Хочете стійку безпеку? Знайдіть золоту середину між технікою та освітою

Кінцеві користувачі отримують погану репутацію щодо безпеки — з поважних причин. Як задокументована статистична слабка ланка, вони створюють 82% усіх подій, яким можна було б запобігти, згідно з Verizon “Звіт про розслідування порушень даних за 2022 рік.” Враховуючи, що найпоширенішою причиною витоку даних є викрадення або слабкі облікові дані, важко сперечатися з цим.

Люди емоційні, схильні до помилок. Вони також є статистичним серцем вразливостей, порушень або серйозних інцидентів і роблять дуже мало для загальної відповідності організації. Оскільки для ведення бізнесу все ще потрібні люди, організаціям вкрай необхідно вживати проактивних дій, щоб зменшити ймовірність події. Але в якій формі мають бути такі проактивні дії?

Традиційно завзяті фахівці-практики швидко намагалися подолати слабкі сторони людської природи та ручні помилки, купуючи інструмент, але виявили, що прогалини та ризики залишаються. Технологія, впроваджена за відсутності навчання кінцевих користувачів і належних процесів, не підвищила їхню безпеку чи знизила рівень загрози.

Одна тільки освіта також не є вирішенням проблеми. Уповноважені кінцеві користувачі, які також борються з нереалістичними робочими навантаженнями, схильні до помилок, які природно збільшують ризики.

Переможний рецепт стабільного успіху вимагає поєднання як стратегічної освіти користувачів, так і тактичної автоматизації добре побудованих процесів.

Інформаційна прогалина

За допомогою телефону, онлайн-банкінгу, оплати рахунків, закупівлі товарів і послуг, матеріально-технічного забезпечення їжі чи подорожей, навчання (як батьки, вчителі чи студенти) чи просто як повсякденний споживач із кредитною карткою, більшість людей щодня взаємодіють із технології. Таким чином, існує щоденний потенційний ризик порушення.

Споживачі певною мірою дбайливо ставляться до своєї особистої інформації або того, чим їм зручно ділитися, щоб виконувати свої щоденні операції. Але кожен має різний рівень комфорту щодо цих даних (таких як номер соціального страхування, дата народження, адреса чи номер кредитної картки) залежно від типу транзакції, яку вони хочуть здійснити. Більшість споживачів визнають, що для незначних транзакцій (продовольчі товари, бензин, швидка їжа) не потрібно вводити особисту інформацію або не потребувати її, і визнають, що для виконання великих покупок (нового будинку чи автомобіля) може знадобитися значно більше особистих даних. Більшість споживачів знають ризики пов’язані з обміном особистими даними, і багато хто вживає профілактичних заходів, щоб захистити себе.

Навпаки, організаційні користувачі (працівники та треті сторони), схоже, не мають вільного розуміння того, що їхній роботодавець зручний, щоб вони ділилися за межами організації. Вони не обізнані з типами інформації, які є найважливішими для захисту від імені компанії (наприклад, фінансові прогнози, інтелектуальна власність і умови контракту). Часто вони не знають, яку інформацію їхній роботодавець вважає чутливою або конфіденційною. Відсутня чітка класифікація даних і кампанії з навчання користувачів, користувачі, швидше за все, будуть ділитися конфіденційною інформацією про компанію просто тому, що вони не знали, що вона є конфіденційною.

Зловмисники добре знають про цю прогалину в знаннях користувачів, намагаються регулярно її використовувати та досягають успіху. Типовий приклад: фішинговий електронний лист із запитом на конфіденційну або конфіденційну інформацію про компанію. Не розуміючи поширених методів фішингу та способів їх виявлення, користувач може поділитися інформацією, яка може завдати шкоди його роботодавцю, замість того, щоб визначити потенційний ризик і звернутися до вторинного рівня перевірки.

Використовуйте знання й автоматизацію в тандемі для довготривалих результатів

Автоматизація є важливою частиною головоломки безпеки. Однак якщо його впровадити на хиткому фундаменті (відсутність розуміння користувачами та погані процеси), це не підвищить безпеку та відповідність вимогам або зменшить ризик.

Цифрова трансформація та автоматизація в сферах керування доступом, авторизації та автентифікації є основними потребами для стабільної безпеки. Але компанії повинні поєднувати їх із проактивною освітою, щоб навчити спільноту користувачів, чому або що їм слід захистити. Інструменти без знання є великим запрошенням обійти визначені процеси. Оприлюднення основних цінностей і базових критеріїв захисту природно покращує навчання користувачів. Це також призводить до вищого рівня відповідності для всіх учасників (працівників, третіх сторін, афілійованих осіб тощо).

Озброєння людей знаннями про те, що захищати і чому вони повинні це захищати, збільшує їхнє бажання виконувати вимоги. Це зменшує порушення відповідності та створює культуру підтримки ініціатив безпеки.

Коли організація підтримує стабільну безпеку, вона отримує більші фінансові результати та ефективність. Доцільно винагороджувати співробітників фінансовими бонусами або заохоченнями за внесок у ці зусилля та зменшення порушень або злочинної діяльності внаслідок подій, яким можна було б запобігти. Коли співробітники роблять більший внесок у заходи безпеки, це допомагає організаціям краще визначити, де їм справді потрібна технологічна допомога, а не те, з чим їхні співробітники цілком здатні впоратися. Цей рівень чіткості допомагає розгортати ефективну автоматизацію за допомогою проактивних процесів безпеки, розширеного виявлення та запобіжних заходів для уникнення потенційної вразливості.

Почніть зі створення простого рішення складної ініціативи. Визначте будівельні блоки нульова довіра і визначити як та що піклуватися про коли. Потім повідомте про це, обговоріть це та переконайтеся, що користувачі це розуміють. Встановлення відповідальності кінцевого користувача за безпеку, а також інструментів і методів захисту для її підвищення створює середовище успіху. Він також починає відщеплюватися на цих 82%.

• Розповсюдження контенту та PR на основі SEO. Отримайте посилення сьогодні.
• PlatoAiStream. Web3 Data Intelligence. Розширення знань. Доступ тут.
• Карбування майбутнього з Адріенн Ешлі. Доступ тут.
• Купуйте та продавайте акції компаній, які вийшли на IPO, за допомогою PREIPO®. Доступ тут.
• джерело: https://www.darkreading.com/operations/want-sustainable-security-find-the-middle-ground-between-technology-and-education