Majoritatea discuțiilor despre securitate îi prezintă pe angajați ca pe o povară. Ulterior, instruirea oferită întărește această idee - cu prezentări anuale lungi și consecințe alarmante descrise pentru orice greșeli pe care le-ar putea face angajații. Această abordare insuflă frică, dezinteres și aproape nicio schimbare de comportament. Cu toate acestea, există o abordare alternativă, premisa trebuie doar inversată.
De ce antrenamentul bazat pe frică nu are succes
Potrivit Raportul Verizon privind investigațiile privind încălcarea datelor74% din toate încălcările de date implică elementul uman. Fie că este vorba de un atac reușit de inginerie socială, o eroare sau o utilizare necorespunzătoare. Persoanele care distribuie aceste statistici le folosesc adesea pentru a indica faptul că angajații reprezintă o slăbiciune, însă statistica arată cu adevărat că comportamentul uman este ținta unui atac - și comportamentul uman este, de asemenea, locul unde îl puteți opri.
Instruirea bazată pe frică vede această statistică ca pe o judecată. Instruirea bazată pe conștientizare o vede ca pe o oportunitate. Când oamenii își dau seama că sunt prima linie de detectare – nu o verigă slabă – își schimbă mentalitatea. Observă lucruri pe care nu le-au observat niciodată înainte. Vorbesc deschis, în loc să spere în tăcere că greșesc.
Controlul tehnic contează mai puțin decât acesta psihologic.
Trecerea la caseta de selectare anuală
Abordează instruirea privind securitatea angajaților dintr-o mentalitate care pune pe primul loc conformitatea, iar acesta este ciclul în care te blochezi. O sesiune este programată, echipa ta se prezintă (sperăm), urmărește un videoclip sau o prezentare, se bifează o căsuță în auditul de securitate și nimic nu se schimbă până la aceeași dată anul viitor, când vei relua totul de la capăt. În acel moment, aproape toate acele informații și context au dispărut de mult din memoria pe termen scurt a echipei tale. Spală, clătește și repetă.
Acesta nu este un eșec al echipei, ci unul structural. Degradarea memoriei umane nu funcționează pe un ciclu de 12 luni (ar fi destul de tare dacă ar funcționa), multe dintre acele informații valoroase de training nu mai există în mintea unei echipe în momentul în care aceasta are cea mai mare nevoie de ele - data viitoare când ceva rău intenționat vizează organizația dumneavoastră.
Ciclurile de instruire automatizate s-au dovedit a depăși performanța atelierelor manuale anuale dintr-un singur motiv: prin faptul că au în vedere securitatea pe tot parcursul anului, nu doar în timpul seminarului. Instruire de conștientizare a securității Informațiile furnizate prin intermediul unei platforme automatizate vă permit să ajungeți la toată lumea, să urmăriți progresul și să vă adaptați în funcție de comportamentul real – astfel încât o echipă care practică o bună securitate lucrând de acasă în timpul unei luni stresante din martie este mult mai puțin predispusă să facă greșeli în decembrie.
Modelul de învățare just-in-time
Instruirea angajaților în domeniul conștientizării securității este cea mai eficientă atunci când este oferită la momentul optim. De exemplu, atunci când un angajat dă clic pe un link de simulare a unei acțiuni de phishing, răspunsul nu ar trebui să fie pur și simplu raportarea acestuia și finalizarea operațiunii. În schimb, aceasta este ocazia perfectă pentru a le oferi imediat un modul de învățare scurt și concentrat.
Această abordare, cunoscută și sub denumirea de învățare just-in-time, raportează rate de retenție mai bune decât instruirea preprogramată. Lecția este direct legată de ceea ce s-a întâmplat. Angajatul nu se simte penalizat, ci învață ce să evite exact la momentul potrivit, când aceste informații sunt cel mai mult necesare.
Construirea unei culturi de raportare fără vină
Este inevitabil ca până și cei mai bine pregătiți angajați să facă greșeli din când în când. Diferența dintre un incident minor și o încălcare gravă a securității datelor constă adesea în cât de repede este raportată greșeala. Dacă angajații se tem de represalii, vor păstra tăcerea. Încălcarea se va agrava. Și până când cineva va observa în sfârșit, recuperarea va fi mult mai costisitoare.
De aceea, un proces de raportare bine definit și nepunitiv este unul dintre cele mai importante lucruri pe care o organizație le poate implementa. Acesta le arată angajaților că găsirea și raportarea imediată a unei greșeli este răspunsul corect - nu ceva ce trebuie acoperit. De asemenea, creează alarme pe care personalul de securitate le poate utiliza înainte ca o breșă să scape de sub control.
Și acest lucru vorbește absolut despre riscul amenințărilor interne într-un mod despre care nu vorbim suficient de des. Majoritatea incidentelor interne nu sunt rău intenționate. Sunt greșeli - cineva instalează software neautorizat, este păcălit de un atac pretextual, configurează greșit un server cloud. O cultură a siguranței în raportare îi prinde pe aceștia înainte ca aceștia să escaladeze. O cultură a învinovățirii îi permite să se ascundă.
Transformarea securității în ceva profesional
Uneori, gamificarea este considerată un lucru banal, dar de fapt funcționează pentru că schimbă contextul: această instruire nu este ceva oferit angajaților, ci ceva la care se pot pricepe. Clasamentele, recunoașterea și insignele de finalizare declanșează aceeași motivație competitivă și de realizare care îi determină pe oameni să urmărească certificări profesionale.
Când angajații încep să își marcheze progresul în ceea ce privește conștientizarea securității sau să observă o performanță puternică a echipei lor într-o simulare de phishing, securitatea nu mai este o problemă a unui tocilar în domeniul informaticii, ci identitatea unui profesionist. Și aici se formează adevărata cultură a securității cibernetice – nu din postere, mouse pad-uri sau jucării de pluș, nici din autocolantele de avertizare din manualul angajaților.
Adoptarea MFA, reducerea IT-ului în umbră și chiar aspectele culturale ale securității fizice, cum ar fi provocarea adecvată pentru tailgating sau piggybacking, se îmbunătățesc atunci când angajații adoptă ideea că acestea sunt mize majore pentru modul în care operează un bun profesionist. Nu insisti asupra conformității; insisti asupra competenței.
Organizațiile care răspund cel mai bine la incidente nu sunt cele care au cea mai incredibilă tehnologie de securitate, demnă de premiul X. Ci sunt organizațiile ai căror angajați sunt motivați să fie competenți din punct de vedere profesional și, atunci când observă ceva ciudat, solicită imediat sprijin.