Фишинг-тесты для сотрудников: как проводить и не пугать людей
Как устроены учебные рассылки, какие метрики смотреть и почему наказывать за клик — плохая идея.
Фишинг-тест — это учебное письмо, которое имитирует атаку. Цель не наказать, а понять, где процессы и обучение не работают.
Как проводят
- Согласуйте правила с руководством и HR: тест не должен выглядеть как слежка.
- Начните с простых сценариев: доставка, отпуск, счёт.
- В письме — безопасная ссылка на обучающую страницу, а не на реальную форму ввода пароля.
- После — разбор: что было подозрительным, как проверить.
Метрики
- Доля кликнувших и доля введших данные.
- Сколько сообщили в ИТ — это самый важный показатель.
- Динамика по отделам от теста к тесту.
Чего не делать
Не наказывать и не публиковать имена «нарушителей»: люди перестанут сообщать о реальных инцидентах. Ошибка — это данные, а не проступок.