Главная мысль
Хорошая симуляция реалистична, заранее согласована и обучает: сотрудник сразу получает объяснение, если не распознал сообщение, а результаты оцениваются без публичного осуждения людей.
Что измеряет симуляция
Симуляция — безвредное учебное сообщение, отправленное с разрешения организации. Она даёт сведения о распознавании и передаче подозрительных писем, но не заменяет отдельную проверку технической защиты. Настройте упражнение так, чтобы фиксировать попытку отправки данных без сбора настоящих паролей и кодов MFA. Результат даёт обратную связь для обучения, а не доказывает безопасность поведения при реальной атаке.
Свяжите сценарий с рабочим контекстом
Слишком очевидный или общий пример не учит принимать реальные решения. Подбирайте сценарий под работу сотрудников: счёт поставщика для финансовой команды, запрос на обновление пароля для IT или уведомление учебной платформы в образовательной организации. Не используйте личные трагедии, запугивание или унижение. До запуска согласуйте охват и использование данных с юридической службой, ответственными за защиту данных и HR.
Не ограничивайтесь числом переходов
Подход NIST Phish Scale помогает оценить сложность распознавания письма с учётом его признаков и рабочего контекста получателя. Заранее согласуйте местное правило измерения: для долей сообщивших и перешедших делите число уникальных получателей с соответствующим действием на число получателей доставленных писем. Не смешивайте число попыток ввода данных с процентами. Не используйте эти показатели как единственную основу для прогноза реальных инцидентов. Как читать результаты симуляции:
| Показатель | Что он показывает | Что учитывать |
|---|---|---|
| Доля сообщивших о письме | Поведение при сообщении о письме | Удобство канала сообщения |
| Доля перешедших по ссылке | Взаимодействие со ссылкой | Сложность сценария |
| Попытки ввода данных | Попытка раскрыть данные | Отсутствие сбора настоящих паролей и кодов |
| Сложность сценария | Рабочий контекст и признаки письма | Сравнение сопоставимых сценариев |
Превратите результат в обучение
Сотруднику, который не распознал письмо, сразу дайте короткое и конкретное объяснение: что было подозрительным в отправителе или просьбе, какой шаг создал бы риск в настоящей атаке и как сообщить о письме. Вместо списка людей по именам оценивайте общие тенденции по командам и ролям. Подбирайте обучение под обнаруженные пробелы и поддерживайте культуру, в которой ошибку не скрывают, а сообщают о ней.