למה הדרכת מודעות לעובדים חשובה, ומה היא נותנת בפועל

מאמר זה הוא מידע כללי ואינו ייעוץ משפטי. לשאלה אילו דרישות חלות על הארגון שלכם, פנו לעורך דין.

עובד אחד לוחץ, ארגון שלם נפגע

רוב הארגונים משקיעים בחומת אש, בגיבוי ובאנטי-וירוס, אבל תוקפים רבים פונים אל האדם. הודעה שמבקשת "לאשר כניסה", "לעדכן סיסמה" או "להעביר תשלום דחוף" לא צריכה לעקוף שום מערכת. היא צריכה רק שעובד אחד יענה.

זו הסיבה שהדרכת מודעות היא כלי מעשי: היא פועלת במקום שבו הטכנולוגיה לא מגיעה, ברגע שעובד מחליט אם ללחוץ.

מה הדרכה טובה כן משנה

• הכרת הסימנים: כתובת שולח לא תואמת, קישור שמוביל לכתובת אחרת, בקשה בלחץ זמן, בקשה חריגה מהמנהל.
• הרגל של עצירה: לשאול "האם זה צפוי?" לפני שלוחצים.
• ידיעה למי מדווחים: עובד שיודע למי לפנות מדווח מוקדם יותר, וזה לעיתים ההבדל בין תקרית קטנה לגדולה.
• שפה משותפת: כשכל הצוות יודע מה זה פישינג ומה זו התחזות, אפשר לנהל נוהלים פשוטים כמו "אימות בקשת תשלום בטלפון".

מה הדרכה לא יכולה לעשות

כדי להיות הוגנים: הדרכה אינה מבטלת סיכון. אנשים עדיין יטעו, במיוחד בלחץ. לכן היא פועלת לצד בקרות טכניות: אימות דו-שלבי, הגדרת SPF, DKIM ו-DMARC, הרשאות מינימום ונוהלי אימות לתשלומים. הדרכה בלי בקרות משאירה הכול על העובד, ובקרות בלי הדרכה משאירות עובדים בלי הבנה.

מה כוללת הדרכת מודעות אצלנו

הדרכת המודעות של PhishingU נמשכת 60 דקות, ניתנת על ידי CISO, ומתאימה לקבוצות. אפשר להזמין אותה פרונטלית במשרד הלקוח (₪1,500) או מרחוק דרך Zoom, Teams או Google Meet (₪1,000). בסיום מקבלים תעודת השתתפות.

הדרכה, לקוחות ותקנים

לקוחות גדולים שולחים לספקים שאלוני אבטחה, ולרוב שואלים האם מתקיימת הדרכת מודעות ומתי. ראו איך עונים על שאלון אבטחה.

זה תלוי בסוג הארגון ובדין החל עליו, ולכן כדאי לבדוק מה חל עליכם מול יועץ משפטי. תעודת ההשתתפות שלנו היא ראיה להדרכת מודעות המסייעת לעמידה בחלק מהדרישות, ואין בה אישור עמידה מלאה בחוק או בתקן. עמידה בדרישות היא עניין רחב יותר שכולל מדיניות, תהליכים ובקרות נוספות.

תרגיל פישינג כהשלמה

אחרי הדרכה אפשר לבדוק מה נקלט באמצעות תרגיל פישינג: הודעה מדומה נשלחת לעובדים, ובסוף מקבלים דוח על מי לחץ ומי דיווח. התרגיל מתחיל ב-₪999 לקמפיין בשירות עצמי. שימו לב: ההקמה מהירה ואינה דורשת ידע טכני מהלקוח, אבל נדרשת פעולה אחת פשוטה של IT (הלבנת שולח), וההשקה כפופה לבדיקת צוות אבטחה, עד יום עסקים.

איך לבחור

• אם אתם רוצים הסבר, שיחה ושאלות: הדרכה.
• אם אתם רוצים לראות איך הצוות מגיב בפועל: תרגיל.
• אם אתם רוצים שניהם: הדרכה קודם, תרגיל אחריה, ובדיקה חוזרת אחרי כמה חודשים.

מי צריך להשתתף

לא רק אנשי הנהלה. ההודעה החשודה מגיעה לכולם: למזכירה, לאיש המכירות, למתמחה ולמי שמטפל בחשבוניות. לעיתים דווקא עובדים בתפקידים זוטרים הם נקודת הכניסה, כי יש להם גישה לתיבות ולמערכות. לכן כדאי להכליל את כל מי שמשתמש במייל, כולל עובדים חדשים וקבלנים ארוכי טווח.

איך יודעים אם זה עובד

מדדים פשוטים שאפשר לעקוב אחריהם בלי מערכות מורכבות:

• כמה עובדים מדווחים על הודעות חשודות לאורך זמן. עלייה בדיווחים היא סימן טוב.
• תוצאות תרגיל פישינג לפני ואחרי: כמה לחצו, כמה הקלידו פרטים, וכמה דיווחו.
• איכות השאלות שעובדים שואלים. עובד ששואל "האם זה אמיתי?" לפני שהוא לוחץ התקדם.

כדאי לא להפוך את זה לעונש. עובד שחושש מביקורת יפסיק לדווח, וזה הפסד גדול יותר מלחיצה אחת.

תדירות

הדרכה חד-פעמית מתיישנת. טכניקות משתנות, עובדים מתחלפים והרגלים נשכחים. יש ארגונים שבוחרים בתזכורת שנתית, ובתרגיל פישינג בין לבין. אין כאן כלל אחד נכון לכולם, ואת התדירות כדאי להתאים לגודל הארגון ולרגישות המידע שבו.