Cyberbezpieczni użytkownicy – klucz do bezpiecznego IT
W 2024 roku podobnie jak w ciągu ostatnich kilku lat obserwowaliśmy znaczny wzrost ataków, których wektorem jest użytkownik końcowy. W związku z tym, że standardem w firmach i organizacjach stają się zaawansowane technologie wspierające ochronę przed zagrożeniami, coraz częściej ogólna jakość zabezpieczeń definiowana jest przez zachowania i praktyki stosowane przez pracowników.
Świadomość i wiedza na temat cyberzagrożeń powinna być traktowana podobnie jak każdy inny element systemu bezpieczeństwa. Podobnie jak Administratorzy dążą do tego, aby wdrożone w warstwie technicznej narzędzia posiadały zawsze najnowszą wersję oprogramowania oraz weryfikują je pod kątem znanych podatności, tak również w obszarze użytkowników końcowych nie należy zapominać o aktualizacji ich wiedzy oraz okresowej weryfikacji zachowań w zderzeniu z potencjalnym incydentem. Zarządzając cyberbezpieczeństwem w organizacji warto zwrócić uwagę na ten istotny aspekt tak, żeby zminimalizować ryzyko błędu ludzkiego.
1. Inwentaryzacja technologii
Sprawdź czy dostarczasz pracownikom właściwe narzędzia do bezpiecznej pracy!
Dziś każdy z nas wykorzystuje liczne systemy informatyczne nie tylko w sferze służbowej, ale również prywatnej. Zagrożenia z jakimi stykamy się korzystając z social mediów czy prywatnej poczty są często spójne z tymi, przed którymi musimy strzec się w trakcie naszej pracy. Coraz częściej użytkownicy decydują się na wdrożenie narzędzi w obszarze cyberbezpieczeństwa do zapewnienia ochrony swoich prywatnych danych. Warto zadbać o to, żeby popularne wśród pracowników technologie zostały wdrożone również w naszej organizacji. Managery haseł czy MFA wykorzystujące aplikację w telefonie może stanowić wygodną linię obrony, a dużo łatwiej wdrożyć standard wtedy, kiedy staje się on nawykiem pracowników wykorzystywanym również „po godzinach”.
2. Zasady, regulaminy i procedury
Bezpieczeństwo informacji i odpowiedni standard pracy!
Szczegółowa analiza incydentów bezpieczeństwa związanych z nieprawidłowymi zachowaniami użytkowników jasno wskazuje, że w większości przypadków błędem było działanie niezgodne z dobrymi praktykami bądź odbiegające od przyjętych standardów. Warto sprawdzić czy nasza organizacja nie tylko posiada precyzyjnie opisane procedury i zasady działania w sferze ochrony danych, ale również czy nasi pracownicy są z nimi zaznajomieni. Nawet najlepszy regulamin uwzględniający zarówno wymagania działu bezpieczeństwa jak i możliwości pracowników nie zagwarantuje nam odpowiedniej skuteczności wtedy, kiedy pracownicy nie będą go znać. Co więcej, precyzyjne wytyczne i ścieżka zachowań w sytuacji awaryjnej związanej z incydentem mogą w mierzalny sposób zminimalizować konsekwencje zdarzenia. Jak pokazuje praktyka – w wielu organizacjach to brak precyzyjnych wytycznych i wiedzy pracowników na ich temat ma ogromny wpływ na bezpieczeństwo.
3. Badanie świadomości użytkowników
Czy zespół wie jak odeprzeć atak?
Wiedza i znajomość procedur to tylko jeden z aspektów, o który warto zadbać w obszarze bezpieczeństwa użytkowników końcowych. Kolejnym bardzo istotnym elementem jest umiejętność działania zgodnie z przyjętymi zasadami w sytuacjach nagłych i awaryjnych. Pracownicy biurowi każdego dnia są narażeni na wiele różnych form ataków. Wysoki poziom czujności i krytyczna analiza treści jakie są im dostarczane z zewnętrznych źródeł powinien więc stać się nawykiem, który pozwoli na skuteczne przeciwdziałanie zagrożeniom. Analiza zachowania pracowników podczas ataku pozwala na ocenę ich umiejętności wykrywania zagrożeń, wiedzy na temat najlepszych praktyk w sytuacji awaryjnej oraz wnioski dotyczące jakości ochrony w tym zakresie. Badanie świadomości użytkowników pozwala nam na uzyskanie odpowiedzi na istotne pytania tj.
