Jak pracujemy
Fale, treści i pomiar — jak prowadzimy kampanię
Kampania rozciągnięta w czasie mierzy codzienną podatność organizacji. Kampania wysłana jednym mailem mierzy to, jak szybko pracownicy ostrzegą się nawzajem.
Dawkowanie falami
Wiadomości wychodzą w kilku falach, z odstępami. W każdej fali zmieniamy: grupę odbiorców, porę wysyłki, temat i treść. Dzięki temu wynik nie jest zdominowany przez jedną sytuację, a pracownicy nie zdążą ostrzec się nawzajem — bo to właśnie takie ostrzeganie zafałszowałoby obraz.
- Dobór odbiorców: losowy z listy dostarczonej przez Państwa organizację, z pominięciem listy wyłączeń.
- Pory wysyłki: różne dni i godziny, w tym godziny szczytu komunikacyjnego.
- Odstępy: minimum kilka dni roboczych między falami, tak aby każda fala była osobnym pomiarem.
- Treści: różne dla różnych grup, ale zawsze z jednego zestawu obszarów uzgodnionego przed startem.
Obszary sprawdzenia
Ustalamy je razem przed kampanią. Zestaw typowy dla administracji i firm:
| Obszar | Naturalny dla | Co sprawdza |
|---|---|---|
| Płatności i zmiana numeru rachunku | finanse, księgowość, zamówienia | czy pracownik weryfikuje zmianę danych płatniczych innym kanałem |
| Sprawy kadrowe i wynagrodzenia | kadry, HR | czy odbiorca sprawdza nadawcę, gdy wiadomość dotyczy osobistej sprawy |
| Reset hasła i logowanie | wszystkie komórki | czy pracownik rozpoznaje fałszywą stronę logowania |
| Sprawy urzędowe | administracja publiczna | czy dokument urzędowy jest weryfikowany u nadawcy |
| Sprawy handlowe | sprzedaż, obsługa klienta | czy oferta lub zapytanie od „klienta” przechodzi bez weryfikacji |
Nie publikujemy gotowych treści phishingowych i nie przekazujemy ich jako przykładów — pokazujemy obszary, nie preteksty.
Warianty strony docelowej
To, co dzieje się po kliknięciu, ustalamy przed startem. Trzy warianty, od najbezpieczniejszego:
- Komunikat „to był test” (domyślny) — strona informuje, że to kampania, i niczego nie zbiera. Zalecany dla większości organizacji, w szczególności w administracji publicznej.
- Strona edukacyjna — po kliknięciu pracownik widzi krótkie wyjaśnienie, na co powinien był zwrócić uwagę. Mierzymy klik, nie zbieramy danych.
- Formularz z danymi — wyłącznie za odrębną, wyraźną zgodą i tylko wtedy, gdy organizacja chce zmierzyć, ilu pracowników podałoby dane. Formularz nie zapisuje niczego, co wpisał pracownik.
Przygotowanie i przebieg
| Etap | Co się dzieje | Po czyjej stronie |
|---|---|---|
| Ustalenie zakresu | obszary, liczba fal, lista wyłączeń, wariant strony docelowej | wspólnie |
| Podpisanie Reguł Zaangażowania | odrębny dokument dla kampanii i umowa powierzenia danych | Państwa i nasza |
| Przekazanie listy odbiorców | Państwa organizacja wskazuje odbiorców i wyłączenia | Państwa |
| Whitelista domeny kampanijnej | dział IT dopuszcza naszą domenę, żeby filtry nie zafałszowały pomiaru | Państwa |
| Przygotowanie kampanii | konfiguracja pomiaru, treści, harmonogram fal — 10–15 dni roboczych | nasza |
| Kampania | fale w odstępach, monitoring zgłoszeń na bieżąco | nasza |
| Raport i omówienie | raport zagregowany, rekomendacje szkoleniowe, materiał „to był test” | nasza |
| Zniszczenie danych | dane surowe niszczone w uzgodnionym terminie, oświadczenie na piśmie | nasza |
Co może przerwać kampanię
Kampania zatrzymuje się niezwłocznie, najpóźniej w ciągu 60 minut od Państwa zgłoszenia. Zatrzymujemy ją także sami, jeśli w trakcie wykryjemy równoległy, realny atak — wtedy linki są dezaktywowane, a Państwa zespół dostaje informację natychmiast, jeszcze przed raportem.