What percentage of cyberattacks start from employees?

91% of cyberattacks begin with a human factor, typically through phishing emails, social engineering, or credential compromise. This makes employee security awareness the most critical layer of defense.

Employee Cybersecurity Training Guide

Q: Why don't annual cybersecurity training sessions work?

Research shows that after 90 days, 80% of training content is forgotten. One-time sessions don't create behavioral change. Effective security requires ongoing phishing simulations, micro-training every two weeks, and a culture where reporting suspicions is encouraged.

Q: How can companies reduce phishing click rates?

By running monthly phishing simulations with tools like KnowBe4 or Proofpoint. Employees who click receive immediate targeted training. After 12 months, average click rates drop from 28% to 4%.

תשקיעו כמה שתרצו ב-Firewall, EDR ו-SIEM - עובד אחד שלוחץ על קישור פישינג הופך את כל זה לחסר ערך. הנתון לא משתנה: 91% מהמתקפות מתחילות מגורם אנושי. ובישראל ב-2025, פישינג ממוקד בעברית הפך לווקטור ההתקפה הנפוץ ביותר.

91%מהמתקפות מתחילות מגורם אנושי

3.4 שניותזמן ממוצע שלוקח לעובד ללחוץ על קישור פישינג

82%מהעובדים לא יודעים לזהות מתקפת Social Engineering

הדרכות חד-פעמיות לא עובדות

בואו נגיד את זה ישר: הדרכת "Cybersecurity Awareness" אחת בשנה, עם סרטון יוטיוב ושקפי PowerPoint - לא עובדת. מחקרים מראים שאחרי 90 יום, 80% מהתוכן נשכח. אנשים לא לומדים מהדרכות - הם לומדים מניסיון.

תרחיש אמיתי

חברת יבוא בתל אביב, 85 עובדים. עברו הדרכת cyber awareness בינואר. במרץ - מנהל הכספים קיבל מייל מ"המנכ"ל" שביקש העברה דחופה של 180,000 ש"ח לספק חדש. אין זמן לאמת. תוך 4 שעות הכסף יצא. זה BEC (Business Email Compromise) - ושום הדרכה בודדת לא תמנע את זה.

מה כן עובד: Security Culture, לא Security Training

ההבדל בין חברה שעובדיה מגנים עליה לחברה שעובדיה חושפים אותה - לא בשעות הדרכה. הוא בתרבות. Security culture זה כשעובד מרים טלפון לאיש ה-IT לפני שהוא לוחץ על "קישור מעניין", כי הוא יודע שמותר לשאול.

תוכנית הדרכה שעובדת: 4 שכבות

שכבה 1: Phishing Simulation - בחנו לפני שהתוקף יבחן

שלחו מיילי פישינג מדומים לעובדים פעם בחודש. מי שלוחץ - מקבל הדרכה מיידית ואישית, לא שיעור לכל הקבוצה. כלים כמו KnowBe4 או Proofpoint עושים את זה אוטומטית. אחרי 12 חודשים, שיעור הלחיצה יורד מ-28% ל-4%.

שכבה 2: Micro-training - 5 דקות, פעם בשבועיים

שיעורים קצרים, ממוקדים, רלוונטיים. לא "כל מה שצריך לדעת על סייבר" - אלא "איך מזהים BEC?", "מה עושים עם USB שנמצא?", "מה זה MFA ולמה זה חשוב?". תוכן קצר שאפשר לצרוך בין ישיבות.

שכבה 3: Reporting Culture - קל לדווח, לא מביך

צרו ערוץ דיווח פשוט: כפתור דיווח ב-Outlook, קבוצת WhatsApp "חשדות סייבר", או פשוט מספר טלפון. והכי חשוב - לעולם אל תבזו עובד שדיווח על חשד. גם אם זה היה בסדר גמור.

שכבה 4: Privileged Users - ההגנה הכפולה

מנהלי כספים, מנכ"לים, HR - אלה היעדים המועדפים על תוקפים. צריכים הדרכה ספציפית לתפקיד: איך מאמתים בקשות דחופות, מה זה CEO Fraud, ולמה "אין זמן" לא סיבה לדלג על אימות.

