सुरक्षा जागरूकता प्रशिक्षण जो वास्तव में काम करता है

अधिकांश सुरक्षा जागरूकता प्रशिक्षण एक अनुपालन अभ्यास है: एक वार्षिक वीडियो, एक प्रश्नोत्तरी, लेखा परीक्षकों के लिए एक चेकबॉक्स। वह संस्करण व्यवहार नहीं बदलता है। जो संस्करण काम करता है वह इससे बिल्कुल अलग दिखता है।

शब्द वास्तव में क्या कवर करता है

कर्मचारी सुरक्षा जागरूकता प्रशिक्षण गतिविधियों का समूह है जो कर्मचारियों को उन खतरों को पहचानने और प्रतिक्रिया देने में मदद करने के लिए है जिनका वे वास्तव में सामना करेंगे — फिशिंग ईमेल, प्रेटेक्सटिंग फोन कॉल, दुर्भावनापूर्ण USB ड्राइव, क्रेडेंशियल दोहराव, और सामाजिक इंजीनियरिंग जो तकनीकी नियंत्रण को पूरी तरह बाईपास करने का लक्ष्य रखती है। यह ईमेल फ़िल्टरिंग और endpoint detection जैसी तकनीकी सुरक्षा के साथ कंधे से कंधा मिलाकर बैठता है, उनकी जगह नहीं लेता। लक्ष्य हर कर्मचारी को विश्लेषक में बदलना नहीं है। यह उस अंतराल को बंद करना है जहां एक मानव निर्णय अंतिम पंक्ति की रक्षा है।

वार्षिक वीडियो विफल क्यों होता है

एक बार-वार-साल, 45 मिनट का प्रशिक्षण मॉड्यूल लगभग कोई स्थायी व्यवहार परिवर्तन नहीं देता है। लोग हफ्तों में विवरण भूल जाते हैं, सामग्री सामान्य है, और जो सिखाया जाता है और जो कर्मचारी वास्तव में अपने इनबॉक्स में देखते हैं उसके बीच कोई संबंध नहीं है। हमलावर एक साल के बीच प्रयास नहीं करते — वे निरंतर अभियान चलाते हैं। वह प्रशिक्षण जो साल में एक बार चलता है एक ऐसे खतरे के खिलाफ जो निरंतर चलता है संरचनात्मक रूप से बेमेल है।

एक और सामान्य विफलता: प्रशिक्षण जो विशुद्ध रूप से दंडनीय है। यदि कर्मचारियों का सुरक्षा के साथ एकमात्र संपर्क एक फिशिंग सिमुलेशन विफल करने के बाद शर्मिंदा होना है, तो वे सीखते हैं कि सुरक्षा दल को नापसंद करें, खतरों को खोजने के लिए नहीं। भय-आधारित कार्यक्रम कम रिपोर्टिंग करते हैं — जो लोग एक खराब लिंक पर क्लिक करते हैं और फिर इसे छिपाते हैं इसे रिपोर्ट करने के बजाय, जो संगठन के लिए क्लिक से भी बदतर है।

क्या वास्तव में सुई को आगे बढ़ाता है

आवृत्ति लंबाई को हराती है। छोटे, मासिक टचपॉइंट — दो मिनट का वीडियो, उस हफ्ते का एक वास्तविक फिशिंग उदाहरण, एक नई धोखाधड़ी के बारे में Slack पोस्ट — एक लंबे वार्षिक सत्र की तुलना में पहचान पैटर्न बेहतर बनाते हैं। दूरदराज का पुनरावृत्ति एक अच्छी तरह से स्थापित सीखने का सिद्धांत है, और सुरक्षा प्रशिक्षण इससे उसी तरह लाभ उठाता है जैसे भाषा सीखना करता है।

नकली फिशिंग अभियान, नियमित रूप से चलाए गए और वास्तविक दुनिया के लालच से जुड़े (चालान धोखाधड़ी, HR घोषणाएं, IT पासवर्ड रीसेट), लोगों को एक सुरक्षित संदर्भ में अभ्यास देते हैं। मुख्य बात यह है कि कोई क्लिक करने के बाद क्या होता है: एक छोटी, दोषमुक्त व्याख्या कि एक वास्तविक हमले को क्या सूचित किया, व्याख्यान नहीं। कार्यक्रम जो सिमुलेशन को तत्काल, विशिष्ट प्रतिक्रिया के साथ जोड़ते हैं, वे अकेले सिमुलेशन की तुलना में समय के साथ अर्थपूर्ण रूप से बेहतर क्लिक-दर सुधार दिखाते हैं।

रिपोर्टिंग को घर्षण रहित बनाएं। एक