הנקודה החשובה היא שמודעות עובדים אינה אירוע חד פעמי. היא מהלך מתמשך, מובנה ומדיד, שמשנה את תרבות הארגון מבפנים. בשורות הבאות נסביר חמישה דברים מהותיים שכל מנהל, אנשי IT ובעלי עסקים צריכים להכיר כדי לבנות תוכנית הדרכה אפקטיבית.
1. רוב מתקפות הסייבר מתחילות בעובד, לא בטכנולוגיה
האדם הוא שכבת ההגנה החלשה ביותר
כלי אבטחה מתקדמים, חומות אש, מערכות זיהוי איומים וסינון תנועה ברשת הם כולם כלים חשובים. אך הם לא מסוגלים לעצור עובד שמעביר את שם המשתמש והסיסמה שלו בתגובה להודעת פישינג שנראתה לגיטימית.
התוקפים יודעים זאת היטב. לכן הם ממקדים מאמץ גדול בהנדסה חברתית, כלומר בניסוח מסרים משכנעים שמיועדים לגרום לאנשים לפעול מתוך לחץ, פחד או סקרנות. ללא הכשרה מתאימה, עובדים אינם יודעים לזהות את הסימנים האלו.
מה ניתן לעשות
ההכשרה צריכה לכלול זיהוי מיילים חשודים, אימות קישורים לפני לחיצה, ניהול סיסמאות נכון ושימוש מאובטח בכלים דיגיטליים. לא מדובר בקורס עומס שעות, אלא בסדרת מיומנויות בסיסיות שכל עובד חייב לרכוש.
2. תוכנית מודעות עובדים לא שווה כלום בלי מדידה
הכשרה ללא מדידה היא הוצאה, לא השקעה
אחת הטעויות הנפוצות בארגונים היא קיום הדרכת סייבר שנתית, סימון "ב" בתיבה, ואז המשך שגרה כרגיל. אבל אם אין מדידה של תוצאות, אין שום דרך לדעת אם התוכנית עובדת.
מדידה נכונה של מודעות עובדים כוללת כמה מרכיבים. ראשית, בדיקות פישינג מדומות שנשלחות לעובדים בצורה מפתיעה ומאפשרות לראות כמה אנשים לוחצים על קישורים חשודים. שנית, מדדי שיפור לאורך זמן, כלומר השוואה בין קבוצות ותקופות שונות. שלישית, ניתוח תגובות עובדים לאירועים אמיתיים שהתרחשו ברשת.
חשיבות הדוחות וסגירת המעגל
כל אירוע שמזוהה, בין אם מדובר בניסיון פישינג שדווח על ידי עובד ובין אם במשהו שנפל בין הכסאות, חייב להיכנס לתהליך לימוד. ארגון שבונה מנגנון משוב פנימי לסייבר מגביר את הדיוק של ההגנה שלו עם כל רבעון שעובר.
3. הדרכה חד פעמית לא מספיקה: הסייבר הוא שדה דינמי
האיומים מתעדכנים, ההדרכה חייבת להתעדכן גם היא
פישינג של לפני שלוש שנים נראה שונה לחלוטין מהפישינג של היום. כיום התוקפים משתמשים בכלים מתוחכמים שיוצרים הודעות מותאמות אישית, כולל שמות, כותרות ואפילו ציטוטים ממיילים קודמים של הקורבן.
לכן, תוכנית מודעות עובדים חייבת לכלול עדכון תכיף של התכנים. לא מדובר בקפריזה, אלא בהכרח מבצעי. הדרכה שלא מתרעננת מדי שנה, לכל הפחות, הופכת ללא רלוונטית.
תדירות מומלצת
מספר עקרונות יסייעו לבנות תוכנית עם עמידות לאורך זמן. ראשית, מחזורי הדרכה קצרים וממוקדים כל רבעון עדיפים על הדרכה ארוכה אחת בשנה. שנית, הדרכות מותאמות לתפקידים שכן מנהל כספים נחשף לאיומים שונים מאשר נציג שירות לקוחות. שלישית, תרגולים בשטח, כלומר סימולציות שמדמות תקיפה אמיתית בסביבה בטוחה.
ניתן לקרוא עוד על הגישה האינטגרטיבית לתכנון תוכניות כאלה בדף המידע על מודעות עובדים, שמפרט את המרכיבים המרכזיים של הכשרה אפקטיבית.
4. תרבות ארגונית היא הבסיס לכל תוכנית אפקטיבית
אי אפשר לבנות מודעות בניגוד לתרבות
גם התוכנית הטובה ביותר תיכשל אם ההנהלה לא מוכנה לקחת חלק פעיל בתהליך. עובדים מחקים התנהגות של מנהלים. אם המנכ"ל דולג על הדרכות סייבר ולוחץ על קישורים מבלי לבדוק, המסר לשאר הארגון ברור.
מנגד, ארגון שמנהיגיו נוטלים חלק בהדרכות, מדברים על חשיבות האבטחה בפגישות צוות ומעודדים דיווח על אירועים חשודים ללא ענישה, בונה תרבות שבה מודעות עובדים הופכת לחלק אינטגרלי מהשגרה.
תמריצים חיוביים לצד שיח פתוח
עובד שמדווח על ניסיון פישינג חייב לקבל משוב חיובי ואישור שפעל נכון. עובד שנפל בסימולציה חייב לעבור הכשרה ממוקדת ולא לחוות בושה פומבית. ההבחנה הזו קריטית לבניית מוכנות ולא לפיתוח פחד.
5. מודעות עובדים כחלק ממסגרת אבטחה רחבה יותר
לא נשק יחיד, אלא שכבה בתוך מערכת
מודעות עובדים לבדה אינה מספיקה. היא חייבת לפעול לצד כלי הגנה טכנולוגיים, נהלים ברורים, מדיניות סיסמאות מחייבת, אימות דו שלבי ותוכניות תגובה לאירועים.
ארגון שמשקיע רק בטכנולוגיה ומזניח את ההון האנושי, ישאיר פרצה פתוחה שאף חומת אש לא תוכל לסגור. לעומת זאת, ארגון שבונה שכבת הגנה אנושית חזקה, מקשה מאוד על תוקפים לנצל טעויות של עובדים, גם כאשר כלי טכנולוגי מסוים לא מצליח ללכוד את האיום.
שאלת ה-ROI של הכשרת עובדים
אחד הנושאים שמעסיקים מנהלים הוא תמחור ההכשרה לעומת העלות של פריצה. התשובה ברורה לרוב: עלות תוכנית מודעות עובדים שנתית נמוכה באופן משמעותי מעלות אירוע סייבר אחד, שיכולה לכלול השבתה, נזקים תדמיתיים, תשלומי כופר ועלויות שחזור מידע.
לסיכום: מודעות עובדים היא לא הוצאה, היא השקעה אסטרטגית
מודעות עובדים עומדת בלב כל תוכנית אבטחת מידע בוגרת. ארגונים שמשכילים להטמיע תוכניות הכשרה מובנות, עקביות ומדידות, נהנים מרמת מוכנות גבוהה יותר, מפחות אירועי סייבר ומיכולת תגובה מהירה יותר כשמשהו אכן קורה.
בשורה התחתונה, ההשקעה הטובה ביותר שארגון יכול לעשות בסייבר אינה רק בטכנולוגיה. היא בהפיכת כל עובד לשכבת הגנה פעילה. זו המהות של מודעות עובדים אמיתית.
