Gerçekten İşe Yarayan Güvenlik Farkındalık Eğitimi

Çoğu güvenlik farkındalık eğitimi bir uyum alıştırmasıdır: yıllık bir video, bir sınav, denetçiler için bir onay kutusu. Bu sürüm davranışı değiştirmez. İşe yarayan sürüm buna hiç benzemez.

Terimin gerçekten kapsadığı şey

Çalışan güvenlik farkındalık eğitimi, personelin gerçekten karşılaşacakları tehditlerde tanıma ve yanıt verme konusunda yardımcı olmak amacıyla tasarlanan faaliyetler dizisidir — kimlik avı e-postaları, sosyal mühendislik telefon aramaları, zararlı USB sürücüler, kimlik bilgilerinin tekrar kullanılması ve teknik kontrolleri tamamen aşmayı amaçlayan sosyal mühendislik. E-posta filtrelemesi ve uç nokta algılaması gibi teknik savunmaların yanında yer alır, onların yerine değil. Amaç her çalışanı analistin çevirmek değildir. Bir insan kararının son savunma hattı olduğu boşluğu kapatmaktır.

Yıllık video neden başarısız olur

Yılda bir kez, 45 dakikalık bir eğitim modülü neredeyse hiç uzun vadeli davranış değişikliği üretmez. İnsanlar ayrıntıları haftalarda unuturlar, içerik jenerik olur ve öğretilen şey ile çalışanların gerçekten gelen kutusunda gördükleri arasında bir bağlantı yoktur. Saldırganlar denemeler arasında bir yıl beklemezler — sürekli kampanyalar yürütürler. Yılda bir kez çalışan eğitim ile sürekli çalışan tehdit yapısal olarak uyuşmaz.

Diğer yaygın bir başarısızlık: tamamen cezalandırıcı eğitim. Çalışanların güvenlikle tek etkileşimi bir kimlik avı simülasyonunda başarısız olduktan sonra utandırılmaksa, tehditleri fark etmeyi değil güvenlik ekibine karşı nefret etmeyi öğrenirler. Korku tabanlı programlar genel olarak raporlamama eğilimini üretir — kötü bir bağlantıya tıklayan ve sonra onu gizleyen insanlar, bu tıklamadan kendisi organizasyon için daha kötüdür.

Gerçekten işe yarayan şey

Uzunluk yerine sıklık. Kısa, aylık dokunuşlar — iki dakikalık bir video, o haftan gelen gerçek bir kimlik avı örneği, yeni bir dolandırıcılık hakkında bir Slack yazısı — uzun bir yıllık oturumdan daha iyi tanıma desenleri oluştururlar. Aralıklı tekrar, iyi kurulmuş bir öğrenme ilkesidir ve güvenlik eğitimi bunu dil öğreniminin yaptığı şekilde elde eder.

Düzenli olarak çalıştırılan ve gerçek dünya tuzaklarına bağlı benzetilmiş kimlik avı kampanyaları (fatura dolandırıcılığı, insan kaynakları duyuruları, BT parola sıfırlamaları) insanlara güvenli bir bağlamda pratik yaptırır. Kilit şey birinin tıklamasından sonra ne olduğudur: bir dersten değil, gerçek bir saldırıyı ortaya koyan şeyin kısa, kusursuz bir açıklaması. Simülasyonu anlık, spesifik geribildirim ile eşleştiren programlar, zaman içinde simülasyon tek başına olduğundan daha anlamlı şekilde daha iyi tıklama oranı iyileştirmesini gösterir.

Raporlamayı sorunsuz hale getirin. Bir