K. Topolska: Ludzie - klucz do skutecznego cyberbezpieczeństwa

Cyberbezpieczeństwo to już nie tylko problem techniczny, ale także ludzki. Obecnie największym wyzwaniem stało się zarządzanie ryzykiem ludzkim, ponieważ ludzie są zaangażowani w prawie 90% wszystkich naruszeń, według raportu Uniwersytetu Stanforda z początku 2023, dla porównania w 2015 roku liczba ta wynosiła 52%. Oznacza to, że zarządzanie ryzykiem ludzkim jest ważniejsze niż kiedykolwiek.Wiele organizacji próbuje temu zaradzić, uruchamiając programy uświadamiające w zakresie bezpieczeństwa, ale zdecydowanie zbyt często większość programów koncentruje się na zgodności, czyli na niczym więcej niż obowiązkowych corocznych szkoleniach. W rezultacie większość ich pracowników ma bardzo negatywne postrzeganie cyberbezpieczeństwa lub nawet bagatelizuje ten rodzaj szkoleń. W większości przypadków ataki phishingowe i socjotechniczne odnoszą sukces, ponieważ wykorzystują ludzkie słabości, a cyberprzestępcy stają się bardziej innowacyjni i zaradni niż wcześniej. Mimo wszystko w trakcie moich rozmów z klientami dostrzegam tendencję do bagatelizowania tematu cyberbezpieczeństwa. Jest to zjawisko, które wymaga bliższego zrozumienia i analizy, aby lepiej zrozumieć, dlaczego wiele osób nie przywiązuje odpowiedniej wagi do tego zagadnienia.

Według mnie, jednym z głównych powodów takiego podejścia jest brak świadomości i wiedzy na temat zagrożeń związanych z cyberprzestępczością. Wielu klientów, z którymi rozmawiałam, nie zdawało sobie sprawy z tego, jak poważne mogą być konsekwencje ataku hackerskiego czy naruszenia danych. Często myśleli, że cyberprzestępcy są zainteresowani tylko dużymi firmami i że ich przedsiębiorstwo jest zbyt małe, aby stanowiło atrakcyjny cel dla cyberataków. Jednak w rzeczywistości małe i średnie przedsiębiorstwa są często bardziej podatne na ataki, ponieważ mogą mieć mniejsze zasoby finansowe i technologiczne do ochrony swoich systemów. Po drugie, MŚP są często dostawcami lub partnerami biznesowymi większych firm. Atakując je, cyberprzestępcy mogą zdobyć dostęp do danych lub systemów, które są wykorzystywane przez większe organizacje. Otwiera to drogę do ataków na te duże podmioty poprzez wykorzystanie słabszego ogniwem, za jaki uchodzą MŚP.Kolejnym powodem bagatelizowania tematu jest brak przekonania o konieczności inwestowania w cyberbezpieczeństwo. Wielu klientów podzieliło się ze mną swoimi przemyśleniami, że koszty związane z wdrożeniem skutecznych rozwiązań ochronnych są zbyt wysokie i nieopłacalne,a samo ryzyko ataku jest zbyt małe, aby poświęcać uwagę i zasoby na zapobieganie mu. Należy jednak zrozumieć, że koszty związane z naruszeniem danych, naprawą szkód i stratą reputacji mogą być znacznie wyższe niż koszty wdrożenia odpowiednich środków ochronnych.

Rozwiązaniem tego wyzwania dla małych i średnich przedsiębiorstw będzie skoncentrowane się na dwóch kluczowych obszarach: edukacji wraz z zaangażowaniem pracowników oraz wdrażaniu proaktywnych strategii zarządzania ryzykiem ludzkim. Oto kilka moich sugestii, dotyczących zwiększenia skuteczności zarządzania ryzykiem ludzkim w kontekście cyberbezpieczeństwa:

