Технології
Стійкість до фішингу та підозрілих повідомлень

Стійкість до фішингу та підозрілих повідомлень

Це опитування оцінює стійкість співробітників до фішингу та підозрілих повідомлень: як часто вони стикаються з такими спробами, наскільки впевнено розпізнають ризики, які дії виконують, наскільки зрозумілий і зручний процес повідомлення/ескалації, та які заходи найбільше допоможуть знизити ризик (навчання, підказки, інструменти, комунікації).

Використати шаблон

Опитування «Стійкість до фішингу та підозрілих повідомлень» допомагає оцінити, наскільки ваша команда готова до атак через соціальну інженерію. Воно показує, як часто співробітники стикаються з підозрілими листами й повідомленнями, наскільки впевнено їх розпізнають і як реагують. Результати виявляють, де обізнаність висока, а де одного кліку достатньо, щоб відкрити двері інциденту.

Що вимірює опитування «Стійкість до фішингу та підозрілих повідомлень»

Опитування охоплює весь ланцюг ризику: як часто з’являються підозрілі повідомлення та якими каналами (пошта, корпоративні месенджери, SMS, дзвінки, соцмережі, сервіси спільної роботи), наскільки впевнено співробітники розпізнають атаку до того, як перейти за посиланням, відкрити файл чи ввести дані, і які ознаки вони реально помічають — терміновість і тиск, прохання ввести логін або пароль, дивний домен відправника, неочікувані вкладення, скорочені посилання, помилки в тексті або прохання обійти звичний процес. Воно також фіксує реальну поведінку за підозри, наскільки зрозумілий і зручний процес повідомлення, що заважає ескалації та які заходи співробітники поставили б у пріоритет.

Кому підійде шаблон «Стійкість до фішингу та підозрілих повідомлень»

Підходить службам безпеки та IT, CISO і власникам програм із підвищення обізнаності, яким потрібна точка відліку до або після навчання й фішингових симуляцій. HR та внутрішні комунікації можуть використати його, щоб точніше вибудувати повідомлення, а керівники розподілених команд і підрозділів із високою плинністю побачать, де людський фактор найслабший. Працює для компаній будь-якого розміру — від одного офісу до кількох майданчиків і віддалених співробітників.

Як адаптувати шаблон під свої завдання

Замініть перелік каналів на інструменти, якими ви справді користуєтеся, і перейменуйте «службу безпеки/IT» на ваш реальний канал або кнопку для повідомлень. Якщо ви проводите фішингові симуляції, додайте питання про недавні результати; для регульованих галузей — пункти про правила поводження з даними. У зовсім невеликих командах можна прибрати питання про частоту, скоротити перелік ознак або додати розгалуження: тим, хто відповів «не знаю, куди повідомляти», показати уточнювальне питання про те, що спростило б повідомлення.

Запитання та варіанти відповідей

Тип запитання: один варіант відповіді.
Варіанти відповіді:
— Майже щодня
— Кілька разів на тиждень
— Приблизно раз на тиждень
— Кілька разів на місяць
— Рідше
— Не помічав(ла) такого
Тип запитання: кілька варіантів відповіді.
Варіанти відповіді:
— Робоча пошта
— Корпоративні месенджери/чати
— SMS/повідомлення на телефон
— Дзвінки/голосові повідомлення
— Соціальні мережі/публічні месенджери
— Сервіси спільної роботи (задачі, документи, тікети)
Тип запитання: кілька варіантів відповіді.
Варіанти відповіді:
— Терміновість і тиск (“терміново”, “інакше доступ буде заблоковано”)
— Прохання ввести логін/пароль/код підтвердження
— Підозріла адреса відправника або домен
— Неочікувані вкладення або прохання завантажити файл
— Посилання веде на незвичну або скорочену адресу
— Помилки в тексті, дивні формулювання
— Прохання обійти звичний процес (оплатити, змінити реквізити, надати доступ)
— Тема повідомлення не відповідає вашій ролі/завданням
Тип запитання: кілька варіантів відповіді.
Варіанти відповіді:
— Не відкриваю вкладення і не переходжу за посиланнями
— Перевіряю відправника та адресу посилання (домен/URL)
— Переперевіряю запит через інший канал (написати/зателефонувати відправнику)
— Повідомляю службі безпеки/IT через офіційний канал
— Позначаю як спам/фішинг (якщо є така функція)
— Видаляю повідомлення
— Питаю колег/керівника, як вчинити
Тип запитання: кілька варіантів відповіді.
Варіанти відповіді:
— Не знаю, куди і як повідомляти
— Занадто довго/складно оформити звернення
— Не впевнений(а), що це справді фішинг
— Боюся, що звернення буде “хибною тривогою”
— Немає часу розбиратися
— Не бачу результату або зворотного зв’язку після повідомлень
— Немає зручної кнопки/інструмента для відправлення повідомлення
Тип запитання: ранжування.
Варіанти відповіді:
— Коротка пам’ятка з прикладами фішингу та “що робити”
— Кнопка “Повідомити про фішинг” у пошті/месенджері
— Швидкий зворотний зв’язок щодо надісланих повідомлень (статус/результат)
— Регулярні короткі тренування/симуляції (5–10 хвилин)
— Зрозумілий єдиний канал для повідомлень (чат/форма) та його просування
— Додаткові технічні фільтри та попередження для посилань/вкладень
— Чіткі правила: які дані не можна повідомляти та як діяти при таких запитах

Схожі шаблони опитувань

Часті запитання

У ньому перелічені сигнали, які, за словами співробітників, їх насторожують: терміновість і тиск, прохання ввести логін, пароль чи код підтвердження, підозріла адреса відправника або домен, неочікувані вкладення, незвичні чи скорочені посилання, помилки й дивні формулювання, прохання обійти звичний процес і невідповідність теми ролі співробітника.
Так. Окреме питання з’ясовує, у яких каналах з’являються підозрілі повідомлення — робоча пошта, корпоративні месенджери та чати, SMS, дзвінки й голосові, соцмережі та сервіси спільної роботи на кшталт задач і тікетів — щоб бачити, куди саме приходять атаки, а не лише в поштову скриньку.
Одне питання-шкала вимірює, наскільки зрозумілий і зручний цей процес, а інше виявляє бар’єри: незрозуміло, куди повідомляти; занадто довго і складно; невпевненість, що це справді фішинг; страх «хибної тривоги»; немає часу; немає зворотного зв’язку чи зручної кнопки для відправлення.
Останнє питання пропонує співробітникам обрати, які заходи впровадити першими — пам’ятку з фішингу, кнопку «Повідомити про фішинг», швидкий зворотний зв’язок щодо звернень, короткі регулярні симуляції, єдиний зрозумілий канал, технічні фільтри або чіткі правила про те, якими даними не можна ділитися, — щоб спрямувати бюджет туди, чим люди справді користуватимуться.