Security awareness · simulace e-mailem, telefonem i SMS
Řízená simulace vám dá vlastní číslo místo odhadu — e-mailem, telefonem i SMS. Bez postihů pro zaměstnance. Navážeme školením podle toho, co měření ukáže.
Údaje popisují parametry naší služby. Číslo, na kterém vám záleží, je ale to vaše — a to dá jedině měření ve vašem prostředí.
Odkud to znáte
Tuhle otázku dostáváme ve dvou situacích. Buď se něco stalo někomu známému v oboru, nebo se vedení zeptalo, jestli jsme na to připraveni. V obou případech chybí totéž — číslo.
Že jsou lidé nejslabší článek, si myslí skoro každý. Doložit to konkrétním číslem za vlastní firmu neumí skoro nikdo. A rozpočet se schvaluje proti číslu, ne proti pocitu.
Když neprojde e-mail, zavolá. Nebo pošle SMS s odkazem, který si člověk otevře na mobilu, kde adresu odesílatele ani cíl odkazu pořádně nevidí. Testuje se přitom skoro vždycky jen e-mail.
Docházka není výsledek. Odklikaný e-learning taky ne. Bez měření nevíte, jestli se změnilo chování, nebo jen přibyl doklad do složky.
Nejčastější námitka, kterou slyšíme, není cena. Je to obava, že test lidi ztrapní a poštve je proti IT. U telefonátu je ta obava větší — a oprávněná. Proto se domlouváme na pravidlech dřív než na scénářích.
Obecná čísla o phishingu se dají najít a leccos napoví. Rozhodnutí, kam dát peníze a čí lidi školit dřív, ale obhájíte až číslem z vlastního prostředí.
Co s tím uděláme
Logika je jednoduchá a klidně ji použijte i uvnitř firmy: simulace dá číslo, číslo obhájí rozpočet, rozpočet zaplatí program a program to číslo sníží. Simulace přitom nemusí končit u e-mailu — testovat se dá i telefon a SMS.
Řízená kampaň na domluveném vzorku. Scénáře stavíme na tom, co u vás reálně chodí — podvodná faktura, falešný požadavek IT helpdesku, kompromitovaný účet dodavatele. Hodí se všude, protože e-mail dostane každý.
Volající se vydává za IT podporu, banku nebo dodavatele a tlačí na rychlé jednání. Hodí se tam, kde se po telefonu mění platební údaje nebo resetují hesla — finanční oddělení, helpdesk, asistentky vedení.
Krátká zpráva s odkazem nebo s prosbou o zpětné volání. Na mobilu není vidět celá adresa odesílatele ani cíl odkazu. Hodí se tam, kde lidé řeší práci hlavně z telefonu — obchod, terén, provoz, směny.
Agregovaný report ukáže riziková oddělení, rozdíly mezi kanály a opakující se vzorce chování. Ne žebříček jmen — podklad pro rozhodnutí, kam dát čas a peníze.
IT tým potřebuje jiné informace než finanční oddělení. Vedení potřebuje rozumět dopadu na podnikání, ne technickým detailům. Školení trvá 1–4 hodiny, prezenčně i online, vedení má vlastní workshop na 2–3 hodiny a administrátoři vlastní blok.
Roční hodinové školení nad prezentací v PowerPointu nefunguje. Funguje krátký opakovaný nácvik — pět až deset minut měsíčně — a reálné simulace se zpětnou vazbou.
Cílem není stoprocentní záchyt. Cílem je, aby zaměstnanec věděl, kam nahlásit podezřelý e-mail, telefonát i SMS, když mu projdou — a aby to udělal hned.
Jak to probíhá
Nikomu nic neodešleme ani nezavoláme dřív, než odsouhlasíte kanály, rozsah, scénáře i pravidla.
Zeptáme se na počet zaměstnanců, jak u vás chodí faktury a objednávky, kdo běžně domlouvá věci po telefonu, kdo pracuje hlavně z mobilu, co už ve vzdělávání běží a kdo o testu smí vědět předem. Bez obchodní prezentace.
Ještě před scénáři řešíme to, co se s výsledky smí a nesmí dělat. U telefonátu a SMS je citlivost vyšší než u e-mailu, proto tyto simulace domlouváme s vedením i s HR předem. Píšeme to do zadání, ne do poznámky pod čarou. Podrobnosti jsou v odpovědích níže.
