I tuoi dipendenti ormai segnalano le email sospette. Chi le apre?

María porta avanti il suo programma di Cybersecurity awareness da un anno e c’è un numero che la rende orgogliosa. Il tasso di segnalazione delle email sospette è cresciuto del 40%. I suoi 800 dipendenti usano il pulsante di segnalazione in Outlook e in Gmail, e quando vedono qualcosa di strano lo dicono. Esattamente quello che ha insegnato loro a fare.

Nella riunione settimanale l’analista del SOC le mostra un altro numero. Questo mese sono arrivate 183 segnalazioni di email reali e 47 sono ancora da esaminare. Alcune sono lì da tre giorni.

María fa l’unica domanda possibile. Qualcuna di quelle 47 è phishing vero? L’analista non le ha ancora aperte, quindi non ha niente con cui risponderle.

I numeri di questo articolo descrivono il mese di un’organizzazione concreta e non una media di settore. L’aritmetica, invece, si ripete in qualsiasi programma che inizi a funzionare.

Cosa succede a un’email sospetta dopo che qualcuno la segnala?

Il triage delle email segnalate è il lavoro di decidere, una per una, se ciò che un dipendente ha segnalato è un attacco vero o un falso allarme. Qualcuno deve farlo, e nella maggior parte delle organizzazioni quel qualcuno è una persona.

L’analista di María le smaltisce in ordine di arrivo. Per ogni segnalazione:

• Apre l’email originale in un ambiente controllato.
• Controlla gli header e l’autenticazione del mittente.
• Verifica dove portano davvero i link, che quasi mai è dove dicono di portare.
• Analizza gli allegati, compreso il file che finge di essere una fattura.
• Classifica il caso e lo chiude.

Ogni segnalazione gli porta via dai cinque ai quindici minuti, a seconda di quanto sia torbido il caso. Con 183 al mese e in crescita, non ce la fa.

Ed è qui che arriva la parte scomoda. Il programma ha funzionato. Le persone segnalano. Quello che non è cresciuto allo stesso ritmo è la capacità dell’organizzazione di smaltire ciò che segnala, quindi più formi bene le tue persone, più lunga diventa la coda.

Quella coda non era nei piani di nessuno. È comparsa come conseguenza del successo della Cybersecurity awareness e raramente figura in una presentazione di risultati. La segnalazione è l’altra metà dell’imbuto che inizia con il click, e della metà del click abbiamo già scritto in cosa deve essere configurato prima di credere al tasso di click.

Quella coda ha una risposta in SMARTFENSE, Smart Triage, un agente di intelligenza artificiale che classifica ogni email segnalata come phishing vero o falso allarme in secondi invece che in ore. Più avanti nella serie lo raccontiamo in dettaglio. Qui il focus è il problema che risolve, perché è quello che quasi nessuno misura.

Perché la maggior parte delle email segnalate non sono attacchi?

Di quelle 183 segnalazioni, 160 si sono rivelate innocue. C’era una fattura vera dall’aspetto strano, una promozione e l’email di un fornitore nuovo che nessuno aveva mai visto.

Quelle 160 email sono il segnale che le persone stanno prestando attenzione. Un dipendente che esita davanti a un’email legittima e lo dice ha fatto esattamente quello che gli era stato chiesto, e scoraggiare quell’esitazione è il modo più rapido di rimanere senza segnalazioni.

La difficoltà sta altrove. Ognuno di quei dubbi costa il tempo di qualcuno, e quel costo non compare in nessun indicatore del programma. Il tasso di segnalazione sale e si festeggia in comitato; le ore che quella salita consuma non si misurano da nessuna parte. Abbiamo già discusso quali metriche riflettono davvero un programma di awareness, e questa è una di quelle che quasi mai stanno sulla dashboard.

Quanto costa far attendere in coda un attacco vero?

Le altre 23 email di quel mese erano attacchi. Ognuna ha aspettato il suo turno dietro una pila di falsi allarmi, perché la coda si smaltisce in ordine di arrivo e non per rischio.

Il tempo che passa tra la segnalazione e la decisione è tempo in cui quell’email resta nelle casella di posta di tutti gli altri. Nessuno può avvisare, bloccare o contenere qualcosa che non è ancora stato guardato. Se la segnalazione più vecchia è di tre giorni, il caso peggiore in corso della tua organizzazione è un attacco di tre giorni che nessuno ha aperto.

Un pulsante di segnalazione senza una classificazione rapida dietro funziona come un allarme antincendio che suona mentre nessuno guarda il pannello per sapere da quale zona arriva.

Vale la pena separare due cose che di solito viaggiano insieme nella stessa conversazione. Una è la capacità di rilevamento dell’organizzazione, che nel caso di María è buona ed è migliorata durante l’anno. L’altra è la sua velocità di risposta, che dipende da quanta coda ha una persona quella settimana. La prima si misura con il tasso di segnalazione e si presenta con orgoglio. La seconda quasi mai si misura.

Quella distinzione cambia anche la lettura del rischio umano dell’organizzazione. Un’azienda le cui persone rilevano e segnalano, ma che impiega tre giorni ad agire, ha un problema di processo e non di persone.

Cosa dovrebbe ricevere il tuo team quando qualcuno segnala un’email?

Quando un dipendente segnala un’email, il tuo team ha bisogno di una risposta a tre domande: che cos’è quell’email, quanto è rischiosa e perché. Con questo la persona incaricata smette di classificare e inizia a decidere, che è il motivo per cui l’hai assunta.

La differenza tra i due compiti è concreta. Classificare significa aprire un file e scoprire cosa c’è dentro. Decidere significa leggere un verdetto, confermarlo o correggerlo e attivare ciò che serve. Il primo cresce con il numero di segnalazioni. Il secondo no.

Il pulsante di segnalazione phishing di SMARTFENSE si installa come componente aggiuntivo di Outlook, Gmail e Thunderbird, e si integra anche con il pulsante nativo di segnalazione di Outlook, così nessuno deve imparare un gesto nuovo. Dal lato del dipendente, la parte del dirlo è risolta. Quello che decide se il programma tiene è ciò che succede dopo, quando quella segnalazione arriva nella console dei report di qualcuno.

C’è un conto che conviene fare prima della prossima riunione di comitato: quante segnalazioni sono arrivate il mese scorso, quante sono ancora senza decisione e di quanti giorni è la più vecchia. Il primo numero è quello che si presenta di solito. Il terzo è quello che descrive il rischio, ed è l’unico dei tre che nessuno chiede.

L’altra metà della storia

Tutto questo guarda la coda dal lato del team di sicurezza. Manca l’altra metà, ed è quella che decide se l’anno prossimo ci saranno ancora segnalazioni.

Lucía, delle operazioni, ha esitato davanti a un’email, ha deciso di non fare click e lo ha detto. Da dove sta lei, dopo non è successo niente. Nessuna risposta, nessun segnale che il suo avviso sia servito a qualcosa. Di questo parla cosa succede all’abitudine di segnalare quando nessuno risponde, la prossima puntata della serie. La domanda lì è cosa succede all’abitudine di segnalare quando segnalare non ha una conseguenza visibile.