Security Awareness Training That Actually Works

Hầu hết đào tạo nhận thức bảo mật là một bài tập tuân thủ: một video hàng năm, một bài kiểm tra, một dấu tick cho các kiểm toán viên. Phiên bản đó không thay đổi hành vi. Phiên bản hoạt động trông hoàn toàn khác.

Thuật ngữ thực sự bao gồm những gì

Đào tạo nhận thức bảo mật cho nhân viên là tập hợp các hoạt động nhằm giúp nhân viên nhận ra và phản ứng với các mối đe dọa mà họ sẽ thực sự gặp phải — các email phishing, cuộc gọi pretexting, ổ USB độc hại, tái sử dụng thông tin xác thực, và kỹ thuật xã hội nhằm vượt qua hoàn toàn các kiểm soát kỹ thuật. Nó đi cạnh các phòng thủ kỹ thuật như lọc email và phát hiện điểm cuối, không phải thay thế chúng. Mục tiêu không phải biến mọi nhân viên thành một nhà phân tích. Đó là để đóng lại khoảng cách nơi quyết định của con người là hàng phòng thủ cuối cùng.

Tại sao video hàng năm thất bại

Một mô-đun đào tạo chạy một lần mỗi năm, kéo dài 45 phút gần như không tạo ra bất kỳ thay đổi hành vi lâu dài nào. Mọi người quên chi tiết trong vòng vài tuần, nội dung chung chung, và không có sự kết nối giữa những gì được dạy và những gì nhân viên thực sự thấy trong hộp thư của họ. Những kẻ tấn công không đợi một năm giữa các lần cố gắng — họ chạy các chiến dịch liên tục. Đào tạo chạy một lần mỗi năm đối với một mối đe dọa chạy liên tục là không phù hợp về cấu trúc.

Một thất bại phổ biến khác: đào tạo hoàn toàn mang tính trừng phạt. Nếu tương tác duy nhất của nhân viên với bảo mật là bị chỉ trích sau khi thất bại trong một mô phỏng phishing, họ học cách oán thán đội bảo mật, không phải để phát hiện các mối đe dọa. Các chương trình dựa trên nỗi sợ hãi có xu hướng tạo ra việc báo cáo thiếu — những người nhấp vào một liên kết xấu và sau đó ẩn nó thay vì báo cáo, điều này còn tệ hơn cho tổ chức so với cú nhấp chuột.

Những gì thực sự thay đổi kết quả

Tần suất thắng độ dài. Các điểm chạm ngắn hàng tháng — một video hai phút, một ví dụ phishing thực tế từ tuần đó, một bài đăng Slack về một trò lừa mới — xây dựng các mô hình nhận ra tốt hơn một phiên hàng năm dài. Lặp lại cách quãng là một nguyên tắc học tập được thiết lập tốt, và đào tạo bảo mật được hưởng lợi từ nó theo cách tương tự như học ngôn ngữ.

Các chiến dịch phishing mô phỏng, chạy thường xuyên và gắn với các mối đe dọa thực tế (các trò lừa hóa đơn, thông báo HR, đặt lại mật khẩu IT), cung cấp cho mọi người thực hành trong bối cảnh an toàn. Chìa khóa là những gì xảy ra sau khi ai đó nhấp chuột: một lời giải thích ngắn, không có lỗi về những gì đã phát hiện một cuộc tấn công thực sự, không phải một bài giảng. Các chương trình kết hợp mô phỏng với phản hồi ngay lập tức, cụ thể cho thấy cải thiện tỷ lệ nhấp chuột tốt hơn một cách có ý nghĩa theo thời gian so với chỉ mô phỏng.

Làm cho việc báo cáo không có ma sát. A