Ένα phishing email, μια ψεύτικη κλήση από «συνεργάτη» ή ένα επείγον αίτημα αλλαγής τραπεζικού λογαριασμού μπορεί να παρακάμψει τεχνικά μέτρα αν ο εργαζόμενος δεν γνωρίζει πώς να αντιδράσει.
Για αυτό το security awareness training δεν πρέπει να είναι ένα ετήσιο βίντεο που ολοκληρώνεται για τυπικούς λόγους. Χρειάζεται ένα πρακτικό και επαναλαμβανόμενο πρόγραμμα που βοηθά τους εργαζομένους να αναγνωρίζουν κινδύνους, να παίρνουν ασφαλέστερες αποφάσεις και να αναφέρουν γρήγορα ένα πιθανό περιστατικό.
Τι είναι το Security Awareness Training;
Το security awareness training είναι η βασική εκπαίδευση κυβερνοασφάλειας που απευθύνεται στο προσωπικό ενός οργανισμού. Στόχος του δεν είναι να μετατρέψει κάθε εργαζόμενο σε ειδικό ασφάλειας, αλλά να του δώσει τις γνώσεις και τις πρακτικές που χρειάζεται στον δικό του ρόλο.
Ένα αποτελεσματικό πρόγραμμα πρέπει να απαντά σε απλές καθημερινές ερωτήσεις: Πώς αναγνωρίζω ένα ύποπτο μήνυμα; Τι κάνω αν πάτησα έναν κακόβουλο σύνδεσμο; Πώς επιβεβαιώνω ένα ασυνήθιστο οικονομικό αίτημα; Σε ποιον αναφέρω ένα περιστατικό;
Τι πρέπει να μαθαίνουν οι εργαζόμενοι;
Το περιεχόμενο πρέπει να βασίζεται στους πραγματικούς κινδύνους της επιχείρησης. Για τις περισσότερες ΜΜΕ, ένα βασικό πρόγραμμα μπορεί να καλύπτει:
- Phishing και social engineering: ύποπτα emails, SMS, τηλεφωνικές κλήσεις, QR codes και μηνύματα που προσπαθούν να προκαλέσουν βιαστική ενέργεια.
- Credentials και authentication: ασφαλή passwords όπου εξακολουθούν να χρησιμοποιούνται, password managers, MFA και προστασία των authentication prompts.
- Οικονομική απάτη: ανεξάρτητη επιβεβαίωση αλλαγών IBAN, πληρωμών και άλλων ασυνήθιστων οικονομικών αιτημάτων.
- Διαχείριση δεδομένων: πού επιτρέπεται να αποθηκεύονται ή να κοινοποιούνται εταιρικά και προσωπικά δεδομένα.
- Συσκευές και εργασία εκτός γραφείου: ασφαλής χρήση laptop, κινητών συσκευών, Wi-Fi και εταιρικών υπηρεσιών.
- Αναφορά περιστατικών: τι πρέπει να κάνει άμεσα ένας εργαζόμενος όταν υποψιάζεται phishing, malware, απώλεια συσκευής ή άλλη παραβίαση.
Για αναλυτικότερη κατανόηση των τεχνικών εξαπάτησης, δείτε επίσης τον οδηγό για την κοινωνική μηχανική και την πρόληψη επιθέσεων.
Μία εκπαίδευση τον χρόνο δεν αρκεί
Η κυβερνοασφάλεια δεν είναι πληροφορία που δίνεται μία φορά και θεωρείται μόνιμα κατακτημένη. Οι εργαζόμενοι αλλάζουν, οι ρόλοι μεταβάλλονται και νέες τεχνικές επίθεσης εμφανίζονται.
Ένα πρακτικό πρόγραμμα μπορεί να περιλαμβάνει:
- Εκπαίδευση στο onboarding πριν ή αμέσως μόλις ο νέος εργαζόμενος αποκτήσει πρόσβαση σε εταιρικά συστήματα.
- Περιοδική επανάληψη των βασικών θεμάτων με σύντομα και κατανοητά sessions.
- Στοχευμένες ενημερώσεις όταν εμφανίζεται απειλή που αφορά άμεσα την επιχείρηση.
- Role-based training για ομάδες που αντιμετωπίζουν διαφορετικό κίνδυνο.
- Ανατροφοδότηση μετά από πραγματικά περιστατικά ώστε τα lessons learned να βελτιώνουν το πρόγραμμα.
Η εκπαίδευση πρέπει να προσαρμόζεται στον ρόλο
Δεν αντιμετωπίζουν όλοι οι εργαζόμενοι τις ίδιες απειλές. Το λογιστήριο μπορεί να χρειάζεται μεγαλύτερη έμφαση σε invoice fraud και αλλαγές τραπεζικών στοιχείων. Το HR διαχειρίζεται προσωπικά δεδομένα και αρχεία υποψηφίων. Οι administrators χρειάζονται αυστηρότερες πρακτικές για privileged accounts και authentication.
Ένα κοινό baseline για όλους είναι χρήσιμο, αλλά πρέπει να συμπληρώνεται με εκπαίδευση που ανταποκρίνεται στις πραγματικές αρμοδιότητες και στα δεδομένα που χειρίζεται κάθε ομάδα.
Πώς βοηθούν τα Phishing Simulations;
Οι ελεγχόμενες phishing simulations μπορούν να χρησιμοποιηθούν για πρακτική εξάσκηση και για να εντοπιστούν σημεία όπου χρειάζεται περισσότερη εκπαίδευση.
