Kebanyakan perbincangan keselamatan menggambarkan pekerja sebagai liabiliti. Seterusnya, latihan yang diberikan mengukuhkan idea ini – dengan pembentangan tahunan yang panjang lebar, dan akibat yang membimbangkan yang digariskan untuk sebarang kesilapan yang mungkin dilakukan oleh pekerja. Pendekatan ini menimbulkan ketakutan, ketidakminatan, dan hampir tidak ada perubahan tingkah laku. Walau bagaimanapun, pendekatan alternatif tersedia, premisnya hanya perlu diterbalikkan.
Mengapa latihan berasaskan ketakutan tidak berkesan
Menurut Laporan Penyiasatan Pelanggaran Data Verizon, 74% daripada semua pelanggaran data melibatkan elemen manusia. Sama ada serangan kejuruteraan sosial yang berjaya, ralat atau penyalahgunaan. Orang yang berkongsi statistik ini sering menggunakannya untuk menunjukkan bahawa pekerja adalah kelemahan, namun statistik tersebut benar-benar menunjukkan bahawa tingkah laku manusia adalah sasaran serangan – dan tingkah laku manusia juga merupakan tempat anda boleh menghentikannya.
Latihan berasaskan ketakutan melihat statistik itu sebagai penilaian. Latihan berasaskan kesedaran melihatnya sebagai peluang. Apabila orang anda menyedari bahawa mereka adalah barisan pengesanan pertama – bukan penghubung yang lemah – mereka mengubah pemikiran mereka. Mereka perasan perkara yang tidak pernah mereka perasan sebelum ini. Mereka bersuara, dan bukannya berharap mereka salah dalam diam.
Kawalan teknikal kurang penting berbanding kawalan psikologi ini.
Bergerak melepasi kotak semak tahunan
Dekati latihan keselamatan pekerja daripada pemikiran yang mengutamakan pematuhan, dan inilah kitaran yang anda alami. Sesi dijadualkan, pasukan anda hadir (mudah-mudahan), menonton video atau pembentangan, satu kotak ditanda pada audit keselamatan anda, dan tiada apa yang berubah sehingga masa yang sama tahun depan, apabila anda melakukannya sekali lagi. Pada ketika itu, hampir semua maklumat dan konteks itu telah lama hilang dari ingatan jangka pendek pasukan anda. Basuh, bilas, dan ulangi.
Ini bukan kegagalan pasukan, ia adalah kegagalan struktur. Pereputan ingatan manusia tidak beroperasi dalam kitaran 12 bulan, (ia akan menjadi agak menarik jika ia berlaku) banyak maklumat latihan yang berharga itu tidak lagi wujud dalam kepala pasukan apabila mereka paling memerlukannya – pada masa akan datang sesuatu yang berniat jahat menyasarkan organisasi anda.
Kitaran latihan automatik telah terbukti mengatasi bengkel manual tahunan mereka atas satu sebab: dengan mengutamakan keselamatan sepanjang tahun, bukan hanya semasa seminar. Latihan kesedaran keselamatan disampaikan melalui platform automatik membolehkan anda menjangkau semua orang, menjejaki kemajuan dan menyesuaikan diri berdasarkan tingkah laku sebenar – jadi pasukan yang mengamalkan keselamatan yang baik ketika bekerja dari rumah semasa bulan Mac yang tertekan adalah jauh lebih kecil kemungkinannya untuk melakukan kesilapan pada bulan Disember.
Model pembelajaran tepat pada masanya
Latihan kesedaran keselamatan pekerja paling berkesan apabila disampaikan pada masa yang optimum. Contohnya, apabila pekerja mengklik pautan simulasi pancingan data, responsnya bukan sekadar melaporkan mereka dan selesai melakukannya. Sebaliknya, itulah masa yang sesuai untuk menyediakan mereka dengan modul pembelajaran yang ringkas dan tertumpu dengan segera.
Pendekatan ini, juga dikenali sebagai pembelajaran tepat pada masanya, melaporkan kadar pengekalan yang lebih baik daripada latihan yang dijadualkan terlebih dahulu. Pengajarannya berkaitan secara langsung dengan apa yang berlaku. Pekerja tidak rasa dihukum tetapi sebaliknya mempelajari apa yang perlu dielakkan tepat pada saat yang tepat apabila maklumat ini paling diperlukan.
Membina budaya pelaporan tanpa menyalahkan
Tidak dapat dielakkan bahawa pekerja yang paling terlatih sekalipun akan melakukan kesilapan dari semasa ke semasa. Perbezaan antara insiden kecil dan pelanggaran besar-besaran selalunya terletak pada seberapa cepat kesilapan itu dilaporkan. Jika pekerja takut akan tindakan balas, mereka akan berdiam diri. Pelanggaran itu akan memuncak. Dan apabila seseorang akhirnya menyedarinya, pemulihan akan menjadi jauh lebih mahal.
Itulah sebabnya proses pelaporan yang jelas dan tidak menghukum merupakan salah satu perkara terpenting yang boleh dilaksanakan oleh sesebuah organisasi. Ia menunjukkan kepada pekerja bahawa mencari dan melaporkan kesilapan dengan segera adalah tindak balas yang betul – bukan sesuatu yang perlu ditutupi. Ia juga mewujudkan penggera yang boleh digunakan oleh kakitangan keselamatan anda sebelum pelanggaran menjadi tidak terkawal.
Dan ini benar-benar menunjukkan risiko ancaman orang dalam dengan cara yang jarang kita bincangkan. Kebanyakan insiden orang dalam tidak berniat jahat. Ia adalah kesilapan – seseorang memasang perisian tanpa kebenaran, ditipu oleh serangan berpura-pura, salah konfigurasi pelayan awan. Budaya keselamatan dalam pelaporan dapat menangkap perkara tersebut sebelum ia memuncak. Budaya menyalahkan membolehkan mereka bersembunyi.
Menjadikan keselamatan terasa seperti kemahiran profesional
Kadangkala gamifikasi dianggap sebagai perkara yang remeh, tetapi ia sebenarnya berkesan kerana ia mengubah konteks: latihan ini bukanlah sesuatu yang diberikan kepada pekerja, ia adalah sesuatu yang mereka boleh mahir. Papan pendahulu, pengiktirafan dan lencana penyempurnaan mencetuskan motivasi kompetitif dan pencapaian yang sama yang mendorong orang ramai untuk mengejar pensijilan profesional.
Apabila pekerja mula menunjukkan kemajuan kesedaran keselamatan mereka atau melihat prestasi pasukan mereka yang kukuh dalam simulasi pancingan data, keselamatan bukan lagi masalah pakar komputer, tetapi identiti seorang profesional. Dan di situlah budaya keselamatan siber sebenar terbentuk – bukan daripada poster, alas tetikus atau mainan gebu, mahupun daripada pelekat amaran dalam buku panduan pekerja.
Penerimaan pakai MFA, pengurangan IT bayangan, malah aspek budaya keselamatan fizikal seperti cabaran yang betul untuk mengekori atau membonceng, bertambah baik apabila pekerja menerima idea bahawa ini adalah taruhan meja bagi cara seorang profesional yang baik beroperasi. Anda tidak mendesak untuk pematuhan; anda mendesak untuk kecekapan.
Organisasi yang paling berkesan dalam menangani insiden bukanlah organisasi yang mempunyai teknologi keselamatan yang paling luar biasa dan layak menerima Hadiah X. Organisasi ini adalah organisasi yang pekerjanya bermotivasi untuk menjadi cekap secara profesional dan, apabila mereka melihat sesuatu yang pelik, mereka akan segera mendapatkan sokongan.