Çdo raport i madh mbi shkeljet e sigurisë thotë të njëjtën gjë, vit pas viti: phishing mbetet mënyra kryesore si sulmuesit fitojnë hyrjen e parë brenda një biznesi. S'ka nevojë për një exploit zero-day apo malware të personalizuar - i duhet vetëm një punonjës, një moment shpërqendrimi, dhe një email mjaftueshëm bindës.
Sulmet janë bërë edhe më të vështira për t'u dalluar. Email-et e dukshëm tip 'princi nigerian' kanë humbur pothuajse fare, të zëvendësuar nga mesazhe që duken saktësisht si një faturë nga një furnitor real, një rivendosje fjalëkalimi nga një shërbim që përdorni vërtet, apo një kërkesë urgjente që duket sikur vjen nga vetë drejtori juaj. Sulmuesit hulumtojnë objektivat e tyre në LinkedIn dhe faqet e kompanive përpara se të dërgojnë qoftë edhe një mesazh të vetëm.
Mbrojtjet teknike ndihmojnë por s'mjaftojnë vetë: rekordet SPF, DKIM, dhe DMARC ulin mashtrimin e email-it (spoofing), dhe një filtër i mirë spam-i kap rastet e dukshme. Por mesazhet që kalojnë janë, nga vetë përkufizimi, ato të krijuara pikërisht për të kaluar - prandaj shtresa njerëzore ka po aq rëndësi sa ajo teknike.
Këtu e fiton vlerën trajnimi real. Jo një prezantim një herë në vit që askush s'e mban mend, por simulime realiste phishing-u që u tregojnë punonjësve, në çastin e duhur, si duket vërtet një sulm bindës - dhe çfarë të bëjnë kur e vërejnë një: mos klikoni, mos përgjigjuni, njoftoni menjëherë IT-në.
Shtresa e fundit është procesi: autentikim me shumë faktorë (MFA) që një fjalëkalim i vjedhur vetëm s'mjafton për të hyrë, një mënyrë e qartë dhe e shpejtë për të raportuar një email të dyshimtë, dhe një plan përgjigjeje për kur (jo nëse) dikush klikon. Phishing s'mund të ulet në zero, por me kombinimin e duhur të kontrolleve teknike, punonjësve të trajnuar, dhe një procesi përgjigjeje të shpejtë, mund të siguroheni që një klikim i keq s'kthehet në incident të plotë.