Δεν πρέπει όμως να σχεδιάζονται ως παγίδα ή ως μηχανισμός δημόσιας έκθεσης εργαζομένων. Ο στόχος είναι να βελτιωθεί η συμπεριφορά και η ικανότητα αναγνώρισης και αναφοράς ύποπτων μηνυμάτων.
Τα σενάρια είναι πιο χρήσιμα όταν μοιάζουν με πραγματικούς κινδύνους που μπορεί να αντιμετωπίσει ο οργανισμός και όταν συνοδεύονται από άμεση, κατανοητή εκπαίδευση μετά την άσκηση.
Παράλληλα, η επιχείρηση πρέπει να θυμάται ότι η εκπαίδευση δεν αντικαθιστά τα τεχνικά controls. Email security, ισχυρό authentication και άλλες δικλίδες πρέπει να περιορίζουν την πιθανότητα ένα ανθρώπινο λάθος να εξελιχθεί σε σοβαρή παραβίαση.
Κάντε εύκολη την αναφορά ενός ύποπτου μηνύματος
Ένας εργαζόμενος που εντοπίζει γρήγορα ένα phishing email μπορεί να βοηθήσει ολόκληρη την επιχείρηση, εφόσον γνωρίζει πώς να το αναφέρει.
Η διαδικασία reporting πρέπει να είναι απλή και γνωστή σε όλους. Εξίσου σημαντικό είναι οι εργαζόμενοι να αναφέρουν άμεσα το περιστατικό ακόμη και όταν έχουν ήδη πατήσει έναν σύνδεσμο, ανοίξει ένα αρχείο ή εισαγάγει credentials.
Η καθυστέρηση επειδή κάποιος φοβάται ότι θα κατηγορηθεί μπορεί να αυξήσει τη ζημιά. Η επιχείρηση χρειάζεται κουλτούρα γρήγορης αναφοράς ώστε η τεχνική ομάδα να μπορεί να ερευνήσει και να περιορίσει ένα περιστατικό όσο το δυνατόν νωρίτερα.
Δείτε επίσης πώς ο ανθρώπινος παράγοντας επηρεάζει την κυβερνοασφάλεια και γιατί η ασφαλής συμπεριφορά πρέπει να συνδυάζεται με τεχνικά και οργανωτικά controls.
Πώς μετράτε αν το πρόγραμμα λειτουργεί;
Η ολοκλήρωση ενός training module είναι χρήσιμη ένδειξη συμμετοχής, αλλά δεν αποδεικνύει από μόνη της ότι μειώθηκε ο κίνδυνος.
Μια επιχείρηση μπορεί να παρακολουθεί συνδυασμό δεικτών όπως:
- ποσοστό ολοκλήρωσης της απαιτούμενης εκπαίδευσης,
- αποτελέσματα σύντομων knowledge checks,
- συμπεριφορά σε ελεγχόμενες phishing simulations,
- ποσοστό και ταχύτητα αναφοράς ύποπτων μηνυμάτων,
- επαναλαμβανόμενα λάθη ή θέματα που χρειάζονται πρόσθετη εκπαίδευση,
- πραγματικά περιστατικά που σχετίζονται με ανθρώπινη ενέργεια.
Οι δείκτες πρέπει να χρησιμοποιούνται για βελτίωση του προγράμματος και όχι να μετατρέπονται μηχανικά σε έναν μοναδικό «security score» για κάθε εργαζόμενο.
Πρακτικό πλάνο για μια ΜΜΕ
Μια μικρή ή μεσαία επιχείρηση δεν χρειάζεται περίπλοκο awareness πρόγραμμα για να ξεκινήσει. Χρειάζεται συνέπεια και σαφή ευθύνη.
- Καταγράψτε τις σημαντικότερες απειλές που αντιμετωπίζουν οι εργαζόμενοι.
- Ορίστε ποιος είναι υπεύθυνος για το πρόγραμμα και τις ενημερώσεις του.
- Δημιουργήστε ένα σύντομο βασικό training για όλους.
- Προσθέστε ειδικό περιεχόμενο για ρόλους υψηλότερου κινδύνου.
- Καθιερώστε απλό μηχανισμό αναφοράς ύποπτων περιστατικών.
- Χρησιμοποιήστε ασφαλείς simulations όπου είναι κατάλληλες.
- Μετρήστε αποτελέσματα και προσαρμόστε το περιεχόμενο στα προβλήματα που πραγματικά εμφανίζονται.
Συμπέρασμα
Το αποτελεσματικό security awareness training δεν είναι ένα ετήσιο compliance exercise. Είναι μια επαναλαμβανόμενη διαδικασία που συνδέει την εκπαίδευση με τους πραγματικούς κινδύνους, τους διαφορετικούς ρόλους και τη δυνατότητα γρήγορης αναφοράς περιστατικών.
Ο στόχος δεν είναι να μην κάνει ποτέ κανείς λάθος. Είναι οι εργαζόμενοι να αναγνωρίζουν περισσότερες απειλές, να ξέρουν πώς να αντιδρούν και να ενημερώνουν γρήγορα την επιχείρηση όταν κάτι πάει στραβά.
Πώς μπορεί να βοηθήσει η DataShield
Η DataShield μπορεί να αξιολογήσει τις διαδικασίες και τα security controls μιας επιχείρησης, να εντοπίσει τα σημαντικότερα σημεία ανθρώπινου κινδύνου και να βοηθήσει στη διαμόρφωση ενός πρακτικού security awareness προγράμματος που ανταποκρίνεται στους πραγματικούς ρόλους και τις απειλές του οργανισμού.
