Simuloitu hyökkäys – mikä se on ja miksi sitä kannattaa hyödyntää?

Ensisilmäyksellä

Tietoturvarikolliset kalastelevat sähköpostilla yritysten käyttäjien tunnuksia. Simuloitu hyökkäys on hallittu, eettisesti hyväksytty tapa testata työntekijöiden kykyä tunnistaa sähköpostiin tulevat kalasteluyritykset. Tulokset auttavat yrityksiä hahmottamaan tietoturvaosaamisen haasteita sekä kohdentamaan kehitysresursseja.

---

Mikä on simuloitu hyökkäys?

Simuloitu hyökkäys on yrityksen IT-osaston tai johdon ja tietoturvakumppanin toteuttama ystävällismielinen kalastelukampanja.

Simuloidussa hyökkäyksessä lähetään työntekijöille käyttäjätunnusten kalasteluviesti sähköpostiin. Kuten aidoissakin kalasteluviesteissä, siinä kehotetaan syyllä tai toisella kirjautumaan tavallisesti Microsoft-tunnuksilla sähköpostin osoittamassa linkissä.

Viestissä voidaan vedota kiireeseen: tilisi lukitaan, ellet toimi pian tai siinä voidaan väittää vaikkapa, että käyttäjälle on sähköposti, joka on karanteenissa ja se pitää vapauttaa kirjautumalla. Sähköposti on räätälöitävissä organisaatio ja jopa roolikohtaisesti.

Simulaatioviestin lisäksi toteutetaan laskeutumissivu, jolle kuvitteellisesta kalasteluviestistä klikataan sekä kirjautumismahdollisuus.

Testaus tehdään tarkasti suunnitellen

Simuloitu hyökkäys suunnitellaan yhteistyössä yrityksen IT:n kanssa. Testattavien määrä vaikuttaa tulosten luotettavuuteen – suositeltava vähimmäiskoko on noin 20 henkilöä.

Kampanjat voivat olla:

• Yksittäisiä massalähetyksiä (pistokoe)
• Toistuvia, esim. neljännesvuosittain toteutettavia testejä

Simulaatiossa seurataan:

• Miten kalasteluviestiin reagoidaan? Avataanko se? Ilmoitetaanko huijausviestiksi?
• Klikataanko haitallista linkkiä
• Syötetäänkö tunnuksia sivustolle
• Ilmoitetaanko poikkeamasta IT:lle

Simulaation tavoitteena ei ole nolata ketään, vaan kasvattaa tietoisuutta ja kehittää tietoturvatasoa.

Simuloidut hyökkäykset mittaavat todellista osaamista

Simulaatiot tuovat näkyväksi todellisen osaamistason. Ne eivät ainoastaan testaa henkilöstön tietoturvatietoisuutta ja -osaamista, vaan myös prosessien ja viestinnän toimivuutta.

Hyvin toteutettu simulaatio:

• Paljastaa kehityskohdat, joihin kannattaa panostaa
• Auttaa vakiinnuttamaan turvalliset käytännöt
• Nostaa tietoturvaosaamista yksilö- ja organisaatiotasolla

Simulaatiot ovat osa hyvää tietoturvakulttuuria ja eniten niistä on hyötyä, kun niitä toteutetaan säännöllisesti.

Älä kokeile omin päin – simuloitu hyökkäys kuuluu ammattilaisten tehtävälistalle

Simuloituja hyökkäyksiä ei tule tehdä omin päin. Väärin toteutettu simulaatio voi:

• Rikkoa lakia
• Käynnistää vääriä hälytyksiä
• Vaarantaa järjestelmien toimintaa

Siksi toteutus tehdään IT-kumppanin kanssa, joka huolehtii siitä, että simulaatio on:

• Lainmukainen
• Tietoturvallinen
• Teknologisesti hallittu