התקפות פישינג לעסקים – זיהוי, מניעה ומודעות עובדים

התקפות פישינג הן אחת הדרכים שבהן תוקפים מנסים לגרום לעובדים למסור מידע, לפתוח קישור או קובץ, להזין פרטי התחברות או לבצע פעולה שעלולה לסכן את המידע והמערכות של הארגון.

הודעות פישינג עשויות להגיע, בין היתר, באמצעות דואר אלקטרוני, הודעות טקסט, שירותי מסרים וערוצי תקשורת נוספים, ולעיתים הן נראות כאילו נשלחו מגורם מוכר או מהימן.

כיצד ניתן לזהות ניסיון פישינג?

לא תמיד ניתן לזהות הודעת פישינג על פי סימן אחד, ולכן חשוב להדריך עובדים להיות ערניים ולפעול בהתאם להנחיות הארגון.

לדוגמה: ניתן לשים לב לבקשה חריגה למסירת מידע או לביצוע פעולה, לקישור או לקובץ בלתי צפוי, לשולח שאינו מוכר או להודעה המנסה ליצור תחושת דחיפות.

אלה דוגמאות בלבד, וקיימות שיטות נוספות שעשויות להשתנות ולהתפתח עם הזמן.

הדרכת עובדים ומודעות לאבטחת מידע

מודעות עובדים היא מרכיב חשוב בהתמודדות עם ניסיונות פישינג. הדרכה יכולה להתייחס, בין היתר, לזיהוי הודעות חשודות, אופן הדיווח עליהן, טיפול בקישורים ובקבצים והימנעות ממסירת מידע ללא בדיקה מתאימה.

את תוכן ההדרכה ותדירותה יש להתאים, בין היתר, לדרישות הרלוונטיות, לפעילות הארגון, לתפקידי העובדים ולסיכונים שזוהו.

תרגול ובחינת מודעות לפישינג

ארגונים יכולים, בהתאם לצורך ולסיכונים, לבצע גם תרגילי פישינג מדומים לצורך בחינת מודעות העובדים וזיהוי נושאים שבהם נדרש חיזוק.

לדוגמה: ניתן לבחון האם הודעה חשודה זוהתה ודווחה בהתאם להנחיות הארגון, ולשלב את הממצאים בהדרכות ובפעולות לשיפור המודעות.

גם כאן מדובר בדוגמאות בלבד. אופן הבדיקה, התיעוד והמעקב צריך להיקבע בהתאם לדרישות החלות על הארגון ולסיכונים הרלוונטיים.

התעדכנות באיומי סייבר

איומי הסייבר ושיטות התקיפה משתנים ומתפתחים. גופי סייבר וגורמים מקצועיים מפרסמים באופן שוטף התרעות, מידע והמלצות בנוגע לאיומים, פגיעויות ושיטות תקיפה שהתגלו.

לכן מומלץ לארגונים להתעדכן, בין היתר, באמצעות מערך הסייבר הלאומי בישראל וכן באמצעות גופי סייבר ומקורות מקצועיים מוכרים ורלוונטיים לפעילות הארגון.

גם מידע המתפרסם במקורות אלה יש לבחון בהתאם לפעילות הארגון, למערכות שבהן הוא משתמש ולסיכונים הרלוונטיים.

פישינג במסגרת ניהול אבטחת מידע

במסגרת מערכת לניהול אבטחת מידע לפי ISO/IEC 27001, הארגון בוחן את הסיכונים הרלוונטיים לפעילותו וקובע את אופן הטיפול בהם בהתאם לדרישות התקן ולהקשר הארגוני.

נושאים הקשורים לפישינג עשויים להשתלב, בין היתר, בניהול סיכונים, מודעות והדרכת עובדים, דיווח וטיפול באירועי אבטחת מידע ובקרות נוספות בהתאם לצורך.

מקורות מקצועיים למידע נוסף

למידע נוסף ולהתעדכנות בנושא פישינג ואיומי סייבר ניתן לעיין במקורות מקצועיים רשמיים:

CISA – מידע בנושא זיהוי ודיווח על פישינג

NIST – מידע והנחיות בנושא פישינג

מערך הסייבר הלאומי – מידע והתרעות לציבור ולארגונים

מידע חשוב

המידע והדוגמאות המוצגים בעמוד נועדו לספק מידע מקצועי ראשוני והיכרות כללית עם הנושא. הדוגמאות אינן כוללות את כלל סוגי התקפות הפישינג או את כלל אמצעי ההגנה האפשריים. כל ארגון נדרש לבחון את הסיכונים ואמצעי הטיפול המתאימים בהתאם לפעילותו, למערכות ולמידע שבשימושו, לדרישות החלות עליו ולסיכונים הרלוונטיים.

שאלות ויצירת קשר

לקבלת מידע נוסף בנושא ISO 27001 ואבטחת מידע ניתן ליצור קשר:

בינה אלכסנדרוב מאור M.A., MBA | מנתחת מערכות מידע

שליחת הודעה ב־WhatsApp: 052-540-0566

טלפון: 052-540-0566