z našej skúsenosti bohužiaľ častokrát nevhodne zvolená forma alebo obsah vzdelávania zamestnancov najmä v malých a stredných firmách však okrem pocitu falošného bezpečia prináša len minimálny alebo žiadny benefit. 

Falošné bezpečie: Školenie bez testovania nefunguje

Mnohé firmy dnes majú nejakú formu tréningu, napríklad e-learning, krátke prezentácie či povinné ročné školenie. V praxi sa však pravidelne stretávame s tým, že tento tréning nepodrobia reálnemu testu. Mnohí klienti až po vykonaní simulovanej phishingovej kampane na svojich zamestnancoch s hrôzou zisťujú, že napriek pravidelným školeniam heslo do formuláru z phishinogového mailu nezadali len zamestnanci na dovolenke alebo PNke. 

AI revolúcia v phishingu

Ďalším častým problémom je, že firmy, ktoré sa až donedávna mohli pýšiť pomerne vysokou úrovňou bezpečnostného povedomia, nestihli včas zareagovať na hrozby súvisiace s AI. S nástupom AI sa stávajú napríklad phishingové telefonáty čoraz presvedčivejšími, čo sme si mali možnosť overiť pri testovacích scenároch u viacerých klientov. V praxi sa preto phishing často realizuje multikanálovo, kombinovaním e-mailových správ so smishingom (SMS) a vishingom (telefonátmi). Takýto prepojený prístup dokáže zvýšiť úspešnosť simulovanej phishingovej kampane o desiatky percent.

Systematický prístup ako kľúč k ochrane

Aby sme to zhrnuli, aj keď vyvarovať sa chybám nie je vždy možné, podstatné je pristupovať k ochrane systematicky. Zamestnancov nestačí iba školiť, ale je potrebné ich pravidelne testovať, merať účinnosť školení a prispôsobovať opatrenia aktuálnym hrozbám. Iba tak môže byť ochrana pred phishingom skutočne efektívna, a nie len formálna.