Tegye munkatársait erősebb védelmi vonallá

A funkciólistában nem más — minden komoly platformon van sablon, videó és riportfelület, és aki mást állít, az épp értékesít. A különbség az, hogy ezt működtetjük, nem bérbe adjuk. Tizenkét hónapos program, rögzített tervvel: az első hónap egy előre be nem jelentett alapfelmérés, az Önök cégére írt tartalommal, az azt követő tizenegy hónap pedig egy-egy témát párosít egy-egy szimulációval — aki rákattint, automatikusan megkapja a témához tartozó rövid videót. A szakértői idő a díj része, nem projektre elszámolt tétel. Ha az eddigi bemutatók egy konzolról szóltak, ez az a rész, ami a konzol megvásárlása után jön.

Igen, és joggal kérdezik, mekkorát. A helyes megoldás a Microsoft adathalász-szimulációkra való „advanced delivery” szabálya: megnevezi a küldő domainjeinket, a küldő címeinket és a szimulációs URL-jeinket, kizárólag a szimulációs forgalomra vonatkozik, és ezeket a leveleket nem rejti el az Önök riportjai elől. Léteznek szélesebb megoldások is — bérlői szintű megbízhatófeladó-bejegyzések és spoof-kivételek —, amelyeket gyorsabb beállítani, és éppen ezért beszéljük ezt át inkább a levelezési csapatukkal, ahelyett hogy küldenénk egy listát bemásolásra. Ha a csapatuk ellenáll egy általános kivételnek, akkor jól végzi a dolgát — és mi is a szűk beállítást javasolnánk.

Az eredményeket nevesítve rögzítjük — ettől mérhető a program, és éppen ezért érdemes ezt az üzemi tanács vagy a munkavállalói képviselet elé vinni a kezdés előtt, nem utána. Mindenkihez tartozik egy pontszám a szimulációk, az oktatás és a bejelentések alapján, időbeli trenddel, és az eredmények csapatra és részlegre bontva is láthatók. Az adat az Önöké: a szerződés szerint az Önök utasítására kezeljük, és hogy a szervezeten belül mire használják, az az Önök döntése és az Önök szabályzata. Amit a programok működtetéséből mondani tudunk: ahol büntetésre használják, ott két cikluson belül elromlik — az emberek csendben abbahagyják a bejelentést, pedig a bejelentési arány az igazán értékes szám.

Mindhárom nyelven — és a magyar a miénk. A platform saját tartalomtára kilenc nyelvet tud, köztük a németet, magyart viszont nem — ezért ugyanazt a videós tartalmat mi magunk fordítottuk le, és integráltuk a platformba, mert az ügyfeleinknek erre van szükségük. Egy magyar munkatárs ugyanazt a kurzust kapja, mint egy német, a saját nyelvén — nem feliratozott angol videót és nem gépi fordítást.

A program működtetése a miénk: a terv, a szimulációk, a tartalmak ütemezése és a riportok tőlünk jönnek, a szakértői órák pedig a díj részei, nem projektre elszámolt tételek. Az Önöké a beállítás — a fenti levélszűrő-konfiguráció, a címtárkapcsolat és a bejelentő gomb kiosztása —, utána pedig a havi riport átnézése és a döntés arról, mit kezdenek a látottakkal. Nincs őszinte havi óraszámunk az Önök oldalára, és inkább közösen felmérjük, mint hogy kitaláljunk egyet.

Entra ID-hoz kapcsolódik, napi automatikus szinkronizálással — a belépők és kilépők így maguktól rendeződnek: Önök kiválasztják a csoportokat vagy szervezeti egységeket, a platform pedig naprakészen tartja őket. Kézi felvitel, CSV-import és LDAP szintén elérhető. A Google Workspace a bejelentő gombhoz támogatott, címtárszinkronhoz nem — egy Google-alapú szervezet tehát máshogy tartja karban a felhasználói listát. Amit a biztonsági csapatuk kérdezni fog: az Entra-integráció egy alkalmazásregisztráció rendszergazdai hozzájárulással, és a kért jogosultságok között bérlői szintű postafiók-olvasás és -írás is szerepel — ez teszi lehetővé, hogy egy bejelentett adathalász levelet mindenki postafiókjából ki lehessen venni.

Két különböző dokumentumot — a platform mindkettőt előállítja. A vezetőség vezetői riportot kap: rövid, Önök által alakítható anyag arról, mi ment ki, hányan estek áldozatul, és hogyan áll az oktatások teljesítése, a mögöttes trenddel együtt. Az auditor az exportot kapja: nevesített személy, nevesített oktatás, kiküldés dátuma, teljesítés dátuma, kvízeredmény a megfelelési küszöbhöz mérve, valamint a szabályzat-elfogadási nyilvántartás, CSV-ben vagy Excelben. NIS2 vagy ISO 27001 esetén a második számít, mert azt igazolja, hogy egy adott személy egy adott napon elvégzett egy adott képzést — nem azt, hogy létezik egy program.

Pontosan el tudjuk mondani, hogyan mérjük — és nem fogjuk túlígérni az eredményt. Az első hónap egy előre be nem jelentett szimuláció, még mielőtt bármilyen oktatás történt volna: ez adja az alapvonalat. Az azt követő tizenegy hónap ugyanazt a kört méri ugyanúgy, tehát a összehasonlítás a saját kiindulási pontjukhoz képest történik, nem egy ellenőrizhetetlen iparági számhoz. Mindenki pontot kap a kattintás, az oktatás és a bejelentés alapján, a trend pedig kampányokon át látható. Amit nem fogunk tenni: gyártói diáról származó előtte-utána százalékot mutatni — a forgalomban lévőknek nincs kiindulási értékük, nincs mintanagyságuk, és nincs meghatározva, mit mértek.

Ha a mi szimulációnk volt, azt jóváírjuk neki, és javul a bejelentési pontszáma — pontosan ezt a viselkedést próbálja a program kialakítani. Ha valódi levél volt, a vizsgálati platformra kerül: előbb szabályalapú ellenőrzés, majd a linkek és a csatolmányok több reputációs forráson, azután a fejlécek — SPF, DKIM, DMARC, a Received-lánc — és a küldő domain, valamint a levelezőszerver reputációja. A végső döntést ember hozza meg, és a művelet minden érintett postafiókra kiterjed: megkeresés, törlés, karantén vagy áthelyezés. A bejelentő visszajelzést kap arról, mi lett az ügy vége, a saját nyelvén.

A létszám és az időtáv. Munkavállalónként, tizenkét hónapos időszakra kerül árazásra, a díjban benne van egy szakértői órakeret, további tanácsadás pedig külön kérhető. Az időszak felmondás hiányában megújul, a következő évi díjakat pedig még a felmondási határidő lejárta előtt megkapják — így a megújulás soha nem utólag derül ki.