Διατμηματική κατάρτιση σε θέματα κυβερνοασφάλειας για ψηφιακούς εμπόρους

Εισαγωγή

Οι εγκληματίες του κυβερνοχώρου εξελίσσονται, τόσο σε αριθμό όσο και σε δημιουργικότητα. Γνωρίζατε ότι τόσο οι καταναλωτές όσο και οι επιχειρήσεις έχασαν 12,5 εκατομμύρια δολάρια από το έγκλημα στον κυβερνοχώρο το 2023 και ότι, σύμφωνα με το FBI, ο αριθμός αυτός εξακολουθεί να είναι μάλλον χαμηλός;

Επιπλέον, μπορούμε να περιμένουμε ότι ο αριθμός αυτός θα συνεχίσει να αυξάνεται, καθώς τα στοιχεία μας δείχνουν ότι το 2023 ήταν το υψηλότερο έτος όλων των εποχών για τις κυβερνοεπιθέσεις, με τον όγκο να αυξάνεται κατά 72% από το 2021 (το προηγούμενο ρεκόρ για τις περισσότερες επιθέσεις). Αξίζει να σημειωθεί ότι η αιτία αυτών των εισβολών είναι συνήθως τετριμμένη, με τις επιθέσεις μέσω ηλεκτρονικού ταχυδρομείου να είναι μία από τις πιο συνηθισμένες. Το 94% των οργανισμών ανέφεραν παραβιάσεις μέσω κακόβουλου λογισμικού ηλεκτρονικού ταχυδρομείου, ενώ η έρευνα δείχνει ότι το 35% των επιθέσεων κακόβουλου λογισμικού παραδίδονται μέσω ηλεκτρονικού ταχυδρομείου.

Συγκριτικά, η μέση απώλεια ως αποτέλεσμα παραβίασης δεδομένων είναι 4,4 δισεκατομμύρια δολάρια. Με άλλα λόγια, ο οργανισμός σας απέχει ένα κακό μήνυμα ηλεκτρονικού ταχυδρομείου από το να χάσει πολλά χρήματα. Και αυτά είναι μόνο μηνύματα ηλεκτρονικού ταχυδρομείου- οι εγκληματίες του κυβερνοχώρου, δυστυχώς, εντείνουν το παιχνίδι τους μαζί με την τεχνολογία καθώς αυτή εξελίσσεται.

Unsplash

Αν και οι αριθμοί αυτοί είναι τρομακτικοί, αυτό που τονίζουν είναι η ανάγκη να ενωθούν όλες οι μονάδες της εταιρείας για την προστασία των εταιρικών δεδομένων. Δεν αρκεί η εταιρεία σας να διαθέτει απλώς μια ομάδα που να ασχολείται με τη συντήρηση του λογισμικού κυβερνοασφάλειας- οι ομάδες σε ολόκληρο τον οργανισμό σας πρέπει να γνωρίζουν και να εφαρμόζουν τις βέλτιστες πρακτικές κυβερνοασφάλειας στο πλαίσιο των καθημερινών τους αρμοδιοτήτων.

Αυτό ισχύει ιδιαίτερα για το τμήμα μάρκετινγκ. Το τμήμα μάρκετινγκ έχει πρόσβαση σε μεγάλο όγκο δεδομένων πελατών και χρησιμοποιεί ενεργά τα δεδομένα αυτά στην καθημερινότητά του. Αυτό καθιστά το μάρκετινγκ έναν ιδιαίτερα πολύτιμο στόχο για τους εγκληματίες του κυβερνοχώρου. αν ένας λιγότερο έμπειρος ασκούμενος ή ακόμη και ένας καταπονημένος διευθυντής ανοίξει το λάθος μήνυμα ηλεκτρονικού ταχυδρομείου, κάνει κλικ στον λάθος σύνδεσμο ή ανοίξει με άλλο τρόπο την πόρτα, η εταιρεία σας έχει να αντιμετωπίσει μια απώλεια πολλών εκατομμυρίων δολαρίων. Για να μην αναφέρουμε το χτύπημα στη φήμη σας, καθώς οι πελάτες είναι λιγότερο πιθανό να εμπιστευτούν τα δεδομένα τους σε έναν οργανισμό που τα τοποθετεί λάθος.

