🍎 Hack23 Discordian Cybersecurity בלוג

הדרכת מודעות אבטחה: ללמד בני אדם לא ללחוץ על שטויות (הם ילחצו בכל מקרה)

"שום דבר לא נכון. הכל מותר. אל תלחצו על הקישור הזה. (אתם הולכים ללחוץ עליו, נכון? FNORD.)"

🧠 הבעיה: בני אדם (פגיעות ה-Meatware)

בני אדם הם החוליה החלשה ביותר באבטחה. לא מפני שהם זדוניים - אלא מפני שהם מחשבי בשר בלתי רציונליים מבחינה צפויה המריצים wetware פגיע לניצול הנדסה חברתית שקדמה לחשמל. הם לוחצים על קישורים. הם משתמשים שוב בסיסמאות. הם מחזיקים דלתות לזרים עם תגים. הם רוצים להיות מועילים.

הנדסה חברתית עובדת כי בני אדם חברתיים. דיוג עובד כי אימיילים נראים לגיטימיים. זריקת USB עובדת כי סקרנות הורגת. הדרכה עוזרת. מעט. האם אתם כבר מספיק פרנואידים?

הארה: משתמשים ילחצו על כל דבר. אמנו אותם בכל מקרה. ואז הנחו שהם לחצו עליו. הגנה לעומק פירושה להניח שמשתמשים כבר נפגעו - כי סטטיסטית, מישהו כן. שיעור הקליקים של 5-10% בסימולציית הדיוג שלנו הוא ריאליסטי, לא שאפתני - בני אדם הם בני אדם, לא מכשירי אבטחה. ברוכים הבאים ל-Chapel Perilous. הפרנויה מוצדקת.

🎓 חמשת הנושאים שכולם צריכים (להתעלם מהם לפני שלוחצים בכל מקרה)

1. זיהוי דיוג

האימייל הזה מהמנכ"ל שלכם? לא מהמנכ"ל שלכם.

תוכן הדרכה: אימות שולח, בדיקת URL, דגלים אדומים לשפה דחופה, סיכוני קבצים מצורפים, טקטיקות הנדסה חברתית.

דוגמה אמיתית: "מנכ"ל" מבקש העברת כספים לספק חדש. אמתו דרך ערוץ משני (שיחת טלפון, פנים-אל-פנים).

מדד הצלחה: >80% מסימולציות דיוג מדווחות תוך 5 דקות.

2. ניהול סיסמאות

Password123 אינו מאובטח. השתמשו בפועל במנהל הסיסמאות.

כלים נדרשים: מנהל סיסמאות (חובה), MFA בכל מקום (נאכף), אימות ביומטרי (מועדף).

תקנים: סיסמאות 16+ תווים, ייחודיות לכל שירות, ללא שימוש חוזר, ללא שיתוף, ללא פתקים דביקים.

מדד הצלחה: 100% רישום MFA, מעקב אימוץ מנהל סיסמאות.

3. אבטחה פיזית

אל תתנו לזרים לעקוב אחריכם פנימה. אל תחברו USB אקראיים.

אבטחת משרד דף הבית: נעילת מסכים בעת התרחקות, WiFi מאובטח (WPA3), אבטחת מכשיר פיזית, מודעות למבקרים.

איומים אמיתיים: Tailgating, זריקות USB (התקפות BadUSB), הצצה מעבר לכתף, מכשירים ללא השגחה.

מדד הצלחה: אפס מכשירים לא נעולים ללא השגחה, דיווח אירועי אבטחה פיזית.

4. טיפול בנתונים

לא הכל הולך ל-Dropbox. הבינו סיווג.

הדרכת סיווג: ציבורי, נמוך, בינוני, גבוה, גבוה מאוד, קיצוני לפי מסגרת סיווג.

דרישות טיפול: סווגו לפני שיתוף, הצפינו נתונים רגישים, השתמשו באחסון מאושר, ללא Shadow IT.

מדד הצלחה: >90% סיווג נכון בבדיקות ידע, אפס אירועי דליפת נתונים.

5. דיווח אירועים

ספרו למישהו כשדברים נראים מוזרים. דיווח מוקדם מגביל נזק.

ערוצי דיווח: טופס אירוע אבטחה, קשר ישיר למנכ"ל, אימייל תגובה לאירועים, מערכות זיהוי אוטומטיות.

מה לדווח: אימיילים חשודים, מכשירים אבודים, פריצות פוטנציאליות, הפרות מדיניות אבטחה, התנהגות חריגה.

SLA תגובה: <30 דקות לאירועים קריטיים לפי תוכנית תגובה לאירועים.

מדד הצלחה: >95% מפעילויות חשודות מדווחות, <5 דקות זמן דיווח ממוצע.

CHAOS ILLUMINATION: Security training isn't about making users security experts—it's about making them aware enough to ask questions before clicking. Perfect security training produces users who question everything, including training. Teach skepticism, not blind obedience. תחשוב בעצמך, schmuck! The bureaucracy is expanding to meet the needs of the expanding bureaucracy.

