सुरक्षा संबंधी अधिकांश चर्चाओं में कर्मचारियों को बोझ के रूप में चित्रित किया जाता है। परिणामस्वरूप, प्रदान किया जाने वाला प्रशिक्षण इस धारणा को और मजबूत करता है – लंबी वार्षिक प्रस्तुतियों के माध्यम से, और कर्मचारियों द्वारा की गई किसी भी गलती के भयावह परिणामों का वर्णन करके। यह दृष्टिकोण भय, अरुचि और व्यवहार में शायद ही कोई परिवर्तन उत्पन्न करता है। हालांकि, एक वैकल्पिक दृष्टिकोण उपलब्ध है, बस मूल विचार को उलटने की आवश्यकता है।
भय-आधारित प्रशिक्षण कारगर क्यों नहीं होता?
के अनुसार वेरिज़ोन डेटा उल्लंघन जांच रिपोर्टसभी डेटा उल्लंघनों में से 74% में मानवीय तत्व शामिल होता है। चाहे वह सफल सोशल इंजीनियरिंग हमला हो, कोई त्रुटि हो या दुरुपयोग। इन आंकड़ों को साझा करने वाले लोग अक्सर इनका उपयोग यह दर्शाने के लिए करते हैं कि कर्मचारी एक कमजोरी हैं, हालांकि, यह आंकड़ा वास्तव में दिखाता है कि मानवीय व्यवहार ही हमले का लक्ष्य है - और मानवीय व्यवहार ही वह जगह है जहां आप इसे रोक सकते हैं।
भय-आधारित प्रशिक्षण उस आंकड़े को एक निर्णय के रूप में देखता है। जागरूकता-आधारित प्रशिक्षण इसे एक अवसर के रूप में देखता है। जब आपके लोग यह महसूस करते हैं कि वे जोखिम की पहली कड़ी हैं - कोई कमजोर कड़ी नहीं - तो उनकी सोच बदल जाती है। वे उन चीजों पर ध्यान देते हैं जिन पर उन्होंने पहले कभी ध्यान नहीं दिया था। वे चुपचाप अपनी गलती मानने के बजाय खुलकर बोलते हैं।
तकनीकी नियंत्रण की तुलना में मनोवैज्ञानिक नियंत्रण अधिक महत्वपूर्ण है।
वार्षिक चेकबॉक्स से आगे बढ़ना
कर्मचारी सुरक्षा प्रशिक्षण को अनुपालन-प्रथम मानसिकता से अपनाएं, अन्यथा आप इसी चक्र में फंस जाएंगे। एक सत्र निर्धारित किया जाता है, आपकी टीम उपस्थित होती है (उम्मीद है), एक वीडियो या प्रस्तुति देखती है, सुरक्षा ऑडिट में एक औपचारिकता पूरी हो जाती है, और अगले साल फिर से यही प्रक्रिया दोहराई जाती है। तब तक, लगभग सारी जानकारी और संदर्भ आपकी टीम की अल्पकालिक स्मृति से निकल चुके होते हैं। यही प्रक्रिया बार-बार दोहराई जाती है।
यह टीम की विफलता नहीं है, बल्कि एक संरचनात्मक विफलता है। मानवीय स्मृति का क्षय 12 महीने के चक्र पर नहीं होता (अगर ऐसा होता तो बहुत अच्छा होता), और प्रशिक्षण से संबंधित कई महत्वपूर्ण जानकारियाँ टीम के सदस्यों के दिमाग से तब तक गायब हो जाती हैं जब उन्हें इसकी सबसे अधिक आवश्यकता होती है - यानी अगली बार जब कोई दुर्भावनापूर्ण हमला आपके संगठन को निशाना बनाता है।
स्वचालित प्रशिक्षण चक्रों को वार्षिक, मैन्युअल कार्यशालाओं की तुलना में बेहतर प्रदर्शन करते हुए सिद्ध किया गया है, और इसका एक ही कारण है: सुरक्षा को पूरे वर्ष ध्यान में रखना, न कि केवल सेमिनार के दौरान। सुरक्षा जागरूकता प्रशिक्षण एक स्वचालित प्लेटफॉर्म के माध्यम से दी जाने वाली सुविधा आपको सभी तक पहुंचने, प्रगति को ट्रैक करने और वास्तविक व्यवहार के आधार पर अनुकूलन करने की अनुमति देती है - इसलिए एक टीम जो तनावपूर्ण मार्च के दौरान घर से काम करते समय अच्छी सुरक्षा का अभ्यास करती है, उसके दिसंबर में गलतियाँ करने की संभावना बहुत कम होती है।
जस्ट-इन-टाइम लर्निंग मॉडल
कर्मचारियों को सुरक्षा के प्रति जागरूक करने वाला प्रशिक्षण सबसे प्रभावी तब होता है जब इसे सही समय पर दिया जाए। उदाहरण के लिए, जब कोई कर्मचारी फ़िशिंग सिमुलेशन लिंक पर क्लिक करता है, तो प्रतिक्रिया केवल उसकी रिपोर्ट करके मामला खत्म कर देना नहीं होनी चाहिए। इसके बजाय, यह उन्हें तुरंत एक संक्षिप्त, लक्षित शिक्षण मॉड्यूल प्रदान करने का सही अवसर है।
