Bezpečnostná kultúra sa nebuduje iba školeniami
Bezpečnostná kultúra sa nebuduje iba školeniami
Skutočná kybernetická bezpečnosť sa nezačína technológiami, ale rozhodnutiami ľudí. A tie sa nedajú zmeniť iba každoročným školením.
Organizácie už roky investujú do zvyšovania povedomia o kybernetickej bezpečnosti. Zamestnanci absolvujú povinné školenia, vypĺňajú testy, sledujú vzdelávacie videá a výsledky sa pravidelne vyhodnocujú. Napriek tomu zostáva ľudské správanie významným faktorom pri kybernetických incidentoch.
Problém pritom nemusí spočívať v nedostatku informácií. Tradičné vzdelávacie programy sa často zameriavajú na odovzdanie vedomostí a splnenie formálnych požiadaviek, no nezohľadňujú dostatočne prostredie, v ktorom zamestnanci skutočne pracujú a prijímajú rozhodnutia.
Výzvou nie je iba zvyšovať povedomie. Rozhodujúce je meniť správanie.
Kybernetická bezpečnosť je otázkou ľudí, nielen technológií
Väčšina zamestnancov vie, že by nemala otvárať podozrivé odkazy, používať slabé heslá alebo dôverovať neovereným požiadavkám. Napriek tomu môžu robiť rozhodnutia, ktoré zvyšujú bezpečnostné riziko.
Dôvodom nie je nevyhnutne nezodpovednosť. Moderné pracovné prostredie je charakteristické neustálym prerušovaním, množstvom informácií, konkurenčnými prioritami a tlakom na rýchle rozhodovanie. Zamestnanci často musia vyhodnocovať situácie v priebehu niekoľkých sekúnd.
Účinné bezpečnostné vzdelávanie musí tieto podmienky zohľadňovať. Ľudia sa totiž nerozhodujú v ideálnom, kontrolovanom prostredí, ale počas bežného pracovného dňa, keď riešia množstvo ďalších úloh.
Od formálneho plnenia povinností k skutočnej zmene správania
Tradičné programy bezpečnostného povedomia bývajú navrhnuté tak, aby organizácia dokázala preukázať splnenie požiadaviek. Prístup zameraný na človeka sleduje iný cieľ: pomôcť zamestnancom prijímať bezpečnejšie rozhodnutia v reálnych situáciách.
Splnenie školenia
Dôraz na účasť, absolvované testy, počet školení a formálne preukázanie dodržania požiadaviek.
Zmena správania
Dôraz na rozhodovanie, praktické situácie, priebežné posilňovanie návykov a merateľné zlepšenie bezpečného správania.
Počet absolvovaných školení nám prezradí, kto sa vzdelávania zúčastnil. Nepovie však, či zamestnanec správne vyhodnotí presvedčivý phishingový e-mail, podvodnú žiadosť o platbu alebo pokus o sociálne inžinierstvo vytvorený pomocou umelej inteligencie.
Efektívne programy preto využívajú poznatky behaviorálnych vied, zohľadňujú motivácie a rozhodovacie skreslenia a pravidelne pripomínajú správne postupy. Cieľom nie je vytvoriť zo všetkých zamestnancov odborníkov na kybernetickú bezpečnosť, ale pomôcť im správne sa rozhodnúť v rozhodujúcom okamihu.
Jeden vzdelávací program nemusí fungovať pre každého
Bezpečnostné riziká sa líšia podľa pracovnej pozície, oddelenia, odvetvia aj konkrétnych procesov. Zamestnanec finančného oddelenia, ktorý spracúva platby, čelí iným situáciám než člen vrcholového vedenia, vývojár alebo pracovník zákazníckej podpory.
Vzdelávanie je preto účinnejšie, keď vychádza z každodennej pracovnej reality konkrétnych skupín zamestnancov.
Štyri princípy účinnejšieho bezpečnostného vzdelávania
Prístup orientovaný na človeka prepája skutočné bezpečnostné riziká s potrebami organizácie a každodennou prácou zamestnancov. Podľa globálneho materiálu BDO by mal stáť na štyroch princípoch.
Zohľadňovať riziká
Zamerať vzdelávanie na situácie a správanie relevantné pre konkrétnu organizáciu.
Prispôsobiť obsah
Zohľadniť pracovnú pozíciu, oddelenie, odvetvie a mieru vystavenia rizikám.
Prepojiť s podnikaním
Vychádzať z rozhodnutí, ktoré ľudia skutočne prijímajú počas každodennej práce.
Orientovať sa na výsledky
Identifikovať nedostatky vo vedomostiach, sledovať správanie a podporovať jeho dlhodobú zmenu.
Umelá inteligencia zvyšuje význam ľudského faktora
AI mení kybernetickú bezpečnosť na oboch stranách. Organizácie ju využívajú na zvyšovanie efektivity, inovácie a zlepšovanie procesov. Zároveň však uľahčuje vytváranie presvedčivejšej podvodnej komunikácie a rozširuje možnosti sociálneho inžinierstva.
Technológie preto zostávajú dôležitou súčasťou obrany, samy osebe však nestačia. Kybernetická odolnosť vyžaduje prepojenie ľudí, procesov a technológií.
Zamestnanci na všetkých úrovniach musia rozumieť situáciám, s ktorými sa stretávajú, rozpoznávať meniace sa riziká a vedieť primerane reagovať. Bezpečnostné vzdelávanie by im malo tieto schopnosti pomáhať rozvíjať.
Ako budovať bezpečnostné návyky, ktoré pretrvajú
Silná bezpečnostná kultúra nevzniká prostredníctvom strachu. Vzniká vtedy, keď zamestnanci rozumejú významu bezpečnostných opatrení a vidia ich súvislosť s vlastnou prácou.
Vychádzať z pracovnej reality. Pripravovať školenia založené na konkrétnych situáciách, ktoré zamestnanci poznajú.
Vzdelávať priebežne. Nahradiť jednorazové školenie pravidelným posilňovaním bezpečnostných návykov.
Sledovať skutočné výsledky. Hodnotiť nielen absolvovanie kurzov, ale aj zmeny v rozhodovaní a bezpečnostnom správaní.
Priebežne zlepšovať obsah. Využívať získané poznatky na úpravu programu podľa meniacich sa potrieb organizácie.
Bezpečnostná kultúra, ktorá stojí na ľuďoch
Budúcnosť bezpečnostného vzdelávania nespočíva vo väčšom množstve obsahu ani v dlhších školeniach. Rozhodujúce sú lepšie výsledky, praktické návyky a schopnosť zamestnancov prijímať bezpečnejšie rozhodnutia v každodennej práci.
Organizácie, ktoré dokážu porozumieť svojim ľuďom a prispôsobiť bezpečnostné programy ich reálnym potrebám, môžu z ľudského faktora vytvoriť jednu z najsilnejších súčastí svojej kybernetickej odolnosti.