Snad v rámci každého kurzu pro vzdělávání koncových uživatelů ohledně hrozeb spojených s používáním e-mailu je diskutována problematika phishingu. Někdy je jí věnována jen určitá část kurzu a vedle ní je probírán i spam nebo (v organizacích, u nichž je to relevantní) různé aspekty používání DLP v kontextu elektronické pošty. Někdy je ale také phishing jedinou probíranou oblastí. Toto jednostranné zaměření je - vzhledem k tomu, že phishing je jedním z nejčastějších vektorů kybernetických útoků - zcela pochopitelné.

V důsledku toho, že lektoři a autoři kurzů se zaměřují zejména na tuto hrozbu (a případně jiné externí hrozby), ale často zapomínají akcentovat nebezpečí neúmyslného úniku citlivých dat v důsledku jednoduchého přehlédnutí uživatele.

Snad každému, kdo denně používá e-mail, se někdy podařilo odeslat zprávu před tím, než byla dokončená, nebo - což je zpravidla problematičtější - odeslat zprávu nesprávnému příjemci. Pokud se jedná o soukromou elektronickou poštu, to nejhorší, co se člověku může stát je, že pošle někomu ze svých známých zprávu, v níž se o nich nevyjadřuje zrovna lichotivě, nebo odešle své drahé polovičce e-mail určený své milence či svému milenci.

Aniž bych chtěl bagatelizovat potenciální nebezpečí plynoucí z výše uvedených situací, je zjevné, že v prostředí moderních organizací mohou mít obdobné omyly následky mnohem citelnější…tedy ponecháme-li stranou možnost, že se onen nepozorný uživatel v návaznosti na špatně adresovaný e-mail dočká “vávrovy” kávy od své drahé polovičky.

O tom, že je v rámci kurzů zvyšování bezpečnostního povědomí zaměstananců vhodné zmiňovat alespoň krátce potřebu kontroly správně napsané adresy příjemce před odesláním jakékoli citlivé informace nebo dokumentu tak není potřeba dlouze uvažovat. Je však na místě poznamenat, že potenciálně ještě horší následky, než odeslání zprávy jednomu nesprávnému příjmci, může mít bezmyšlenkovité použití tlačítka Reply All.

Bezpečnostní princip označovaný “need to know” stanoví, že pouze jednotlivci, kteří pro výkon své práce určitou informaci nezbytně potřebují, by jí měly znát. I v organizacích, které nemají formálně zavedená sofistikovanější pravidla ochrany informací, by měl být tento princip dodržován, minimálně při nakládání s citlivými a důvěrnými údaji. A přestože zasílání odpovědi na e-mail pouze na některé z původních účastníků konverzace se může jevit jako porušení pravidel netikety (což je důvod, proč má většina uživatelů ve zvyku seznam příjemců neměnit), je to jediný způsob jak zabránit vyzrazení citlivých informací nežádoucím osobám.

Seznamy příjemců totiž mívají tendenci v čase “bobtnat”. Se zvyšující se délkou se e-mailové diskuze často stávají potenciálně zajímavými i pro ještě nezapojené jedince a uživatelé tak mají tendenci je v dobré víře do seznamu příjemců připojovat. Pokud si rozšíření seznamu příjemců nevšimnou původní účastníci komunikace, může snadno dojít k porušení výše zmíněného bezpečnostního principu.

Je známou skutečností, že to, co děláme často a stejně, máme tendenci dělat bez rozmyslu. Aby se uživatelé s pomocí bezmyšlenkovitého odeslání e-mailu nedopustili nezáměrného vyzrazení citlivých informací, je tak na místě autorům a lektorům bezpečnostních kurzů cílených na běžné uživatele doporučit:

• akcentovat při školení potřebu opatrnosti při klikání na tlačítko Reply All,
• seznamovat uživatele s potřebou kontrolovat seznam příjemců před odesláním jakékoli zprávy s potenciálně citlivým obsahem a
• bez milosti z tohoto seznamu vyřazovat jakékoli příjemce, kteří nemají potřebu tento obsah znát.

Výše škody způsobené organizaci vyzrazením jejích citlivých informací je totiž ve většině případů srovnatelná, ať už k úniku došlo v důsledku útoku externího aktéra, nebo nezáměrného přehlédnutí uživatele.