Xavfsizlik bo'yicha ko'pgina muhokamalarda xodimlar javobgarlik sifatida tasvirlangan. Keyinchalik, taqdim etilgan trening bu g'oyani mustahkamlaydi - uzoq yillik taqdimotlar va xodimlar qilishi mumkin bo'lgan har qanday xatolar uchun xavfli oqibatlar bayon etilgan. Bu yondashuv qo'rquv, befarqlik va deyarli hech qanday xatti-harakatlar o'zgarishini keltirib chiqaradi. Biroq, muqobil yondashuv mavjud, shunchaki bu asosni bekor qilish kerak.
Nima uchun qo'rquvga asoslangan mashg'ulotlar o'zgarmaydi
muvofiq Verizon ma'lumotlarining buzilishi bo'yicha tekshiruvlar hisoboti, Barcha ma'lumotlarning buzilishining 74% inson omili bilan bog'liq. Bu muvaffaqiyatli ijtimoiy muhandislik hujumi, xato yoki noto'g'ri foydalanish bo'ladimi. Ushbu statistikani baham ko'radigan odamlar ko'pincha ulardan xodimlar zaif tomon ekanligini ko'rsatish uchun foydalanadilar, ammo statistika shuni ko'rsatadiki, inson xatti-harakatlari hujumning nishoni hisoblanadi - va inson xatti-harakatlari ham uni to'xtata oladigan joy.
Qo'rquvga asoslangan trening bu statistikani hukm sifatida ko'radi. Ongga asoslangan trening esa buni imkoniyat sifatida ko'radi. Odamlaringiz o'zlarini zaif bo'g'in emas, balki birinchi aniqlash chizig'i ekanligini anglaganlarida, ular fikrlash tarzini o'zgartiradilar. Ular ilgari hech qachon sezmagan narsalarni payqashadi. Ular jimgina adashganliklariga umid qilish o'rniga, gapirishadi.
Texnik nazorat bu psixologik nazoratdan kamroq ahamiyatga ega.
Yillik katakchadan o'tib ketish
Xodimlar xavfsizligi bo'yicha treningga muvofiqlik birinchi o'rinda turadigan tafakkurdan yondashing, shunda o'zingizni shu tsiklga bog'lab qo'yasiz. Sessiya rejalashtirilgan, jamoangiz keladi (umid qilamanki), video yoki taqdimotni ko'rib chiqadi, xavfsizlik auditi bo'yicha katakcha belgilanadi va kelgusi yilning o'sha vaqtigacha, ya'ni hammasini qaytadan bajarguningizcha hech narsa o'zgarmaydi. Bu vaqtga kelib, deyarli barcha ma'lumotlar va kontekst jamoangizning qisqa muddatli xotirasidan chiqib ketgan. Yuving, yuving va takrorlang.
Bu jamoaning emas, balki tarkibiy muvaffaqiyatsizlik. Inson xotirasining buzilishi 12 oylik tsiklda ishlamaydi (agar shunday bo'lsa, juda yaxshi bo'lardi), bu qimmatli o'quv ma'lumotlarining ko'pi endi jamoaning boshida ularga eng kerak bo'lgan paytda - keyingi safar zararli narsa sizning tashkilotingizga hujum qilganda - yo'q bo'lib ketadi.
Avtomatlashtirilgan o'quv sikllari yillik, qo'llanma asosida o'tkaziladigan seminarlardan aynan bitta sababga ko'ra ustunlik qilishi isbotlangan: xavfsizlikni nafaqat seminar davomida, balki butun yil davomida yodda tutish orqali. Xavfsizlik bo'yicha trening avtomatlashtirilgan platforma orqali yetkazib beriladigan ma'lumotlar sizga barchaga yetib borish, taraqqiyotni kuzatish va haqiqiy xatti-harakatlarga asoslanib moslashish imkonini beradi - shuning uchun stressli mart oyida uydan ishlaydigan yaxshi xavfsizlikni ta'minlaydigan jamoa dekabr oyida xato qilish ehtimoli ancha past.
"Avvalo o'z vaqtida" o'rganish modeli
Xodimlar xavfsizligi bo'yicha xabardorlik bo'yicha trening eng maqbul vaqtda o'tkazilsa, eng samarali bo'ladi. Masalan, xodim fishing simulyatsiyasi havolasini bosganda, javob shunchaki ularga xabar berish va uni tugatish bo'lmasligi kerak. Buning o'rniga, bu ularga darhol qisqa, yo'naltirilgan o'quv modulini taqdim etish uchun eng yaxshi imkoniyatdir.
