De measte feiligensdiskusjes sjogge meiwurkers ôf as in oanspraak. Dêrnei fersterket de training dy't oanbean wurdt dit idee - mei lange jierlikse presintaasjes en alarmearjende gefolgen dy't útstippeld wurde foar alle flaters dy't meiwurkers meitsje kinne. Dizze oanpak wekket eangst, ûnferskilligens en hast gjin gedrachsferoaring. In alternative oanpak is lykwols beskikber, it útgongspunt moat allinich omkeard wurde.
Wêrom training basearre op eangst net wurket
Neffens de Rapport oer ûndersyk nei gegevenslekkage fan Verizon, 74% fan alle datalekken hawwe te krijen mei it minsklik elemint. Oft it no in suksesfolle sosjale technyk-oanfal is, in flater of misbrûk. Minsken dy't dizze statistiken diele, brûke se faak om oan te jaan dat meiwurkers in swakte binne, mar de statistyk lit echt sjen dat minsklik gedrach it doelwyt is fan in oanfal - en minsklik gedrach is ek wêr't jo it stopje kinne.
Eangstbasearre training sjocht dy statistyk as in oardiel. Bewustwêzenbasearre training sjocht it as in kâns. As jo minsken beseffe dat se de earste deteksjeline binne - net in swakke skeakel - feroarje se har tinkwize. Se fernimme dingen dy't se noch noait earder opmurken hawwe. Se sprekke har út, ynstee fan stil te hoopjen dat se ferkeard binne.
Technyske kontrôle is minder wichtich as dizze psychologyske.
Foarby it jierlikse fakje gean
Benaderje training foar meiwurkersfeiligens mei in neilibjen-earste mentaliteit, en dit is de syklus wêryn jo josels fêstlizze. In sesje wurdt pland, jo team ferskynt (hopelik), sit troch in fideo of presintaasje, in fakje wurdt oankrúst op jo feiligenskontrôle, en neat feroaret oant deselde tiid folgjend jier, as jo it allegear wer dogge. Tsjin dat punt is hast al dy ynformaasje en kontekst al lang út it koarte-termyn ûnthâld fan jo team. Waskje, spielje en werhelje.
Dit is gjin teamfalen, it is in strukturele. Ferfal fan minsklik ûnthâld wurket net op in syklus fan 12 moannen (it soe aardich cool wêze as dat sa wie), in protte fan dy weardefolle trainingsynformaasje bestiet net mear yn 'e holle fan in team tsjin 'e tiid dat se it it meast nedich hawwe - de folgjende kear dat der wat kwea-aardichs op jo organisaasje rjochte is.
Automatisearre trainingssyklusen hawwe bewiisd dat se har jierlikse, hânmjittige workshops better prestearje as gewoan ien reden: troch feiligens it hiele jier troch yn gedachten te hâlden, net allinich tidens it seminar. Training foar feiligensbewustwêzen levere fia in automatisearre platfoarm kinne jo elkenien berikke, foarútgong folgje en oanpasse op basis fan werklik gedrach - sadat in team dat goede feiligens praktisearret troch thús te wurkjen tidens in stressfolle maart folle minder kâns hat om flaters te meitsjen yn desimber.
It just-in-time learmodel
Training foar meiwurkersfeiligensbewustwêzen is it effektyfst as it op it optimale momint wurdt levere. Bygelyks, as in meiwurker op in phishing-simulaasjelink klikt, moat de reaksje net wêze om se gewoan te melden en dermei klear te wêzen. Ynstee dêrfan is dat de perfekte gelegenheid om se direkt in koarte, rjochte learmodule te jaan.
Dizze oanpak, ek wol bekend as just-in-time learen, rapportearret bettere retinsjesifers as foarôf plande training. De les is direkt relatearre oan wat der bard is. De meiwurker fielt him net bestraft, mar leart ynstee wat er foarkomme moat krekt op it juste momint as dizze ynformaasje it meast nedich is.
In kultuer fan gjin skuldrapportaazje opbouwe
It is ûnûntkomber dat sels de bêst oplate meiwurkers fan tiid ta tiid flaters meitsje. It ferskil tusken in lyts ynsidint en in folslein ynbreuk is faak hoe fluch de flater rapportearre wurdt. As meiwurkers bang binne foar represailles, sille se stil bliuwe. De ynbreuk sil eskalearje. En tsjin 'e tiid dat immen it úteinlik opmerkt, sil it herstel in stik djoerder wêze.
Dêrom is in goed definiearre, net-straffende rapportaazjeproses ien fan 'e wichtichste dingen dy't in organisaasje ynstelle kin. It lit meiwurkers sjen dat it direkt finen en melden fan in flater de juste reaksje is - net iets om te ferbergjen. It skept ek alarmen dy't jo befeiligingspersoniel brûke kin foardat in ynbreuk bûten kontrôle rint.
En dit sprekt absolút ta it risiko fan insider-bedriging op in manier dêr't wy net faak genôch oer prate. De measte ynsidinten fan insider-ynsidinten binne net kwea-aardich. It binne flaters - immen dy't unautorisearre software ynstallearret, bedrogen wurdt troch in foarwendseloanfal, in wolktsjinner ferkeard konfigurearret. In kultuer fan feiligens by it rapportearjen fangt dy flaters op foardat se eskalearje. In kultuer fan skuld lit se ferbergje.
Feiligens fiele litte as in profesjonele feardigens
Soms wurdt gamifikaasje as in triviale saak beskôge, mar it wurket eins om't it de kontekst feroaret: dizze training is net iets dat oan meiwurkers jûn wurdt, it is iets dêr't se goed yn wêze kinne. Leaderboards, erkenning en foltôgingsbadges triggerje deselde kompetitive en prestaasjemotivaasje dy't minsken derta bringt om profesjonele sertifikaasjes te folgjen.
As meiwurkers begjinne te notearjen hoe't se har feiligensbewustwêzen foarútgong meitsje of in sterke prestaasje fan har team fernimme yn in phishing-simulaasje, is feiligens net mear it probleem fan in kompjûternerd, mar de identiteit fan in professional. En dat is wêr't de echte cyberfeiligenskultuer foarme wurdt - net fan posters, mûsmatten of pluizige boartersguod, en ek net fan warskôgingsstickers yn it meiwurkershânboek.
MFA-oannimmen, reduksje fan skaad-IT, en sels kulturele aspekten fan fysike feiligens lykas juste útdaging foar tailgating of piggybacking, ferbetterje as meiwurkers it idee akseptearje dat dit de wichtichste faktoaren binne foar hoe't in goede professional operearret. Jo stribje net nei neilibjen fan regels; jo stribje nei kompetinsje.
De organisaasjes dy't it bêste reagearje op ynsidinten binne net dyjingen dy't de meast ûnbidige, X-Prize-weardige befeiligingstechnology hawwe. It binne de organisaasjes waans meiwurkers motivearre binne om profesjoneel kompetint te wêzen en, as se wat frjemds sjogge, direkt stipe sykje.