Mit Ihren Zahlen rechnen
Die Standardwerte beschreiben eine mittelgroße Organisation, die schon besser dasteht als der veröffentlichte Durchschnitt. Ersetzen Sie sie durch Ihre – am stärksten bewegen das Ergebnis der Anteil Ihrer Beschäftigten, der im Jahr klickt, und wie oft aus einem Klick tatsächlich etwas Ernstes wird. Beträge in US-Dollar.
Personen in Ihrer Organisation, die E-Mails erhalten.
Personen, nicht E-Mails – der Anteil Ihrer Belegschaft, der in zwölf Monaten auf mindestens einen Phishing-Link hereinfällt. Das ist dieselbe Größe wie eine Phish-Prone-Quote, daher lässt sich der KnowBe4-Ausgangswert von 33,2 % direkt einsetzen. Der Standardwert von 12 % unterstellt eine Organisation, die schon besser als dieser Durchschnitt ist.
Die meisten Klicks kosten nichts – Zugangsdaten werden nicht wiederverwendet, MFA hält, die Schadsoftware scheitert. Dies ist die unsicherste Eingabe auf der Seite und skaliert das Ergebnis linear; verschieben Sie sie und sehen Sie, wie stark Ihr Ergebnis davon abhängt.
Reaktion, Ausfallzeit, Recht und Meldepflichten. Ihr Cyberversicherungsmakler kann Ihnen einen Branchenwert nennen; der Standardwert liegt bewusst deutlich unter veröffentlichten durchschnittlichen Schadenskosten.
Lizenz plus interner Aufwand für den Betrieb. Rechnen Sie die Stunden mit ein, nicht nur die Rechnung.
Alles oben ist Rechnen mit Ihren eigenen Zahlen. Diese eine Zahl ist eine Annahme über die Welt – und sie entscheidet das gesamte Ergebnis. Verschieben Sie sie und sehen Sie, wie das Ergebnis die Null kreuzt.
Herstellerbenchmarks liegen hoch – KnowBe4 berichtet einen Rückgang von 33,2 % auf 4,2 % nach zwölf Monaten kombinierter Schulung und Simulation. Die größte unabhängige Studie setzt die ehrliche Untergrenze für jährliche Pflichtschulungen bei null. Beide Szenarien unten nutzen Ihre Eingaben; sie unterscheiden sich nur in dieser Zahl.
Unterstellt, dass das Programm die Klickrate um 40 % senkt – den oben eingestellten Wert.
- Vermiedener Schaden
- 96.000 $
- Programmkosten
- − 12.500 $
Unterstellt einen Rückgang der Klickrate von 0 %. Das ist kein Pessimismus: Genau das hat die größte unabhängige Studie für das Format gemessen, das die meisten Organisationen tatsächlich nutzen.
- Vermiedener Schaden
- 0 $
- Programmkosten
- − 12.500 $
Ein negatives Ergebnis ist ein echtes Ergebnis dieses Modells, kein Fehler. Trifft das auf Ihre Organisation zu, rechnet sich das beschriebene Programm nicht.
Hier wird nichts übertragen. Die Berechnung läuft in Ihrem Browser, es gibt kein Formular, und wir sehen Ihre Eingaben nicht.
Das Modell, ausgeschrieben
Wenn Sie die Rechnung nicht prüfen können, ist die Zahl wertlos. Hier steht sie vollständig.
Klickende = Beschäftigte × Anteil, der im Jahr klickt
ernste Vorfälle = Klickende × Wahrscheinlichkeit, dass ein Klick ernst wird
erwarteter Jahresverlust = ernste Vorfälle × Kosten eines Vorfalls
vermiedener Verlust = erwarteter Jahresverlust × relativer Rückgang der Klickrate
netto, erstes Jahr = vermiedener Verlust − (Beschäftigte × Programmkosten pro Person)
Vier dieser fünf Zeilen sind Arithmetik mit Zahlen, die Sie liefern. Nur eine – der relative Rückgang der Klickrate – ist eine Aussage über die Welt, und sie entscheidet, ob das Ergebnis positiv oder negativ ist. Deshalb hat sie einen eigenen Regler, statt in einem Koeffizienten versteckt zu sein.
Bewusst nicht im Modell: die Zahl eingehender Phishing-Mails. Eine Klickrate ist ein Anteil von Personen, und einen Anteil von Personen mit einer Zahl von Nachrichten zu multiplizieren, ist ein Einheitenfehler, der jede nachfolgende Zahl still aufbläht. Beides ehrlich zu verbinden, würde eine Modellierung wiederholter Exposition pro Person erfordern – das leistet dieses Werkzeug nicht, und es tut auch nicht so.
Woher die Zahlen kommen
Hinter den zwei Szenarien stehen zwei veröffentlichte Quellen. Keine davon sind wir. Beide Quellen sind englischsprachig.
Der Abstand zwischen diesen beiden Befunden ist kein Widerspruch. Der eine hat jährliche Pflichtmodule gemessen, der andere laufende Tests in Kombination mit Schulung. Es sind unterschiedliche Maßnahmen mit demselben Namen – genau deshalb ist ein einzelner ROI-Branchendurchschnitt bedeutungslos, und dieses Werkzeug weigert sich, einen auszugeben.
Was dieses Werkzeug nicht tut
Fragen
Was man fragt, bevor man dem Rechner eines Anbieters traut.