Simulace útoků sociálního inženýrství

Penetrační test sociálním inženýrstvím ověřuje, jak odolní jsou zaměstnanci vůči manipulačním technikám, které útočníci běžně využívají k získání přístupu do firemních systémů nebo citlivých informací. Na rozdíl od technických penetračních testů se zaměřuje na lidský faktor, například schopnost rozpoznat phishingový e-mail, ověřit totožnost volajícího nebo dodržovat pravidla fyzické bezpečnosti.

Rozsah testu přizpůsobujeme vašim požadavkům i úrovni rizika. Nejčastěji simulujeme phishingové kampaně, spear phishing, telefonické útoky (vishing), SMS phishing (smishing), vydávání se za jinou osobu (pretexting), pokusy o neoprávněný fyzický vstup do budovy nebo místností (aktivní test fyzické bezpečnosti) nebo útoky využívající rozmístění podvržených nosičů s potenciálně škodlivým obsahem (pasivní test fyzické bezpečnosti).

Kampaně lze i vzájemně kombinovat. Cílem je co nejvěrněji napodobit postupy skutečných útočníků a ověřit, jak na ně zaměstnanci reagují.

Obvykle ne. Aby výsledky odpovídaly reálnému chování zaměstnanců, probíhá test bez jejich předchozího upozornění. O testování je zpravidla informován pouze omezený okruh odpovědných osob, například vedení společnosti nebo IT oddělení. Konkrétní rozsah i způsob provedení jsou vždy předem dohodnuty se zákazníkem.

Délka penetračního testu sociálním inženýrstvím závisí na zvolených scénářích, jejich rozsahu i četnosti. Testování může proběhnout jako jednorázová kampaň v průběhu několika týdnů nebo jako dlouhodobý program rozložený do několika měsíců či celého roku. Součástí projektu mohou být také navazující školení zaměstnanců nebo opakované ověření účinnosti přijatých opatření. Konkrétní podobu testování vždy přizpůsobujeme vašim cílům, prostředí a úrovni rizika.

Ve většině případů ne. Testování je navrženo tak, aby neomezovalo běžný provoz organizace. Jednotlivé scénáře jsou pečlivě připravené a probíhají kontrolovaným způsobem. Cílem není způsobit škodu ani vyřadit systémy z provozu, ale ověřit reakce zaměstnanců a účinnost zavedených bezpečnostních opatření.

Počítejte ale s tím, že rozsáhlejší phishingová kampaň může krátkodobě zvýšit zátěž helpdesku a aktivní test fyzické bezpečnosti může vyvolat reakci ostrahy. Obojí předem koordinujeme s odpovědnými osobami.

Cílem testování není hledat viníky ani hodnotit jednotlivce. Výsledky slouží především k identifikaci slabých míst v bezpečnostním povědomí a firemních procesech. Na jejich základě doporučujeme konkrétní opatření, například úpravu interních postupů nebo cílené školení zaměstnanců. Smyslem je zvýšit celkovou odolnost organizace, nikoli zaměstnance trestat.

Po ukončení testování obdržíte podrobnou závěrečnou zprávu obsahující popis použitých scénářů, průběh jednotlivých útoků, míru úspěšnosti i zjištěné nedostatky. Součástí reportu jsou také doporučení, jak snížit riziko úspěšných útoků sociálním inženýrstvím, například úpravou procesů, technických opatření nebo školení zaměstnanců.

Doporučujeme jej provádět alespoň jednou ročně, případně po významných organizačních změnách nebo po zavedení nových bezpečnostních procesů. Pravidelné testování umožňuje sledovat, zda se úroveň bezpečnostního povědomí zaměstnanců zlepšuje a zda jsou školení skutečně účinná.

Ano. Test pomáhá ověřit účinnost organizačních bezpečnostních opatření a připravenost zaměstnanců čelit útokům založeným na manipulaci. Výsledky mohou podpořit plnění požadavků norem a regulací, jako jsou ISO 27001, ZoKB nebo DORA, které kladou důraz na řízení lidských rizik, bezpečnostní povědomí zaměstnanců a pravidelné ověřování účinnosti bezpečnostních opatření.

Školení seznamuje zaměstnance s bezpečnostními riziky a phishingová kampaň obvykle ověřuje jejich schopnost rozpoznat podvodné e-maily. Penetrační test sociálním inženýrstvím jde výrazně dál, kombinuje různé techniky útoku, například phishing, telefonické podvody nebo fyzickou infiltraci, a hodnotí nejen reakce jednotlivců, ale i účinnost bezpečnostních procesů celé organizace.