איך בונים תכנית מודעות לפישינג בארגון (ומה CISO צריך לבקש מספק)
תכנית מודעות לפישינג היא שילוב של הדרכת מודעות, סימולציות מדודות ודיווח להנהלה, הנבנים סביב הסיכונים של הארגון. סימולציה לבדה היא מדידה, לא תכנית.
למה סימולציה לבדה לא מספיקה
סימולציה מראה מי לחץ, אבל לא מלמדת למה. בלי הדרכה לפני ואחרי, ובלי מדידה חוזרת, התוצאה היא מספר חד-פעמי. תכנית טובה מחברת הדרכת מודעות, סימולציה ודיווח, ומחזירה את התוצאות לשיפור התרחישים והמדיניות.
שלבי התכנית
- 1. הערכת סיכוןמי בארגון חשוף יותר (כספים, הנהלה, שירות לקוחות), ואילו תרחישים רלוונטיים לעסק: חשבונית, משלוח, בקשה "דחופה" מההנהלה, איפוס סיסמה.
- 2. הדרכת מודעותהדרכה קצרה לכלל העובדים והדרכה ממוקדת להנהלה ולעובדי כספים. בפורמט שמתאים לארגון: פרונטלית או מרחוק (Zoom/Teams/Google Meet).
- 3. סימולציה מדודהמייל בדיקה מבוקר ומורשה, עם דף הסבר לעובד שלחץ. המטרה היא למדוד ולהעלות מודעות, לא להפליל עובדים.
- 4. דיווח להנהלהתמונת מצב קבוצתית ולא אישית, מגמה לאורך זמן, ופעולות המשך. אפשר להציג בישיבת הנהלה ולמבקר.
- 5. חזרהסבב חוזר לפי הסיכון, ועדכון תרחישים. מדידה אחת לא מספיקה.
מה לכלול בהדרכת מודעות להנהלה ולעובדי כספים
הנהלה ועובדי כספים הם יעד מועדף להתחזות ולבקשות תשלום מזויפות (BEC). כדאי להדריך אותם בנפרד: אימות בקשות כספיות בערוץ שני, זיהוי הודעה "דחופה" מהמנכ"ל, ונוהל דיווח ברור. ההדרכה יכולה להתקיים פרונטלית או מרחוק (Zoom/Teams/Google Meet).
מה נחשב ראיה בביקורת
תיעוד של הדרכת מודעות ותוצאות סימולציה יכול לשמש ראיה המסייעת לעמידה בחלק מדרישות ISO 27001 ותיקון 13. הוא אינו מחליף בקרות אחרות ואינו מאשר עמידה מלאה בתקן או בחוק. ההכרעה נשארת אצל המבקר והיועץ המשפטי של הארגון.
צ'קליסט לבחירת ספק סימולציה
- עברית מלאה, כולל תרחישים שמתאימים לשוק הישראלי
- אישור כתוב מהארגון לפני כל סימולציה, והודעה כללית לעובדים
- הלבנה (allowlisting) מסודרת כדי שההודעות יגיעו לתיבה ולא למסנן הספאם
- דוח שאפשר להציג להנהלה ולמבקר, בלי נתונים אישיים מיותרים
- דף נחיתה חינוכי ולא דף שלוכד סיסמאות
- מדיניות פרטיות ברורה: מי מעבד את הנתונים, לכמה זמן, ואיך מוחקים
שאלות נפוצות
מה ההבדל בין הדרכת מודעות לסימולציית פישינג?
הדרכת מודעות מלמדת את העובדים לזהות איומים. סימולציה בודקת בפועל איך העובדים מגיבים להודעה חשודה. שתיהן יחד נותנות תמונה מלאה יותר מכל אחת לבדה.
כל כמה זמן מריצים סימולציה?
אין תשובה אחת. בדרך כלל מריצים כמה פעמים בשנה ומתאימים לסיכון של הארגון. חשוב לשמור על רישום כדי לראות מגמה.
האם צריך אישור לפני שמריצים סימולציה על עובדים?
כן. מומלץ אישור כתוב מההנהלה ומי שאחראי על הפרטיות בארגון, והודעה כללית לעובדים שמתקיימת תוכנית מודעות. שאלה זו תלויה בנסיבות, ולכן כדאי להתייעץ עם יועץ משפטי.
מה מדווחים להנהלה אחרי סימולציה?
תמונת מצב קבוצתית, שיעור הדיווח של עובדים על הודעה חשודה, מגמה בין סבבים, והצעד הבא. לא מציגים שמות של עובדים בדוח להנהלה.
איך זה קשור לתיקון 13 ול-ISO 27001?
תיעוד של הדרכת מודעות ותוצאות סימולציה יכול לשמש ראיה המסייעת לעמידה בחלק מדרישות ISO 27001 ותיקון 13. הוא אינו מחליף בקרות אחרות ואינו מאשר עמידה מלאה בתקן או בחוק, וההכרעה נשארת אצל המבקר והיועץ המשפטי.
האם סימולציה מונעת התקפות?
לא. היא מודדת, מעלה מודעות ומשאירה רישום. מניעה דורשת גם בקרות טכניות כמו אימות רב-גורמי והגדרות דואר.
סימולציית פישינג לעובדים, בשיתוף PhishingU
פישינג הוא נתיב תקיפה נפוץ נגד ארגונים. מעבר להדרכת מודעות, אפשר למדוד איך העובדים מגיבים להודעה חשודה ולהשאיר רישום להנהלה ולביקורת. גילוי נאות: SYBER ו-PhishingU ישויות קשורות. השירות העצמאי של PhishingU מתחיל ב-999 ש"ח* לקמפיין, תשלום חד-פעמי, עד 100 עובדים.
* הקמה מהירה, נדרשת פעולת הלבנה אחת על ידי ה-IT, והשיגור כפוף לבדיקת אבטחה של עד 24 שעות.