Dịch vụ
Đánh Giá Tấn Công Phi Kỹ Thuật (Social Engineering)

Pentest tập trung vào các điểm yếu kỹ thuật của ứng dụng, hệ thống hoặc hạ tầng. Social Engineering Assessment tập trung vào yếu tố con người, quy trình xác minh và khả năng nhận diện hành vi lừa đảo. Hai hoạt động đánh giá những lớp rủi ro khác nhau và có thể bổ trợ cho nhau.

Không mặc định. Mục tiêu của chiến dịch là đo lường hành vi và nhận thức trong phạm vi an toàn. Kịch bản và loại tương tác được xác định trước trong Rules of Engagement và doanh nghiệp phê duyệt trước khi triển khai.

Không nên thu thập hoặc lưu trữ mật khẩu thật. Nếu chiến dịch đánh giá hành vi nhập Credential, hệ thống mô phỏng có thể được thiết kế để chỉ ghi nhận hành vi tương tác theo phạm vi được doanh nghiệp phê duyệt mà không lưu nội dung mật khẩu thực tế.

Trước khi triển khai, Musk-IS thống nhất với doanh nghiệp về đối tượng, kênh tấn công, thời gian, kịch bản và các giới hạn thực hiện. Mọi hoạt động chỉ được tiến hành trong phạm vi đã được phê duyệt nhằm đảm bảo an toàn và hạn chế ảnh hưởng ngoài dự kiến.

Tần suất phụ thuộc vào mức độ rủi ro và chương trình Security Awareness của doanh nghiệp. Có thể thực hiện một hoặc nhiều chiến dịch trong năm, đặc biệt sau các đợt đào tạo, thay đổi nhân sự lớn hoặc khi doanh nghiệp cần đo lường hiệu quả chương trình nhận thức.

Có. Phạm vi dịch vụ được thiết kế linh hoạt. Doanh nghiệp có thể bắt đầu với Email Phishing Simulation rồi mở rộng sang Vishing, Smishing hoặc Physical Social Engineering khi có nhu cầu. Trên thực tế phần lớn doanh nghiệp bắt đầu bằng Phishing qua email vì đây là kênh tấn công phổ biến nhất và dễ triển khai trên quy mô lớn nhất. Các kênh còn lại thường được bổ sung ở chiến dịch sau, khi doanh nghiệp đã có số liệu nền để so sánh mức độ cải thiện.

Chiến dịch được thiết kế nhằm hạn chế ảnh hưởng đến hoạt động thông thường. Kịch bản, thời gian, phạm vi và điều kiện dừng được thống nhất trước với doanh nghiệp bằng văn bản. Doanh nghiệp chỉ định đầu mối nắm thông tin chiến dịch để xử lý khi có tình huống ngoài dự kiến, đồng thời thống nhất các nhóm hoặc khung giờ cần loại trừ. Mục tiêu là đo mức độ rủi ro từ con người, không phải gây gián đoạn công việc hay tạo áp lực cho nhân viên.

Có thể theo dõi các chỉ số giữa nhiều chiến dịch như tỷ lệ bấm, tỷ lệ tương tác, tỷ lệ báo cáo, thời gian báo cáo, kết quả theo nhóm hoặc phòng ban và tỷ lệ cải thiện sau đào tạo. Trong đó tỷ lệ báo cáo — tỷ lệ nhân viên chủ động báo cáo email đáng ngờ — thường phản ánh hiệu quả tốt hơn tỷ lệ bấm, vì nó cho thấy nhân viên không chỉ tránh được bẫy mà còn kích hoạt quy trình ứng phó của doanh nghiệp. Chỉ số chỉ có ý nghĩa khi so sánh giữa các chiến dịch liên tiếp trên cùng phạm vi.

Có. Phạm vi có thể được điều chỉnh theo số lượng nhân viên, kênh mô phỏng và mục tiêu đánh giá. Doanh nghiệp nhỏ có thể bắt đầu từ chiến dịch Phishing Simulation với phạm vi gọn hơn. Quy mô nhỏ không đồng nghĩa với rủi ro thấp: doanh nghiệp ít nhân sự thường không có đội bảo mật chuyên trách và quy trình xác minh nội bộ, nên một email giả mạo nhắm vào bộ phận kế toán hoặc nhân sự có thể đi thẳng tới người có quyền thực hiện giao dịch.

Kết quả có thể được sử dụng như một phần bằng chứng cho hoạt động Security Awareness và đánh giá hiệu quả kiểm soát tùy theo phạm vi hệ thống quản lý và yêu cầu của bên đánh giá. Việc có đáp ứng một yêu cầu Audit cụ thể hay không cần được xem xét theo từng trường hợp.