इस पद्धति को जस्ट-इन-टाइम लर्निंग भी कहा जाता है और यह पूर्व-निर्धारित प्रशिक्षण की तुलना में बेहतर प्रतिधारण दर दर्शाती है। इसमें सिखाया जाने वाला पाठ सीधे तौर पर घटी घटना से संबंधित होता है। कर्मचारी को दंडित महसूस नहीं होता, बल्कि उसे ठीक उसी समय यह जानकारी मिलती है जब इसकी सबसे अधिक आवश्यकता होती है, और उसे यह पता चलता है कि किन गलतियों से बचना चाहिए।
दोषारोपण रहित रिपोर्टिंग संस्कृति का निर्माण करना
यह स्वाभाविक है कि सबसे कुशल कर्मचारी भी कभी-कभी गलतियाँ कर बैठते हैं। एक छोटी सी घटना और एक गंभीर उल्लंघन के बीच का अंतर अक्सर इस बात पर निर्भर करता है कि गलती की सूचना कितनी जल्दी दी जाती है। यदि कर्मचारियों को प्रतिशोध का डर हो, तो वे चुप रहेंगे। उल्लंघन बढ़ता जाएगा। और जब तक किसी को इसका पता चलेगा, तब तक नुकसान की भरपाई में बहुत अधिक खर्च हो चुका होगा।
इसीलिए, एक सुव्यवस्थित और दंडात्मक न होने वाली रिपोर्टिंग प्रक्रिया किसी भी संगठन के लिए सबसे महत्वपूर्ण चीजों में से एक है। यह कर्मचारियों को यह दिखाती है कि गलती को तुरंत ढूंढना और उसकी रिपोर्ट करना सही प्रतिक्रिया है – न कि उसे छुपाना। यह सुरक्षा कर्मचारियों के लिए ऐसे संकेत भी तैयार करती है जिनका उपयोग वे सुरक्षा उल्लंघन के बेकाबू होने से पहले कर सकते हैं।
और यह बात अंदरूनी खतरे के जोखिम को उस तरह से उजागर करती है जिस पर हम अक्सर बात नहीं करते। ज्यादातर अंदरूनी घटनाएं दुर्भावनापूर्ण नहीं होतीं। ये गलतियां होती हैं – जैसे किसी का अनधिकृत सॉफ्टवेयर इंस्टॉल करना, प्रीटेक्स्टिंग अटैक का शिकार होना, क्लाउड सर्वर को गलत तरीके से कॉन्फ़िगर करना। रिपोर्टिंग में सुरक्षा की संस्कृति इन मामलों को बढ़ने से पहले ही पकड़ लेती है। दोषारोपण की संस्कृति इन्हें छिपाए रखती है।
सुरक्षा को एक पेशेवर कौशल जैसा महसूस कराना
कभी-कभी गेमिफिकेशन को मामूली बात समझा जाता है, लेकिन असल में यह कारगर होता है क्योंकि यह संदर्भ को बदल देता है: यह प्रशिक्षण कर्मचारियों को दिया जाने वाला प्रशिक्षण नहीं है, बल्कि यह एक ऐसी चीज है जिसमें वे निपुण हो सकते हैं। लीडरबोर्ड, पहचान और पूर्णता बैज वही प्रतिस्पर्धात्मक और उपलब्धि-प्रेरित भावनाएँ जगाते हैं जो लोगों को पेशेवर प्रमाणपत्र प्राप्त करने के लिए प्रेरित करती हैं।
जब कर्मचारी अपनी सुरक्षा जागरूकता में हुई प्रगति का आकलन करने लगते हैं या फ़िशिंग सिमुलेशन में अपनी टीम के शानदार प्रदर्शन को देखते हैं, तो सुरक्षा अब किसी कंप्यूटर विशेषज्ञ की समस्या नहीं रह जाती, बल्कि एक पेशेवर की पहचान बन जाती है। और यहीं से असली साइबर सुरक्षा संस्कृति का निर्माण होता है – न तो पोस्टरों, माउस पैडों या खिलौनों से, न ही कर्मचारी पुस्तिका में लगे चेतावनी स्टिकरों से।
मल्टी-फैक्टर ऑथेंटिकेशन (एमएफए) को अपनाना, शैडो आईटी को कम करना और यहां तक कि भौतिक सुरक्षा से जुड़े सांस्कृतिक पहलुओं, जैसे कि टेलगेटिंग या पिगीबैकिंग जैसे मामलों पर उचित रोक लगाना, में सुधार तब होता है जब कर्मचारी इस विचार को स्वीकार कर लेते हैं कि ये एक अच्छे पेशेवर के काम करने के मूलभूत तत्व हैं। आप अनुपालन के लिए दबाव नहीं डाल रहे हैं; आप दक्षता के लिए दबाव डाल रहे हैं।
घटनाओं पर सबसे प्रभावी प्रतिक्रिया देने वाले संगठन वे नहीं होते जिनके पास सबसे बेहतरीन, पुरस्कार विजेता सुरक्षा तकनीक हो। बल्कि वे संगठन होते हैं जिनके कर्मचारी पेशेवर रूप से सक्षम होने के लिए प्रेरित होते हैं और जब उन्हें कुछ असामान्य दिखाई देता है, तो वे तुरंत सहायता मांगते हैं।