Prima di iniziare il tuo programma di formazione sulla consapevolezza della sicurezza, ti consigliamo di inviare a tutti gli utenti un test di phishing simulato senza preavviso. Questo test ti aiuterà a stabilire una baseline per l’organizzazione.
I risultati del test di phishing baseline mostreranno la percentuale Phish-prone iniziale dell’organizzazione. La percentuale Phish-prone è la percentuale di utenti che probabilmente faranno clic su un’e‑mail di phishing. Considera questa percentuale Phish-prone iniziale come la baseline, o punto di partenza, per l’organizzazione. La percentuale Phish-prone complessiva dell’organizzazione, o percentuale Phish-prone media dell’account, si basa sulla percentuale Phish-prone di tutti gli utenti dell’organizzazione, inclusi quelli che non hanno ricevuto un Phishing Security Test (PST). Quando effettui test di phishing continui, confronta la percentuale Phish-prone della tua organizzazione con la percentuale Phish-prone iniziale per misurare il successo del tuo piano di formazione sulla consapevolezza della sicurezza.
Perché non annunciare il test
Per ottenere risultati più accurati, ti consigliamo di condurre un test di phishing baseline senza preavviso. Non annunciando il test, puoi capire quanto sarebbe vulnerabile l’organizzazione se un attacco di phishing reale riuscisse a superare i filtri e‑mail. Questa informazione può aiutarti a ottenere il consenso dei tuoi stakeholder. Per ulteriori informazioni, leggi l’articolo: Come coinvolgere gli stakeholder nel programma di formazione sulla consapevolezza della sicurezza.
Impostazioni consigliate per la campagna di prova baseline
Suggerimento:dopo aver effettuato l’inserimento nell’elenco elementi consentiti e prima di creare una campagna di phishing baseline, ti consigliamo di eseguire almeno una campagna di prova limitata a un piccolo gruppo di utenti. Per ulteriori informazioni, leggi la sezione Campagna di prova preliminare della Guida rapida all’implementazione.
Per creare la campagna baseline, vai sulla scheda Phishing > + Crea campagna di phishing. Per la tua campagna di prova baseline, ti consigliamo di utilizzare le seguenti impostazioni:
Nota: per impostazione predefinita tutte le campagne di phishing sono localizzate.
- Nome campagna: assegna alla campagna un nome descrittivo, ad esempio “Test baseline”.
- Invia a: seleziona Tutti gli utenti.
- Frequenza: seleziona Singola.
- Ora di inizio: dai menu a discesa, seleziona la data e l’ora desiderate per il test baseline. L’ora selezionata dovrebbe essere compresa nell’orario lavorativo dell’organizzazione, in quanto si tratta del periodo in cui gli utenti controllano attivamente le e‑mail.
- Periodo di invio: seleziona Invia tutte le e‑mail all’inizio della campagna. Quando questa impostazione è selezionata, le e-mail inizieranno a essere inviate non appena inizierà la campagna. I tempi di invio e consegna varieranno a seconda del numero di utenti nella campagna. Nella maggior parte delle campagne, tutte le e-mail verranno inviate entro un'ora dall'inizio della campagna.
- Traccia attività: ti consigliamo di tenere traccia delle infrazioni ai test di phishing per almeno tre giorni. Per ulteriori informazioni sui periodi di invio e monitoraggio, leggi l’articolo Come monitorare e rivedere le campagne di phishing.
-
Traccia le risposte alle e‑mail di phishing: puoi attivare questa impostazione se desideri monitorare le risposte degli utenti alle e‑mail di test di phishing. Per ulteriori informazioni sulla modalità Rispondi al phishing, leggi l’articolo Rispondi al phishing.
- Argomenti dei modelli: seleziona la categoria Phishing per informazioni sensibili dal menu a discesa.
- Imposta lingua del modello: se abilitata, questa impostazione sostituisce la lingua del phishing impostata nei profili degli utenti. Per ulteriori informazioni sulle impostazioni linguistiche, consulta la Guida alla localizzazione.
- Valutazione della difficoltà: questa impostazione valuta quanto è sofisticato un modello e qual è la probabilità che induca gli utenti a commettere un’infrazione. Per gli scopi di questa campagna, imposta la Valutazione della difficoltà sull’opzione Tutte le valutazioni.
- Selezione del modello: dal menu a discesa, seleziona Modello specifico (scegli un modello).
-
Modello specifico: seleziona il modello di phishing IT: controllo password richiesto immediatamente.
- Anteprima: fai clic su Anteprima per visualizzare il modello di phishing che deve essere inviato agli utenti.
- Dominio link di phishing: scegli un dominio da utilizzare per il link di phishing. Questa opzione permette di indicare il dominio che gli utenti vedranno quando passeranno sopra il link di phishing; pertanto, scegline uno che sembri “sicuro” da cliccare.
- Pagina di destinazione: mantieni selezionata l’opzione Pagine di destinazione predefinite.
- Aggiungi clicker a: per gli scopi di questa campagna non è necessario effettuare una selezione.
- Invia un rapporto e‑mail agli admin degli account dopo ogni test di phishing: seleziona questa casella di controllo per inviare un’e‑mail a tutti gli amministratori del tuo account al termine del test. Questo rapporto e‑mail verrà inviato agli amministratori dopo la conclusione del periodo di tempo specificato in Traccia attività.
Dopo il test baseline
Dopo il test di phishing baseline, gli utenti potrebbero essere confusi o preoccupati per l’e‑mail ricevuta. Per mitigare questa situazione, ti consigliamo di inviare un’e‑mail che spieghi in cosa consisteva il test di phishing; puoi anche condividere la percentuale Phish-prone della tua organizzazione per sottolineare l’importanza della formazione sulla consapevolezza della sicurezza. Ti abbiamo fornito un modello da utilizzare per questa e‑mail. Vedi: Modello dopo il test di phishing baseline.
Ti consigliamo di iscrivere i tuoi utenti alla formazione sulla consapevolezza della sicurezza subito dopo aver effettuato il test di phishing baseline. Per ulteriori informazioni, fai riferimento a Guida alle buone prassi: crea la tua prima campagna di formazione.
Dopo che gli utenti hanno completato la formazione iniziale sulla consapevolezza della sicurezza, ti consigliamo di condurre dei test di phishing continui in modo che gli utenti possano mettere in pratica le conoscenze apprese durante la formazione. Per ulteriori informazioni sui test di phishing continui, consulta la Guida alle buone prassi.