Πώς μπορείτε λοιπόν να προετοιμάσετε το τμήμα μάρκετινγκ για να αποφύγετε τις απειλές κυβερνοασφάλειας; Τι χρειάζεται για να ενημερωθούν όλοι για το πρωτόκολλο κυβερνοασφάλειας και πώς μπορείτε να μετρήσετε την πρόοδο της ομάδας σας καθώς προχωράει το πρόγραμμά σας; Σε αυτό το άρθρο, θα αναλύσουμε πρακτικές συμβουλές και κόλπα που θα σας βοηθήσουν να συγκεντρώσετε τις ομάδες σε ένα ενιαίο μέτωπο, προστατεύοντας τα δεδομένα της εταιρείας και αποφεύγοντας τις απειλές κυβερνοασφάλειας ακόμη και καθώς αυτές εξελίσσονται.

Ενίσχυση της ευαισθητοποίησης

Unsplash

Οι ομάδες δεν μπορούν να αντιμετωπίσουν μια απειλή που δεν γνωρίζουν. Δεν πρέπει ποτέ να υποθέσετε ότι οι άνθρωποι της ομάδας μάρκετινγκ σας γνωρίζουν (ακόμη και σε βασικό επίπεδο) τις τακτικές που χρησιμοποιούν οι εγκληματίες του κυβερνοχώρου για να παραβιάσουν. Πραγματοποιήστε έναν βασικό έλεγχο της ευαισθητοποίησης της ομάδας σας, δοκιμάζοντας τις γνώσεις τους σχετικά με αυτές τις κοινές επιθέσεις στον κυβερνοχώρο:

• Κακόβουλο λογισμικό Πώς οι εγκληματίες του κυβερνοχώρου μεταφέρουν συχνά κακόβουλο λογισμικό στους υπολογιστές των εργαζομένων; Υπάρχουν τρόποι να αποφύγετε αυτή την ανεπιθύμητη εισβολή;
• Phishing Τι πρέπει να κάνετε αν λάβετε ένα μήνυμα ηλεκτρονικού ταχυδρομείου εκτός εταιρείας με έναν σύνδεσμο στο κάτω μέρος του οποίου μπορείτε να κάνετε κλικ; Εάν το μήνυμα ηλεκτρονικού ταχυδρομείου ισχυρίζεται ότι προέρχεται από το εσωτερικό της εταιρείας, αλλά έχει έναν παρόμοιο σύνδεσμο που μπορεί να πατηθεί και φαίνεται περίεργο, όπως για παράδειγμα ότι ο διευθύνων σύμβουλός σας ζητά από όλους τους υπαλλήλους να συμπληρώσουν μια φόρμα, τι πρέπει να κάνετε;
• Social Engineering Θα πρέπει ποτέ να διανέμετε ευαίσθητες πληροφορίες, όπως αρχεία της εταιρείας, κωδικούς πρόσβασης ή προσωπικές πληροφορίες, μέσω του διαδικτύου; Εάν κάποιος που ισχυρίζεται ότι προέρχεται από το εσωτερικό της εταιρείας (αλλά τον οποίο δεν αναγνωρίζετε) σας ζητήσει αυτά τα πράγματα μέσω ηλεκτρονικού ταχυδρομείου, ποιο πρωτόκολλο μπορείτε να ακολουθήσετε για να επαληθεύσετε την ακρίβεια του ηλεκτρονικού ταχυδρομείου;

Αφού αποκτήσετε μια βασική ιδέα για τη συνολική ευαισθητοποίηση της ομάδας σας, ήρθε η ώρα να αναλάβετε το δικό σας μέρος και να συμπληρώσετε τα κενά στη βάση γνώσεών της. Η αύξηση της ευαισθητοποίησης είναι υψίστης σημασίας για τον μετριασμό των κινδύνων, και υπάρχουν τρόποι για τη διατήρηση αυτής της ευαισθητοποίησης πέρα από ένα πρόγραμμα κατάρτισης που θα πρέπει να εξετάσετε το ενδεχόμενο να εφαρμόσετε σε ολόκληρη την εταιρεία σας.

