Правило 7%.

Хотя мы все о нём когда-то слышали, сходу найти исследования, посвященные этому явлению, не так просто.

На больших объемах фишинговых писем, отправленных и полученных сотрудниками, как минимум семь процентов из них перейдут по ссылке или выполнять требуемое в письме действие, попавшись на уловку.
Это правило было мною подтверждено множество раз, пока я работал на проектах по социо-техническому тестированию на проникновение.

Но почему так? Ведь компании, сотрудники и даже подход к информационной безопасности отличались! В каких-то компаниях сотрудников не обучали там процент попавшихся на письмо был значительно выше. В других же и обучали, и тестировали, а иногда даже наказывали, но даже там ниже средних 7% статистика не снижалась.

Секрет в человеческой нестабильности. Наша способность противостоять мошенникам напрямую зависит от состояния нашей психики. Человек в стрессе или в эйфории гораздо более подвержен манипуляциям, ведь критическое мышление и внимательность ослабевают, а импульсивность наоборот возрастает. Именно поэтому в 7% могут попасть и топ-менеджмент, и служба IT, и даже мы, сотрудники подразделений информационной безопасности!

Все мы люди, все мы уязвимы, если у нас случилось что-то из ряда вон выходящее, хорошее или плохое, то какое-то время мы попадем в группу риска. В подобном состоянии будут забыты тренинги и допущены ошибки. Что же тогда делать для противодействия социальной инженерии?

Обучать сотрудников, чтобы ваш процент не поднимался выше.
Компенсировать риски техническими средствами защиты.
Развивать реагирование на инциденты.

Люди всегда останутся уязвимы, особенно в состоянии как на этой нейрокартинке.