🎣 Phishing Simulations: Test Reality, Measure Improvement (Spoiler: Reality Sucks)

Monthly phishing simulations with immediate feedback and zero punishment. Click = education. Report = recognition. Punishment makes people hide mistakes. Education makes people learn from them.

📊 Realistic Click Rate Expectations

Target: 5-10% click rate (realistic, not aspirational)

Why Not 0%? If click rate is 0%, simulations aren't realistic enough. Attackers use sophisticated tactics—training must match.

Measurement: Track click rates, report rates, time-to-report, repeat offenders, improvement trends.

Industry Benchmark: Average click rate 20-30%. We target <10% through continuous training.

🎭 Simulation Scenarios

Rotate realistic attack types monthly:

  • CEO Fraud: Executive impersonation requesting urgent wire transfers
  • IT Helpdesk: "Your password expires today" with credential phishing
  • Invoice Scams: Fake vendor invoices with malicious attachments
  • Credential Phishing: Fake login pages for commonly used services
  • USB Drops: Physical USB devices in common areas (when applicable)

⚡ Immediate Feedback Loop

Click = instant education. Report = positive reinforcement.

Click Response: Redirect to education page explaining attack indicators, provide learning resources, no shaming.

Report Response: Confirmation message, recognition of good security behavior, contribution to security metrics.

Dashboard: Personal security score (private), organization trends (aggregated), improvement tracking.

📈 Continuous Improvement

Monthly review. Quarterly trend analysis. Annual program assessment.

Success Indicators:

  • Declining click rates over time (realistic target: <10%)
  • Increasing report rates (target: >80% of phishing reported)
  • Decreasing time-to-report (target: <5 minutes)
  • Fewer repeat offenders quarter-over-quarter

Action Threshold: >15% click rate triggers additional targeted training.

META-ILLUMINATION: Good simulations are realistic scenarios with immediate feedback and learning resources. Bad simulations are trick questions with public shaming and no follow-up. We choose education over punishment—because security culture beats security theater. Also, punishment makes people hide breaches instead of reporting them. Are you paranoid enough to question your own security assumptions?

📅 Training Frequency: Continuous, Not Annual Theater (Because Humans Forget)

Annual security training is compliance theater. People forget. Threats evolve. Training once per year is like brushing your teeth once per year—ineffective and gross. The Law of Fives applies: Five training vectors, five user types, five failure modes. Everything comes in fives if you look hard enough.

🎓 Onboarding (Day 1)

Mandatory first-day completion. 100% required before system access.

Duration: 60-90 minutes interactive training + policy acknowledgment.

Content: ISMS overview, classification framework, acceptable use, data handling, incident reporting.

Completion: Track in HR system, block system access until complete.

📅 Quarterly Refreshers (Every 3 Months)

15-minute focused modules. Four topics per year.

2025 Schedule:

  • Q1: Password management & MFA best practices
  • Q2: Data classification & handling procedures
  • Q3: Social engineering & phishing defense
  • Q4: Incident response & reporting protocols

Delivery: Scenario-based learning, real-world examples, immediate knowledge check.

🎣 Monthly Phishing Sims (Every Month)

Continuous awareness through realistic simulations.

Frequency: First Monday of every month, randomized timing.

Scenarios: Rotate through CEO fraud, IT helpdesk, invoice scams, credential phishing.

Metrics: Click rate, report rate, time-to-report, repeat offenders.

🚨 Incident-Triggered (As Needed)

Real attacks trigger organization-wide training within 24 hours.

Trigger Events: External phishing campaigns targeting Hack23, industry-specific threats, zero-day vulnerabilities affecting our stack.

Content: Real attack breakdown, indicators of compromise, reporting procedures, lessons learned.

SLA: Training deployed <24 hours after incident identification.

👨‍💻 Role-Specific (Varies by Role)

Different roles = different threats = different training.

Developers: Secure coding (monthly), secrets management (quarterly), supply chain security (semi-annual).

CEO/Management: BEC defense (quarterly), wire transfer fraud (semi-annual), regulatory compliance (annual).

Everyone: Core security awareness + role-specific threats.

ILLUMINATION: Training once and expecting permanent behavior change is optimistic. Humans forget. Threats evolve. Train continuously or accept continuous risk. Annual training is security theater—continuous training is security culture. You are now in Chapel Perilous. Security training both works and doesn't work. Both are true.

📋 Hack23's Continuous Training Framework (Reality-Based, Not Fantasy)

Security awareness at Hack23 is continuous, role-specific, and measurement-driven. Our training program is documented in our Information Security Policy as an integrated component of our ISMS—because training isn't a checkbox, it's a culture.

🎓 Onboarding: Baseline for All

Mandatory first-day training. 100% completion required.

Topics: ISMS overview, classification framework, acceptable use, incident reporting, data handling, access control basics.

Delivery: Interactive modules + policy acknowledgment + initial phishing baseline test.

New hires complete security training before system access. No exceptions. Trust starts with education. Or more accurately: distrust starts with realistic assessment of human fallibility.

