Phishing Awareness Assessment
Angriffe durch gefälschte E-Mails stellen für Unternehmen ein ernst zu nehmendes Risiko dar. Im Rahmen dieser sogenannten Phishing-Angriffe wird durch das Ausnutzen menschlichen Fehlverhaltens im Umgang mit E-Mails, beispielsweise versucht in IT-Systeme einzudringen oder an Geld zu gelangen. Die Techniken, die dabei zum Tragen kommen, sind häufig sehr weit entwickelt und führen in vielen Fällen zum Ziel. Der resultierende Schaden für ein Unternehmen kann je nach Angriffsszenario enorm sein und reicht von einem Komplettausfall der IT oder Produktionsanlagen bis hin zu finanziellen Verlusten in Millionenhöhe.
Für den Erfolg eines Phishing-Angriffs genügt oft das Fehlverhalten eines einzelnen Mitarbeiters. Die bestehende Sensibilisierung von Mitarbeitern für diese Art der Angriffe ist daher neben technischen Security Controls eines der wesentlichen Elemente zum Schutz vor Phishing-Angriffen. Durch das Phishing Awareness Assessment unterstützen wir Sie bei der Einschätzung der bestehenden Mitarbeitersensibilisierung und erhöhen diese durch gezielte Awareness-Maßnahmen.
Das Phishing Awareness Assessment lässt sich optional in einem umfassenderen Social Engineering Assessment integrieren, bei dem auch andere Angriffsarten im Bereich Social Engineering zur Anwendung kommen.
Ziel
Bewertung und Verbesserung der Mitarbeitersensibilisierung hinsichtlich realer Phishing-Angriffe durch die Simulation wiederkehrender Phishing-Versuche mit direkter anschließender Aufklärung und Sensibilisierung
Fragestellung
Wie effektiv sind vorhandene Sensibilisierungsmaßnahmen gegen Phishing-Angriffe und können diese durch direkte Aufklärung nach erfolgreichen Angriffsversuchen verbessert werden?
Scope
Personal bzw. Mitarbeiter
Ablauf
Im Rahmen eines Phishing Awareness Assessments wird die vorhandene Mitarbeitersensibilisierung durch simulierte Phishing-Angriffe gemessen. Diese können beispielsweise auf alle Mitarbeiter oder nur auf vereinzelte Personengruppen ausgerichtet sein (Spear-Phishing bzw. Whaling). Mögliche Angriffsszenarien reichen vom Abgreifen valider Zugangsdaten, über das Ausführen schadhafter Anhänge bis hin zum Durchführen unautorisierter Vorgänge (z.B. Tätigen einer Überweisung).
Bei erfolgreichen Angriffsversuchen werden die Mitarbeiter unmittelbar mit ihrem Fehlverhalten in der entsprechenden Situation konfrontiert. Sie erhalten hierbei gezielte Anweisungen bzw. Vorschläge zum Anpassen des eigenen Verhaltens, die Ihnen helfen einen ähnlichen Angriff erkennen oder zumindest den Erfolg eines derartigen Angriffs in zukünftigen Situation reduzieren zu können.
Durch die wiederholte Ausführung unterschiedlicher Angriffsversuche, kann über einen längeren Zeitraum des Assessments die Wirkung der Awareness-Maßnahmen gemessen werden. Sie erhalten somit ein direktes Feedback über die Verbesserung der Mitarbeitersensibilisierung in Ihrem Unternehmen.
Bestandteile
Das Phishing Awareness Assessment besteht dabei aus folgenden Schritten:
- Workshop zur Abstimmung der Angriffsszenarien und Zielsetzungen
- Erfassung interner Informationen zur Erstellung möglichst authentischer Phishing-Angriffe
- Durchführung einer oder mehrerer Varianten von Phishing-Angriffen
- Einbinden von Awareness-Maßnahmen in erfolgreiche Phishing-Angriffe
- Auswertung der Ergebnisse und ggf. weitere Iteration beginnend bei Schritt 3
Ergebnis
Als Ergebnis erhalten Sie einen ausführlichen Abschlussbericht mit folgenden Bestandteilen:
- Management Summary mit Zusammenfassung der Ergebnisse
- Beschreibung Projektablauf, Zielsetzung, Umfang und Methodik
- Detaillierte Beschreibung der Ergebnisse hinsichtlich
- Erfolgsquote verschiedener Angriffsvarianten
- Entwicklung der Mitarbeitersensibilisierung
- Falls erforderlich auch eine Beschreibung von übergeordneten strategie-, konzept- und prozessbezogenen Maßnahmen oder Optimierungsvorschlägen.