Pytania o kampanię socjotechniczną

Tak, jeśli jest prowadzona w ramach prawnie uzasadnionego interesu organizacji, udokumentowana Regułami Zaangażowania i ograniczona do niezbędnego zakresu danych. Nie zbieramy danych, które nie są potrzebne do pomiaru, a podstawę prawną ocenia i przyjmuje Państwa organizacja — nie zastępujemy w tym radcy prawnego.

Nie informuje się całej załogi — wiedza o kampanii zmieniłaby wynik i pozbawiła badanie sensu. Informowany jest wąski krąg osób: dział bezpieczeństwa, wybrani administratorzy i osoby pierwszego kontaktu, tak aby mogły odróżnić kampanię od realnego ataku i wiedziały, jak zgłaszać podejrzane wiadomości.

Nie. To jedno z podstawowych ograniczeń tej usługi: nie zbieramy danych logowania, treści korespondencji, informacji o urządzeniu odbiorcy ani lokalizacji. W kampanii mierzy się kliknięcie i zgłoszenie — nie to, co ktoś wpisał albo komu odpisał.

Przetwarzamy minimalny zakres danych: adres służbowy i fakt interakcji z wiadomością kampanijną. Dane surowe są niszczone w uzgodnionym terminie, a Państwo otrzymują oświadczenie o zniszczeniu. Domena kampanijna jest wygaszana po zakończeniu prac. Szczegóły opisuję na stronie zgody i dane.

Domyślnie wyłączamy dział IT i bezpieczeństwa (chyba że świadomie poproszą Państwo inaczej), adresy grupowe i skrzynki techniczne, osoby spoza organizacji i współpracujące w ramach umów cywilnoprawnych, jeśli Państwo tego nie chcą, oraz osoby w okresie szczególnym — na przykład długotrwałej nieobecności. Listę wyłączeń ustalamy przed startem i bezwzględnie jej przestrzegamy.

Kampania zatrzymuje się na Państwa zgłoszenie niezwłocznie, najpóźniej w ciągu 60 minut — zgłoszenie przyjmuję telefonicznie i mailowo w dni robocze. Wcześniej ustalamy osobę kontaktową i sposób wstrzymania, więc decyzja nie wymaga szukania numeru w trakcie incydentu.

Przede wszystkim brakiem skutków: nie zbieramy danych, nie pobieramy plików, nie wykonujemy żadnych działań w Państwa systemach. Druga różnica to kontekst — prawdziwy atak wykorzystuje aktualne wydarzenia i kontakt z konkretnym klientem, a symulacja zawsze kończy się informacją, że to test.

Podstawowym kanałem jest poczta elektroniczna, bo tam zapada najwięcej decyzji i tam najłatwiej zmierzyć reakcję. Inne kanały — wiadomości SMS czy rozmowy telefoniczne — są osobnym zakresem i ustalamy je indywidualnie, bo wymagają innych zgód i innego przygotowania.

Standardowo trzy do czterech. Pierwsza pokazuje stan wyjściowy, kolejne mierzą efekt materiałów edukacyjnych. Jedna fala to pomiar bez wniosków: nie da się z niej wyczytać, czy zespół się uczy, czy tylko trafił na trudniejszy scenariusz.

Po jej zakończeniu. Otrzymują Państwo gotowy materiał „to był test” do komunikacji z załogą — z wyjaśnieniem, co było sprawdzane i po co. Dzięki temu kampania kończy się rozmową o bezpieczeństwie, a nie poczuciem oszukania.

Raport jest zagregowany i pokazuje wyniki w podziale na komórki organizacyjne, bez wskazywania osób. To świadome ograniczenie: poczucie kontroli indywidualnej zmienia zachowanie w trakcie kampanii i psuje wynik, a po kampanii utrudnia rozmowę o błędach.

Raz w roku to rozsądne minimum — na tyle często, żeby zespół nie zapomniał schematu, i na tyle rzadko, żeby wynik był mierzalny. Przy zmianach organizacyjnych, nowym systemie albo po realnym incydencie warto zrobić kampanię wcześniej, na węższej grupie.

Można, ale rzadko jest to najlepszy wybór. Przy dużej organizacji sensowniej zaczynać od grupy reprezentatywnej — na przykład jednego oddziału albo wybranych komórek — i rozszerzać kampanię po przejrzeniu wyników pierwszej fali. Dzięki temu wiadomo, czy scenariusz działa, zanim dotrze do całej załogi.

Raport zagregowany z wynikami kolejnych fal i wnioskami, rekomendacje szkoleniowe, materiał „to był test” do komunikacji z załogą oraz oświadczenie o zniszczeniu danych surowych. Wyniki omawiamy w rozmowie z osobami decyzyjnymi — raport bez rozmowy zwykle kończy się w szufladzie.

Stawka to 2 000 zł netto za roboczodzień: czas bazowy zależy od wielkości organizacji, każda fala powyżej trzech to 0,75 roboczodnia, a warsztat z zespołem — jeden dzień. Kampania dla małej organizacji startuje od kilkunastu tysięcy złotych netto; szczegóły i orientacyjne kwoty są w sekcji wyceny.