Ενώ τα προγράμματα κατάρτισης είναι επίσης σημαντικά (όπως θα συζητήσουμε σε λίγο), θέλετε η ασφάλεια στον κυβερνοχώρο να απασχολεί τους υπαλλήλους σας καθημερινά και μπορείτε να επιτύχετε αυτόν τον στόχο με αυτές τις απλές αλλαγές στις διαδικασίες.

• Πρωτόκολλα σκλήρυνσης συσκευών Θέσπιση ενός πρωτοκόλλου που απαιτεί από τους υπαλλήλους και άλλους χρήστες του συστήματος της εταιρείας να ενημερώνουν συχνά τους κωδικούς πρόσβασης. Αυτό είναι ζωτικής σημασίας, διότι ακόμη και ένα σύστημα που εξακολουθεί να χρησιμοποιεί έναν παλιό κωδικό πρόσβασης αποτελεί ευπάθεια- μια ευπάθεια που οι εγκληματίες του κυβερνοχώρου μπορούν και θα εκμεταλλευτούν. Ωστόσο, πολλοί οργανισμοί διαγράφουν αυτό το βήμα ως κάτι ασήμαντο που θα το κάνουν αργότερα - αν αυτό περιγράφει τον οργανισμό σας, αυτό είναι ένα από τα πρώτα πράγματα που μπορείτε να κάνετε για να προστατευτείτε.
• Κρυπτογράφηση από άκρο σε άκρο Η ύπαρξη ενός συστήματος που έχει τη δυνατότητα κρυπτογράφησης δεδομένων εν κινήσει είναι ζωτικής σημασίας, αλλά πρέπει επίσης να βεβαιωθείτε ότι μπορείτε να κρυπτογραφήσετε δεδομένα σε κατάσταση ηρεμίας. Οι εργαζόμενοι πρέπει να γνωρίζουν την παρουσία αυτών των συστημάτων και τον ρόλο τους.
• Διαχείριση επιδιορθώσεων Είναι αναπόφευκτο ότι καθώς τα λειτουργικά συστήματα γερνούν, οι ευπάθειες θα γίνονται πιο εμφανείς και πιο πιεστικές. Παραμείνετε στην κορυφή του ζητήματος, εκδίδοντας συχνά διορθώσεις και ενθαρρύνοντας τους υπαλλήλους να ενημερώνουν τις συσκευές τους όσο το δυνατόν συχνότερα. Εάν, για κάποιο λόγο, ένας υπάλληλος του τμήματος μάρκετινγκ δεν εγκαταστήσει τα εν λόγω patches, αφήνει το σύστημά του ανοιχτό σε πιθανές επιθέσεις. Η καθιέρωση μιας τακτικής διαδικασίας ενημέρωσης και η απόδοση ευθυνών στους υπαλλήλους είναι υψίστης σημασίας.

Αφού αξιολογήσετε τις υπάρχουσες γνώσεις των εργαζομένων και εφαρμόσετε αυτές τις πρακτικές σε ολόκληρη την εταιρεία, ήρθε η ώρα να περάσετε στο επόμενο βήμα: την εκπαίδευση.

Θεσμοθέτηση ενός διεξοδικού προγράμματος κατάρτισης

Unsplash

Το κλειδί για να καθιερώσετε ένα πρόγραμμα κατάρτισης που θα παραμείνει, είναι να μην το αντιμετωπίσετε σαν ένα εφάπαξ σεμινάριο. Κανείς, και εννοώ κανείς, δεν θα συγκρατήσει τίποτα από μια 30λεπτη, συλλογική διάλεξη για τους κινδύνους των κυβερνοεπιθέσεων, με εταιρική επωνυμία και λαμπερές μεταβάσεις. Στην καλύτερη περίπτωση, τα μέλη της ομάδας θα θυμηθούν ένα ή δύο γεγονότα, αν γνωρίζουν ότι μετά υπάρχει τεστ- στη χειρότερη, απλώς θα ελαχιστοποιήσουν το παράθυρό τους και θα επικεντρωθούν στη δουλειά τους, αντιμετωπίζοντας αυτό το ζωτικής σημασίας μάθημα ως ένα τσεκάρισμα στη λίστα ελέγχου της Διεύθυνσης Ανθρώπινου Δυναμικού.