5 דברים שכל עובד חייב לדעת

MFA על הכל - אימות דו-שלבי. נקודה. הדבר הבודד שמונע 99% מהגישות הלא מורשות.
לאמת לפני לשלם - כל בקשת תשלום, גם מ"המנכ"ל", מאומתת בטלפון למספר שאתה מכיר.
סיסמאות ייחודיות לכל שירות - Password Manager. נקודה.
לא ללחוץ על קישורים במיילים - גם אם המייל נראה לגיטימי. לגשת לאתר ישירות דרך הדפדפן.
לדווח על חשדות - עדיף להרגיש טיפש פעם אחת מלהיות הסיבה לאירוע.

שאלות נפוצות

למה הדרכות סייבר שנתיות לא עובדות?

מחקרים מראים ש-80% מהתוכן נשכח אחרי 90 יום. הדרכה חד-פעמית לא משנה התנהגות. לפי המלצות NIST לעסקים קטנים, צריך גישה מתמשכת - סימולציות פישינג, הדרכות מיקרו, ותרבות דיווח.

מהי שיטת ההדרכה היעילה ביותר?

גישת 4 שכבות: סימולציות פישינג חודשיות (מורידות לחיצה מ-28% ל-4%), הדרכות מיקרו של 5 דקות כל שבועיים, ערוצי דיווח נגישים, והדרכה ייעודית למשתמשים עם הרשאות גבוהות.

איך מורידים את שיעור הלחיצה על פישינג?

באמצעות סימולציות פישינג חודשיות עם כלים כמו KnowBe4 או Proofpoint. לפי דוח IBM Cost of a Data Breach, הדרכת עובדים היא אחד הגורמים המשמעותיים ביותר בהפחתת עלות פריצה.

קריאה נוספת: מה לעשות כשמתקפת כופרה פוגעת | שירותי אבטחת המידע שלנו | העלות הנסתרת של IT עצמאי | בזבוז רישיונות Microsoft 365

רוצים לבדוק כמה העובדים שלכם פגיעים?

נשלח Phishing Simulation ללא עלות ונראה לכם את התוצאות. מבטיחים שיהיה מפתיע.

קבעו בדיקה חינמית ←

Invest as much as you want in Firewalls, EDR, and SIEM - if one of your employees clicks a phishing link, all your technological defenses are worthless. This statistic doesn't change: 91% of attacks start from a human factor. And in Israel in 2025, targeted phishing in Hebrew has become the most common attack vector.

91%of attacks start from a human factor

3.4 secaverage time for an employee to click a phishing link

82%of employees can't identify Social Engineering attacks

One-Time Training Doesn't Work

This is the first thing we need to say directly: a single annual "Cybersecurity Awareness" training, with a YouTube video and PowerPoint slides - doesn't work. Research shows that after 90 days, 80% of content is forgotten. People don't learn from training sessions - they learn from experience.

What Works: Security Culture, Not Security Training

The difference between a company whose employees protect it and one whose employees expose it isn't training hours - it's culture. Security culture is when an employee calls IT before clicking "an interesting link," because they know it's okay to ask.

A Training Program That Works: 4 Layers

Layer 1: Phishing Simulation - Test Before the Attacker Does

Send simulated phishing emails to your employees monthly. Those who click get immediate, dedicated training - not another group lesson. Tools like KnowBe4 or Proofpoint do this automatically. After 12 months, the average click rate drops from 28% to 4%.

Layer 2: Micro-training - 5 Minutes, Every Two Weeks

Short, focused, relevant sessions. Not "everything you need to know about cyber" - but "how to spot BEC?", "what to do with a found USB?", "what is MFA and why does it matter?" Short content that can be consumed between meetings.

Layer 3: Reporting Culture - Easy to Report, Not Embarrassing

Create a simple reporting channel: a "Report" button in Outlook, a WhatsApp group "Cyber Suspicions," or simply a phone number. And most importantly - never shame an employee who reported a suspicion. Even if it was nothing.

Layer 4: Privileged Users - Double Protection

Finance managers, CEOs, HR - these are the coveted targets. They need role-specific training: how to verify urgent requests, what is CEO Fraud, and why "no time" is not a reason to skip verification.

5 Things Every Employee Must Know

MFA on everything - two-factor authentication. Period. This single thing prevents 99% of unauthorized access.
Verify before paying - every payment request, even from "the CEO," verified by phone on a number you already know.
Unique passwords for every service - Password Manager. Full stop.
Don't click links in emails - even if the email looks legitimate. Access websites directly through the browser.
Report suspicions - better to feel silly once than to be the cause of an incident.

Frequently Asked Questions

Why don't annual cybersecurity training sessions work?

