RMM

Hable de sus necesidades

Las simulaciones de phishing proporcionan resultados cuantificables que pueden medirse. Nuestras simulaciones disponibles incluyen SMS Phishing, Corporate Phishing (correos electrónicos simulados que parecen proceder de “dentro” de su propia organización), Board Member Spear Phishing (dirigido a un puñado de personas de alto nivel en una posición de influencia) Ransomware Simulation, Personal Phishing (simulaciones dirigidas a utilizar marcas conocidas como Amazon, Apple, eBay, etc.), y muchas más técnicas. Estas mediciones permiten identificar y seguir las mejoras. El enfoque consultivo que adopta nuestro equipo garantizará que todas las simulaciones y campañas de phishing se adapten a las amenazas a las que se enfrenta su organización. Antes del simulacro de phishing, se aclaran las necesidades y los objetivos y se coordinan con las actividades previstas. El objetivo es definir los elementos clave de la campaña:

• ¿Atacar o educar primero? Una prueba de simulación puede comenzar con una formación introductoria en la que se eduque a los empleados sobre la seguridad del correo electrónico y las implicaciones del phishing. Una organización también puede crear una cuenta de correo electrónico contra el phishing en la que los empleados puedan compartir fácilmente sus experiencias, sospechas y otros requisitos relativos a las ciberamenazas antes de comenzar el simulacro.
• Frecuencia del simulacro: La frecuencia de los simulacros debe ajustarse en función de las amenazas percibidas. La cobertura de los usuarios y la frecuencia del simulacro deben determinarse en correlación con el riesgo percibido (por ejemplo, Finanzas y Pagos – 2 temas / X meses, altos cargos – 1 tema / X meses). Las funciones/departamentos de alto riesgo y los individuos que desempeñan papeles importantes en la organización deben ser cubiertos con mayor frecuencia como parte de la simulación.
• Duración del simulacro: La mayoría de las pruebas de simulación de phishing suelen estar planificadas para un periodo de 12 meses. Sin embargo, puede haber ciertas campañas ad-hoc que son situadas.
• Momento: ¿cuándo enviar los correos electrónicos? Al planificar la campaña para cada función / departamento o individuo, los correos electrónicos de phishing deben iniciarse con los elementos “Día de la semana” y “Hora del día”.
• Seguimiento: Una campaña de simulación de phishing puede necesitar un seguimiento mediante correos electrónicos pertinentes del departamento de TI que informen a los empleados implicados sobre la realidad de los correos electrónicos de phishing y lo que se espera de ellos a cambio. Si los usuarios fallan repetidamente, planifique una discusión con ellos para entender qué dificultades están experimentando y por qué. En consecuencia, organice sesiones de concienciación y formación para esos usuarios.
• Coherencia con las políticas actuales: Una vez implantado, el proceso debe ser ejecutado de forma homogénea para todos los que están en el ámbito de aplicación. La integración en las políticas y procedimientos de seguridad de la información existentes también contribuirá a dar más importancia a la campaña.
• Elija el tema de phishing adecuado: Consulte la siguiente sección.
• Comunicación corporativa: Antes de iniciar la campaña de simulación de phishing, elabore un plan de comunicación sobre la simulación de phishing con el jefe de la función / departamento. Es necesario que los empleados conozcan el nuevo proceso, cuáles son las expectativas, qué consecuencias tiene el incumplimiento y cuándo entra en vigor.
• Grupo objetivo: Si la campaña se dirige a un gran grupo de usuarios que pertenecen a la misma función / departamento, podrían informar a otros del grupo. Por lo tanto, los mensajes de correo electrónico de phishing no deben reenviarse a toda la empresa, ya que despiertan sospechas. En su lugar, el proceso debe ser orgánico y debe dirigirse a un pequeño grupo de empleados seleccionados en un momento dado.
• Garantizar el compromiso del más alto nivel: El apoyo de la dirección es fundamental para garantizar la eficacia del proceso. Por lo tanto, los usuarios de alto nivel deben tener la voluntad de seguirlo.
• Preparativos técnicos: Las listas blancas de dominios de phishing, la creación de cuentas de prueba y las pruebas de entrega de correo son algunas de las actividades que deben planificarse cuidadosamente.