Phishing er stadig en alvorlig trussel mod virksomhedens cybersikkerhed

Tre trin til at værne dig bedre mod Phishing

Det er afgørende for cybersikkerheden, at Phishing ikke ses som en isoleret trussel, men at organisationen indtænker processer og kontroller som en ”knivtangs-manøvre”, baseret på anerkendte rammeværker som fx CIS-kontrollerne og NIST Cyber security Framework (NIST CSF). Det kan derfor anbefales at tænke mitigering af phishing efter disse tre punkter:

• Forebyg
  Brug awareness-kampagner med fx månedlige phishingtests, så organisationens medarbejdere holdes på tæerne og er opmærksomme på problemet. Bliv ved med at teste phishing, indtil målet om antallet af klik er nået (fx en reduktion fra 25% til 2% kliks på ’farlige’ links) og læg derefter en plan for at holde eller forbedre dette niveau. Vær særligt opmærksom på Very Attacked People™ (VAP). Implementering af awareness-programmer kan fx gennemføres efter Deloittes Awareness-profil (baseret på SANS MGT 433), hvor vi hjælper organisationen med målbart at reducere cyber-risikoen med awareness-træning. Vi bruger ofte løsningen fra ProofPoint Wombat til at understøtte denne indsats. Læs mere om løsningen her.
• Modvirk
  Sørg for at alle e-mail sendes gennem et eller flere filtre, som er ’best in class’ til at opdage og forhindre phishingangreb. Jo mere opmærksomme brugerne er på phishing (og andre malware relaterede e-mails), og jo færre af disse e-mails brugerne modtager, jo større er reduktionen af den risiko, som ledsager denne type af malicious aktivitet. De bedste filtre på markedet er bl.a. Microsoft M365 E5 og ProofPoint e-mail security (og læs evt. også Gartners guide til markedet for e-mailsikringssystemer). Herunder listes nogle af de vigtigste trusler:
  - Ransomware, som spredes via spam
  - Business E-mail Compromise (BEC)
  - Overtagelse af Microsoft Office 365 via credential phishing (og manglende 2FA)
  -  Covid-19-relateret spam e-mail. 

• Bedste praksis for cyberhygiejne
  Det er næppe muligt at forhindre brugerne helt i at blive præsenteret for og klikke på spam og phishingmails, men når det sker, kan organisationen iværksætte en række tiltag i form af cyberhygiejnekontroller som fx:
  -  Giv brugerne hjælp til passwords, herunder et system som husker dem på at vedligeholde og sikre unikke passwords til alle de hjemmesider, som de logger ind på (i gennemsnit 50-80 hjemmesider ifølge Lastpass’ sikkerhedsrapport fra 2019). Her kan du fx kigger på LastPass- eller DashLane-produkterne. Gem aldrig passwords i browseren!
  -  Brug sikre passwords og rettighedsrutiner som fx Privilege Access Management (PAM). Her kan du fx kigge på Thycoric Secret Server eller ManageEngine PasswordManager Pro.
  -  Undersøg om brugere i dit domæne har konti, som er blevet kompromitteret, fx gennem ’Spycloud’ eller ’Have I Been Pwned’. Sørg for, at passwords fra disse undersøgelser ikke bruges i organisationen.

Se evt. vores videoer om sikring af Microsoft M365 og Privilege Access Management på vores webinarportal. 

Du kan læse mere om, hvordan ProofPoint kan hjælpe din organisation med e-mail sikkerhed og undgå BEC her og se vores webinar om emnet den 25. februar 10-11:30. Tilmeld dig her.