Security awareness training as a countermeasure to phishing attacks

Denne oppgaven har til hensikt å undersøke effekten av opplæring som ett forsvar mot phishing-angrep via e-post. En av de vanligste formene for angrep i dag er phishing, og dette er ofte angriperens første steg inn i virksomhetens datanettverk. Ofte bes mottaker om å utføre en handling for å motta en belønning, eller for å hindre en negativ konsekvens. De kriminelle spiller ofte på menneskelige egenskaper som frykt, opprømthet, nysgjerrighet, pliktoppfyllenhet eller empati for å få mottaker til å utføre handlingene det bes om. Målet er som regel å få tak i informasjon, enten for å en fordel i markedet, for spionasje eller for økonomisk vinning. Det siste oppnås enten i form av at ansatte lures til å overføre penger direkte, eller ved å bruke personlig eller bedriftssensitiv informasjon som pressmiddel. Det finnes i dag mange tekniske løsninger for å beskytte seg mot phishing-angrep, men denne oppgaven setter søkelys på opplæring og sikkerhetsbevissthet hos mennesker som forsvar. I en arbeidssituasjon vil alle kunne forvente å måtte motta og besvare e-post. Det vil være helt umulig for en teknisk løsning å luke ut alle phishing e-postene som kommer, uansett hvor sofistikerte de er. Det er brukeren som leser e-posten og som til syvende og sist er den største sikkerhetsrisikoen. For å undersøke dette har jeg utført uannonserte phishing-angrep på alle ansatte i Gjøvik kommune, for å finne ut hvor sårbare de er for phishing. Deretter har jeg gitt alle ansatte en kort opplæring i hvordan behandle e-post og kjenne igjen phishing-angrep. Til slutt har jeg fortsatt med jevnlige phishing-angrep på månedlig basis, for å se om effekten av opplæring forsvinner over tid, eller om de gjentatte angrepene gjør brukerne mer motstandsdyktige og på vakt. Målet med dette er å finne ut hvor ofte opplæring bør gis for å opprettholde ett akseptabelt nivå på sikkerhetsbevisstheten til de ansatte. Et sekundært mål er å kartlegge om det er brukere fra en gitt sektor i kommunen som er mer mottagelige for phishing-angrep, slik at disse kan få målrettet opplæring