📅 Quarterly Modules: Focused Deep Dives

15-minute targeted training sessions. Four topics per year.

2025 Schedule: Q1 - Password management & MFA; Q2 - Data classification & handling; Q3 - Social engineering & phishing; Q4 - Incident response & reporting.

Format: Scenario-based learning, real-world examples, immediate knowledge check.

Short, frequent training beats annual marathon sessions. Humans forget. Train continuously. FNORD.

🎣 Monthly Phishing Simulations

Realistic scenarios. Immediate feedback. No punishment.

Target Click Rate: 5-10% (realistic expectation, not aspirational zero).

Scenarios: CEO fraud, IT helpdesk impersonation, invoice scams, credential phishing, USB drops.

Response: Click = immediate education module. Report = positive reinforcement.

0% click rate means unrealistic simulations. 5-10% means effective training that mirrors real threats. Perfect scores indicate broken tests, not perfect humans.

🚨 Incident-Triggered Training

Real phishing campaign detected? Everyone trains immediately.

Trigger: Any external phishing campaign targeting Hack23 triggers organization-wide training within 24 hours.

Content: Real attack breakdown, indicators, reporting procedures, lessons learned.

Learn from actual attacks in real-time. Attackers provide free training content—use it. Every breach is a teachable moment. Every phishing campaign is intelligence gathering.

👨‍💻 Role-Specific Content

Developers ≠ Finance ≠ Executives. Training reflects reality.

Developers: Secure coding, secrets management, code review, supply chain security.

CEO/Management: Business email compromise, executive impersonation, wire transfer fraud, regulatory compliance.

Everyone: Core security awareness + role-specific threats.

Generic training produces generic awareness. Role-specific training produces relevant behavior changes. Or at least, that's the theory. Reality is messier. Always.

📊 Metrics-Driven Improvement

Track everything. Improve what matters.

Metrics: Training completion rates, phishing simulation click rates, time-to-report, incident frequency, knowledge check scores.

Reporting: Monthly dashboard review, quarterly trend analysis, annual program assessment.

Target: >95% completion, 5-10% click rate, <5 minutes report time, declining incident trend.

META-ILLUMINATION: Perfect security training produces users who question everything, including training. Teach skepticism, not blind obedience. You are now leaving Chapel Perilous. Or entering it. Hard to tell which. The paranoia is the point.

🎯 סיכום: אמנו, בדקו, מדדו, חזרו (ברוכים הבאים למחלקת האבטחה של סיזיפוס)

בני אדם לעולם לא יהיו בקרות אבטחה מושלמות. הם ילחצו על קישורים. הם ישתמשו שוב בסיסמאות. הם יחזיקו דלתות. אמנו אותם בכל מקרה. כי האלטרנטיבה גרועה יותר. כנראה. שום דבר אינו בטוח מלבד אנטרופיה ובני אדם ניתנים לניצול.

הדרכת מודעות אבטחה אינה על ביטול טעויות אנוש - זה על הפחתתן מספיק כך שבקרות אחרות יכולות לפצות. הגנה לעומק כוללת משתמשים מיומנים ש: (1) נכשלים מעט פחות לעתים קרובות, (2) מדווחים על כשלונות מהר יותר, (3) מטילים ספק בבקשות חשודות מדי פעם. רף נמוך? כן. ריאליסטי? גם כן.

מסגרת ההדרכה שלנו: Onboarding (חובה) + מודולים רבעוניים (ממוקדים) + סימולציות דיוג חודשיות (ריאליסטיות) + מופעלות על ידי אירועים (בזמן) + ספציפיות לתפקיד (רלוונטיות) + מונעות מדדים (מדידות).

אמנו ברציפות. בדקו באופן סדיר. מדדו בקפדנות. אל תענישו טעויות - למדו מהן. והניחו שמשתמשים נפגעו בכל מקרה, כי בסופו של דבר הם יהיו. זו הסיבה שהגנה לעומק כוללת גם משתמשים מיומנים וגם בקרות מפצות. אל תסמכו על אף אחד. אפילו לא על עצמכם. במיוחד לא על עצמכם.

Training metrics we actually track:

Full training framework integrated into our Information Security Policy—because security through transparency means documenting how we actually train humans, not how we claim to. Reality > marketing. All documentation is propaganda. This propaganda happens to be true. Probably.

Need expert guidance on security awareness programs? גלה למה ארגונים בוחרים ב-Hack23 for security consulting that accelerates innovation.

All hail Eris! All hail Discordia!
"תחשוב בעצמך, schmuck! Question everything—especially that urgent email from your boss asking for wire transfers to an unfamiliar account. Are you paranoid enough?"
🍎 23 FNORD 5
— Hagbard Celine, Captain of the Leif Erikson

P.S. You are now in Chapel Perilous. Security training both works and doesn't work. Both are true. Users are both educated and exploitable. Nothing is true. Everything is permitted—except clicking suspicious links. (But you'll click them anyway. We know. We measure. 5-10%. Statistically inevitable. FNORD.)