- Czy użytkownicy potrafią rozpoznawać znane i proste formy ataków socjotechnicznych?
- Czy są odporni na wybraną formę zagrożenia?
- Czy wiedzą w jaki sposób, zgodnie z procedurą należy postępować w sytuacji, w której atak zostanie wykryty?
Sama weryfikacja może przybierać wiele form. Ta najpopularniejsza to symulacja ataku phishingowego z wykorzystaniem poczty elektronicznej, która pozwala na objęcie badaniem największą grupę użytkowników. Warto jednak rozszerzyć katalog stosowanych symulacji o inne rodzaje zagrożeń jak np.
- Vishing – metoda polegająca na podszyciu się pod instytucję bądź inną osobę w celu nakłonienia do udzielenia informacji,
- Smishing – atak phishingowy z wykorzystaniem wiadomości SMS,
- USB Killer – umieszczenie w otwartej przestrzeni pendrive z plikiem rejestrującym lokalizację i czas jego uruchomienia
ailgating – próba wejścia do zamkniętej strefy firmy przez osoby nieuprawnione, - Quid Pro Quo – kontakt niezautoryzowanej osoby, która oferuje korzyść w zamian za przekazanie danych dostępowych.
Symulacja ataku to metoda coraz częściej stosowana również jako uzupełnienie szkoleń w zakresie cyberbezpieczeństwa stanowiąc formę weryfikacji nabytej wiedzy i umiejętność wykorzystania jej w praktyce.
4. Szkolenia z cyberbezpieczeństwa
Aktualizacja wiedzy i dostęp do najnowszych informacji w zakresie cyberbezpieczeństwa
Najpopularniejszą metodą podniesienia kompetencji pracowników w zakresie ochrony przed atakami socjotechnicznymi są szkolenia z cyberbezpieczeństwa. Niestety często ich forma i sposób organizacji sprawia, że nie stanowią dużej wartości dla użytkowników, a są odbierane jako obowiązek i formalność. Planując szkolenia w obszarze cyberbezpieczeństwa warto zwrócić uwagę na kilka istotnych elementów:
- Forma szkoleń – spotkania z trenerem „na żywo” pozwalają skupić znacznie większą uwagę uczestników niż szkolenia online. Również ich udział w takim spotkaniu może być znacznie większy. Choć koszt szkoleń w siedzibie firmy może być nieco wyższy to taka forma pozwala na uzyskanie znacznie lepszych efektów.
- Czas trwania szkolenia – wygospodarowanie odpowiedniej ilości czasu w ciągu dnia to zawsze spore wyzwanie dla zajętej swoimi codziennymi obowiązkami kadry. Czas trwania spotkań z trenerem powinien uwzględniać takie czynniki jak dostępność pracowników i ich możliwości czasowe, ale jednocześnie pozwalać na szczegółowe omówienie zagadnień.
- Merytoryka szkolenia – tematyka szkolenia powinna uwzględniać wszelkie zagadnienia z jakimi pracownik może spotkać się w swojej codziennej pracy. Warto wziąć pod uwagę narzędzia z jakich użytkownicy korzystają oraz zasady i standardy do których powinni się stosować.
Interakcja z zespołem – nikt lepiej nie zna metodyki pracy konkretnego zespołu niż jego członkowie. W trakcie szkoleń warto zadbać o to, żeby mogli oni wyrazić swoją opinię i zadać pytania w kwestiach szczególnie dla nich istotnych. - Ocena wiedzy po szkoleniu – analiza skuteczności szkolenia to bardzo istotny element, który może mieć duży wpływ na formę szkoleń w przyszłości. Warto sprawdzić czy spotkanie pozwoliło realnie podnieść poziom wiedzy pracowników np. poprzez test wiedzy bądź otwartą dyskusję na tematy poruszone podczas spotkania.
- Cykliczność szkoleń – dynamiczna ewolucja cyberzagrożeń sprawia, że wiedza jaką przekażemy pracownikom w ramach jednego cyklu spotkań może się bardzo szybko dezaktualizować. W tym obszarze niezbędna okazuje się regularna aktualizacja wiedzy.
Świadomość i wiedza użytkowników może stanowić najbardziej wydajną formę zabezpieczenia, a jednocześnie ta warstwa zabezpieczeń jest często pomijana w organizacjach. Warto pamiętać o tym, że jakość cyberbezpieczeństwa budowana jest nie tylko przez obszar techniczny czy organizacyjny, ale również przez świadomą kadrę użytkowników końcowych.