Das hier ist die OSHA Hierarchy of Controls aus
https://www.osha.gov/sites/default/files/Hierarchy_of_Controls_02.01.23_form_508_2.pdf
Lest Euch das mal durch und denkt Euch dann den Umgang Eurer IT-Organisation mit Gefahr durch Phishing.
Wo würdet Ihr Phishing-Trainings ansetzen und wieso?
Gibt es andere Maßnahmen auf höheren Ebenen der OSHA Hierarchy of Controls, die besser geeignet wären, solche Risiken zu vermeiden und setzt Eure Firma die um?
Warum dann noch das Phish-Training?
Vorsicht, Link geht auf eine PDF-Datei. PDF Dateien können aktive Inhalte in Form von Javascript enthalten.
Vorsicht, Link wird von der Regierung eines faschistischen Regimes, das illegale Angriffskriege führt, gehostet.
"Setz beim Radfahren einen Helm auf!"-Äquivalent
"Der Sattel ist mit wahrscheinlich mit Nägeln versehen!"-Äquivalent.
@grob Lies die Erklärung zu Administrative Controls durch.
Der Schutzmechanismus "Keine Links anklicken" ist jedoch noch primitiver als ein Lockout oder ein anderer Sicherungsmechanismus an gefährlichen Maschinen.
@isotopp find ich interessant, dass das effektiver ist als PPE. Vielleicht gibts bei Phishing einfach kein sinniges PPE Analogon.
Was man zu administrativen Controls sagen muss: wenn man die netto betrachtet, also die ganzen legitimen Mails, die eine Firma intern verschickt, die aber von Phishing nicht zu unterscheiden sind, mit einrechnet, glaub ich nicht, dass man das mit Trainings auffangen kann.
@odr_k4tana @isotopp Diese Pyramide gibt es ja auch im deutschen Arbeitsschutz - aber auch in durchaus üblichen Regelwerken zur IT-Sicherheit, oder allgemeinen Werken zum Risikomanagement. Und das ist ja in vielen Verträgen oder teils sogar gesetzlich vorgeschrieben.
Daher wundert es mich ja, wie sich diese Phishingtests jemals so weit verbreiten konnten.
In den öffentlich Institutionen, die ich hier (U.S.A.) kennengelernt habe, wird Microsoft mit Active Directory und Office standardmässig eingesetzt:
Da wird viel Zirkus um Training, Zertifizierungen, Firewalls und CYA ("cover your ass") gemacht, ohne die grundlegenden Problem anzugehen:
Sicherheit muss von der Architektur kommen: Wenn ein einfacher Klick mein Unternehmen hopsnehmen kann, brauche ich eigentlich kein Training mehr - dann brauche ich nur noch die Feuerwehr. 🔥
Graphic (alt-text suggestion)
Hierarchy of controls - from most to least effective
Elimination (of threat)
Substitution
Engineering Controls (technological limits)
Administrative controls
Personal protective equipment.
Kris
Jean Luc am Grimmsten
Christian Rickert
grob (teeth era) 🇺🇦🏳️🌈🏳️⚧️
Michael
Oliver D. Reithmaier
Varbin 
Roman
leckse
vampirdaddy