Che cos'è la formazione sulla consapevolezza della sicurezza e dovresti applicarla nel tuo spazio di lavoro?

I rapporti di ricerca suggeriscono che fino al 90% di tutte le violazioni dei dati sono collegate in un modo o nel altro al errore umano. È difficile dire quanto sia accurata questa stima, ma, avendo finora coperto un bel po di incidenti di cibersicurezza, possiamo tranquillamente affermare che nella maggior parte dei casi, i dati vengono compromessi non perché gli hacker sono troppo intelligenti, ma perché le persone responsabili di proteggerlo non ha fatto abbastanza. Password deboli e altri errori di configurazione sono un evento quotidiano e le aziende non sembrano essere particolarmente sicure su come modificarlo. Ancora una volta, sottolineare i motivi per cui la risoluzione del problema si sta rivelando così difficile è tut altro che la cosa più semplice al mondo. Poche persone sono disposte a sostenere, tuttavia, che la mancanza di consapevolezza non fa parte del problema.

I lavoratori semplicemente non sanno abbastanza del panorama delle minacce

È facile incolpare la maggior parte degli errori di sicurezza informatica sulla temerarietà, ed è giusto dire che un numero non insignificante di esperti lo fa frequentemente. Riteniamo, tuttavia, che il più delle volte, gli errori sono il risultato della semplice vecchia ignoranza.

Gli utenti non proteggono gli account sensibili con password come "P @ ssword123!" perché vogliono vedere i dati cadere nelle mani sbagliate. Lo fanno perché non sanno con quale facilità i moderni attacchi a forza bruta possono violare tali password.

Inseriscono informazioni riservate in server scarsamente protetti non perché vogliono vedere azienda per cui lavorano per fare notizia per tutti i motivi sbagliati, ma perché non sono consapevoli della rapidità con cui i criminali informatici possono trovare i dati vulnerabili.

In breve, se le persone conoscono il tipo di pericolo che devono affrontare, saranno meglio preparate a proteggersi da esso.

La tua azienda ha bisogno di un programma di formazione sulla consapevolezza della sicurezza?

Non è una domanda se ne ha bisogno. È una domanda sul tipo di allenamento di cui ha bisogno. Sfortunatamente, poiché non esistono due organizzazioni uguali, rispondere non è così semplice come si potrebbe sperare. Se i tuoi dipendenti elaborano la maggior parte dei dati in un ambiente offline, ad esempio, insegnare loro come configurare correttamente il firewall di un server non li aiuterà molto.

Un buon programma di sensibilizzazione alla sicurezza dipende da una vasta conoscenza degli strumenti e dei meccanismi con cui i vostri lavoratori svolgono il proprio lavoro. O tu o un esperto assunto devi tenere conto di ogni singolo dettaglio se vuoi davvero migliorare la sicurezza della tua organizzazione. Ciò comporta effettivamente una notevole quantità di tempo e (potenzialmente) denaro, ma i benefici di questo tipo di addestramento possono superare ampiamente l'esborso. Prima di arrivare a tutto ciò, tuttavia, devi insegnare ai tuoi lavoratori alcune verità fondamentali sulla sicurezza del 21 ° secolo sia nel mondo reale che su Internet.

Le basi della formazione sulla consapevolezza della sicurezza

Un vasto programma di formazione personalizzato per soddisfare le esigenze della tua azienda è il modo migliore per migliorare la sicurezza dei dati. Prima di accedervi, tuttavia, è necessario assicurarsi che tutti siano a conoscenza di alcune minacce universali che devono essere considerate sia a casa che in ufficio. Ora li daremo un'occhiata e speriamo di aiutare i tuoi lavoratori a rimanere più sicuri.

• Scarsa igiene delle password

• Abbiamo discusso ampiamente del problema delle password in queste pagine ed è probabilmente giunto il momento di discuterne anche con i tuoi dipendenti. Invece di attenersi alle possibilità teoriche, prova a fornire loro esempi reali di minacce come

ripieno di credenziali

• e

spruzzo della password

• attacchi e prova a mostrare loro come aggiungere "123!" alla fine di una semplice parola del dizionario non farà molto per aumentare la forza della loro password. Fondamentalmente, mostra loro come strumenti dedicati per la gestione delle password come

Cyclonis Password Manager

• può aiutarli a generare, organizzare e archiviare i propri dati di accesso.

• • Attacchi di phishing

Il phishing è probabilmente attacco informatico più semplice là fuori. Per uno, nella maggior parte dei casi, utilizza il metodo più antico e noto per la comunicazione online (e-mail), e sebbene i trucchi di fiducia che i truffatori impiegano siano spesso molto intelligenti, il lavoro tecnico che porta a mettere in moto la truffa è non molto. Questi, che ci crediate o no, sono precisamente i motivi per cui gli attacchi di phishing tendono ad essere così efficaci. L'invio di un gran numero di e-mail è economico e trovare un trucco che induca gli utenti a fare clic sul collegamento errato o ad aprire il file sbagliato non è affatto difficile. Se i tuoi dipendenti ne sono consapevoli, sarà più probabile che utilizzino gli strumenti di cui dispongono per proteggersi.

