...
I kan have den bedste firewall og de mest opdaterede systemer. Men hvis en medarbejder lukker den forkerte ind, er det ligegyldigt.
De fleste vellykkede angreb starter ikke med et teknisk hack. De starter med et menneske, der bliver narret.
Cybersecurity mystery shopping tester, hvordan jeres medarbejdere reagerer, når nogen forsøger at snyde sig til adgang, oplysninger eller tillid.
Mystery shopping kender de fleste fra detailhandlen. En person udgiver sig for at være kunde og vurderer servicen.
Cybersecurity mystery shopping bruger samme princip til at teste jeres sikkerhed. Vi udgiver os for at være nogen, vi ikke er, og ser, hvor langt vi kan komme.
Det kan være:
Målet er ikke at udstille enkeltpersoner. Målet er at finde ud af, om jeres procedurer virker, og om jeres medarbejdere er klædt på til at genkende forsøg på manipulation.
Angribere ved, at mennesker er nemmere at hacke end systemer.
Social engineering virker, fordi det udnytter normale menneskelige reaktioner: ønsket om at hjælpe, respekt for autoritet, frygt for at lave fejl, travlhed i hverdagen.
En medarbejder, der holder døren for en fremmed, er ikke dum. De er høflige. En, der klikker på et link fra "IT-afdelingen", er ikke uopmærksom. De vil gerne samarbejde.
Problemet er, at angribere udnytter netop de egenskaber.
Cybersecurity mystery shopping viser jer, hvor jeres medarbejdere er sårbare, så I kan træne dem i at reagere rigtigt, uden at de mister deres menneskelige egenskaber.
Vi tilpasser altid testen til jeres organisation og jeres bekymringer. Typiske testområder:
E-mail phishing: Falske mails, der forsøger at få medarbejdere til at klikke på links, åbne vedhæftninger eller afgive oplysninger.
Målrettet phishing (spear phishing): Mails skræddersyet til specifikke personer eller roller. Mere overbevisende, sværere at gennemskue.
SMS og beskedtjenester: Forsøg via SMS, Teams, LinkedIn eller andre kanaler.
Opkald fra "IT": Forsøg på at få passwords, adgang eller oplysninger ved at udgive sig for at være intern IT-support.
Opkald fra "leverandører": Forsøg på at få oplysninger om systemer, kontaktpersoner eller processer.
Direktørsvindel (CEO fraud): Opkald eller mails, der udgiver sig for at være en leder med en presserende anmodning.
Tailgating: Forsøg på at følge med ind ad døren uden selv at have adgang.
Falsk identitet: Forsøg på at komme ind ved at udgive sig for at være håndværker, leverandør, revisor eller lignende.
Adgang til følsomme områder: Test af, om det er muligt at komme ind i serverrum, arkiver eller andre beskyttede områder.
Clean desk: Vurdering af, om følsomme oplysninger ligger frit fremme på skriveborde, printere eller skærme.
Læs mere om red teaming, som kombinerer disse metoder med tekniske angreb.
Efter en cybersecurity mystery shopping ved I:
Hvor jeres medarbejdere er sårbare: Hvilke typer forsøg virker? Hvem falder for hvad? Er der afdelinger eller roller, der er særligt udsatte?
Om jeres procedurer følges: Det er én ting at have en politik. Det er noget andet, om den bliver fulgt i praksis.
Hvad I skal træne: Konkret grundlag for awareness-træning, der adresserer de reelle sårbarheder, ikke de teoretiske.
Hvordan I ligger i forhold til truslen: Er jeres medarbejdere klædt på til de angreb, I reelt kan forvente?
Cybersecurity mystery shopping handler om at teste organisationen, ikke om at hænge enkeltpersoner ud.
Resultater rapporteres anonymt: Vi rapporterer fund på afdelings- eller rolleniveau, ikke på individniveau. Ingen navne i rapporten.
Fokus på læring, ikke straf: Formålet er at finde huller og lukke dem. Ikke at finde syndebukke.
Respektfuld tilgang: Vi designer tests, der er realistiske, men ikke ydmygende. Ingen offentlig udstilling.
Det er vigtigt, at jeres medarbejdere bagefter oplever det som læring, ikke som en fælde. Ellers ødelægger det mere, end det gavner.
Teknik er kun halvdelen af sikkerhed. Den anden halvdel er mennesker.
I mere end 30 år har jeg arbejdet med sikkerhed i organisationer, hvor begge dele skal fungere.
Finanssektoren: Danske Bank og EDC, hvor medarbejdere dagligt håndterer forsøg på svindel og manipulation.
Offentlige myndigheder: Styrelser, hvor borgernes data kræver, at medarbejderne ved, hvad de skal holde øje med. Miljøstyrelsen er blandt mine referencer.
Kritisk infrastruktur og forsyning: Organisationer, hvor et enkelt fejltrin kan have store konsekvenser.
Den erfaring har lært mig, at mennesker ikke er det svageste led. De er det første led. Og de kan trænes til at være et stærkt forsvar.
Ring på 70 13 63 23 eller udfyld formularen.
Så tager vi en snak om, hvilke tests der giver mening for jeres organisation.
