Всего 1% пользователей стоит за 44% всех кликов по фишинговым письмам, а на 5% пользователей приходится 83,4% всех кликов

Mimecast и Cyentia Institute представили совместное исследование о подверженности сотрудников трем "грехам человеческим": кликам на фишинговые письма, загрузке и запуску вредоносного ПО, а также посещению запрещенных политикой организации сайтов.
Этот отчет выделяется тем, что авторы анализируют не только результаты фишинговых киберучений, но и реальные фишинговые атаки, что позволяет более объективно оценить уровень риска и эффективность регулярного обучения сотрудников.

Основные выводы исследования:

Результаты фишинговых киберучений почти полностью не совпадают с результатами реальных атак.
Около 5% сотрудников ответственны за 75% всех случаев реализации рисков КБ.
Регулярное обучение (курсы, киберучения) позволяет снизить уровень реализации рисков КБ на 25%.

Эти выводы в очередной раз доказывают, что не стоит надеяться на классический подход в обучении сотрудников: схема "учения ради обучения" и наоборот не работает. Безусловно, регулярное обучение сотрудников важно и отказываться от него нельзя, но следует понимать, что этот процесс позволит лишь условно ограничить "поверхность атаки", уменьшая количество сотрудников, которые кликнут по ссылке из фишингового письма или наоборот, увеличивая число тех, кто сообщит о подозрительных письмах.
Кстати, в свежем исследовании известной компании Know4Be говорится как раз о том, что регулярное обучение сотрудников в течение более года позволяет снизить процент попадающихся на учебный фишинг примерно до 5%. Однако, мы-то с вами уже знаем, что эти 5% сотрудников могут не являться теми самыми 5%, которые попадаются на реальные фишинговые письма
Здесь можно словить чувство разочарования и отчаяния

Таким образом, полагаться исключительно на результаты киберучений и обучений нельзя. Необходимо расширять область анализа и подключать новые источники информации, чтобы более точно выявлять сотрудников, подверженных рискам кибербезопасности, и ставить их на особой контроль.

#awareness #phishing #hrm #know4be #mimecast #training #riskmanagement