Тренінги з кібербезпеки для неприбуткових організацій
Інтерактивні симуляції для персоналу неприбуткових організацій, волонтерів та розподілених команд. BEC з донорськими коштами, шахрайство з подарунковими картками, ransomware на малих НУО та фішинг для облікових даних донорських баз даних, відкалібровані для команд з обмеженим бюджетом, які несуть значну довіру донорів.
Чому неприбуткові несуть довіру донорів, на яку націлюються зловмисники
Неприбуткові організації мають те, чого хочуть зловмисники, і те, що уважно стежать донори: довіру донорів. Інцидент з ransomware на Blackbaud у 2020 році розкрив записи донорів у тисячах благодійних організацій, музеїв та університетів, а репутаційні наслідки досягли кожного річного звіту та грантової заявки, що послідували. Зловмисники продовжують націлюватися на пік пожертв наприкінці року, кампанії з реагування на катастрофи та будь-який момент, коли пожертви зростають, а персонал розтягнутий.
Більшість неприбуткових працюють як PCI Level 4 продавці для онлайн-пожертв, зберігають міжнародні дані донорів, що підпадають під GDPR, і підпадають під правила штатів про реєстрацію благодійних організацій, які все частіше вимагають повідомлення про порушення. Великі фонди, такі як Gates і Ford, чітко включають положення про конфіденційність даних донорів у грантові угоди. Очікування тренінгів існує, навіть коли бюджет його не передбачає.
RansomLeak пропонує тренінги, що відповідають реаліям розподілених, підтримуваних волонтерами, часто недофінансованих команд. Інтерактивні 3D-симуляції відпрацьовують рішення, які захищають довіру донорів: відмова від запиту на подарункову карту від "CEO", верифікація зміни рахунка постачальника перед перенаправленням коштів, розпізнавання фішингового листа, націленого на ваші CRM-облікові дані, та повідомлення про підозрюване порушення в межах вікон повідомлення штатів.
Загрози, специфічні для неприбуткових організацій
BEC з донорськими коштами та перенаправлення переказів
Зловмисники моніторять публічні каталоги фондів і видають себе за виконавчих директорів під час пожертв наприкінці року та кампаній реагування на катастрофи. Один перенаправлений переказ може знищити квартальну ціль збору коштів. Фінансовому персоналу та персоналу з розвитку потрібна сценарна практика, а не загальні нагадування про антифішинг.
Шахрайство з подарунковими картками проти молодшого персоналу та волонтерів
Текстове повідомлення "швидка послуга" від виконавчого директора з проханням про подарункові карти Amazon або Apple це одне з найпоширеніших шахрайств проти неприбуткових. Молодший персонал та волонтери, які рідко взаємодіють з керівництвом, є типовими цілями і потребують явних шаблонів відмови.
Шахрайство з рахунками постачальників проти невеликих AP-команд
Багато неприбуткових ведуть рахунки до сплати з одним або двома співробітниками та обмеженим розподілом обовʼязків. Зловмисники компрометують поштові скриньки постачальників та подають змінені банківські реквізити. Тренінг відпрацьовує верифікацію поза каналом перед будь-якою банківською зміною.
Фішинг для облікових даних донорських баз даних
Логіни Blackbaud, Salesforce NPSP, Bloomerang та Donor Perfect це цілі високої цінності. Скомпрометована CRM-сесія може ексфільтрувати записи донорів, платіжні інструменти та графіки внесків. Персоналу з розвитку потрібна дисципліна MFA та грамотність з фішингу.
Програми-вимагачі на малих НУО з тонкими резервними копіями
Малі неприбуткові часто ведуть необслуговувані резервні копії в одній мережі з продакшеном. Ransomware, який шифрує і те, і інше, припиняє грантові цикли та комунікацію з донорами на тижні. Культура звітування персоналу часто є єдиним раннім попередженням.
Фреймворки відповідності, які охоплює ця сторінка
Відповідність регуляціям, що визначають більшість рішень про закупівлю в галузі неприбуткових організацій.
PCI DSS для онлайн-пожертв
Більшість неприбуткових, що приймають онлайн-пожертви, кваліфікуються як PCI Level 4 продавці. PCI DSS Requirement 12.6 вимагає формальної програми обізнаності з безпеки з документально оформленим навчанням для всього персоналу з доступом до даних утримувачів карт.
