Siber güvenlik farkındalık eğitimi: Nedir ve en çok ne işe yarar?

Siber güvenlikte, insanların güvenlik zincirindeki en zayıf halka olduğuna dair eski bir atasözü vardır. Tehdit aktörleri saf veya dikkatsiz çalışanları sömürmek için rekabet ederken, bu giderek daha doğru hale geliyor. Ancak bu zayıf halkayı zorlu bir ilk savunma hattına dönüştürmek de mümkündür. Anahtar, etkili bir güvenlik bilinci eğitim programı.

Araştırma ortaya koyuyor 82'de analiz edilen veri ihlallerinin %2021'sinin bir "insan unsuru" içerdiğini söyledi. Çalışanların saldırı için en büyük hedefi temsil etmesi, modern siber tehditlerin kaçınılmaz bir gerçeğidir. Ancak onlara bir saldırının uyarı işaretlerini tespit etmeleri ve hassas verileri ne zaman riske atabileceklerini anlamaları için gereken bilgileri verin ve risk azaltma çabalarını ilerletmek için büyük bir fırsat var.

Güvenlik farkındalığı eğitimi nedir?

Farkındalık eğitimi, BT ve güvenlik liderlerinin programlarında başarmak istedikleri şey için belki de en iyi isim değildir. Gerçekte amaç, temel siber risklerin nerede yattığı ve bunları azaltmak için hangi basit en iyi uygulamaların öğrenilebileceği konusunda iyileştirilmiş eğitim yoluyla davranışları değiştirmektir. Çalışanları doğru kararlar alma konusunda güçlendirmek için ideal olarak bir dizi konu alanını ve tekniği kapsaması gereken resmi bir süreçtir. Bu nedenle, bir kuruluş oluşturmak isteyen kuruluşlar için temel bir sütun olarak görülebilir. tasarım gereği güvenlik şirket kültürü.

Güvenlik farkındalığı eğitimi neden gereklidir?

Her türlü eğitim programı gibi, fikir, bireyin becerilerini geliştirmek ve onları daha iyi bir çalışan haline getirmektir. Bu durumda, güvenlik bilincini geliştirmek Çeşitli rollerde gezinirken sadece bireyin iyi durumda olmasını sağlamakla kalmayacak, aynı zamanda potansiyel olarak zarar verici güvenlik ihlali.

Gerçek şu ki, kurumsal kullanıcılar herhangi bir organizasyonun atan kalbinde yer alır. Eğer bunlar hacklenebiliyorsa, organizasyon da hacklenebilir. Benzer şekilde, hassas verilere ve BT sistemlerine erişimleri, şirketi de olumsuz yönde etkileyebilecek kaza riskini artırır.

Çeşitli eğilimler, güvenlik bilinci eğitim programlarına olan acil ihtiyacı vurgulamaktadır:

Şifreler: Statik kimlik bilgileri, bilgisayar sistemleri kadar uzun süredir var. Güvenlik uzmanlarının yıllardır yalvarmalarına rağmen, bunlar en popüler kullanıcı kimlik doğrulama yöntemi olmaya devam ediyor. Nedeni basit: İnsanlar içgüdüsel olarak onları nasıl kullanacaklarını biliyorlar. Zorluk, onların aynı zamanda bir hackerlar için büyük hedef. Bir çalışanı onları teslim etmesi için kandırmayı başarın, hatta tahmin edin ve çoğu zaman tam ağ erişiminin önünde duran başka hiçbir şey yoktur.

Amerikalı çalışanların yarısından fazlası şifrelerini kalem ve kağıda yazdılar. bir tahmin. Kötü şifre uygulamaları hackerlara kapıyı aç. Ve çalışanların hatırlaması gereken kimlik bilgilerinin sayısı arttıkça kötüye kullanım olasılığı da artıyor.

Sosyal mühendislik: İnsanlar sosyal varlıklardır. Bu da bizi ikna etmeye açık hale getiriyor. Bize anlatılan hikayelere ve onları anlatan kişiye inanmak istiyoruz. Bu sosyal mühendislik neden işe yarar: Tehdit aktörleri tarafından, zaman baskısı ve kimliğe bürünme gibi ikna edici tekniklerin kurbanı kandırarak emirlerini yerine getirmesi için kullanılması. En iyi örnekler Kimlik avı e-postalar, metinler (aka smishing) ve telefon görüşmeleri (aka vishing), ama aynı zamanda iş e-posta güvenliği (BEC) saldırıları ve diğer dolandırıcılıklar.

