Ajankohtaista / Blogi
Frendy | Mikko Seppälä
Suurin osa PK-yritysten tietoturvauhista liittyy sähköpostiin. Tästäkin syystä sähköpostin käyttäjien eli yrityksen henkilöstön rooli on tietoturvakokonaisuudessa olennainen. Henkilöstön tietoturvaosaamisen kehittämisellä välttyy monelta harmilta. Simuloidut hyökkäykset ovat hyvä työkalu kehittämisessä.
Kalasteluviesti saattaa kilahtaa sähköpostiin koska tahansa. Kun näin käy, miten on – tunnistaako yrityksesi henkilöstö epäilyttävät sähköpostiviestit?
Oletetaan, että vastaus on kyllä. Oletetaan myös, että yrityksessänne on prosessi tietoturvapoikkeamista ilmoittamiseen ja henkilöstö on prosessista tietoinen. Mitä tapahtuu seuraavaksi – toimiiko yrityksesi henkilöstö tietoturvallisella tavalla ja ilmoittaa tietoturvauhista IT:lle prosessin mukaisesti?
Tässä blogissa käydään läpi, miten simuloidut tietoturvahyökkäykset auttavat yritystä tunnistamaan henkilöstön tietoturvaosaamisen tason ja harjoittamaan sitä osana tietoturvavarautumista.
Simuloidut hyökkäykset testaavat henkilöstön tietoturvaosaamista
Sähköpostiin liittyvien tietoturvauhkien kärkipaikalla keikkuvat tietojenkalastelu- eli phishing-viestit. Simuloitujen hyökkäysten avulla voidaan konkreettisesti testata ja varmistaa, tunnistetaanko nämä haitalliset viestit – vai ei.
Simulaatio paljastaa tärkeimmät tietoturvan kehityskohteet, joihin yrityksen tulee kiinnittää huomiota. Säännöllisesti toteutetut simulaatiot tukevat yksilön tietoturvaosaamista ja pitävät parhaimmat käytänteet kirkkaana mielessä. Ideaalitilanteessa simulaatioista tulee säännöllinen, esimerkiksi vuosittainen, osa yrityksen tietoturvavarautumista.
Simulaatioilla on myös yhteiskunnallista arvoa. Epäilyttävien viestien tunnistaminen on tärkeä digitaito jokaiselle.
Tietojenkalastelukampanja suunnitellaan tarkasti
Simuloituja hyökkäyksiä voidaan toteuttaa kaikissa IT-ympäristöissä, mutta tuloksista saa parhaan hyödyn silloin, kun testausryhmän koko on vähintään 20 henkilöä. Testauksia voidaan tehdä myös pienempiin ympäristöihin, mutta tuloksista ei voi vetää yhtä pitkälle meneviä johtopäätöksiä.
Kalastelukampanja suunnitellaan aina tiiviissä yhteistyössä yrityksen IT:n kanssa. Kampanjalle asetetaan selkeät tavoitteet ja tarkoitus. Pistokoemaiseen testaamiseen sopii yksittäinen massalähetys ja systemaattisempaan testaamiseen esimerkiksi kolmen kuukauden välein lähtevä kampanja.
Frendy testasi – tunnukset vuodettiin 72 %:ssa yrityksiä
Frendy teki asiakasyrityksilleen Tarttuuko fisu koukkuun -nimisen kalastelukampanjan talvella 2023. Kampanjan tulokset olivat huolestuttavia, sillä jopa 72 %:ssa vuodettiin tunnukset. Tarkempaa dataa pääset lukemaan täältä.
Mikä on simuloitu tietoturvahyökkäys?
Simuloitu tietoturvahyökkäys on tarkkaan suunniteltu, turvallinen ja eettinen tapa testata henkilöstön reagointia phishing- eli kalastelukampanjaan. Simuloidun hyökkäyksen ideana on testata yrityksen henkilöstön kykyä tunnistaa epäilyttävä viesti analysoimalla:
- avataanko viesti
- klikataanko viestissä olevaa linkkiä
- jätetäänkö tunnukset sivustolle.
Lisäksi kampanjan aikana seurataan, ilmoittaako henkilöstö viestistä esimerkiksi IT:lle.
Käytännössä simuloidussa hyökkäyksessä käyttäjille lähetetään phishing-viesti, mutta mahdollisia luovutettuja tunnuksia ei kerätä ja tallenneta. Yrityksen IT on aina tiiviisti mukana simulaation suunnittelussa ja testauksessa.
Jäikö jokin mietityttämään?
Ota meihin yhteyttä, niin jutellaan lisää simuloiduista hyökkäyksistä ja muusta tietoturvaan sekä omaan IT:seen liittyvistä askarruttavista aiheista.
PS. Muista, että tietojenkalastelu on laitonta!
Simuloituja hyökkäyksiä ei tule lähteä tekemään omin päin. Mikäli sopimukset ja pohjatyö eivät ole kunnossa, siirrytään harmaalle alueelle. Tyypillisesti simuloidut hyökkäykset kaatuvat sähköpostin roskapostifiltteriin. Silloin yrityksen infraan tehdään minimaalinen ohitus esimerkiksi valitulle lähettäjälle. Tarkalla suunnittelulla ja huolellisella testaamisella varmistetaan, ettei simulaatio vaaranna yrityksen infraa todellisuudessa. IT-kumppani auttaa varmistamaan, että hyökkäyssimulaatio tehdään oikein ja tietoturvallisesti
Phishing-kilpailu tulee taas!
Kutsumme suomalaiset PK-yritykset osallistumaan Phishing–kilpailuun, jonka tuloksena selviää yrityksenne IT-käyttäjien tietoturvatuntemuksen taso. Kampanjassa kohdennamme yritykseenne teille räätälöidyn tietojenkalastelusimulaation, jolla yritetään saada käyttäjät klikkaamaan linkkiä, eli tarttumaan syöttiin. Kilpailu käydään kahdessa sarjassa ja molempien sarjojen voittajat palkitaan lahjakortein.
Katso hinnat ja ilmoittautumisohjeet » Kalastelukilpailu tulee taas