• • Mancanza di autenticazione a due fattori

Abilitando autenticazione a due fattori (o 2FA), stai mettendo un altro ostacolo sulla strada degli hacker. Significa che se vogliono accedere al tuo account, avranno bisogno non solo del tuo nome utente e password, ma anche del accesso alla tua e-mail, telefono o token fisico che hai. Questi fungono da secondo fattore che limita la probabilità di accesso non autorizzato.

2FA non è a prova di errore. Lungi da ciò , in effetti, ma è ancora il modo più semplice per aggiungere un altro livello di sicurezza e i tuoi dipendenti dovrebbero sicuramente usarlo quando possibile.

• • Software obsoleto e vulnerabile

Ancora una volta, è improbabile che teoricamente spieghi i pericoli che il vecchio software pone per ottenere una vera trazione con i tuoi lavoratori. Al contrario, se mostri loro come gli utenti continuano a infettare i loro PC con malware a causa di una vulnerabilità di sicurezza che avrebbe dovuto essere riparata due anni fa, è più probabile che ascoltino. installazione tempestiva di tutte le patch di sicurezza può far risparmiare parecchi mal di testa sia ai singoli utenti che a intere organizzazioni. Certo, questo a volte può causare problemi, soprattutto se il software in uso è più complesso, ma non può essere una scusa per lasciare i sistemi vulnerabili. Dopotutto, una potenziale violazione dei dati non può solo compromettere le informazioni delle persone; può anche danneggiare in modo massiccio la reputazione di u organizzazione.

• • La sicurezza dei dispositivi personali

Si potrebbe sostenere che si tratta più di una questione di politica che di formazione, ma tuttavia, ai tempi della cultura BYOD (Bring Your Own Device), non possiamo ignorarla. I ricercatori hanno monitorato le tendenze e sono giunti alla conclusione che i lavoratori tendono effettivamente a sentirsi più a loro agio quando lavorano sui propri telefoni, laptop o tablet. Gli esperti hanno anche concluso, tuttavia, che molte persone non fanno abbastanza per proteggere i propri dati perché pensano di non avere nulla da perdere. Se hai intenzione di consentire ai tuoi dipendenti di utilizzare i loro dispositivi personali per attività legate al lavoro, devi assicurarti che siano perfettamente consapevoli di quanto sono alte le puntate. È inoltre necessario applicare regole su cosa può e cosa non può essere eseguito da un dispositivo personale e si potrebbe voler pensare di investire in un sistema IAM ( Identity Access Management ).

• • Sicurezza fisica

Se i tuoi dipendenti svolgono la maggior parte del loro lavoro con aiuto di computer o altri dispositivi elettronici, potresti pensare che questo articolo non sia particolarmente importante. Questo non è del tutto vero, però. Ovviamente, accesso al edificio e al ufficio in cui opera la tua azienda deve essere attentamente monitorato, ma ci sono altri fattori meno ovvi che devono essere considerati.

anno scorso, ad esempio, Hawaiian Emergency Management Agency ha fatto notizia dopo che un giornalista ha fotografato accidentalmente un post-it con una password. Anche quando i dati sono in formato digitale, possono ancora essere compromessi nel mondo fisico. Nel 2017, un dipendente di Heathrow ha perso una chiavetta USB contenente "dati personali sensibili". Alla fine il flash drive è stato trovato e restituito, ma il più grande aeroporto del Regno Unito ha finito per pagare una multa di circa (120 mila (circa $ 150 mila al cambio attuale).

Esistono molti altri esempi di compromissione dei dati nel mondo reale, motivo per cui è importante insegnare ai dipendenti che la sicurezza delle informazioni che si inseriscono su un dispositivo di archiviazione portatile è importante tanto quanto la sicurezza dei dati caricati online.

Il resto del programma di formazione dovrebbe mirare a rendere più sicuri i compiti specifici del azienda e, ancora una volta, dovrebbe essere più focalizzato su esempi del mondo reale piuttosto che su conoscenze teoriche. Prima di riuscirci, tuttavia, dovrai gettare le basi e calcoliamo che elenco che vedi sopra è un buon inizio. La cosa grandiosa è che, se i tuoi lavoratori sanno cosa stanno affrontando, hanno maggiori probabilità di stabilire le proprie regole e limiti e attenersi a loro. Questo, a sua volta, rende il tuo lavoro molto più semplice.