Почему октябрь сделали месяцем кибербезопасности

Вопросы кибербезопасности выходят на первый план по мере углубления процесса цифровой трансформации в компаниях по всему миру. И всё важнее становится цифровая грамотность всех сотрудников в организации. Самые надежные системы безопасности оказываются бесполезными, если работники пренебрегают азами кибербезопасности. О ней необходимо помнить при совершении самых обыденных действий: просмотре сайтов, работе с электронной почтой и документами. Роль руководителей в процессе повышения навыков кибербезопасности заключается в том, чтобы приучить сотрудников к мысли о необходимости соблюдения мер кибербезопасности. 

Не все сотрудники организации должны разбираться в таких понятиях, как SPF-записи и отравление кэша DNS, но предоставление каждому сотруднику информации, соответствующей его роли, поможет ему оставаться в безопасности в Интернете — как на работе, так и дома. Ролевое обучение для технического и нетехнического персонала — лучший способ подготовить людей к угрозам кибербезопасности, которые актуальны для них.

Осведомленность о кибербезопасности может означать для рядовых сотрудников нечто иное, чем для технических специалистов. Управление данными, разрешения и правила — это темы, которые необходимо знать ИТ-команде, но которые не всегда актуальны для остальных сотрудников организации. Проведение соответствующего обучения для каждой команды является жизненно важным для создания программы повышения осведомленности о кибербезопасности, которая мотивирует к долгосрочному изменению поведения.

Подобно инцидентам в сфере безопасности, инциденты в сфере кибербезопасности могут иметь высокую цену. Если вы испытываете трудности с выделением бюджета на обучение кибербезопасности, инструменты или таланты, вам следует подумать об этом через призму управления рисками. Поскольку число кибератак растет с каждым годом, риск того, что ваши сотрудники не будут осведомлены о кибербезопасности, только увеличивается.

Киберпреступники постоянно находят новые способы обхода новейших защитных средств и технологий, попадая в почтовые ящики и браузеры ваших сотрудников. Только в 2021 году в 85% случаев утечки данных будет задействован человеческий фактор, а 94% вредоносных программ были доставлены по электронной почте.

Такие атаки по электронной почте почти всегда связаны с фишингом. Фишинг — это мошенническая практика отправки электронных писем, выдающих себя за законный источник, с целью вынудить жертву раскрыть конфиденциальную информацию, например, пароли и номера кредитных карт. Возможно, вы уже сталкивались с фишинговыми письмами, в которых вам предлагали бесплатный телевизор или просили изменить пароль. Хотя спам-фильтр электронной почты отлавливает многие из них, некоторые все же иногда попадают в ваш почтовый ящик.

Фишинг — это не только простая атака, но и поиск в Google. Любой, кто имеет доступ к темной паутине (Dark Net/Dark Web), может приобрести набор для фишинга так же, как вы покупаете книгу на Amazon. Ваши сотрудники рано или поздно столкнутся с кибер-инцидентом, и вы хотите, чтобы они были готовы отреагировать соответствующим образом, сообщив об угрозах в ИТ-отдел или службу безопасности. К счастью, эффективным средством защиты от фишинговых атак может стать обучение по вопросам кибербезопасности.

Защита от фишинговых атак и атак социальной инженерии в конечном итоге сводится к пониманию того, с чем вы сталкиваетесь. Кибератаки могут принимать самые разные формы, но самые распространенные из них —  это фишинговые письма, в которых вас просят ввести имена пользователей, пароли и личную информацию. Хорошее правило —  относиться со здоровым скептицизмом к любому письму с просьбой предоставить личную информацию, особенно к письму от неожиданного отправителя.

Это может показаться довольно сложной задачей для любой компании, не говоря уже о малом бизнесе. Но на самом деле цена упущенной возможности, если вы не обучите своих сотрудников, слишком высока, чтобы ее игнорировать. По данным IBM, средняя стоимость утечки данных в прошлом году составила 4,24 миллиона долларов. 38% компаний разорились в результате утечки данных.

Обучив свой персонал выявлять такие атаки, вы можете значительно снизить риск инцидента или нарушения безопасности. Это может стать разницей между дорогостоящим заражением программой-вымогателем и сообщением в ИТ-отдел следующего содержания: "Это письмо выглядит подозрительно, поэтому я не стал его открывать".

Хотя осведомленность о кибербезопасности — это первый шаг, для того чтобы она была действительно эффективной, сотрудники должны с готовностью принять и активно использовать методы кибербезопасности как в профессиональной, так и в личной жизни. Так формируется культура безопасности. Она представляет собой коллективную осведомленность, отношение и поведение организации в отношении безопасности. Исследования правительства США показали, что организации с сильной культурой кибербезопасности получают большее представление о потенциальных угрозах, сокращение числа кибер-инцидентов и большую устойчивость после атак, а также другие ощутимые преимущества.

Мы все можем учиться у организаций, которые вложили значительные средства в создание культуры безопасности, чтобы снизить количество инцидентов на рабочем месте. Когда организации увидели, что инциденты, связанные с безопасностью, как и инциденты, связанные с охраной труда, являются дорогостоящими и опасными, они вложили средства в их предотвращение с помощью обучения сотрудников. Для того чтобы обучение было эффективным, оно должно выйти за рамки простой осведомленности. А руководство должно убедиться в том, что сотрудники принимают протоколы безопасности как часть своей культуры на рабочем месте. Подобно тому, как сегодня вы не выйдете на строительную площадку или не спуститесь под землю без каски благодаря инструктажу по технике безопасности, формирование культуры безопасности приведет к тому, что такие распространенные ошибки, как повторное использование паролей или открытие вредоносных файлов, останутся в прошлом.

Чтобы культура безопасности была наиболее эффективной, важно сделать обучение по безопасности не только увлекательным, но и актуальным для сотрудников, чтобы они понимали, как кибербезопасность влияет на них на работе и вне ее. В условиях перехода рабочей силы к гибридной модели этот образ мышления важен как никогда. Роль руководителей как раз и состоит в том, чтобы нарисовать целостную картину и помочь сотрудникам понять, как образование в области безопасности приносит им пользу. Когда вы добьетесь этого, вы сможете создать устойчивые изменения в поведении и культуру безопасности.