De fleste sikkerhetsdiskusjoner fremstiller ansatte som en belastning. Deretter forsterker opplæringen som gis denne ideen – med lange årlige presentasjoner og alarmerende konsekvenser skissert for eventuelle feil ansatte måtte gjøre. Denne tilnærmingen innpoder frykt, manglende interesse og knapt noen atferdsendring. Imidlertid finnes det en alternativ tilnærming, premisset må bare reverseres.
Hvorfor fryktbasert trening ikke holder
Ifølge Verizon Data Breach Investigations Report74 % av alle datainnbrudd involverer den menneskelige faktoren. Enten det er et vellykket sosialt manipuleringsangrep, en feil eller misbruk. Folk som deler denne statistikken bruker den ofte til å indikere at ansatte er en svakhet, men statistikken viser virkelig at menneskelig atferd er målet for et angrep – og menneskelig atferd er også der du kan stoppe det.
Fryktbasert trening ser på denne statistikken som en vurdering. Bevissthetsbasert trening ser på den som en mulighet. Når folkene dine innser at de er den første oppdagelseslinjen – ikke et svakt ledd – endrer de tankesett. De legger merke til ting de aldri har lagt merke til før. De sier ifra, i stedet for å stille håpe at de tar feil.
Teknisk kontroll betyr mindre enn denne psykologiske.
Går forbi den årlige avmerkingsboksen
Når du går til sikkerhetsopplæring for ansatte med en tankegang der samsvar først og fremst er i fokus, er det denne syklusen du låser deg fast i. En økt planlegges, teamet ditt møter opp (forhåpentligvis), ser på en video eller presentasjon, en boks blir krysset av i sikkerhetsrevisjonen, og ingenting endres før samme tid neste år, når du gjør det hele på nytt. På det tidspunktet har nesten all den informasjonen og konteksten for lengst forlatt teamets korttidshukommelse. Vask, skyll og gjenta.
Dette er ikke en teamfeil, det er en strukturell en. Menneskelig hukommelsesforringelse opererer ikke i en 12-måneders syklus (det hadde vært ganske kult om det gjorde det), og mye av den verdifulle opplæringsinformasjonen finnes ikke lenger i et teams hode når de trenger den som mest – neste gang noe ondsinnet retter seg mot organisasjonen din.
Automatiserte opplæringssykluser har vist seg å overgå de årlige, manuelle workshopene av nøyaktig én grunn: ved å holde sikkerheten i tankene gjennom hele året, ikke bare under seminaret. Opplæring i sikkerhetsbevissthet levert via en automatisert plattform lar deg nå alle, spore fremdrift og tilpasse deg basert på faktisk atferd – så et team som praktiserer god sikkerhet ved å jobbe hjemmefra i en stressende mars måned, har mye mindre sannsynlighet for å gjøre feil i desember.
Just-in-time-læringsmodellen
Sikkerhetsbevissthetsopplæring for ansatte er mest effektiv når den leveres til optimal tid. Når en ansatt for eksempel klikker på en lenke for phishing-simulering, bør ikke reaksjonen være å bare rapportere dem og være ferdige med det. I stedet er det den perfekte anledningen til å gi dem en kort, fokusert læringsmodul med en gang.
Denne tilnærmingen, også kjent som «just-in-time»-læring, rapporterer bedre retensjonsrater enn forhåndsplanlagt opplæring. Lærdommen er direkte relatert til det som skjedde. Den ansatte føler seg ikke straffet, men lærer i stedet hva de skal unngå akkurat i riktig øyeblikk når denne informasjonen er mest nødvendig.
Å bygge en kultur der man ikke bebreider skylden
Det er uunngåelig at selv de mest velutdannede ansatte vil gjøre feil fra tid til annen. Forskjellen mellom en mindre hendelse og et fullverdig brudd er ofte hvor raskt feilen rapporteres. Hvis ansatte frykter gjengjeldelse, vil de tie stille. Bruddet vil eskalere. Og når noen endelig legger merke til det, vil gjenoppretting bli mye dyrere.
Derfor er en veldefinert, ikke-straffende rapporteringsprosess noe av det viktigste en organisasjon kan få på plass. Den viser ansatte at det å finne og rapportere en feil med en gang er den riktige responsen – ikke noe som skal dekkes over. Den skaper også alarmer som sikkerhetspersonalet kan bruke før et brudd kommer ut av kontroll.
Og dette taler absolutt for risikoen for innsiderelaterte hendelser på en måte vi ikke snakker om ofte nok. De fleste innsiderelaterte hendelser er ikke ondsinnede. De er feil – noen installerer uautorisert programvare, blir lurt av et påskuddsangrep, feilkonfigurerer en skyserver. En kultur preget av sikkerhet i rapporteringen fanger opp disse før de eskalerer. En kultur preget av skyld lar dem gjemme seg.
Å få sikkerhet til å føles som en profesjonell ferdighet
Noen ganger blir gamification sett på som en triviell ting, men det fungerer faktisk fordi det endrer konteksten: denne opplæringen er ikke noe som gis til ansatte, det er noe de kan være flinke til. Topplister, anerkjennelse og fullføringsmerker utløser den samme konkurranse- og prestasjonsmotivasjonen som får folk til å forfølge profesjonelle sertifiseringer.
Når ansatte begynner å merke fremgangen sin innen sikkerhetsbevissthet eller legger merke til en sterk prestasjon fra teamet sitt i en phishing-simulering, er ikke sikkerhet lenger et problem for en datanerd, det er en profesjonells identitet. Og det er der den virkelige cybersikkerhetskulturen dannes – ikke fra plakater, musematter eller myke leker, og heller ikke fra advarselsklistremerker i ansatthåndboken.
Adopsjon av MFA, reduksjon av skygge-IT og til og med fysiske sikkerhetskulturelle aspekter som skikkelig utfordring for tailgating eller piggybacking, forbedres når ansatte kjøper ideen om at dette er avgjørende for hvordan en god profesjonell opererer. Du presser ikke på for samsvar; du presser på for kompetanse.
De organisasjonene som reagerer best på hendelser er ikke de som har den mest utrolige sikkerhetsteknologien som er verdt å få X-Prize. Det er organisasjonene der de ansatte er motiverte til å være faglig kompetente, og når de ser noe merkelig, søker hjelp umiddelbart.