Bu bizi kullanıcılar için temel tavsiyeye geri getiriyor: Asla beklenmedik bir bağlantıya tıklamayın veya beklenmedik bir eki açmayın. Kullanıcı, ödeme kartının arkasındaki numarayı aramak gibi meşruiyeti doğrulamak için güvenilir bir iletişim aracına başvuramadığı sürece istisna yoktur.
BT danışmanı Allan Alford, kimlik avı benzeri mesajları ortadan kaldırmanın kolay olmadığını söyledi.
“Kullanıcılarımıza kötü veya şüpheli şeylere tıklamamaları konusunda eğitim veriyoruz. Veya bizim insanlarımıza benzeyen ama aslında bizim insanımız olmayan şeyler” dedi. “Ve daha sonra dış kaynaklı bir İK SaaS ürünü, İK başkanının kimliğine bürünen şirket çapında bir e-posta gönderiyor. Ve sonra pazarlama aynı şeyi gönderir ve satışlar da aynı şeyi gönderir. Sonuç olarak ‘o şeye tıklamayın’ pratik olmayan bir tavsiyedir.”
Alford, tek yanıtın “son kullanıcılara bant dışı gönderene ulaşmayı ve doğrulamayı öğretmek” olduğunu söyledi. Daha sonra işletmeyi, kullanıcılara yapmamaları konusunda eğittiğimiz şeyleri yapmamaları konusunda eğitmemiz gerekiyor.”
Siber risk yönetimi şirketi CyberSaint’in CEO’su Padraic O’Reilly, bunun büyük kısmının aynı şirket içindeki iş birimleri arasındaki iç kopukluklardan kaynaklandığını söyledi. O’Reilly, “Güvenlik ve BT işlevleri ile operasyonel departmanlar arasında sıklıkla bir kopukluk oluyor” dedi. “Bu işlevler bazen olması gerekenden daha ayrıktır.”
TCF Strateji CEO’su Bryce Austin biraz daha doğrudan konuştu: “Birine e-posta metni veya lütfen bağlantılarına tıklayın yazan herhangi bir şey gönderen herhangi bir şirketin, iş süreçlerini gerçekten yeniden düşünmesi gerekiyor.”
Pearson’a göre en büyük sorun, e-posta kimlik avı sorunlarını düzeltmeye bağlı yatırım getirisini içeriyor.
“Risk ortamını hesaplarken bu yeterince yüksek bir öncelik mi?” Pearson, cevabın hayır olduğunu, bunun özellikle yüksek bir öncelik olmadığını öne sürdü.
Bunun değişmesi gerekiyor.