El módulo Simulation envía a vuestros empleados falsos ataques, por correo, SMS o llamada, para entrenar su reflejo de vigilancia en condiciones reales. Cada ataque no detectado se convierte de inmediato en una ocasión de aprender.
1️⃣ Entrenar, no engañar
Una simulación no sirve para señalar a los « malos alumnos ». Sirve para crear un reflejo: en un ataque real, el empleado solo tiene unos segundos para actuar. Ese reflejo no se adquiere leyendo un procedimiento, se adquiere poniéndose a prueba en contexto real.
Por eso mismo una campaña anual aislada aporta poco: mide un instante. Es la repetición la que cambia el comportamiento.
2️⃣ De qué se compone una campaña
👉 Una audiencia
Todo vuestro espacio, determinados grupos, empleados elegidos uno a uno, o el conjunto de vuestra organización. Los Smart Groups permiten segmentar según el comportamiento. Por ejemplo, las personas que ya han introducido sus credenciales.
👉 Unas plantillas
La plantilla define lo que recibe el empleado: la herramienta utilizada, el mensaje y la página de destino. Cada una lleva una calificación de dificultad y unas Smart Variables que la personalizan para cada destinatario.
👉 Un ritmo
Una campaña puede ser puntual o recurrente (diaria, semanal, mensual, trimestral o anual). En una campaña recurrente, la audiencia se reevalúa en cada ciclo: los recién incorporados entran automáticamente y las bajas salen.
3️⃣ Cuándo salen los ataques
No elegís la hora de envío de cada ataque: Riot los reparte a lo largo del ciclo, para que los empleados no los reciban todos a la vez.
Dos reglas que conviene conocer:
Los ataques salen en horario laboral, de 9:00 a 18:00 en la zona horaria de cada empleado, de lunes a viernes. Un ajuste permite abrir el envío a cualquier momento, incluidos los fines de semana.
Riot empieza por los empleados nunca atacados, y después por aquellos cuyo ataque más reciente es el más antiguo.
👍 Es bueno saberlo: el idioma del ataque se determina en el momento del envío, según el idioma registrado para el empleado. Un empleado que cambia de idioma durante la campaña recibirá el ataque en su nuevo idioma.
4️⃣ Tres tipos de ataque
Phishing por correo, el más habitual.
Smishing por SMS. Ved Comprender el Smishing.
Callback por teléfono: el ataque no contiene ningún enlace, se invita al empleado a llamar a un número. Ved Los ataques mediante llamada de vuelta.
5️⃣ Qué medís
👉 La distinción que importa
Hacer clic en un enlace e introducir las credenciales no son el mismo error. El primero ha dudado y ha comprobado; el segundo ha llegado hasta el final. Ambos se miden y se segmentan por separado.
👉 Los indicadores principales
La tasa de cobertura: la proporción de empleados a los que habéis atacado en un periodo determinado.
La tasa de vulnerabilidad: la proporción de ataques en los que el empleado ha llegado hasta el final. Es vuestro indicador de referencia.
La tasa de reporte: la proporción de ataques reportados con el botón de reporte. Es el único indicador que sube cuando vuestros equipos progresan.
La tasa de clics.
La proporción de formación realizada por los empleados que han caído.
⚠️ La tasa de apertura no es un indicador fiable. Las herramientas de seguridad que analizan automáticamente los correos la hacen subir de forma artificial, y los clientes de correo que bloquean las imágenes la hacen caer. No la presentéis como un resultado ante vuestra dirección: utilizad la tasa de vulnerabilidad y la tasa de reporte.
6️⃣ Qué ocurre después
Un empleado que cae no recibe una reprimenda: recibe una remediación, de inmediato. Ahí empieza la concienciación. Unos segundos después del error, no tres semanas más tarde.
7️⃣ Simulation y Cyber Mission
Si vuestro espacio funciona con las Cyber Missions, Simulation se integra en ellas de dos maneras: la resistencia al phishing es una de las señales que componen la Cyber Posture de cada empleado, y el curso de remediación llega a su misión mensual con carácter prioritario.
8️⃣ Por dónde empezar
No empecéis por un nivel de sensibilidad alto ni por plantillas difíciles. Una población que empieza necesita detectar las señales evidentes antes de enfrentarse a plantillas sofisticadas.
Apuntad al 100 % de tasa de cobertura. Es mejor una campaña fácil que llegue a todo el mundo que una campaña difícil sobre una muestra.
Instaurad un ritmo. Una campaña recurrente vale más que una prueba anual, aunque tenga menos ataques en cada ciclo.
Lo que hay que recordar
Dad prioridad a las campañas recurrentes: una simulación entrena un reflejo, y es la repetición la que cambia el comportamiento.
Una campaña combina una audiencia, unas plantillas y un ritmo; Riot reparte los envíos en horario laboral.
Hacer clic e introducir las credenciales son dos errores distintos que hay que medir por separado.
La tasa de apertura no es fiable: fiaos de la tasa de vulnerabilidad y de la tasa de reporte.