GDPR для міжнародних даних донорів
Неприбуткові з донорами з ЄС є контролерами GDPR. Article 32 (безпека обробки) та Article 39 (обовʼязки DPO) впливають на очікування тренінгів персоналу, особливо щодо обробки DSAR та повідомлення про порушення.
Читати статтюЗакони штатів про повідомлення про порушення
Усі 50 штатів США мають статути про повідомлення про порушення, і неприбуткові не звільнені. Кілька штатів додають очікування щодо конфіденційності даних реєстрації благодійних організацій. Тренінг сприяє правильному, своєчасному звітуванню про інциденти.
Положення про дані фондів та грантів
Великі фонди, такі як Gates, Ford та MacArthur, включають положення про конфіденційність даних донорів та повідомлення про порушення в грантові угоди. Фонди все частіше запитують докази тренінгів при поновленні.
Правила IRS для даних збору коштів
IRS Form 990 та супутні керівництва підштовхують неприбуткові до документально оформлених практик обробки даних. Тренінги з обізнаності персоналу це фундамент, що робить ці практики дієвими.
Підібрані вправи для галузі неприбуткових організацій
Вибрано з каталогу 100+ вправ і пріоритезовано саме для цієї галузі.
Компрометація ділової електронної пошти
Перенаправлення донорських коштів та шахрайство з рахунками постачальників це шахрайства з найвищим впливом проти неприбуткових. Адаптовано для фінансового персоналу, персоналу з розвитку та операцій.
Читати посібникВиявлення фішингових листів
Облікові дані донорських баз даних (Blackbaud, Salesforce NPSP, Bloomerang) це цілі високої цінності. Це фундаментальна вправа для кожного співробітника та активного волонтера.
Читати посібникVishing (голосовий фішинг)
Розподілені та з великою кількістю волонтерів команди приймають більше холодних дзвінків. Практика охоплює видавання себе за постачальника, тиск терміновості та шаблони відмови.
Читати посібникЗахист від соціальної інженерії
Шахрайство з подарунковими картками та претекст "швидкої послуги" націлюється на молодший персонал та волонтерів. Сценарна практика дає їм мову відмови.
Читати посібникНалаштування MFA та push fatigue
CRM та облікові записи донорських баз даних потребують сильної дисципліни другого фактора. Багато неприбуткових впроваджують MFA непослідовно і потребують підтримки персоналу.
Читати посібникРеагування на ransomware у першу годину
Малі НУО з тонкими резервними копіями страждають непропорційно від ransomware. Вправа відпрацьовує раннє звітування та рішення щодо стримування, які виграють час на відновлення.
Читати посібникЗагрози, які охоплює ця програма
Перейдіть до тематичного посібника для кожного типу атаки та до вправ, що тренують захист від нього.
Поширені запитання
Чи пропонуєте ви ціни для неприбуткових?
Як це допомагає під час пожертв наприкінці року?
Чи можуть волонтери проходити тренінги?
Як це задовольняє положення грантових угод про навчання?
А як щодо міжнародних даних донорів та GDPR?
Чи інтегрується це з нашою LMS?
Як часто персонал та волонтери неприбуткової повинні проходити тренінги?
Першоджерела
Цитовані вище.
- Nonprofit Tech for Good Report (Annual Tech Survey) — NTEN (Nonprofit Technology Network)
- Cybersecurity Working Group — NetHope
- Cybersecurity Resources for Nonprofit Organizations — CISA
- Cybersecurity for Small Organizations and Nonprofits — National Cybersecurity Alliance (StaySafeOnline)
- Security Tools and Resources for Nonprofits — Microsoft Philanthropies / Microsoft for Nonprofits
- 2024 Data Breach Investigations Report (Public Administration and Other Services) — Verizon
- TechSoup Cybersecurity Resources for Nonprofits — TechSoup
Дотичні матеріали
Тренінги з компрометації ділової електронної пошти
Читати статтюПосібник з тренінгів симуляції фішингу
Читати статтюТренінги з обізнаності щодо програм-вимагачів для співробітників
Читати статтюБезкоштовні ресурси з тренінгів обізнаності з безпеки
Читати статтюПосібник з тренінгів обізнаності з безпеки
Читати статтюПодивіться RansomLeak в дії
Спробуйте безкоштовні вправи або замовте демо, щоб побачити аналітику, експорт SCORM, SSO та індивідуальний контент у вашому середовищі.