Vyberete, co se testuje — e-mail, telefon, SMS nebo kombinace — a koho se to týká. Začít se dá i jen e-mailem a telefon nebo SMS přidat později, nic z toho není povinná součást balíčku. Pracujeme jen s firemními kontakty, které nám zadáte; na soukromá čísla nevoláme ani nepíšeme.
Připravíme konkrétní scénáře včetně toho, co v telefonu zazní. Každý scénář vidíte předem a schvalujete ho. Co neschválíte, se nepoužije.
Kdo zareaguje chybně, nedostane vytýkací dopis. Dostane krátkou zpětnou vazbu na místě a vysvětlení, čeho si měl všimnout. U telefonátu to říkáme rovnou na konci hovoru, aby nikdo nezůstal v nejistotě.
Report ukáže riziková oddělení, rozdíly mezi kanály a opakující se vzorce chování. Na hovoru nad ním si řekneme, jestli stačí cílené doškolení, nebo dává smysl roční program. Když stačí to první, řekneme vám to.
Kolik to celé zabere času, tady záměrně neuvádíme. Záleží na tom, kolika lidí se test týká, a na tom, jestli má kampaň proběhnout naráz, nebo se rozložit do delšího období — obojí dává smysl, jen za jiných okolností. Rozsah i typ kampaně proto probereme na úvodním hovoru a na jeho základě vám předběžně řekneme i cenu.
Konkrétní výstupy
Test je vstup, ne cíl. Takhle vypadá dvanáct měsíců, když se rozhodnete pokračovat — konkrétní výstupy místo „zvýšení povědomí“:
Vstupním testem to klidně může skončit. Program prodáváme až ve chvíli, kdy víte, proti čemu ho měřit.
Dokud nemáte vlastní číslo, je všechno ostatní odhad.
Úvodní konzultace je bezplatná a nezávazná.
Proč zrovna my
Loga klientů ani citace tady nenajdete. Tohle je to, co za nás mluví ověřitelně.
Výsledky měříme před zahájením programu i v jeho průběhu. Změna chování je jediný ukazatel, který má smysl sledovat — všechno ostatní je docházka.
Jiná rizika má výrobní firma, jiná nemocnice, jiná finanční instituce. Stejně tak volíme kanál: kde se objednávky a platební údaje domlouvají po telefonu, nemá smysl testovat jen e-mail.
Platí to pro e-mail, telefon i SMS. Zaměstnance, kteří zareagují chybně, netrestáme. Dostanou zpětnou vazbu a krátký vzdělávací obsah. Vedení vidí čísla za oddělení.
Na poptávku reagujeme do 24 hodin a píše vám člověk, který službu dělá. NDA na vyžádání. Školíme česky i slovensky.
Námitky, které slyšíme
Tohle je nejčastější námitka a bereme ji vážně. Simulace se nedělá proto, aby někoho nachytala. Individuální výsledky neslouží k postihu — kdo zareaguje chybně, dostane okamžitou zpětnou vazbu a krátký vzdělávací obsah, ne vytýkací dopis. Individuální reakci potřebujeme právě k té zpětné vazbě, ne k hodnocení lidí.
Report, který dostane vedení, je agregovaný: riziková oddělení, rozdíly mezi kanály a opakující se vzorce chování. Žádný jmenný žebříček — ani u kliknutí v e-mailu, ani u toho, co kdo řekl do telefonu. Napíšeme si to do zadání předem, aby to nebyl jen slib ze schůzky. A kdyby cílem zakázky bylo sbírat podklady pro personální kroky, do takové zakázky nejdeme a řekneme vám to na prvním hovoru.
Může být, když se udělá bez pravidel. Telefonát je osobnější než e-mail a člověk se u něj hůř brání, proto u vishingu a smishingu držíme přísnější rámec než u e-mailu.
Rozsah domlouváme s vedením i s HR předem. Voláme v pracovní době a jen na firemní kontakty, které nám zadáte. Citlivá témata jako výplata, propouštění, zdraví nebo rodina se jako záminka nepoužívají. Na konci hovoru volající řekne, že šlo o cvičení, a vysvětlí, čeho si měl protějšek všimnout. Nakládání se záznamem hovoru i doba jeho uchování jsou součástí písemných pravidel, ne ústní dohody.
Další krok
Napište nám pár vět o tom, kolik máte zaměstnanců a co u vás ve vzdělávání běží. Jestli má jít jen o e-mail, nebo i o telefon a SMS, probereme na hovoru.
Bezplatná úvodní konzultace · Bez závazků · Praha nebo online · NDA na vyžádání