Критический человеческий элемент в стратегии кибербезопасности

Сложность кибербезопасности растет в геометрической прогрессии по мере увеличения количества взаимосвязанных цифровых устройств. Поскольку сегодня взаимозависимые компьютерные инфраструктуры поддерживают практически каждую организацию, защита цифровых данных стала критически важной.

Тридцать семь процентов опрошенных руководителей утверждают, что значительный риск связан с расширенным бизнесом и ключевыми корпоративными партнерами. И одних превентивных мер уже недостаточно. Новая среда требует бдительного контроля и творческих новшеств. Это требует участия всех заинтересованных сторон.

Человеческий фактор является ключевым. От того, насколько хорошо вы проверяете, обучаете и оснащаете сотрудников, зависит ваша система кибербезопасности, ваша репутация среди клиентов и партнеров и, возможно, даже сам бизнес.

В то время как 89 процентов высшего руководства считают, что сотрудники будут ответственно защищать информацию, 22 процента говорят, что их сотрудники не осведомлены о политиках внешних данных. Наибольшему риску подвержены мобильные телефоны компании (50 процентов), корпоративные ноутбуки (45 процентов) и USB-накопители (41 процент).

В своем отчете о Просмотры из C-Suite за 2018 год , В. Кирни обнаружил, что 85 процентов компаний испытали нарушения безопасности в прошлом году. В ответ только 40 процентов разработали и реализовали стратегии кибербезопасности.

Помимо сосредоточения внимания на сотрудниках, важно задействовать всю цепочку поставок. Руководители компаний называют четыре основных тактики обеспечения жизнеспособной кибербезопасности:

• Комплексные меры защиты информации,
• Наем высококвалифицированных ИТ-специалистов,
• аналитика поведения в области кибербезопасности и
• Программы обучения сотрудников.

Новая парадигма кибербезопасности - вовлекать, убеждать, обучать, преобразовывать и вознаграждать. Конечных пользователей часто несправедливо называют не склонными к сотрудничеству, не склонными к контролю и не желающими менять поведение. В то же время они являются самым слабым звеном в кибербезопасности. Даже опытные технические специалисты могут оказаться столь же уязвимыми, как и менее подготовленные и подготовленные обычные пользователи.

Пример из реальной жизни:много лет назад, когда я работал директором по информационной безопасности оператора беспроводной связи в Южной Америке, мне было поручено сократить растущее количество утечек данных. Один из руководителей высшего звена рекомендовал жесткое применение политик безопасности. По его словам, конечные пользователи уклоняются от вопросов безопасности и не реагируют на кампании по улучшению внутреннего контроля.

Я решил занять противоположную позицию. Опыт убедил меня в том, что для выработки жизнеспособных решений мы должны задействовать все заинтересованные стороны - каждого человека, на которого влияют политики, технологии и решения, а не только тех, кто сидит в залах заседаний.

Вместо того, чтобы наказывать конечных пользователей и сосредоточиться исключительно на обеспечении контроля, мы созвали серию встреч с сотрудниками, чтобы поделиться передовым опытом, определить их болевые точки и дать пошаговые инструкции по правильному использованию инструментов безопасности.

Оказалось, что многие политики безопасности устарели из-за серии слияний. Более того, пользователи сталкивались с обременительной практикой 30-дневного истечения срока действия пароля, записывая свои коды доступа на стикерах. Тем самым злонамеренные люди получали несанкционированный доступ.

На основе отзывов сотрудников мы обновили политики и переписали процедуры и стандарты, чтобы они были актуальными и понятными. Для отслеживания прогресса использовались оценочные листы, и была введена система вознаграждений. Утечки данных прекратились, и между пользователями и отделом безопасности была установлена ​​обратная связь, чтобы программа оставалась актуальной. Конечные пользователи были вовлечены в процесс, и были созданы образовательные циклы для выявления потенциальных проблем.

Опыт подтвердил, что процесс проектирования, ориентированный на заинтересованные стороны и человека, опирающийся на вовлечение, обучение, преобразование и вознаграждение вместо наказания, дает наиболее полные и устойчивые решения в области кибербезопасности.

Дж. Эдуардо Кампос возглавляет консалтинговую фирму Embedded-Knowledge Inc.