آموزش آگاهی امنیتی که واقعاً کار می‌کند

بیشتر آموزش‌های آگاهی امنیتی یک تمرین انطباق است: یک ویدیو سالانه، یک آزمون، یک تیک برای حسابرسان. این نسخه رفتار را تغییر نمی‌دهد. نسخه‌ای که کار می‌کند کاملاً متفاوت است.

آنچه این اصطلاح واقعاً شامل می‌شود

آموزش آگاهی امنیتی کارمندان مجموعه‌ای از فعالیت‌هاست که قرار است کارکنان را کمک کند تا تهدیداتی را که واقعاً با آن روبرو می‌شوند تشخیص دهند و پاسخ دهند — ایمیل‌های فیشینگ، تماس‌های جعلی، درایوهای USB مخرب، تکرار اعتبارات، و مهندسی اجتماعی که به دنبال دور زدن کنترل‌های فنی است. این در کنار دفاع‌های فنی مانند فیلتر کردن ایمیل و تشخیص نقطه انجام قرار دارد، نه جایگزین آن‌ها. هدف تبدیل هر کارمند به تحلیلگر نیست. هدف بستن شکاف جایی است که تصمیم انسانی آخرین خط دفاع باشد.

چرا ویدیوی سالانه شکست می‌خورد

یک ماژول آموزشی یک‌بار در سال و ۴۵ دقیقه تقریباً هیچ تغییر رفتار دوام‌دار ایجاد نمی‌کند. مردم در طول هفته‌ها جزئیات را فراموش می‌کنند، محتوا عمومی است، و هیچ ارتباطی بین آنچه آموخته می‌شود و آنچه کارمندان واقعاً در صندوق ورودی خود می‌بینند وجود ندارد. مهاجمان یک سال بین تلاش‌ها صبر نمی‌کنند — آن‌ها کمپین‌های مستمر اجرا می‌کنند. آموزشی که یک‌بار در سال اجرا می‌شود در برابر تهدیدی که مستمر است، از لحاظ ساختاری ناسازگار است.

شکست رایج دیگر: آموزشی که کاملاً تنبیهی است. اگر تنها تعامل کارمندان با امنیت شرمندگی بعد از شکست در شبیه‌سازی فیشینگ است، آن‌ها یاد می‌گیرند که از تیم امنیت متنفر شوند، نه اینکه تهدیدها را تشخیص دهند. برنامه‌های مبتنی بر ترس تمایل دارند عدم گزارش را ایجاد کنند — افرادی که بر یک پیوند بد کلیک می‌کنند و سپس آن را پنهان می‌کنند به جای اینکه گزارش دهند، که برای سازمان بدتر از خود کلیک است.

آنچه واقعاً فرق ایجاد می‌کند

فراوانی بر مدت غلبه دارد. نقاط تماسی کوتاه ماهانه — یک ویدیوی دو دقیقه‌ای، یک نمونه فیشینگ واقعی از آن هفته، یک پست Slack درباره یک کلاهبرداری جدید — الگوهای تشخیص را بهتر از یک جلسه طولانی سالانه ایجاد می‌کنند. تکرار توزیع‌شده یک اصل یادگیری به خوبی تثبیت‌شده است، و آموزش امنیتی از آن به همان طریقی که یادگیری زبان بهره می‌برد بهره می‌برد.

کمپین‌های فیشینگ شبیه‌سازی‌شده، به طور منظم اجرا و مرتبط با فریب‌های واقعی (کلاهبرداری فاکتور، اطلاعیه‌های منابع انسانی، تنظیم مجدد رمز عبور IT)، به مردم در یک زمینه ایمن عملاً تمرین می‌دهند. کلید آنچه پس از کلیک کسی اتفاق می‌افتد است: یک توضیح کوتاه و بدون سرزنش درباره آنچه یک حمله واقعی را متمایز می‌کند، نه یک سخنرانی. برنامه‌هایی که شبیه‌سازی را با بازخورد فوری و خاص جفت می‌کنند نسبت به شبیه‌سازی تنهایی بهبود نرخ کلیک معنی‌داری نشان می‌دهند.

گزارش را بدون مانع کنید. یک