Testy socjotechniczne — sprawdzamy, czy pracownicy rozpoznają atak
Przeprowadzamy testy socjotechniczne: kontrolowane kampanie phishingowe, fałszywe telefony (vishing), SMS-y (smishing) i podrzucone nośniki. Za zgodą zarządu, z poszanowaniem RODO. Dostajesz raport z wynikami działów i rekomendacje dla procesów, a pracownicy — szkolenie na własnych przykładach.
- symulacje phishingu
- vishing i smishing
- raport i szkolenie po teście
Dlaczego warto testować ludzi, a nie tylko systemy
Większość udanych ataków na firmy zaczyna się od człowieka: kliknięty link, podane hasło, przelew na „nowy numer konta” dostawcy. Najlepszy firewall nie pomoże, jeśli księgowa dostanie przekonujący e-mail od „prezesa”.
Test socjotechniczny pokazuje, jak firma zachowa się w prawdziwej sytuacji. Nie chodzi o wskazanie winnych, tylko o znalezienie słabych miejsc w procedurach i przygotowanie ludzi.
Test penetracyjny
sprawdza systemy — zobacz testy penetracyjne
Test socjotechniczny
sprawdza ludzi i procedury
Szkolenie
uczy, jak rozpoznać atak — zobacz szkolenia
Scenariusze testów socjotechnicznych
| Scenariusz | Na czym polega |
|---|---|
| Phishing e-mail | fałszywe powiadomienia: kurier, faktura, Microsoft 365, reset hasła, udostępniony plik |
| Spear phishing | wiadomość przygotowana pod konkretną osobę lub dział, np. księgowość lub zarząd |
| Fałszywy prezes / dostawca | prośba o pilny przelew lub zmianę numeru konta (BEC) |
| Vishing | telefon „z działu IT” lub „z banku” z prośbą o kod, hasło lub instalację programu |
| Smishing | SMS z linkiem do fałszywej strony logowania |
| Podrzucony nośnik | pendrive zostawiony w biurze — czy ktoś go podłączy |
Scenariusze dobieramy do branży i realnych zagrożeń. Linki prowadzą do bezpiecznej strony testowej — żadne hasła nie są przechowywane.
Test socjotechniczny krok po kroku
Zakres i zgoda
Z zarządem ustalamy scenariusze, grupy pracowników i termin. Pisemna zgoda.
Przygotowanie
Domeny, szablony, strony testowe — realistycznie, ale bezpiecznie.
Kampania
Wysyłka lub telefony w ustalonym oknie, bieżący kontakt z osobą w firmie.
Raport
Wyniki w podziale na działy, bez publicznego wskazywania osób.
Szkolenie i powtórka
Omówienie na przykładach z testu, kolejna kampania po kilku miesiącach.
Mierzymy także dobre zachowania
Poza kliknięciami liczymy, ile osób zgłosiło podejrzaną wiadomość. To najlepszy wskaźnik dojrzałości firmy.
Proponujemy też proste zmiany w procedurach, np. telefoniczna weryfikacja zmiany numeru konta dostawcy.
Testy socjotechniczne a NIS2 i RODO
NIS2 i KSC
Ustawa wymaga m.in. szkoleń i podnoszenia świadomości. Wyniki testów to dowód, że szkolenia działają. Zobacz dyrektywa NIS2.
RODO
Przetwarzamy tylko dane niezbędne do testu, wyniki w raporcie są zagregowane. Zobacz RODO w IT.
Ubezpieczenia cyber
Ubezpieczyciele coraz częściej pytają o szkolenia i testy phishingowe.
Kto prowadzi testy socjotechniczne
Scenariusze przygotowuje i omawia nasz zespół bezpieczeństwa.
Pytania o testy socjotechniczne
Czym są testy socjotechniczne?
To kontrolowane sprawdzenie, jak pracownicy reagują na próby manipulacji: fałszywe e-maile (phishing), telefony podszywające się pod bank lub IT (vishing), SMS-y (smishing), podrzucone pendrive’y. Celem nie jest łapanie winnych, tylko znalezienie słabych punktów procesów.
Czy to jest legalne?
Tak, jeśli firma wyraża pisemną zgodę i ustalamy zakres. Scenariusze uzgadniamy z zarządem, a dane pracowników chronimy zgodnie z RODO — raport pokazuje wyniki działów, a nie „listę winnych”.
Czy pracownicy będą wiedzieć o teście?
Zwykle wie tylko zarząd i wskazana osoba kontaktowa. Po teście informujemy wszystkich i omawiamy wyniki na szkoleniu.
Co dostaje firma po teście?
Raport: ile osób otworzyło wiadomość, kliknęło link, podało hasło, zgłosiło próbę do IT. Do tego rekomendacje dla procesów (np. weryfikacja zmian numeru konta) i materiał do szkolenia.
Jak często powtarzać test?
Dobrze działa cykl kilka razy w roku z różnymi scenariuszami. Wyniki pokazują, czy szkolenia działają.
Czy test zastępuje szkolenie?
Nie, uzupełnia je. Najlepszy efekt daje test przed szkoleniem i po nim. Zobacz szkolenia z cyberbezpieczeństwa.
Sprawdź, czy Twoi pracownicy rozpoznają atak
Opisz firmę i działy, które chcesz sprawdzić. Zaproponujemy scenariusze i przygotujemy bezpłatną wycenę testu.
albo napisz: biuro@mitgroup.pl · zobacz też wszystkie usługi