Un'azienda è preoccupata che i dipendenti possano introdurre involontariamente malware nella rete. L'azienda ha identificato cinquanta dipendenti che hanno cliccato su un link incorporato in un'e-mail inviata dal reparto IT interno. Cosa dovrebbe implementare l'azienda per migliorare al meglio la propria postura di sicurezza?

La formazione sull'ingegneria sociale è la soluzione migliore perché affronta direttamente la causa principale del problema: la vulnerabilità dei dipendenti agli attacchi basati sull'ingegneria sociale, come il phishing. Insegnare ai dipendenti a riconoscere e segnalare e-mail sospette ridurrà significativamente la probabilità che clicchino su link dannosi in futuro. La configurazione SPF (Sender Policy Framework) aiuta a prevenire lo spoofing delle e-mail, ma non educa i dipendenti a riconoscere e-mail di phishing provenienti da domini legittimi compromessi o a resistere ad altre forme di ingegneria sociale. Una campagna di phishing simulata è uno strumento utile per testare la consapevolezza attuale e rinforzare la formazione, ma non è una soluzione di formazione in sé. La consapevolezza delle minacce interne è importante, ma il problema descritto riguarda un attacco esterno (malware introdotto tramite e-mail) che sfrutta la mancanza di consapevolezza dei dipendenti.