Ključne ugotovitve
- Zakaj se prihodnost kibernetske varnosti začne pri zaposlenih?
- Izziv ni večja ozaveščenost. Pravi izziv je primerno ravnanje.
- Organizacije že leta intenzivno vlagajo v programe ozaveščanja o kibernetski varnosti.
- Kljub temu se kibernetski incidenti, ki so v veliki večini posledica socialnega inženiringa, še vedno pojavljajo. Človek tako ostaja ena najpogostejših vstopnih točk.
Organizacije že leta intenzivno vlagajo v programe ozaveščanja o kibernetski varnosti.
Zaposleni se udeležujejo letnih izobraževanj, rešujejo obvezne kvize in spremljajo simulacije. Stopnja udeležbe se spremlja, pripravljajo se poročila o rezultatih in poslovodstva dobivajo občutek, da so ustrezno naslovila svoje zaposlene glede kibernetskih nevarnosti.
Kljub temu se kibernetski incidenti, ki so v veliki večini posledica socialnega inženiringa, še vedno pojavljajo. Človek tako ostaja ena najpogostejših vstopnih točk.
Dejstvo je neprijetno, vendar ga je težko prezreti: če bi bilo samo ozaveščanje dovolj, bi bili danes na področju kibernetske varnosti precej bolje zaščiteni.
Organizacije že leta povečujejo vlaganja v programe ozaveščanja, vendar človeška napaka še vedno ostaja eden najpogostejših vzrokov kibernetskih incidentov. Tradicionalni pristopi pogosto dajejo prevelik poudarek tehnologiji, temeljijo na predpostavki, da bo več informacij samodejno privedlo do spremembe ravnanja, ter uporabljajo generične vsebine, ki so le malo povezane z načinom, kako ljudje dejansko opravljajo svoje delo.
Izziv ni več le večja ozaveščenost.
Pravi izziv je primerno ravnanje.
Kibernetska varnost je več kot le tehnološki izziv
Večina zaposlenih ve, da ne sme klikati sumljivih povezav. Večina razume pomen močnih gesel. Večina je že slišala opozorila o tehnikah socialnega inženiringa. Pa vendar ljudje še vedno kliknejo.
Ne zato, ker bi bili neprevidni. Preprosto zato, ker so ljudje.
Sodobno delovno okolje zaznamujejo nenehne prekinitve, številne prednostne naloge, preobilica informacij, hibridni načini dela in vse bolj kompleksne digitalne interakcije. Odločitve je pogosto treba sprejeti v nekaj sekundah, pozornost pa je zaradi nenehnega prehajanja med različnimi vsebinami vse bolj razpršena.
Kibernetski akterji to zelo dobro vedo. Programi kibernetske varnosti pa temu pogosto še ne sledijo.
Človeško usmerjeno ozaveščanje o kibernetski varnosti izhaja iz preprostega, a pomembnega spoznanja: ljudje se ne odločajo v laboratorijskih pogojih. Odločajo se, ko so zaposleni, raztreseni, pod pritiskom in osredotočeni na to, da opravijo svoje delo.
Če želijo organizacije doseči drugačne rezultate na področju varnosti, morajo programi ozaveščanja odražati resnične okoliščine, v katerih ljudje sprejemajo odločitve.
Od izpolnjevanja zahtev k spreminjanju ravnanja
Tradicionalni programi ozaveščanja so pogosto zasnovani predvsem z namenom doseganja skladnosti z zahtevami. Podatek o tem, kdo se je izobraževanja udeležil pove malo o tem, ali bo ta oseba sprejela boljšo odločitev, ko se bo srečala s prepričljivim lažnim e-poštnim sporočilom, zahtevo za izvedbo goljufivega plačila ali poskusom socialnega inženiringa, ustvarjenim s pomočjo UI.Učinkoviti programi ozaveščanja temeljijo na razumevanju tega, kako ljudje razmišljajo, kaj vpliva na njihovo ravnanje , kateri dejavniki vplivajo na sprejemanje odločitev in v katerih situacijah je tvegano ravnanje najverjetnejše. Takšni programi se ne osredotočajo zgolj na letno ozaveščane o kibernetski varnosti, temveč upoštevajo spoznanja vedenjskih znanosti, to znanje pa nenehno dopolnjujejo in prenašajo v prakso.
Cilj ni ustvariti strokovnjakov za kibernetsko varnost. Cilj je pomagati ljudem, da sprejemajo prave odločitve takrat, ko je to najpomembnejše.
Kontekst je pomemben
Zaposleni v financah, ki izvajajo plačila, se soočajo z drugačnimi grožnjami kot člani poslovodstva.
Razvijalec se srečuje z drugačnimi tveganji kot zaposleni v podpori strankam.
Zdravstvena organizacija deluje v drugačnih okoliščinah in pod drugačnimi pritiski kot proizvodno podjetje ali finančna institucija.
Ozaveščanje o kibernetski varnosti bi moralo te razlike upoštevati in vsebine prilagajati posameznim vlogam, poslovnim procesom, panogam in scenarijem groženj. Tako postanejo bolj relevantne, zanimive in na koncu tudi učinkovitejše.
Ko se zaposleni prepoznajo v predstavljenih primerih, so bolj pozorni. Ko je izobraževanje preveč splošno, pozornost hitro upade.
Kakšen naj bo torej pristop k ozaveščanju oz. izobraževanju?
| ZASNOVAN NA TVEGANJIH Usmerjen v grožnje in ravnanja, ki so za organizacijo najpomembnejša. |
PRILAGOJEN Prilagojen posameznim vlogam, oddelkom, panogi in izpostavljenosti tveganjem. |
| USMERJEN V POSLOVANJE Povezan z načinom, kako ljudje sprejemajo odločitve pri vsakodnevnem delu. |
USMERJEN V REZULTATE Rezultati se merijo z namenom prepoznavanja vrzeli v znanju in podpore spremembam vedenja. |
Pristop k ozaveščanju oz. izobraževanju naj bo zasnovan tako, da odraža realno okolje, v katerem delujejo zaposleni, jim pomaga razumeti posledice njihovih odločitev in pokaže praktične načine za zmanjševanje tveganj.
Uspešne organizacije ozaveščanje obravnavajo kot trajen proces, ne kot enkratni letni dogodek. Nenehno spremljajo rezultate, prilagajajo vsebine, prepoznavajo ravnanja z večjim tveganjem ter skozi čas utrjujejo dobre varnostne navade.
Tak pristop spreminja ozaveščanje iz zahteve po skladnosti v dejavnik, ki podpira poslovanje.
Zaposlenim omogoča, da postanejo bolj odporni, bolje informirani in bolje pripravljeni na samozavestno delovanje v vse bolj kompleksnem digitalnem okolju.
Vas zanima kako to zgleda v praksi? Kontaktirajte nas, z veseljem vam bomo prisluhnili.
Manuela Šribar, CISA, PRIS
Mobilna številka: 031 617 379
manuela.sribar@bdo.si
BDO pomaga organizacijam krepiti varnostno kulturo in zmanjševati človeška tveganja z učinkovitimi, praktično usmerjenimi izobraževanji, ki varnost spreminjajo v del vsakodnevnega ravnanja zaposlenih.
vir: BDO global
