Metrik

Phish-Prone Rate

Persentase karyawan yang gagal dalam tes phishing simulasi dengan mengklik tautan, membuka lampiran, atau mengirimkan kredensial.

Definisi

Phish-prone rate adalah metrik kesadaran keamanan yang menunjukkan persentase karyawan dalam suatu organisasi yang gagal dalam tes phishing simulasi, biasanya dengan mengklik tautan berbahaya, membuka lampiran, atau memasukkan kredensial di halaman palsu. Metrik ini umum dilacak dari waktu ke waktu, per departemen, atau per kampanye untuk mengukur kerentanan organisasi terhadap phishing dan efek pelatihan.

Phish-prone rate dihitung dengan membagi jumlah karyawan yang gagal dalam suatu kampanye phishing simulasi dengan total jumlah yang menerimanya, dinyatakan dalam persentase. Kegagalan biasanya didefinisikan berdasarkan tindakan yang diambil, seperti mengklik tautan, dibandingkan tindakan yang lebih serius seperti mengirimkan kredensial di halaman login palsu, sehingga banyak organisasi melacak beberapa tingkat kegagalan alih-alih satu angka tunggal. Membandingkan phish-prone rate antar departemen, tingkat senioritas, atau jenis serangan sering mengungkap di mana investasi pelatihan bersasaran akan memberikan dampak terbesar.

Metrik ini penting karena memberi pemimpin keamanan angka yang konkret dan dapat dilacak untuk dilaporkan kepada eksekutif dan dewan direksi, mengubah kekhawatiran abstrak tentang risiko manusia menjadi tren terukur yang dapat membenarkan investasi pelatihan. Phish-prone rate yang menurun sepanjang kampanye simulasi berturut-turut umumnya ditafsirkan sebagai bukti bahwa pelatihan kesadaran dan simulasi berhasil, sementara angka yang meningkat dapat menandai risiko baru yang muncul, seperti karyawan baru atau templat serangan yang semakin canggih. Regulator dan kerangka kepatuhan di sektor seperti perbankan semakin mengharapkan organisasi melacak dan melaporkan metrik perilaku semacam ini berdampingan dengan kontrol teknis.

Phish-prone rate sebaiknya ditafsirkan dengan hati-hati alih-alih digunakan secara punitif, karena rasa takut dipermalukan secara terbuka akibat gagal dalam simulasi dapat menghalangi karyawan untuk melaporkan upaya phishing sungguhan. Metrik ini paling berguna jika dibaca berdampingan dengan reporting rate, persentase karyawan yang berhasil mengenali dan melaporkan upaya phishing, karena phish-prone rate yang rendah dikombinasikan dengan reporting rate yang rendah bisa jadi hanya berarti karyawan tidak terlibat, bukan sepenuhnya terlindungi. Pembandingan dengan rata-rata industri memberikan konteks yang berguna, namun perbandingan paling bermakna adalah tren organisasi itu sendiri dari waktu ke waktu.

Sekilas info

Jenis
Metrik keamanan
Yang diukur
Persentase karyawan yang gagal dalam tes phishing simulasi
Target sehat
Di bawah 5%
Lebih baik saat
Lebih rendah

Cara kerjanya

  1. 1

    Pelaksanaan kampanye: tes phishing simulasi dikirim ke kelompok karyawan tertentu.

  2. 2

    Pelacakan kegagalan: platform mencatat siapa yang mengklik tautan, membuka lampiran, atau memasukkan kredensial.

  3. 3

    Perhitungan: jumlah yang gagal dibagi dengan total jumlah yang menerima kampanye, dinyatakan dalam persentase.

  4. 4

    Penjenjangan: banyak organisasi melacak beberapa tingkat kegagalan, karena mengklik tautan kurang serius dibanding mengirimkan kredensial.

  5. 5

    Perbandingan tren: tingkat ini dibandingkan antar departemen, tingkat senioritas, dan kampanye berturut-turut.

