بیشتر بحثهای امنیتی، کارمندان را به عنوان یک عامل دردسرساز به تصویر میکشند. متعاقباً، آموزشهای ارائه شده این ایده را تقویت میکنند - با ارائههای سالانه طولانی و عواقب نگرانکنندهای که برای هرگونه اشتباهی که کارمندان ممکن است مرتکب شوند، مشخص میشود. این رویکرد، ترس، بیعلاقگی و تقریباً هیچ تغییر رفتاری را القا نمیکند. با این حال، یک رویکرد جایگزین در دسترس است، فقط باید این فرضیه معکوس شود.
چرا آموزش مبتنی بر ترس نتیجه نمیدهد؟
با توجه به گزارش تحقیقات نقض داده ورایزن، ۷۴٪ از کل نقض دادهها شامل عنصر انسانی است. چه یک حمله مهندسی اجتماعی موفق باشد، چه یک خطا یا سوءاستفاده. افرادی که این آمار را به اشتراک میگذارند، اغلب از آنها برای نشان دادن ضعف کارمندان استفاده میکنند، با این حال، این آمار واقعاً نشان میدهد که رفتار انسان هدف یک حمله است - و رفتار انسان نیز جایی است که میتوانید آن را متوقف کنید.
آموزش مبتنی بر ترس، این آمار را به عنوان یک قضاوت میبیند. آموزش مبتنی بر آگاهی، آن را به عنوان یک فرصت میبیند. وقتی افراد شما متوجه میشوند که خودشان در خط اول تشخیص هستند - نه یک حلقه ضعیف - طرز فکر خود را تغییر میدهند. آنها متوجه چیزهایی میشوند که قبلاً هرگز متوجه آنها نشده بودند. آنها به جای اینکه در سکوت امیدوار باشند که اشتباه میکنند، صحبت میکنند.
کنترل فنی اهمیت کمتری نسبت به این کنترل روانی دارد.
عبور از چکباکس سالانه
اگر با رویکردی مبتنی بر انطباق با قوانین به آموزش امنیت کارکنان بپردازید، خودتان را در این چرخه گرفتار میکنید. یک جلسه برنامهریزی میشود، تیم شما (امیدوارانه) حاضر میشود، یک ویدیو یا ارائه را تماشا میکند، یکی از گزینههای ممیزی امنیتی شما تیک میخورد و هیچ چیز تا همین موقع در سال آینده تغییر نمیکند، زمانی که دوباره همه چیز را از نو انجام میدهید. تا آن زمان، تقریباً تمام آن اطلاعات و زمینهها مدتهاست که از حافظه کوتاهمدت تیم شما خارج شدهاند. این کار را بارها و بارها تکرار کنید.
این یک شکست تیمی نیست، بلکه یک شکست ساختاری است. زوال حافظه انسان در یک چرخه ۱۲ ماهه عمل نمیکند (اگر اینطور بود خیلی جالب میشد) بسیاری از آن اطلاعات آموزشی ارزشمند، زمانی که تیم به آن نیاز دارد، دیگر در ذهن آنها وجود ندارد - دفعه بعد که چیزی مخرب سازمان شما را هدف قرار میدهد.
ثابت شده است که چرخههای آموزش خودکار دقیقاً به یک دلیل از کارگاههای آموزشی سالانه و دستی بهتر عمل میکنند: با حفظ امنیت در کل سال، نه فقط در طول سمینار. آموزش آگاهی از امنیت ارائه خدمات از طریق یک پلتفرم خودکار به شما امکان میدهد به همه دسترسی داشته باشید، پیشرفت را پیگیری کنید و بر اساس رفتار واقعی خود را وفق دهید - بنابراین تیمی که در طول یک ماه مارس پراسترس، امنیت خوبی را در خانه رعایت میکند، احتمال بسیار کمتری دارد که در ماه دسامبر اشتباه کند.
مدل یادگیری به موقع
آموزش آگاهیبخشی امنیتی به کارکنان زمانی بیشترین تأثیر را دارد که در زمان بهینه ارائه شود. به عنوان مثال، وقتی کارمندی روی یک لینک شبیهسازی فیشینگ کلیک میکند، واکنش نباید صرفاً گزارش دادن و تمام کردن کار باشد. در عوض، این موقعیت مناسبی است که بلافاصله یک ماژول آموزشی کوتاه و متمرکز برای آنها فراهم شود.
