Почему человеческий фактор необходим для успеха кибербезопасности

Сложность кибербезопасности выросла экспоненциально по мере роста количества взаимосвязываемых цифровых устройств. Поскольку взаимозависимые компьютерные инфраструктуры поддерживают почти каждую организацию сегодня, защита цифровых данных стала критичной.

37% опрошенных CEO говорят, что значительный риск лежит внутри расширенного бизнеса и ключевых партнеров предприятия. И предупредительные меры в одиночку больше не достаточно. Новая среда требует бдительного мониторинга и творческой инновации. Она требует участия всех стейкхолдеров.

Человеческий элемент — ключ

Человеческий элемент — ключ. Насколько хорошо вы проверяете, обучаете и оснащаете сотрудников, сделает или сломает вашу систему кибербезопасности, вашу репутацию с клиентами и партнерами, и, возможно, даже ваш бизнес самим.

Пока 89% C-suite верят, что сотрудники ответственно защитят информацию, 22% говорят, что их сотрудники не знают политик оффсайт-данных. Устройства под наибольшим риском — корпоративные мобильные телефоны (50%), корпоративные ноутбуки (45%) и USB-накопители (41%).

В своем отчете 2018 Views From the C-Suite, A.T. Kearney нашел, что 85% компаний пережили нарушения безопасности в прошлом году. Только 40% спроектировали и внедрили стратегии кибербезопасности в ответ.

Четыре топ-тактики

Помимо фокуса на сотрудниках, важно привести всю цепочку поставок на борт. Корпоративные лидеры цитируют четыре топ-тактики для обеспечения жизнеспособной кибербезопасности:

• Комплексные меры информационной безопасности,
• Найм высококвалифицированных IT-профессионалов,
• Аналитика поведения кибербезопасности, и
• Программы обучения сотрудников.

Новая парадигма: вовлечение вместо наказания

Новая парадигма для кибербезопасности — вовлекать, убеждать, обучать, конвертировать и вознаграждать. Энд-пользователи часто несправедливо стереотипизируются как некооперативные, control-averse и нежелательные менять поведение. В то же время они — самое слабое звено в кибербезопасности. Даже глубокие технические эксперты могут быть такими же уязвимыми, как менее обученные и подготовленные обычные пользователи.

Реальный кейс: опыт CISO в Южной Америке

Реальный пример: годы назад, как CISO беспроводного оператора в Южной Америке, меня поручили снизить растущее число утечек данных. Старший исполнитель рекомендовал жесткое принуждение политик безопасности. Энд-пользователи, сказал он, были некоммитальны к безопасности и нереспонсивны к кампаниям по улучшению внутренних контролов.

Я решил взять контрарианскую позицию. Опыт убедил меня, что для создания жизнеспособных решений мы должны вовлечь всех стейкхолдеров — каждого индивида, затронутого политиками, технологиями и решениями — не только тех, кто сидит в совещательных комнатах.

Вместо наказания энд-пользователей и фокуса исключительно на принуждении контролов, мы созвали серию встреч с сотрудниками для обмена лучшими практиками, определения их болевых точек и дачи пошагового руководства о том, как правильно использовать инструменты безопасности.

Оказалось, что многие политики безопасности были устаревшими из-за серии слияний. Более того, пользователи справлялись с громоздкой 30-дневной практикой истечения паролей, записывая свои коды доступа на стикеры. Недоброжелательные люди тем самым получали неавторизованный доступ.

Основываясь на обратной связи от сотрудников, мы обновили политики и переписали процедуры и стандарты так, чтобы они были релевантными и ясными. Скоркарды использовались для отслеживания прогресса, и была внедрена система вознаграждений. Утечки данных упали, и петля обратной связи была установлена между пользователями и отделом безопасности для поддержания программы релевантной. Энд-пользователи были привнесены в процесс, с образовательными петлями для выявления потенциальных проблем.

Опыт переподтвердил, что процесс дизайна, который является стейкхолдер- и человеко-центричным, опирающийся на вовлечение, обучение, конвертацию и вознаграждение вместо наказания, производит самые комплексные и устойчивые решения кибербезопасности.

Х. Эдуардо Кампоc возглавляет консалтинговую фирму Embedded-Knowledge Inc.