Poin utama

  • Metrik ini menunjukkan persentase karyawan yang gagal dalam tes phishing simulasi
  • Kegagalan biasanya dijenjangkan, dari mengklik tautan hingga tindakan yang lebih serius yaitu mengirimkan kredensial
  • Tingkat yang menurun sepanjang kampanye berturut-turut umumnya dibaca sebagai bukti pelatihan dan simulasi berhasil
  • Metrik ini sebaiknya dibaca berdampingan dengan reporting rate, karena phish-prone rate rendah dengan reporting rate rendah bisa berarti keterlibatan rendah, bukan perlindungan
  • Membandingkan antar departemen dan jenis serangan mengungkap di mana pelatihan tersasar akan paling membantu

Praktik terbaik

  • Lacak phish-prone rate dari waktu ke waktu, bukan sebagai satu potret tunggal
  • Pecah metrik ini berdasarkan departemen, senioritas, dan jenis serangan
  • Baca berdampingan dengan reporting rate agar tidak keliru menganggap ketidakterlibatan sebagai keamanan
  • Hindari menggunakan metrik ini secara punitif, karena rasa takut dipermalukan secara publik menghalangi pelaporan phishing sungguhan
  • Bandingkan dengan rata-rata industri sebagai konteks, tetapi prioritaskan tren organisasi sendiri

Contoh nyata

Phish-prone rate sebuah bank turun dari 18 persen menjadi 6 persen sepanjang empat kampanye kuartalan setelah menerapkan pelatihan tepat waktu bagi siapa pun yang mengklik. Tim keamanan mempresentasikan tren penurunan ini kepada direksi sebagai bukti bahwa program kesadaran berhasil, berdampingan dengan reporting rate yang meningkat yang menegaskan keterlibatan, bukan sekadar penghindaran.

Bagaimana Claro membantu

Claro menghitung phish-prone rate secara otomatis dari setiap kampanye simulasi, memecahnya berdasarkan departemen dan jenis serangan sehingga tim keamanan dapat menargetkan pelatihan di tempat yang paling dibutuhkan.

Pertanyaan yang sering diajukan

Bagaimana phish-prone rate dihitung?

Dengan membagi jumlah karyawan yang gagal dalam suatu kampanye phishing simulasi dengan total jumlah yang menerimanya, dinyatakan dalam persentase.

Apa yang dihitung sebagai kegagalan dalam simulasi phishing?

Definisinya bervariasi, tetapi mengklik tautan, membuka lampiran, dan memasukkan kredensial di halaman palsu adalah tingkat paling umum, dengan pengiriman kredensial dianggap lebih serius.

Berapa phish-prone rate yang dianggap sehat?

Banyak organisasi menargetkan tingkat di bawah 5 persen sebagai tanda program yang matang, meski tolok ukur paling bermakna adalah tren organisasi sendiri sepanjang kampanye berturut-turut.

Mengapa phish-prone rate tidak boleh digunakan secara punitif?

Mempermalukan karyawan yang gagal dalam simulasi secara publik dapat menghalangi mereka melaporkan upaya phishing sungguhan karena takut, yang merusak perilaku yang ingin dibangun program ini.

Istilah terkait

Simulasi Phishing

Latihan terkontrol dan resmi yang mengirim pesan phishing palsu yang realistis namun tidak berbahaya kepada karyawan untuk mengukur respons mereka dan melatih perilaku yang lebih aman.

Pelatihan Kesadaran Keamanan

Pelatihan kesadaran keamanan adalah edukasi terstruktur yang melatih karyawan mengenali dan menanggapi ancaman siber seperti phishing, rekayasa sosial, dan penanganan data yang tidak aman.

Manajemen Risiko Manusia

Disiplin keamanan untuk mengidentifikasi, mengukur, dan menurunkan risiko yang ditimbulkan orang melalui perilaku mereka sehari-hari.

Security Culture

Sikap, keyakinan, dan perilaku sehari-hari bersama seputar keamanan yang ada di seluruh organisasi, melampaui kebijakan dan pelatihan formal.

Kurangi risiko manusia Anda

Claro mengukur dan menurunkan risiko yang dijelaskan istilah-istilah ini, dalam bahasa Inggris dan Bahasa Indonesia.

Minta demo