این رویکرد که به عنوان یادگیری به موقع نیز شناخته میشود، نرخ ماندگاری بهتری نسبت به آموزش از پیش برنامهریزی شده گزارش میدهد. درس مستقیماً با آنچه اتفاق افتاده مرتبط است. کارمند احساس جریمه شدن نمیکند، بلکه در عوض یاد میگیرد که درست در لحظه مناسب که این اطلاعات بیشترین نیاز را دارد، از چه چیزی اجتناب کند.
ایجاد فرهنگ گزارشدهی بدون سرزنش
اجتنابناپذیر است که حتی آموزشدیدهترین کارمندان هم هر از گاهی اشتباه کنند. تفاوت بین یک حادثه جزئی و یک نقض کامل اغلب در سرعت گزارش اشتباه است. اگر کارمندان از انتقام بترسند، سکوت میکنند. نقض تشدید میشود. و تا زمانی که کسی بالاخره متوجه شود، بازیابی بسیار گرانتر خواهد بود.
به همین دلیل است که یک فرآیند گزارشدهیِ بهخوبی تعریفشده و بدون تنبیه، یکی از مهمترین چیزهایی است که یک سازمان میتواند اجرا کند. این به کارمندان نشان میدهد که یافتن و گزارش فوری یک اشتباه، واکنش صحیح است - نه چیزی که باید لاپوشانی شود. همچنین آلارمهایی ایجاد میکند که کارکنان امنیتی شما میتوانند قبل از اینکه نقض امنیتی از کنترل خارج شود، از آنها استفاده کنند.
و این کاملاً به خطر تهدید داخلی اشاره دارد، به گونهای که ما به اندازه کافی در مورد آن صحبت نمیکنیم. اکثر حوادث داخلی مخرب نیستند. آنها اشتباه هستند - کسی نرمافزار غیرمجاز نصب میکند، توسط یک حملهی پیشداوری فریب میخورد، یک سرور ابری را اشتباه پیکربندی میکند. فرهنگ ایمنی در گزارشدهی، این موارد را قبل از تشدید [فعالیت] شناسایی میکند. فرهنگ سرزنش به آنها اجازه میدهد پنهان شوند.
ایجاد حس امنیت به عنوان یک مهارت حرفهای
گاهی اوقات بازیسازی (گیمیفیکیشن) یک چیز بیاهمیت تلقی میشود، اما در واقع مؤثر است زیرا زمینه را تغییر میدهد: این آموزش چیزی نیست که به کارمندان داده شود، بلکه چیزی است که میتوانند در آن خوب باشند. جدول امتیازات، تقدیر و نشانهای تکمیل، همان انگیزه رقابتی و موفقیتی را ایجاد میکنند که افراد را به دنبال گرفتن گواهینامههای حرفهای سوق میدهد.
وقتی کارمندان شروع به ثبت پیشرفت آگاهی امنیتی خود میکنند یا متوجه عملکرد قوی تیم خود در یک شبیهسازی فیشینگ میشوند، امنیت دیگر مشکل یک خوره کامپیوتر نیست، بلکه هویت یک متخصص است. و اینجاست که فرهنگ واقعی امنیت سایبری شکل میگیرد - نه از پوسترها، پدهای ماوس یا اسباببازیهای پشمالو، و نه از برچسبهای هشدار دهنده در دفترچه راهنمای کارمندان.
پذیرش MFA، کاهش فناوری اطلاعات در سایه، و حتی جنبههای فرهنگی امنیت فیزیکی مانند چالش مناسب برای تعقیب غیرقانونی یا سوار شدن بر اسب، زمانی بهبود مییابند که کارکنان این ایده را بپذیرند که اینها شرطهای اساسی برای نحوه عملکرد یک متخصص خوب هستند. شما برای انطباق با قوانین فشار نمیآورید؛ شما برای شایستگی فشار میآورید.
سازمانهایی که به بهترین شکل به حوادث پاسخ میدهند، آنهایی نیستند که باورنکردنیترین و شایستهترین فناوری امنیتی را دارند، بلکه سازمانهایی هستند که کارکنانشان انگیزه دارند تا از نظر حرفهای شایسته باشند و وقتی چیز عجیبی میبینند، فوراً درخواست پشتیبانی میکنند.