A maioría das conversas sobre seguridade representan os empregados como unha carga. Posteriormente, a formación impartida reforza esta idea, con longas presentacións anuais e consecuencias alarmantes descritas por calquera erro que os empregados poidan cometer. Esta estratexia infunde medo, desinterese e case ningún cambio de comportamento. Non obstante, existe unha estratexia alternativa, só hai que invertir a premisa.
Por que o adestramento baseado no medo non funciona
De acordo coa Informe de investigacións de violación de datos de VerizonO 74 % de todas as filtracións de datos implican o elemento humano. Xa sexa un ataque de enxeñaría social exitoso, un erro ou un mal uso. As persoas que comparten estas estatísticas adoitan usalas para indicar que os empregados son unha debilidade; porén, a estatística realmente mostra que o comportamento humano é o obxectivo dun ataque, e o comportamento humano tamén é onde se pode detelo.
A formación baseada no medo ve esa estatística como un xuízo. A formación baseada na concienciación véxaa como unha oportunidade. Cando o teu persoal se decata de que son a primeira liña de detección, non un elo débil, cambian a súa mentalidade. Observan cousas que nunca antes notaran. Falan alto, en lugar de esperar en silencio que estean equivocados.
O control técnico importa menos que este psicolóxico.
Superando a caixa de verificación anual
Abordar a formación en seguridade dos empregados cunha mentalidade de cumprimento normativo primeiro é o ciclo no que te atraparás. Prográmase unha sesión, o teu equipo preséntase (con sorte), mira un vídeo ou unha presentación, márcase unha casilla na túa auditoría de seguridade e nada cambia ata a mesma data o ano que vén, cando o fagas todo de novo. Nese momento, case toda esa información e contexto xa saíron da memoria a curto prazo do teu equipo hai moito tempo. Lavar, enxaugar e repetir.
Isto non é un fracaso de equipo, é un fracaso estrutural. A deterioración da memoria humana non funciona nun ciclo de 12 meses (sería xenial se o fixese), moita desa valiosa información de formación xa non existe na cabeza dun equipo cando máis a necesitan: a próxima vez que algo malicioso teña como obxectivo a túa organización.
Demostrouse que os ciclos de formación automatizados superan os seus obradoiros manuais anuais por unha razón: tendo en conta a seguridade durante todo o ano, non só durante o seminario. Formación de sensibilización en seguridade A información proporcionada a través dunha plataforma automatizada permíteche chegar a todos, rastrexar o progreso e adaptarte en función do comportamento real; polo tanto, un equipo que practica unha boa seguridade traballando desde a casa durante un marzo estresante ten moitas menos probabilidades de cometer erros en decembro.
O modelo de aprendizaxe xusto a tempo
A formación sobre concienciación sobre seguridade dos empregados é máis eficaz cando se imparte no momento óptimo. Por exemplo, cando un empregado fai clic nunha ligazón de simulación de phishing, a resposta non debería ser simplemente denuncialo e rematar. Pola contra, esa é a ocasión perfecta para proporcionarlles un módulo de aprendizaxe curto e específico de inmediato.
Esta estratexia, tamén coñecida como aprendizaxe xusto a tempo, rexistra mellores taxas de retención que a formación preprogramada. A lección está directamente relacionada co que aconteceu. O empregado non se sente penalizado, senón que aprende o que debe evitar no momento oportuno, cando máis se necesita esta información.
Construíndo unha cultura de denuncia sen culpa
É inevitable que mesmo os empregados mellor adestrados cometan erros de cando en vez. A diferenza entre un incidente menor e unha violación en toda regra adoita ser a rapidez coa que se informa do erro. Se os empregados temen represalias, gardarán silencio. A violación intensificarase. E para cando alguén finalmente se decate, a recuperación será moito máis custosa.
Por iso, un proceso de denuncia ben definido e non punitivo é unha das cousas máis importantes que unha organización pode implementar. Demóstralles aos empregados que atopar e denunciar un erro de inmediato é a resposta correcta, non algo que se deba ocultar. Tamén crea alarmas que o persoal de seguridade pode usar antes de que unha violación se descontrole.
E isto fala absolutamente do risco de ameaza interna dun xeito do que non falamos con suficiente frecuencia. A maioría dos incidentes internos non son maliciosos. Son erros: alguén instala software non autorizado, é enganado por un ataque pretextual, configura mal un servidor na nube. Unha cultura de seguridade na presentación de informes detecta a estes antes de que se agraven. Unha cultura de culpabilización permítelles agocharse.
Facer que a seguridade se sinta como unha habilidade profesional
Ás veces, a gamificación considérase algo trivial, pero en realidade funciona porque cambia o contexto: esta formación non é algo que se lles imparta aos empregados, senón algo no que poden ser bos. As táboas de clasificación, o recoñecemento e as insignias de finalización desencadean a mesma motivación competitiva e de logro que leva á xente a buscar certificacións profesionais.
Cando os empregados comezan a marcar o seu progreso na concienciación sobre seguridade ou a notar un bo rendemento do seu equipo nunha simulación de phishing, a seguridade xa non é un problema dun friki informático, senón a identidade dun profesional. E é aí onde se forma a verdadeira cultura de ciberseguridade, non a partir de carteis, alfombrillas de rato ou peluches, nin de adhesivos de advertencia no manual do empregado.
A adopción de MFA, a redución da TI na sombra e mesmo os aspectos culturais da seguridade física, como o desafío axeitado para o tailgating ou o piggybacking, melloran cando os empregados aceptan a idea de que estes son criterios de como opera un bo profesional. Non estás a impulsar o cumprimento das normas; estás a impulsar a competencia.
As organizacións que mellor responden aos incidentes non son as que teñen a tecnoloxía de seguridade máis incrible, digna dun premio X. Son aquelas organizacións cuxos empregados están motivados para ser profesionalmente competentes e, cando ven algo estraño, buscan axuda de inmediato.