Ο καλύτερος τρόπος για να καθιερώσετε ένα εκπαιδευτικό πρόγραμμα που θα προσφέρει αξία είναι να επικεντρωθείτε σε πρακτικές γνώσεις. Αντί για μια σύντομη παρουσίαση, αντιμετωπίστε την εκπαίδευση σαν ένα μάθημα πολλαπλών σεμιναρίων που απαιτεί από τους υπαλλήλους να επιδεικνύουν τις νεοαποκτηθείσες γνώσεις τους σε κάθε βήμα. Μπορείτε να χρησιμοποιήσετε διαφορετικά στάδια αυτού του μαθήματος για να τους διδάξετε όχι μόνο για τις βασικές βέλτιστες πρακτικές αλλά και για τις τάσεις της κυβερνοασφάλειας όπως:

• Τεχνολογία blockchain Η blockchain είναι μία από τις νεότερες καινοτομίες στην ασφάλεια δεδομένων, καθώς η ενσωματωμένη ασφάλεια που προσφέρει την καθιστά ιδανική για την ανταλλαγή δεδομένων και τη διεξαγωγή συναλλαγών. Ένα σύντομο μάθημα σχετικά με τα οφέλη της χρήσης της αλυσίδας μπλοκ και τα μοναδικά ζητήματα ασφαλείας που σχετίζονται με αυτήν, θα ήταν ένα εξαιρετικό εισαγωγικό μάθημα, ειδικά αν ο οργανισμός σας εξετάζει το ενδεχόμενο να τη χρησιμοποιήσει.
• Δίκτυα σκοτεινής ίνας Ένας νέος τρόπος δόμησης των δικτύων που ξεκλειδώνει τον έλεγχο της σταθερότητας, της ασφάλειας και του εύρους ζώνης, τα δίκτυα σκοτεινής ίνας κερδίζουν επίσης γρήγορα έδαφος. Αυτό συμβαίνει εν μέρει επειδή επιτρέπουν στους χρήστες να εφαρμόζουν εύκολα πρωτόκολλα ασφάλειας δεδομένων και εν μέρει λόγω του προβλέψιμου κόστους και της χαμηλής συνολικής καθυστέρησης. Η σχετική εκπαίδευση θα διδάξει στους υπαλλήλους πώς να αλληλεπιδρούν με ένα δίκτυο σκοτεινών ινών, ποιοι έλεγχοι υπάρχουν και πώς αυτά τα δίκτυα προσθέτουν ένα επιπλέον επίπεδο ασφάλειας.
• VPN Τα VPN δημιουργούν ομοίως ένα επιπλέον επίπεδο προστασίας της ιδιωτικής ζωής καθώς οι χρήστες σερφάρουν στο διαδίκτυο, διοχετεύοντας ευαίσθητα δεδομένα μέσω ενός ιδιωτικού, κρυπτογραφημένου καναλιού. Τα VPN έχουν αποκτήσει μεγάλη δημοτικότητα πρόσφατα, καθώς το 77% των καταναλωτών χρησιμοποιούν VPN για να προστατεύσουν τα προσωπικά τους δεδομένα στο διαδίκτυο. Οι περιπτώσεις χρήσης για τις εταιρείες είναι εξίσου υποσχόμενες και η κατανόηση του τρόπου σωστής εγκατάστασης θα είναι το κλειδί για τους υπαλλήλους που χειρίζονται ευαίσθητα δεδομένα.
• Προστασία DNS Τα εργαλεία DNS περιορίζουν τους τύπους ιστότοπων στους οποίους μπορούν να έχουν πρόσβαση οι εργαζόμενοι κατά την αναζήτηση στο διαδίκτυο, αποκλείοντας προληπτικά ιστότοπους που ενέχουν υψηλό κίνδυνο μόλυνσης από κακόβουλο λογισμικό. Η γνώση της ύπαρξης αυτών των εργαλείων και ο λόγος, επιτρέπει στους υπαλλήλους να γνωρίζουν ότι όταν ταξιδεύουν στο σύστημα, ο ιστότοπος στον οποίο προσπαθούσαν να αποκτήσουν πρόσβαση είναι καλύτερο να αποφεύγεται.
• Δίκτυα μηδενικής εμπιστοσύνης Τα δίκτυα μηδενικής εμπιστοσύνης συνδυάζουν αυστηρή επαλήθευση της ταυτότητας με περιορισμένη πρόσβαση στα δεδομένα της εταιρείας. Η κατανόηση του λόγου για τον οποίο εφαρμόζονται αυτοί οι έλεγχοι (και, σε ορισμένες περιπτώσεις, του τρόπου ρύθμισής τους) βοηθά τους υπαλλήλους να διαφοροποιούν τα ευαίσθητα δεδομένα από τις πληροφορίες που μπορούν να διαμοιραστούν στο κοινό, διατηρώντας το απόρρητο των δεδομένων στο μυαλό τους.