Siber suç ekonomisi: Bugün bu tehdit aktörleri, karanlık web sitelerinden oluşan karmaşık ve sofistike bir yeraltı ağına sahiptir. veri ve hizmetleri satın almak ve satmak – kurşun geçirmez barındırmadan hizmet olarak fidye yazılımına kadar her şey. Onun trilyonlar değerinde olduğu söyleniyor. Siber suç endüstrisinin bu “profesyonelleşmesi”, doğal olarak tehdit aktörlerinin çabalarını yatırım getirisinin en yüksek olduğu yerlere odaklamasına neden oldu. Çoğu durumda bu, kullanıcıların kendilerini, yani kurumsal çalışanları ve tüketicileri hedeflemek anlamına gelir.

Hibrit çalışma: Ev çalışanları olduğu düşünülüyor kimlik avı bağlantılarını tıklama ve kişisel kullanım için iş cihazlarını kullanmak gibi riskli davranışlarda bulunma olasılığı daha yüksektir. Hal böyle olunca yeni bir dönemin ortaya çıkması hibrit çalışma saldırganların kurumsal kullanıcıları en savunmasız oldukları anda hedeflemeleri için kapıyı açtı. Bu, ev ağlarının ve bilgisayarların ofis tabanlı eşdeğerlerinden daha az iyi korunabileceği gerçeğinden bahsetmiyoruz.

Eğitim neden önemlidir?

Sonuç olarak, ister üçüncü taraf saldırısından isterse yanlışlıkla veri ifşasından kaynaklansın ciddi bir güvenlik ihlali, büyük mali ve itibar zararına neden olabilir. A son çalışma ortaya çıktı Sonuç olarak, böyle bir ihlale maruz kalan işletmelerin %20'si neredeyse iflas etti. Ayrı araştırma dünya çapında bir veri ihlalinin ortalama maliyetinin şimdi her zamankinden daha yüksek olduğunu iddia ediyor: 4.2 milyon ABD dolarının üzerinde.

İşverenler için sadece bir maliyet hesabı değildir. HIPAA, PCI DSS ve Sarbanes-Oxley (SOX) gibi birçok düzenleme, uyumlu kuruluşların çalışan güvenlik farkındalığı eğitim programları yürütmesini gerektirir.

Farkındalık programları nasıl çalışır

“Neden”i açıkladık, peki ya “nasıl”? CISO'lar, normalde kurumsal eğitim programlarını yöneten İK ekiplerine danışarak başlamalıdır. Geçici tavsiye veya daha koordineli destek sağlayabilirler.

Kapsanacak alanlar arasında şunlar olabilir:

• Sosyal mühendislik ve phishing/vishing/smishing
• E-posta yoluyla yanlışlıkla ifşa
• Web koruması (güvenli arama ve genel Wi-Fi kullanımı)
• Parola en iyi uygulamaları ve çok faktörlü kimlik doğrulama
• Güvenli uzaktan ve evde çalışma
• İçeriden gelen tehditler nasıl tespit edilir

Her şeyden önce, derslerin şöyle olması gerektiğini unutmayın:

• Eğlence ve oyunlaştırılmış (korku temelli mesajlar yerine olumlu pekiştirmeyi düşünün)
• Gerçek dünya simülasyon alıştırmalarına dayalı
• Kısa derslerde (10-15 dakika) yıl boyunca sürekli koşun
• Yöneticiler, yarı zamanlı çalışanlar ve müteahhitler dahil her personeli kapsar
• Programları bireysel ihtiyaçlara göre ayarlamak için kullanılabilecek sonuçlar üretebilme
• Farklı rollere uyacak şekilde uyarlanmış

Tüm bunlara karar verildikten sonra, doğru eğitim sağlayıcısını bulmak önemlidir. İyi haber şu ki, ücretsiz araçlar da dahil olmak üzere çeşitli fiyat noktalarında çevrimiçi olarak birçok seçenek var. Günümüzün tehdit ortamı göz önüne alındığında, eylemsizlik bir seçenek değildir.