Опаснее фишинга может быть только симуляция фишинга

Компания Living Security совместно с Cyentia Institute выпустила исследование на тему управления человеческими рисками в кибербезопасности, проанализировав данные 100+ организаций, пользующихся её HRM-решением.

Из интересного:
10% сотрудников ответственны за 73% всех случаев девиантного рискованного поведения (клики по фишинговым письмам, загрузка малвари и т.п.).
Схожие результаты декларировались в другом совместном с Cyentia Institute исследовании компании Mimecast.
Удалёнщики и сотрудники с неполной занятостью зачастую оказываются более благонадежными, чем их офисные коллеги
Ещё один аргумент за удалёнку
78% сотрудников фактически приносят больше пользы в снижении рисков, чем вреда в их увеличении.
Около 8% сотрудников можно отнести к категории "хаотично рискованных", т.е. к категории особо проблемных, которых почти невозможно перевоспитать и к которым стоит принимать активные меры (как минимум разместить "под колпаком SOCа").
Значительная часть профиля риска сотрудников обусловлена не их поведением, а внешними событиями (угрозами, нацеленными на них). Т.е. не всегда стоит винить сотрудников в том, что они не распознали угрозу: надо уделять внимание в том числе техническим и организационным мерам, способным защитить такую категорию сотрудников.
Топ-20 высокорисковых событий (см. скрин) возглавили действия с фишингом (клики, переходы), причем по большей части именно учебный фишинг, что в очередной раз подтверждает, что результаты таких симуляций довольно не репрезентативны.
Неожиданно было увидеть в том же топе, что несанкционированное изменение настроек EDR встречалось чаще, чем выгрузка чувствительных данных Видимо в организациях из выборки с рядовыми сотрудниками разобрались, а с админами ещё нет
В среднем, компании способны обнаружить менее половины (43%) всех событий и действий, составляющих человеческий риск: для увеличения видимости необходимо собирать больше данных из источников, позволяющих оценить поведение сотрудников (например, из решений EDR/IAM/NGFW).

#awareness #risk #hrm #phishing #training #riskmanagement