Une étude récente à UC San Diego Health soulève des questions sur l’efficacité de Formation obligatoire de sensibilisation au phishingun commun formation en cybersécurité Méthode utilisée à travers les entreprises américaines. La recherche, menée sur huit mois en 2023 avec près de 20 000 employés, a examiné si ces programmes réduisent considérablement la sensibilité aux employés Attaques de phishing.
Évaluation de la formation à la sensibilisation au phishing
L’étude a soumis les employés à 10 campagnes de phishing simulées Pour évaluer si la formation annuelle standard améliore la capacité de reconnaître et d’éviter les e-mails malveillants. Les résultats n’ont montré aucune diminution significative des taux de défaillance du phishing, quelle que soit le moment où les employés ont terminé la formation pour la dernière fois.
Grant Ho, professeur adjoint à l’Université de Chicago et co-auteur de l’étude, a déclaré: «Cela suggère que la formation obligatoire de sensibilisation au cyber-sensibilisation n’a pas fourni de connaissances en matière de sécurité aux utilisateurs.»
Résultats clés sur le comportement de cybersécurité des employés
- Les employés qui ont terminé la formation n’ont montré qu’une amélioration mineure, les taux de défaillance de phishing moyens baissant de seulement 1,7%.
- Les résultats immédiats post-formation ont montré des taux d’échec élevés, indiquant un impact limité des programmes de formation traditionnelle en cybersécurité.
- L’engagement avec les modules en ligne était faible: plus des trois quarts des employés ont passé moins d’une minute sur le matériel et 37 à 51% ont fermé la page de formation presque immédiatement.
Les employés notés Ho traitent souvent la formation comme une interruption, vérifiant les e-mails ou parcourant plutôt le Web, réduisant la rétention et l’attention.
Tester différentes approches de formation en cybersécurité
Les chercheurs segmentaient des employés en groupes après des simulations de phishing:
- Conseils généraux de cybersécurité
- Modules de questions / réponses interactives
- Briefings détaillés sur l’attaque simulée spécifique
- Une combinaison de ces méthodes
- Groupe témoin sans formation de suivi
Leçons de questions et réponses interactives a produit le plus grand avantage mesurable, mais uniquement lorsque les employés se sont pleinement engagés. L’achèvement de la formation interactive a réduit la sensibilité aux attaques de phishing de 19%, mettant en évidence le potentiel des approches interactives. Cependant, de faibles taux d’achèvement ont limité l’efficacité globale.
L’étude a également suggéré que les employés qui terminent volontairement une formation peuvent déjà avoir des traits qui les rendent moins sensibles aux attaques de phishing, ce qui soulève des questions sur la formation par rapport aux comportements inhérents.
Implications pour la cybersécurité de l’entreprise
Le phishing continue de constituer une menace majeure et de compter uniquement sur Formation de sensibilisation au phishing des employés laisse les organisations vulnérables. Les chercheurs recommandent une stratégie de cybersécurité multicouches, combinant une formation avec des outils automatisés pour détecter et bloquer les messages suspects avant d’atteindre les boîtes de réception.
Ho conclu,
«La formation telle qu’elle est couramment déployée ne fournit pas une protection suffisante contre le phishing en soi.»