Research shows 80% of content is forgotten after 90 days. One-time training doesn't change behavior. According to NIST's small business cybersecurity guidance, ongoing simulations, micro-training, and a reporting culture are required.

What is the most effective employee cybersecurity training method?

A 4-layer approach: monthly phishing simulations (reduces click rates from 28% to 4%), bi-weekly 5-minute micro-training, easy reporting channels, and specialized training for privileged users.

How can companies reduce phishing click rates?

Monthly phishing simulations with tools like KnowBe4 or Proofpoint. The IBM Cost of a Data Breach Report identifies employee training as one of the most significant factors in reducing breach costs.

Further reading: What to Do When Ransomware Hits | Our Cybersecurity Services | The Hidden Cost of DIY IT | Microsoft 365 Licensing Waste

Want to test how vulnerable your employees are?

We'll run a free phishing simulation and show you the results. We promise it'll be surprising.

Schedule Free Test →

העובד שלך הוא הפרצה הגדולה ביותר:
איך להפוך אותו לחומת המגן הראשונה

הדרכות חד-פעמיות לא עובדות

מה כן עובד: Security Culture, לא Security Training

תוכנית הדרכה שעובדת: 4 שכבות

שכבה 1: Phishing Simulation - בחנו לפני שהתוקף יבחן

שכבה 2: Micro-training - 5 דקות, פעם בשבועיים

שכבה 3: Reporting Culture - קל לדווח, לא מביך

שכבה 4: Privileged Users - ההגנה הכפולה

5 דברים שכל עובד חייב לדעת

שאלות נפוצות

למה הדרכות סייבר שנתיות לא עובדות?

מהי שיטת ההדרכה היעילה ביותר?

איך מורידים את שיעור הלחיצה על פישינג?

רוצים לבדוק כמה העובדים שלכם פגיעים?

Your Employee Is Your Biggest Vulnerability:
How to Turn Them Into Your First Line of Defense

One-Time Training Doesn't Work

What Works: Security Culture, Not Security Training

A Training Program That Works: 4 Layers

Layer 1: Phishing Simulation - Test Before the Attacker Does

Layer 2: Micro-training - 5 Minutes, Every Two Weeks

Layer 3: Reporting Culture - Easy to Report, Not Embarrassing

Layer 4: Privileged Users - Double Protection

5 Things Every Employee Must Know

Frequently Asked Questions

Why don't annual cybersecurity training sessions work?

What is the most effective employee cybersecurity training method?

How can companies reduce phishing click rates?

Want to test how vulnerable your employees are?

העובד שלך הוא הפרצה הגדולה ביותר:איך להפוך אותו לחומת המגן הראשונה

הדרכות חד-פעמיות לא עובדות

מה כן עובד: Security Culture, לא Security Training

תוכנית הדרכה שעובדת: 4 שכבות

שכבה 1: Phishing Simulation - בחנו לפני שהתוקף יבחן

שכבה 2: Micro-training - 5 דקות, פעם בשבועיים

שכבה 3: Reporting Culture - קל לדווח, לא מביך

שכבה 4: Privileged Users - ההגנה הכפולה

5 דברים שכל עובד חייב לדעת

שאלות נפוצות

למה הדרכות סייבר שנתיות לא עובדות?

מהי שיטת ההדרכה היעילה ביותר?

איך מורידים את שיעור הלחיצה על פישינג?

רוצים לבדוק כמה העובדים שלכם פגיעים?

מאמרים קשורים

Your Employee Is Your Biggest Vulnerability:How to Turn Them Into Your First Line of Defense

One-Time Training Doesn't Work

What Works: Security Culture, Not Security Training

A Training Program That Works: 4 Layers

Layer 1: Phishing Simulation - Test Before the Attacker Does

Layer 2: Micro-training - 5 Minutes, Every Two Weeks

Layer 3: Reporting Culture - Easy to Report, Not Embarrassing

Layer 4: Privileged Users - Double Protection

5 Things Every Employee Must Know

Frequently Asked Questions

Why don't annual cybersecurity training sessions work?

What is the most effective employee cybersecurity training method?

How can companies reduce phishing click rates?

Want to test how vulnerable your employees are?

Related Articles

העובד שלך הוא הפרצה הגדולה ביותר:
איך להפוך אותו לחומת המגן הראשונה

Your Employee Is Your Biggest Vulnerability:
How to Turn Them Into Your First Line of Defense