הדרכת פישינג לעובדים – מה התקציב קונה ומה הדוחות באמת מוכיחים

ארגון שרוכש הדרכת פישינג מקבל שירות שאפשר לתאר היטב: יחידות לימוד, סימולציות, מערכת ניהול ודוחות. הפחתת הסיכון אינה נמסרת יחד עם פרטי הגישה למערכת. אותה צריך להראות בנפרד.

ההבחנה הזאת אמורה להיות חלק מההחלטה על התקציב. בפועל, אפשר לנהל תוכנית הדרכה מסודרת מאוד ולהישאר עם תשובה חלקית לשאלה מה השתנה בעקבותיה. התכנים נשלחו, העובדים השתתפו והדוח הופק. כל אלה יכולים להיות נכונים, ועדיין לא להספיק כדי להוכיח שההשקעה השיגה את מטרתה.

מחקר מבוקר ב-UC San Diego Health ממחיש מדוע ההפרדה נחוצה. בקבוצות ההדרכה המשובצת נמצא שיעור כישלון ממוצע נמוך בכ-1.7 נקודות אחוז לעומת קבוצת הביקורת. נמצא הבדל, אך גודלו המוחלט היה מוגבל. התוצאה אינה פסק דין על כל שיטת הדרכה אפשרית; היא מחייבת לדייק במה שמכנים ״הצלחה״.

שלושה דברים שונים נכנסים לאותו דוח

המונח ״הדרכה אפקטיבית״ יכול להתייחס להשלמה, ללמידה או לשינוי התנהגות. אלה מטרות שונות, ולכל אחת נדרשת ראיה מתאימה.

הטבלה הזאת אינה דורשת מארגון להוכיח הכול בכל רבעון. היא דורשת ממנו לזהות איזו שאלה הדוח שבידיו באמת עונה עליה. גם לתיעוד השתתפות יש ערך, כאשר זהו היעד שהוגדר. הקושי מתחיל כשהוא מוצג כראיה לתוצאה רחבה יותר.

ההסתכלות על הדרכה בתוך מכלול של אמצעי הגנה מופיעה גם בהסבר של ישראל פיגא על יסודות אבטחת המידע. כשבוחנים השקעה ברכיב אחד בתוך מכלול כזה, יש טעם להגדיר מה הוא אמור לתרום בפני עצמו. עצם קיומם של כמה אמצעים במקביל אינו מאפשר לייחס לאחד מהם כל שיפור שנצפה בהמשך.

גם גרף יורד יכול להטעות

סימולציות מציעות לכאורה מדידה פשוטה יותר. שולחים הודעה, סופרים לחיצות ומשווים לתרגיל הקודם. אם המספר ירד, קל להציג התקדמות.

אלא שהתוצאה מתארת גם את ההודעה שנשלחה. חוקרי NIST פיתחו את Phish Scale כדי להעריך את הקושי של זיהוי הודעת פישינג עבור קהל מסוים. בין השיקולים נמצאים הסימנים המחשידים שבהודעה וההתאמה של הסיפור לציפיות ולהקשר העבודה של הנמען. הודעה שנראית רלוונטית לתפקיד עשויה להיות קשה יותר לזיהוי.

לכן, שני תרגילים שנשלחו לאותה מחלקה אינם בהכרח שתי גרסאות שקולות של אותו מבחן. הודעה אחת יכולה להיות עמוסה בפרטים מחשידים, ואחרת להיראות כהמשך טבעי לפעולה שגרתית. שינוי בשיעור הלחיצה עשוי לשקף שינוי ביכולת העובדים, שינוי בקושי התרגיל או שילוב ביניהם.

מדריך NIST לכלי, שפורסם ב-2023, נועד לסייע למפעילי תוכניות הדרכה להעריך את קושי ההודעות. הוא מוסיף הקשר למדידה; הוא אינו הופך כל השוואה בין חודשים לניסוי מבוקר.

מבחינה עסקית, המשמעות פשוטה: גרף ללא הסבר על תנאי המדידה הוא בסיס חלקי לחידוש תקציב. גם ירידה חדה אינה מספרת לבדה מה יצר אותה, כשם שעלייה אינה מוכיחה שההדרכה נכשלה.

הצעת המחיר מפרטת אספקה. ההחלטה צריכה להגדיר תועלת

מספר יחידות הלימוד, השפות הזמינות ותדירות הדיווח הם פרטי שירות חשובים. הם מאפשרים להשוות הצעות ולדעת מה יימסר. הערכת התועלת מתחילה בשאלה אחרת: איזה שינוי הארגון מבקש להשיג, ואיזו ראיה תשכנע אותו שהשינוי התרחש.

אם היעד הוא למידה, אישור השלמה לבדו משאיר את השאלה פתוחה. אם היעד הוא התנהגות בטוחה יותר, יש חשיבות לאיכות ההשוואה בין התרגילים. ואם ההבטחה היא צמצום נזק עסקי, נדרשת זהירות נוספת: לחיצה מדומה, מסירת פרטי גישה ואירוע אבטחה בעל השלכות כספיות הם אירועים שונים.

אותה הבחנה מועילה גם בקריאת תוכן מקצועי, לרבות מאמרי הסייבר של ישראל פיגא. הסבר על חשיבות ההדרכה מספק רקע. החלטה על היקף ההשקעה בה דורשת התאמה לבעיה שהארגון מנסה לפתור ולראיות שבידיו.

אפשר להחליט להמשיך תוכנית גם כאשר התועלת שלה טרם הוכחה במלואה. החלטות עסקיות מתקבלות לעיתים בתנאי אי-ודאות. במקרה כזה, יש הבדל בין חידוש שנועד להמשיך למדוד ולשפר לבין חידוש הנשען על הנחה שהמוצר כבר הוכיח את עצמו.

דוח השלמה עשוי להיות מדויק עד העובד האחרון. כדי לאשר מחדש את אותה השקעה, נחוץ לדעת גם מה הוא עדיין אינו מספר.