Blog

Je to noční můra každého zaměstnance. Rychle procházíte e-maily, kliknete na odkaz „Nezaplacená faktura“ a v tu vteřinu vám to dojde. Grafika je divná. Adresa odesílatele nesedí. Byl to podvod.

V tu chvíli nastává kritický okamžik. Zaměstnanec má dvě možnosti:

1. Zatloukat: Zavře okno, smaže e-mail a modlí se, aby se na to nepřišlo. (Nejhorší scénář).

2. Nahlásit to: Zvedne telefon a zavolá na IT.

Proč většina lidí volí první možnost? Protože se stydí. Bojí se, že dostanou vynadáno, že budou za "toho hloupého, co zaviroval firmu". Pojďme se podívat, jak tento strach odbourat a udělat z uživatelů vaši nejsilnější obranu.

1. Změňte rétoriku: "Může se to stát každému"

Pokud vaše IT oddělení reaguje na nahlášený incident protáčením očí a přednáškou o neschopnosti, máte problém. Hackeři jsou dnes extrémně sofistikovaní. Nachytat se může i expert.

Jak na to: Vyhlaste "amnestii". Řekněte týmu jasně: „Největší chyba není kliknout. Největší chyba je neříct nám to.“ Pokud někdo nahlásí, že naletěl, poděkujte mu za včasné varování. Rychlá reakce (změna hesla, odpojení od sítě) může zachránit celou firmu.

2. Tlačítko je lepší než e-mail

Nutit lidi, aby podezřelý e-mail přeposílali na helpdesk@firma.cz a vypisovali k tomu vysvětlení, je zdlouhavé. Lidé jsou pohodlní.

Jak na to: Zaveďte do e-mailových klientů (Outlook, Gmail) tlačítko "Nahlásit phishing".

• Je to jedno kliknutí.

• E-mail se automaticky přepošle bezpečnostnímu týmu i s hlavičkami.

• Uživatel dostane okamžitou zpětnou vazbu (vyskakovací okno: "Díky, prověříme to!").

3. Udělejte z toho hru (Gamifikace)

Lidé milují soutěžení. Místo abyste trestali ty, kdo kliknou na testovací phishing, odměňujte ty, kdo ho nahlásí.

Jak na to:

• Lovci měsíce: Vyhlašujte pravidelně zaměstnance, kteří nahlásili nejvíce skutečných hrozeb.

• Pochvala před nastoupenou jednotkou: Pokud někdo odhalí opravdu zákeřný útok (např. falešnou fakturu od známého dodavatele), veřejně ho pochvalte na firemním chatu. Uděláte z něj hrdinu, ne práskače.

4. Testujte, ale netrapte

Phishingové simulace (cvičné útoky od vlastního IT) jsou nutné, ale musí se dělat citlivě.

Špatně: Zaměstnanec klikne na testovací odkaz a vyskočí na něj obří červený nápis: "PROPADL JSI! Musíš na školení!" (To vyvolává odpor). Správně: Zaměstnanec klikne a zobrazí se stránka: "Uff, tohle byl jen test. Ale vidíš tyhle 3 znaky? Podle nich příště poznáš, že je to podvod." (To vyvolává zájem se učit).

Závěr

Cílem není mít zaměstnance, kteří se bojí otevřít jakýkoliv e-mail. Cílem je mít tým, který funguje jako lidský firewall. Když odstraníte stud a přidáte jednoduché nástroje pro hlášení, zjistíte, že vaši lidé nejsou nejslabším článkem, ale první linií obrany.