Φυσικά, τα μαθήματα αυτά πρέπει επίσης να περιλαμβάνουν εισαγωγικά για τις πιο κοινές μορφές κυβερνοεπιθέσεων, όπως το phishing, η κοινωνική μηχανική, το ransomware και οι επιθέσεις με ωμή βία. Κάνοντας ένα βήμα παραπέρα, οι εργαζόμενοι αποκτούν τη γνώση για το ποιες λύσεις υπάρχουν, πώς λειτουργούν και γιατί είναι απαραίτητες. Αυτή η στρατηγική προετοιμάζει τους υπαλλήλους να χρησιμοποιούν αυτές τις λύσεις, να αποφεύγουν τα τρωτά σημεία τους και να προστατεύουν τα δεδομένα σας επαγρυπνώντας από πολλαπλές οπτικές γωνίες.

Μέτρηση των επιτυχιών

Αφού ευαισθητοποιηθείτε και δημιουργήσετε ένα πρόγραμμα τεχνολογικής κατάρτισης, θα πρέπει στη συνέχεια να είστε σε θέση να αποκτήσετε μια υψηλού επιπέδου εικόνα της προόδου των μελών της ομάδας. Ο καθορισμός KPIs πριν ξεκινήσετε αυτές τις πρωτοβουλίες είναι υψίστης σημασίας, καθώς θέλετε να είστε σε θέση να διαπιστώσετε αν οι πρωτοβουλίες σας προετοιμάζουν κατάλληλα τις ομάδες σας.

Unsplash

Οι δοκιμές είναι ένα στοιχείο που μπορείτε να χρησιμοποιήσετε- άλλα περιλαμβάνουν την παρακολούθηση της υιοθέτησης διορθώσεων, την παρακολούθηση της πρόσβασης σε ευαίσθητα δεδομένα και την καθιέρωση τακτικών ελέγχων με τα μέλη της ομάδας που δεν προσαρμόζονται τόσο καλά. Η υποβολή εκθέσεων σχετικά με τις απόπειρες κυβερνοεπιθέσεων (και τον τρόπο με τον οποίο τα μέλη της ομάδας σας τις αντιμετώπισαν) μπορεί επίσης να είναι χρήσιμη, καθώς σας επιτρέπει να εντοπίσετε τα τρωτά σημεία στις τρέχουσες διαδικασίες σας και να τις επαναξιολογήσετε αναλόγως.

Να θυμάστε: είστε τόσο δυνατοί όσο ο πιο αδύναμος κρίκος σας. Κρατήστε το μάτι σας στη μπάλα, βεβαιωθείτε ότι η εκπαίδευση είναι συνεχής και ερευνήστε περιοδικά τις τελευταίες απειλές για την ασφάλεια στον κυβερνοχώρο, και θα διατηρήσετε τα ευαίσθητα δεδομένα σας τόσο μυστικά όσο και ασφαλή.