Oct 25, 2022

Security Awareness treninzi - uradi sam ili automatiziraj?

Prema Verizonovom izvješću o istragama povrede podataka za 2022., ljudski element je i dalje glavni uzrok povrede podataka, pri čemu čak 82% povreda uključuje korištenje ukradenih kredencijala i krađu identiteta, ili, ponekad, zlouporabu zaposlenika i ljudske pogreške.

Tehnike društvenog inženjeringa kao što je krađa identiteta najisplativiji su način napadačima da prodru u mreže i aplikacije organizacija, pa nije ni čudo da su baš ti napadi rekordno visoki.

S druge strane, tehnologija poput filtriranja e-pošte nije savršena i svi znamo da će ponekad zakazati, posebno uzimajući u obzir brzinu kojom napadači inoviraju i pronalaze nove načine prevare zaposlenika.

Kako ljudi i dalje igraju veliku ulogu kod povrede podataka, iznenađujuće je da su inicijative za obuku svijesti o sigurnosti (eng. Security Awareness Trainings - SAT) još uvijek sporedna stvar u većini IT odjela. Zašto je to tako?

Tradicionalni način vođenja SAT inicijativa uključuje manualno održavanje treninga na „uradi sam“ način. To znači pružanje i snimanje sesija obuke samostalno ili pomoću alata za videokonferencije. Međutim, kako se pojavljuju obrasci napada i nove tehnike krađe identiteta, mnoge organizacije shvaćaju da je obuku potrebno stalno ažurirati i osvježavati. Ipak, opterećivanje zaposlenika dugim ili ponavljajućim treninzima jednostavno nije opcija.

Nadalje, kako se novi zaposlenici pridružuju tvrtki, ključno je da i oni dobiju odgovarajuću obuku, što je dodatni teret.

Kako bi imali barem neki učinak, vođenje takvih treninga ubrzo postaje vremenski intenzivan, skup i naporan posao kako za trenere tako i za polaznike. Malo će organizacija pronaći resurse (uključujući vrijeme) za kontinuirano provođenje treninga. Ishod: SAT biva ili napušten ili postaje potpuno neučinkovit.

Ovo možda objašnjava zašto će većina IT odjela preferirati tehnološka rješenja u odnosu na obuku, u nadi da će filtriranje e-pošte i drugi sigurnosni alati biti uspješni.

Zapravo, SAT treninzi također mogu biti tehnološko rješenje: mogu biti podržani SAT softverom integriranim u dnevnu rutinu zaposlenika. Rješenja dobavljača, kao što je Proofpoint, nude različite funkcionalnosti koje automatiziraju isporuku obuke, i u konačnici poboljšavaju sposobnost zaposlenika da izdrže napade društvenog inženjeringa. Na primjer:

Unaprijed pripremljene sesije obuke na raznim jezicima isporučene u korisničkom sučelju koje prati prisutnost korisnika, zajedno s integriranim izvješćivanjem.
Obuka u kratkim, redovitim intervalima: sigurnosni timovi imaju ograničeno vrijeme za obuku korisnika, što je izazovno jer zaposlenici imaju mnogo svojih zadataka, a raspon pažnje se smanjuje. Pružanje kraće obuke koju korisnici mogu pohađati u redovitim intervalima ne samo da im olakšava uklopiti tu obuku u svakodnevni raspored posla, već i učvršćuje koncepte kako ljudi ne bi zaboravili ono što su naučili tijekom vremena.
Isporučivanje redovitih phishing "simulacija" zaposlenicima i praćenje stope klikova i interakcija, što s vremenom daje uvid u trendove i napredak (ili izostanak istog).
Pružanje jasnih izvješća i metrika: kako biste bili sigurni da je vaš program podizanja svijesti o sigurnosti uspješan, sigurnosni timovi moraju redovito održavati treninge da bi korisnici mijenjali svoje ponašanje i da bi postali prava i snažna linija obrane.
Olakšavanje korisnicima prijavu zlonamjernih ili sumnjivih poruka putem postojećih aplikacija kao što je Outlook.