Bu yondashuv, shuningdek, o'z vaqtida o'qitish deb ham ataladi, oldindan rejalashtirilgan treningga qaraganda yaxshiroq ushlab qolish darajasi haqida xabar beradi. Dars nima bo'lganiga bevosita bog'liq. Xodim o'zini jazolangandek his qilmaydi, balki bu ma'lumot eng zarur bo'lgan paytda nimadan qochish kerakligini o'rganadi.
Ayblamaslik haqida xabar berish madaniyatini shakllantirish
Hatto eng yaxshi o'qitilgan xodimlar ham vaqti-vaqti bilan xato qilishlari muqarrar. Kichik hodisa va to'liq huquqbuzarlik o'rtasidagi farq ko'pincha xato haqida qanchalik tez xabar berilishiga bog'liq. Agar xodimlar qasos olishdan qo'rqsalar, ular jim turadilar. Qoidabuzarlik yanada kuchayadi. Va kimdir nihoyat buni payqagan paytga kelib, tiklanish ancha qimmatga tushadi.
Shu sababli, aniq belgilangan, jazolamaydigan hisobot berish jarayoni tashkilot joriy qilishi mumkin bo'lgan eng muhim narsalardan biridir. Bu xodimlarga xatoni darhol topish va xabar qilish to'g'ri javob ekanligini ko'rsatadi - yashirish kerak bo'lgan narsa emas. Shuningdek, u xavfsizlik xodimlaringiz buzilish nazoratdan chiqmasdan oldin foydalanishi mumkin bo'lgan signallarni yaratadi.
Va bu biz tez-tez gapirmaydigan tarzda ichki tahdid xavfi haqida mutlaqo gapiradi. Ko'pgina ichki hodisalar zararli emas. Ular xatolar - kimdir ruxsatsiz dasturiy ta'minotni o'rnatishi, bahona hujumiga aldanishi, bulut serverini noto'g'ri sozlashi. Xabar berishda xavfsizlik madaniyati ularni avj olishidan oldin ushlaydi. Ayblash madaniyati ularga yashirinishga imkon beradi.
Xavfsizlikni professional mahorat kabi his qilish
Ba'zan o'yinlashtirish arzimas narsa deb hisoblanadi, lekin u aslida ishlaydi, chunki u kontekstni o'zgartiradi: bu trening xodimlarga berilayotgan narsa emas, balki ular yaxshi bo'lishi mumkin bo'lgan narsa. Peshqadamlar taxtasi, e'tirof va yakuniy nishonlar odamlarni professional sertifikatlarga intilishga undaydigan raqobatbardoshlik va yutuq motivatsiyasini qo'zg'atadi.
Xodimlar o'zlarining xavfsizlik xabardorligidagi yutuqlarini qayd eta boshlaganlarida yoki фишинг simulyatsiyasida jamoasining kuchli ishlashini payqashganda, xavfsizlik endi biron bir kompyuter nerdining muammosi emas, balki professionalning shaxsiyatidir. Va aynan shu yerda haqiqiy kiberxavfsizlik madaniyati shakllanadi - plakatlar, sichqoncha panjalari yoki yumshoq o'yinchoqlardan yoki xodim qo'llanmasidagi ogohlantiruvchi stikerlardan emas.
Xodimlar yaxshi mutaxassisning qanday ishlashi uchun stol usti qoziqlari ekanligi haqidagi fikrni qabul qilganda, MFAni qabul qilish, IT sohasidagi soyani qisqartirish va hatto jismoniy xavfsizlikning madaniy jihatlari, masalan, tailgate yoki piggyback uchun to'g'ri chaqiruv, yaxshilanadi. Siz muvofiqlikni talab qilmayapsiz; siz kompetentsiyani talab qilyapsiz.
Hodisalarga eng yaxshi javob beradigan tashkilotlar eng ajoyib, X-Prize mukofotiga sazovor xavfsizlik texnologiyasiga ega tashkilotlar emas. Bu tashkilotlarning xodimlari professional jihatdan malakali bo'lishga undalgan va g'alati bir narsani ko'rganlarida darhol yordam so'ragan tashkilotlardir.