• Dostosowane i interaktywne szkolenia: Zamiast polegać na standardowych, corocznych szkoleniach zgodności, postaw na dostosowane i interaktywne programy szkoleniowe. Rozważ wykorzystanie różnych form uczestnictwa, takich jak symulacje ataków, grywalizacja czy kampanie świadomościowe, które angażują pracowników w praktyczne sytuacje związane z cyberbezpieczeństwem. Ważne jest, aby szkolenia były interesujące, praktyczne i dostosowane do konkretnych potrzeb i zagrożeń, z jakimi spotyka się Twoje przedsiębiorstwo. W ten sposób pracownicy wyrobią w sobie instynkt i będą gotowi do skutecznego reagowania na potencjalne zagrożenia cybernetyczne.
• Budowanie kultury cyberbezpieczeństwa: Wprowadź i promuj w przedsiębiorstwie kulturę, w której cyberbezpieczeństwo jest ważnym elementem codziennego działania. Zidentyfikuj kluczowe wartości i praktyki, takie jak odpowiedzialność za dane, zrozumienie ryzyka i współpraca w celu ochrony przed zagrożeniami. Promowanie świadomości i odpowiedzialności wśród pracowników może prowadzić do lepszej ochrony przed zagrożeniami i zmniejszenia ryzyka.
• Komunikacja i zaangażowanie pracowników: Regularnie informuj pracowników o zagrożeniach cybernetycznych, najnowszych atakach i środkach ostrożności. Zachęcaj ich do zgłaszania wszelkich podejrzanych działań czy incydentów związanych z bezpieczeństwem. Organizuj spotkania, warsztaty i sesje Q&A, aby zachęcić do otwartej dyskusji na temat cyberbezpieczeństwa. Z doświadczania wiem, że współpraca z pracownikami jako partnerami w ochronie przed zagrożeniami może przyczynić się do zwiększenia zaangażowania i pozytywnego podejścia do cyberbezpieczeństwa.
• Monitorowanie i raportowanie: Wdrożenie narzędzi, procesów monitorowania oraz raportowania może dostarczyć cennych informacji o zachowaniach i aktywnościach pracowników związanych z cyberbezpieczeństwem. Analiza tych danych pozwoli na identyfikację obszarów wymagających dodatkowego szkolenia czy udoskonalenia procesów. Regularne raportowanie wyników i postępów może służyć jako motywacja i świadectwo postępów w zakresie cyberbezpieczeństwa.
• Partnerstwo z ekspertami: Współpraca z zewnętrznymi ekspertami ds. cyberbezpieczeństwa może dostarczyć MŚP niezbędnego know-how i doświadczenia. Konsultanci ds. cyberbezpieczeństwa mogą pomóc w ocenie ryzyka, opracowaniu odpowiednich polityk i procedur, wdrożeniu skutecznych narzędzi oraz szkoleniu personelu. Partnerstwo z ekspertami daje dostęp do wiedzy specjalistycznej, która może być trudna do zdobycia wewnętrznie.

Zachęcam do kontaktu, jeśli chcesz:

• Dopasować swój program świadomości bezpieczeństwa do strategicznych priorytetów bezpieczeństwa Twojej organizacji
• Skutecznie identyfikować, ustalać priorytety i zarządzać najważniejszymi zagrożeniami dla Twojej organizacji
• Integrować działania związane ze świadomością bezpieczeństwa z ogólnymi działaniami organizacji

Klaudia Topolska  - ekspert

Od blisko dekady związana jest ze światem IT. Doświadczenie zdobywała jako audytor IT i ekspert zarządzania bezpieczeństwem informacji, gdzie jej nadrzędnym celem zawsze było zapewnienie optymalnego poziomu bezpieczeństwa w organizacjach, w których pracowała. Aktywnie prowadzi liczne szkolenia dla pracowników, studentów i młodzieży, mające na celu zwiększenie ich świadomości i umiejętności w zakresie bezpieczeństwa. Jej warsztaty koncentrują się na edukowaniu uczestników w zakresie rozpoznawania i reagowania na potencjalne zagrożenia cybernetyczne, gdzie dąży do wyrobienia w nich instynktu do skutecznej ochrony przed atakami i zwiększenia bezpieczeństwa w świecie cyfrowym.

[email protected]