คิดใหม่เรื่องการสร้างความตระหนักรู้ด้านความปลอดภัย: ผลวิจัยแนะให้วัดผลจากการรายงาน Phishing แทนอัตราการคลิก

โปรแกรมสร้างความตระหนักรู้ด้านความปลอดภัยแบบดั้งเดิมให้ความสำคัญกับอัตราการคลิก (click rate) ในฐานะตัวชี้วัดประสิทธิภาพหลัก (KPI) มาโดยตลอด เพื่อประเมินความยืดหยุ่นขององค์กรต่อการโจมตีแบบ social engineering อย่างไรก็ตาม งานวิจัยเชิงลึกที่วิเคราะห์การจำลองการโจมตีแบบ phishing กว่า 2.5 ล้านครั้งชี้ให้เห็นว่าตัวชี้วัดนี้ให้ภาพรวมความเสี่ยงที่ไม่สมบูรณ์และอาจทำให้เข้าใจผิดได้ แทนที่จะมุ่งเน้นเพียงว่าผู้ใช้คลิกลิงก์หรือไม่ องค์กรควรเน้นไปที่เหตุการณ์การกรอกข้อมูลประจำตัว (credential submission) และความเร็วในการรายงานของพนักงาน

ข้อจำกัดของตัวชี้วัดอัตราการคลิก

แม้ว่าการคลิกลิงก์ที่เป็นอันตรายจะถือเป็นความล้มเหลวทางความปลอดภัยในขั้นต้น แต่ระบบป้องกันบนเบราว์เซอร์และระบบควบคุมที่ปลายทาง (endpoint) ในปัจจุบันมักสามารถจัดการกับการดาวน์โหลดที่เป็นอันตรายได้ก่อนที่จะมีการทำงานเกิดขึ้น ความเสี่ยงที่ร้ายแรงที่สุดใน phishing ยุคใหม่เกี่ยวข้องกับการขโมยข้อมูลประจำตัว (credential harvesting) ซึ่งผู้ใช้ส่งรายละเอียดการเข้าสู่ระบบขององค์กรไปยังหน้าเว็บภายนอกที่ออกแบบมาเพื่อขโมยข้อมูล ยิ่งไปกว่านั้น อัตราการรายงานที่สูงยังทำหน้าที่เป็นชั้นการตรวจจับโดยมนุษย์ที่สำคัญ ซึ่งช่วยให้ทีม SOC สามารถแยกแคมเปญ phishing ที่กำลังทำงานอยู่ออกจากการใช้งานทั้งองค์กรได้อย่างรวดเร็ว

ข้อเสนอแนะเชิงปฏิบัติสำหรับผู้นำด้านความปลอดภัย

FORTSECURE GLOBAL แนะนำให้ปรับปรุงโปรแกรมสร้างความตระหนักรู้ด้านความปลอดภัยขององค์กรให้ทันสมัยผ่านแนวทางปฏิบัติที่ดีที่สุดดังต่อไปนี้:

• ปรับเปลี่ยนตัวชี้วัดให้เป็น KPI ที่นำไปปฏิบัติได้: ติดตามอัตราการรายงาน, เวลาเฉลี่ยในการรายงาน (MTTR) และอัตราการรั่วไหลของข้อมูลประจำตัว แทนที่จะลงโทษพนักงานเพียงเพราะการคลิก
• ปรับปรุงกลไกการรายงานให้คล่องตัว: จัดหาเครื่องมือรายงานแบบคลิกเดียวที่เข้าถึงง่ายซึ่งรวมเข้ากับโปรแกรมอีเมลโดยตรง เพื่อลดความยุ่งยากเมื่อพนักงานพบอีเมลที่น่าสงสัย
• ใช้การยืนยันตัวตนที่แข็งแกร่ง: ลดความเสี่ยงของข้อมูลประจำตัวที่ถูกบุกรุกโดยการบังคับใช้ Multi-Factor Authentication (MFA) ที่ป้องกัน phishing ได้ เช่น FIDO2/WebAuthn tokens