Jak wybrać platformę do symulacji phishingu: 10 pytań

Platform do symulacji phishingu jest wiele, a ich strony obiecują podobne rzeczy: realistyczne e-maile, automatyczne szkolenia, czytelne raporty. Różnice widać dopiero w użyciu. Poniżej dziesięć pytań, które warto zadać dostawcy przed podpisaniem umowy. Przydadzą się niezależnie od tego, jaką platformę ostatecznie wybierzesz.

Najpierw ustal, czego potrzebujesz

Zanim zaczniesz porównywać dostawców, odpowiedz na trzy pytania. Ilu pracowników weźmie udział? Kto w firmie będzie prowadzić kampanie i ile będzie mieć na to czasu? Kto będzie widzieć wyniki: zarząd, IT czy kierownicy działów? Od odpowiedzi zależy, czy potrzebujesz narzędzia do samodzielnej obsługi, czy usługi, w której kampanie wysyła dostawca.

10 pytań do dostawcy

1. W jakich językach są napisane szablony e-maili?

Pracownicy od razu rozpoznają e-mail z błędami tłumaczenia maszynowego, więc taki test nic nie mówi. Poproś o kilka szablonów w języku pracowników i oceń, czy przypominają e-maile, które Twoi pracownicy naprawdę dostają: od kurierów, banków, urzędów lub z narzędzi pracy.

2. Czy e-mail można dopasować do Twojej firmy?

Nazwa firmy, domena, wewnętrzne systemy. E-mail, który wygląda, jakby przyszedł z Twojego działu IT, sprawdza znacznie więcej niż ogólne „Szanowny Kliencie”. Zapytaj, czy można wgrać własny szablon HTML.

3. Co pracownik widzi po kliknięciu?

To najważniejsze pytanie. Jeśli pracownik po kliknięciu widzi tylko stronę błędu albo tydzień później dostaje link do godzinnego filmu, test niczego go nie nauczył. Najlepiej działa lekcja zaraz po kliknięciu, poświęcona temu samemu e-mailowi i sygnałom, które osoba przeoczyła. Poproś o możliwość sprawdzenia tego samodzielnie.

4. Jak e-maile dotrą do skrzynek?

Microsoft 365 i Google Workspace często zatrzymują e-maile symulacyjne albo sprawdzają ich linki z wyprzedzeniem. Wtedy e-maile nie docierają do pracowników albo wyniki są zniekształcone. Zapytaj, czy dostawca zapewnia instrukcję krok po kroku, jak dopuścić symulacje w Twoim systemie pocztowym, i czy e-maile można wysyłać przez Twój własny serwer pocztowy (SMTP).

5. Czy automatyczne kliknięcia są oddzielone od działań ludzi?

Systemy bezpieczeństwa poczty same otwierają linki w e-mailach, aby je sprawdzić. Jeśli platforma nie oddziela tych kliknięć, w raporcie znajdą się kliknięcia, których nie wykonał żaden pracownik. Zapytaj, jak to rozwiązano.

6. Co jest zapisywane, gdy pracownik wpisze hasło?

Właściwa odpowiedź: nic poza faktem, że dane wpisano. Symulacja nie potrzebuje prawdziwego hasła, a jego przechowywanie tworzy nowe ryzyko. Przy okazji zapytaj, gdzie przechowywane są dane pracowników i czy dostawca podpisuje umowę powierzenia przetwarzania danych.

7. Co zobaczy przełożony?

Poproś o przykładowy raport. Czy pokazuje wynik każdego pracownika, porównanie działów, zmianę na przestrzeni kilku miesięcy, ukończone lekcje? Czy można go pobrać jako PDF lub dostawać e-mailem co miesiąc? Jeśli raport trzeba za każdym razem składać ręcznie, wkrótce nikt nie będzie go składać.

8. Ile czasu zajmie administracja?

Sprawdź, jak dodaje się pracowników (z pliku CSV czy ręcznie), czy kampanie można zaplanować kilka miesięcy naprzód i czy szkolenia są przypisywane automatycznie. Jeśli firma nie ma osobnego specjalisty od bezpieczeństwa, platforma musi działać bez codziennej uwagi.

9. Ile to będzie kosztować rocznie?

Miesięczna cena jednego miejsca nie mówi wszystkiego. Zapytaj o minimalną liczbę pracowników, opłaty za platformę, kursy sprzedawane osobno, zobowiązania roczne i sposób płatności: kartą czy przelewem na podstawie faktury. Potem policz pełną roczną kwotę dla swojej liczby pracowników.

10. Czy można wypróbować platformę przed zakupem?

Najlepszy sprawdzian to wysłanie symulacji do siebie: zobaczysz e-mail, stronę po kliknięciu, lekcję i raport. Jeśli platformę można zobaczyć tylko na prezentacji handlowej, poproś o dostęp próbny dla zespołu.

Sygnały, że platforma się nie sprawdzi

• Szablony tylko po angielsku albo z oczywistymi błędami tłumaczenia.
• Pracownik, który kliknie, niczego się nie uczy albo szkolenie przychodzi dopiero po kilku dniach.
• Platforma przechowuje wpisane hasła.
• Na stronie nie ma cen, a umowa od razu jest na pełny rok, bez możliwości wypróbowania.
• Aby wyniki były zrozumiałe dla zarządu, trzeba je eksportować i porządkować w arkuszu.

Darmowe narzędzia: kiedy wystarczą

Za pomocą narzędzi open source można wysłać symulację phishingu za darmo. Ale serwer, szablony e-maili, stronę szkoleniową, lekcje i raporty trzeba będzie zbudować i utrzymywać samodzielnie. To rozwiązanie dla firmy, która ma specjalistę od bezpieczeństwa. Bez niego zaoszczędzone pieniądze zwykle zamieniają się w godziny pracy.

Jak Opsinel odpowiada na te pytania

Ten artykuł przygotował zespół Opsinel, więc poniżej nasze odpowiedzi. Porównaj je z odpowiedziami innych dostawców.

Języki

Szablony po litewsku i angielsku; po łotewsku, estońsku i polsku na życzenie. Możesz wgrać własny szablon HTML.

Po kliknięciu

Pracownik od razu dowiaduje się, że to była symulacja, i dostaje lekcję trwającą około 15 minut o tym samym e-mailu.

Dostarczanie e-maili

Panel zawiera instrukcje dla Microsoft 365 i Google Workspace. E-maile można wysyłać przez Opsinel albo przez Twój serwer SMTP.

Automatyczne kliknięcia

Kliknięcia znanych systemów bezpieczeństwa poczty są oddzielone od działań pracowników.

Hasła

Wpisane dane nigdy nie są przechowywane; rejestrowany jest tylko fakt ich wpisania.

Raporty

Wynik każdego pracownika, działy, trend, ukończone lekcje, PDF i wysyłka e-mailem według harmonogramu.

Cena

30 € miesięcznie za 10 pracowników; każdy kolejny pracownik kosztuje 0,95 € (11–50), 0,75 € (51–250) lub 0,55 € (od 251); ceny bez VAT. Płatność przelewem na podstawie faktury, z 7 dniami na zmianę decyzji.

Wypróbowanie

Darmowe konto z pracownikami, symulacjami i raportami przykładowej firmy, więc możesz się rozejrzeć, zanim zapłacisz.

Więcej: jak działa Opsinel i kalkulator cen.