Definícia a výpočet
Miera nahlásení sa počíta ako počet príjemcov, ktorí simulovaný e-mail nahlásili, vydelený počtom doručených e-mailov. Nahlásenie sa počíta aj vtedy, keď zamestnanec najprv klikol a až potom spozornel: práve títo ľudia zastavujú skutočný útok, lebo bezpečnostný tím sa o ňom dozvie v minútach. Druhým číslom je čas do prvého nahlásenia, teda ako dlho po odoslaní kampane prišlo prvé hlásenie.
Užitočný je aj pomer nahlásení ku kliknutiam v jednej kampani. Medziodvetvový priemer Proofpointu je 3,78 nahlásení na jedno kliknutie; ak váš pomer štvrťrok po štvrťroku rastie, program funguje, aj keď miera kliknutí stagnuje.
Prečo záleží viac než na kliknutiach
Miera kliknutí meria zlyhanie, miera nahlásení meria obranu. Pri skutočnom útoku nikdy nezabránite každému kliknutiu; podľa Verizon DBIR klikne medián používateľa do 21 sekúnd od otvorenia e-mailu a údaje zadá o ďalších 28 sekúnd neskôr. Čo rozhoduje, je, či niekto iný tú istú správu nahlási skôr, než ju otvorí druhá obeť, aby ju bezpečnostný tím mohol odstrániť zo všetkých schránok.
Hlásenie v prvej hodine zvyčajne znamená zmenu hesla; to isté hlásenie na druhý deň ráno môže znamenať incident. Zamestnanci, ktorí nahlasujú, sú ľudská sieť senzorov, ktorú žiadny filter nenahradí, lebo vidia aj správy, ktoré filtrom prešli. Čo má zamestnanec urobiť po kliknutí, zhŕňa heslo klikol som na phishingový odkaz.
S čím mieru nahlásení porovnať
- Proofpoint State of the Phish: nahlásených je len 18,3 % simulovaných phishingových e-mailov.
- Verizon DBIR: celosvetový benchmark okolo 20 %.
- Hoxhunt: udržateľné nahlasovanie nad 20 % je znakom cieleného programu zmeny správania; najlepšie programy dosahujú 52 až 74 % podľa odvetvia.
Východisková hodnota pod 10 % je bežná vo firmách bez tlačidla na nahlasovanie, pretože nahlásenie vyžaduje napísať e-mail IT oddeleniu a väčšina ľudí to neurobí. Zdroje a ďalšie slovenské aj európske čísla uvádza článok phishing štatistiky 2026.
Ako mieru nahlásení zvýšiť
- Tlačidlo na nahlásenie jedným klikom priamo v Outlooku alebo Gmaile. Každý ďalší krok navyše nahlásenia znižuje.
- Reakcia na každé nahlásenie: poďakovanie a krátka informácia, čo sa s hlásením stalo. Hlásenia do ticha po pár týždňoch ustanú.
- Nikdy neobviňovať toho, kto nahlásil, ani toho, kto predtým klikol. Jedno verejné pokarhanie stojí všetky budúce hlásenia z daného tímu.
- Pozitívna spätná väzba v simulácii: kto nahlási, dozvie sa hneď, že urobil správnu vec.
- Školenie na zámienkach, ktoré k zamestnancom naozaj chodia: miestna banka, prepravca, zmena mzdového účtu. Čo nahlásiť, musí byť zrejmé z príkladov phishingových e-mailov, nie z abstraktnej definície.
- Mieru nahlásení uvádzať v reporte pre vedenie vedľa miery kliknutí, aby sa stala sledovaným cieľom.
Ako ju reportovať vedeniu a audítorovi
Za každú kampaň uveďte mieru nahlásení, čas do prvého nahlásenia a pomer nahlásení ku kliknutiam, rozdelené podľa tímov, a k tomu trend naprieč kampaňami. Pre kontrolu NBÚ je to priamy dôkaz vyhodnotenia účinnosti vzdelávania, ktoré vyžaduje vyhláška č. 227/2025; pre audítora ISO 27001 dôkaz, že povedomie podľa opatrenia A.6.3 mení správanie. Čo všetko patrí do dôkazov, zhŕňa heslo kybernetická hygiena.
Časté otázky
Aká miera nahlásení je dobrá?
Nad 20 % udržateľne znamená, že program mení správanie; benchmarky Proofpointu a Verizonu sa pohybujú okolo 18 až 20 % a najlepšie programy podľa Hoxhuntu dosahujú 52 až 74 %. Väčšina firiem začína pod 10 %, takže prvým cieľom býva zdvojnásobiť východiskovú hodnotu do roka a skrátiť čas do prvého nahlásenia na minúty.
Počíta sa nahlásenie aj vtedy, keď zamestnanec predtým klikol?
Áno, a je to jedno z najcennejších nahlásení. Človek, ktorý klikol a potom spozornel, dáva bezpečnostnému tímu včasnú informáciu o tom, že kampaň prešla filtrami, a umožní zablokovať doménu a vymeniť heslo skôr, než vznikne škoda. V reporte sa vedie osobitne ako nahlásenie po kliknutí.
Prečo je čas do nahlásenia dôležitejší než samotný počet?
Lebo skutočný útok sa vyvíja v minútach: medián do kliknutia je 21 sekúnd od otvorenia e-mailu a do zadania údajov ďalších 28 sekúnd. Dvadsať nahlásení na druhý deň nezastaví nič; jedno nahlásenie päť minút po doručení umožní správu odstrániť zo všetkých schránok. Preto sa meria čas do prvého nahlásenia za každú kampaň.
Musíme mať tlačidlo na nahlasovanie, aby sme mieru nahlásení merali?
Merať sa dá aj z e-mailov poslaných IT oddeleniu, no bez tlačidla býva miera nahlásení nízka a meranie nespoľahlivé, lebo každé nahlásenie vyžaduje viac krokov a ručné spárovanie s kampaňou. Tlačidlo nasadené centrálne cez Microsoft 365 alebo Google Workspace nahlásenie zjednoduší na jedno kliknutie a zapíše ho priamo k výsledkom kampane.