Построение сильной культуры безопасности во всей организации

Октябрь — Национальный месяц осведомленности о кибербезопасности.

Также случается (среди прочего) месяцем осведомленности о раке груди, гигиены полости рта, предупреждения буллинга и моим личным фаворитом — месяцем пиццы. Плюс Хэллоуин! Но отвлекаемся… мы здесь о кибербезопасности.

Каждый производитель должен проводить обучение осведомленности по кибербезопасности для всего персонала как минимум раз в год. Многие испуганы самими словами «кибербезопасность» и «обучение», так что октябрь — подходящее время. Обучение должно минимум покрывать релевантные политики компании: IT-безопасность, информационная безопасность, физическая безопасность.

За годы многие проходили такое обучение и научились его бояться. Обучение, где кто-то читает ту же речь про кибербезопасность, что в прошлом году, и раздает бумагу для подписи «я был». Реальная скука. Такое обучение выполняет работу по минимуму, но мало влияет на реальное формирование поведения сотрудников.

Настоящая цель усилий по осведомленности и обучению — создать культуру безопасности, где сотрудники видят хорошие практики кибербезопасности как хороший бизнес и часть «как мы делаем бизнес здесь». Сотрудники должны чувствовать себя уполномоченными принимать хорошие киберрешения и понимать, что делает решение хорошим. Осведомленность и обучение должны фокусироваться на:

• Остановке рискованного поведения: Помогать сотрудникам знать, какие решения приводят к плохим результатам. Например, открытие вложений в email от неизвестных источников.
• Поощрении менее рискованного поведения: Помогать сотрудникам понимать и заботиться о внедрении процессов, повышающих безопасность. Например, как создавать сильные пароли.
• Превращении сотрудников в часового: Помогать сотрудникам распознавать и реагировать на киберинцидент. Например, что делать, если гость втыкает неавторизованный USB в машину.

Идеально, обучение должно быть непрерывным усилием. Идеи включения киберобучения в повседневную работу:

• Регулярно подчеркивать кибербезопасность как важную цель компании.
• Интегрировать один киберсовет, трюк или напоминание в каждое собрание.
• Вешать напоминания на рабочем месте об адекватных практиках безопасности.
• Проводить регулярные встречи для обсуждения возможных улучшений процессов, облегчающих лучшие решения по безопасности.

Много исследований о том, как выглядит хорошее обучение сотрудников по кибербезопасности. В общем, можно резюмировать акронимом «RAINSTORMS». Да, я только что придумал его.

• Real (Реальное): Использование реальных кейсов или реалистичных сценариев помогает усвоить уроки.
• Actionable (Действенное): Включать то, что сотрудники могут сделать сразу. Смена паролей, инвентаризация IT-активов, контакты для репортинга инцидента в телефоне. Иногда уместно долгосрочное домашнее задание, но немедленная цель всегда помогает.
• Interactive (Интерактивное): Ролевые игры, малые групповые обсуждения, практические упражнения — отличные способы сделать обучение интерактивным. Идеально — бидирекционные разговоры со всеми уровнями менеджмента, чтобы все знали: у всех одинаковые ответственности, все на одной странице.
• New (Новое): Некоторое повторение уместно, особенно для политик, но не должно становиться стойким. Разные форматы (лекция, ролевка, видео) помогают.
• Small (Маленькое): Кусочки информации легче переварить, чем целый курс компьютерных наук, навязанный сотрудникам. Одна тема за раз — предпочтительнее.
• Testable (Проверяемое): Должна быть измеримая, проверяемая цель обучения. Если общая осведомленность — можно развить квиз. Если цель — митигация фишинга — можно отправить фейковый фишинговый email за несколько недель до и после события. Покажет эффективность обучения.
• Owned (Присвоенное): Сотрудники должны уходить с чувством ownership и что кибербезопасность — их ответственность; чувствовать себя уполномоченными для хороших киберрешений.
• Relevant (Релевантное): Большинство компаний имеют разные типы пользователей. Адаптация обучения под каждый тип делает его более реальным. Может означать разное обучение для цеховых vs офисных сотрудников.
• Memorable (Запоминающееся): Использовать акронимы, мнемоники, или мой фаворит — юмор. Люди запоминают смешные вещи — каламбуры, плохие клипы, нелепые мемы с котами — лучше, чем скучную лекцию. Не бойтесь быть неконвенциональными и веселиться.
• Simple (Простое): Прежде всего, обучение должно быть простым. Сверхтехнические уроки полные технобреда — только для усыпления людей.

National Initiative for Cybersecurity Education (NICE) имеет небольшой список бесплатных и дешевых ресурсов для обучения сотрудников. Много дополнительных ресурсов онлайн. Просто поищите в интернете — вас завалят опциями. Оцените их через шаблон RAINSTORMS выше.

В течение октября NIST MEP будет публиковать серию блогов, слегка следуя теме и структуре National Cybersecurity Alliance (NCSA). Тема года: «Do Your Part. #BeCyberSmart». Лично я никогда не был фанатом самопромо хэштега, но если твитете или блогите о кибербезопасности в этом месяце, рассмотрите #BeCyberSmart — посмотрим, как далеко уйдет.

Структура NCSA:

• Неделя 5 октября (Неделя 1): If You Connect It, Protect It
• Неделя 12 октября (Неделя 2): Securing Devices at Home and Work
• Неделя 19 октября (Неделя 3): Securing Internet-Connected Devices in Healthcare
• Неделя 26 октября (Неделя 4): The Future of Connected Devices

Не знаете, с чего начать? Узнайте больше о внедрении эффективной программы киберобучения, связавшись с вашим местным центром MEP. Также доступны ресурсы по кибербезопасности для производителей на сайте NIST MEP.

Этот блог часть серии для National Cybersecurity Awareness Month (NCSAM). Другие блоги серии: If You Connect It, Protect It (Zane Patalive), Suspicious Minds: Non-Technical Signs Your Business Might Have Been Hacked (Pat Toth), Securing Internet-Connected Medical Devices (Jennifer Kurtz), The Future of Connected Devices (Erik Fogleman and Jeff Orszak).