Une entreprise s'inquiète que des employés introduisent involontairement des logiciels malveillants dans le réseau. L'entreprise a identifié cinquante employés qui ont cliqué sur un lien intégré dans un e-mail envoyé par le service informatique interne. Que devrait mettre en œuvre l'entreprise pour améliorer au mieux sa posture de sécurité ?

La formation sur l'ingénierie sociale est la meilleure solution car elle éduque les employés sur la reconnaissance et la prévention des attaques d'ingénierie sociale, comme les e-mails de phishing. Les cinquante employés ont cliqué sur un lien, ce qui indique un manque de sensibilisation aux tactiques d'ingénierie sociale. La configuration SPF (Sender Policy Framework) est un mécanisme de validation des e-mails qui aide à prévenir l'usurpation d'identité, mais elle ne forme pas les utilisateurs à identifier les e-mails malveillants qui pourraient contourner SPF ou provenir de sources apparemment légitimes. Une campagne de phishing simulée est un excellent outil de test, mais elle est plus efficace après une formation initiale pour évaluer son efficacité et identifier les domaines nécessitant des rappels, plutôt que comme une première mesure pour améliorer la posture de sécurité. La sensibilisation aux menaces internes est importante, mais le problème décrit concerne des employés qui introduisent involontairement des logiciels malveillants via des liens, ce qui relève plus spécifiquement de l'ingénierie sociale que d'une menace interne intentionnelle.