Starpdienestu kiberdrošības apmācība digitālā tirgus speciālistiem

Ievads

Kibernoziedznieki attīstās gan skaita, gan radošuma ziņā. Vai zinājāt, ka 2023. gadā gan patērētāji, gan uzņēmumi kibernoziegumu dēļ zaudēja 12,5 miljonus ASV dolāru un ka saskaņā ar FIB datiem šis skaitlis, iespējams, joprojām ir zems?

Turklāt varam sagaidīt, ka šis skaitlis turpinās pieaugt, jo dati liecina, ka 2023. gads bija visu laiku kiberuzbrukumu rekordists - salīdzinājumā ar 2021. gadu (iepriekšējais rekorda īpašnieks) to apjoms palielinājās par 72 %. Zīmīgi, ka šādu uzbrukumu cēlonis parasti ir ikdienišķs, un viens no izplatītākajiem ir e-pasta uzbrukumi. 94 % organizāciju ziņoja par ielaušanos, izmantojot e-pasta ļaunprātīgu programmatūru, un pētījumi liecina, ka 35 % ļaunprātīgas programmatūras uzbrukumu tiek piegādāti, izmantojot e-pastu.

Salīdzinājumam - vidējais datu aizsardzības pārkāpumu radītais zaudējums ir 4,4 miljardi ASV dolāru. Citiem vārdiem sakot, jūsu organizācija ir viena slikta e-pasta vēstule attālumā no lieliem naudas zaudējumiem. Un tie ir tikai e-pasti; diemžēl kibernoziedznieki, attīstoties tehnoloģijām, uzlabo savu spēli.

Unsplash

Lai gan šie skaitļi ir biedējoši, tie uzsver, ka uzņēmuma struktūrvienībām ir jāapvienojas, lai aizsargātu uzņēmuma datus. Nepietiek ar to, ka jūsu uzņēmumā ir tikai komanda, kas nodarbojas ar kiberdrošības programmatūras uzturēšanu; komandām visā organizācijā ir jāzina un jāievieš labākā kiberdrošības prakse, veicot savus ikdienas pienākumus.

Tas jo īpaši attiecas uz jūsu mārketinga nodaļu. Mārketinga nodaļai ir piekļuve lielam klientu datu apjomam, un tā aktīvi izmanto šos datus savā ikdienas darbā. Tas padara mārketingu par īpaši vērtīgu mērķi kibernoziedzniekiem; ja mazāk pieredzējis praktikants vai pat pārguris direktors atver nepareizu e-pastu, noklikšķina uz nepareizas saites vai kā citādi atver durvis, jūsu uzņēmumam draud daudzmiljonu zaudējumi. Nemaz nerunājot par kaitējumu jūsu reputācijai, jo klienti ir mazāk gatavi uzticēt savus datus organizācijai, kas tos nepareizi glabā.

Kā sagatavot savu mārketinga nodaļu, lai izvairītos no kiberdrošības apdraudējumiem? Kas ir nepieciešams, lai ikviens varētu apgūt kiberdrošības protokolu, un kā jūs varat novērtēt savas komandas progresu programmas īstenošanas gaitā? Šajā rakstā mēs izklāstīsim praktiskus padomus un trikus, kas palīdzēs jums saliedēt komandas vienotā frontē, aizsargājot uzņēmuma datus un izvairoties no kiberdrošības apdraudējumiem pat to attīstības gaitā.

Informētības uzlabošana

Unsplash

Komandas nevar sākt cīnīties ar draudiem, par kuriem tās nav informētas. Nekad nevajadzētu pieņemt, ka jūsu mārketinga komandas darbinieki ir informēti (pat pamata līmenī) par taktikām, ko kibernoziedznieki izmanto, lai uzlauztu vārtus. Veiciet savas komandas informētības pamatauditu, pārbaudot viņu zināšanas par šiem izplatītajiem kiberuzbrukumiem:

• Ļaunprātīga programmatūra Kā kibernoziedznieki bieži vien ievada ļaunprātīgu programmatūru darbinieku datoros? Vai ir veidi, kā izvairīties no šīs nevēlamās iejaukšanās?
• Pikšķerēšana Ko darīt, ja saņemat e-pasta vēstuli no ārpussabiedrības ar klikšķināmu saiti tās apakšā? Ja e-pasta vēstule apgalvo, ka tā ir no uzņēmuma iekšienes, bet tai ir līdzīga klikšķināmā saite un tā šķiet dīvaina, piemēram, jūsu uzņēmuma vadītājs lūdz visus darbiniekus aizpildīt veidlapu, ko jums vajadzētu darīt?
• Sociālā inženierija Vai jums kādreiz būtu jānodod sensitīva informācija, piemēram, uzņēmuma ieraksti, paroles vai personiska informācija, izmantojot tīmekli? Ja kāds, kurš apgalvo, ka ir no uzņēmuma (bet kuru jūs nepazīstat), pieprasa jums šīs lietas pa e-pastu, kādu protokolu varat ievērot, lai pārbaudītu e-pasta pareizību?

Kad esat ieguvis priekšstatu par savas komandas vispārējo informētību, ir pienācis laiks veikt savu daļu un aizpildīt viņu zināšanu trūkumus. Informētības paaugstināšana ir ārkārtīgi svarīga riska mazināšanai, un ir veidi, kā šo informētību uzturēt ne tikai mācību programmas ietvaros, un jums jāapsver iespēja to īstenot visā uzņēmumā.

Lai gan mācību programmas arī ir svarīgas (par to mēs tūlīt runāsim), jūs vēlaties, lai kiberdrošība būtu jūsu darbinieku prātā katru dienu, un šo mērķi varat sasniegt ar šīm vienkāršajām procesu izmaiņām.

• Ierīču nostiprināšanas protokoli Ieviest protokolu, kas paredz, ka darbiniekiem un citiem uzņēmuma sistēmu lietotājiem bieži jāatjaunina paroles. Tas ir ļoti svarīgi, jo pat viena sistēma, kurā joprojām tiek izmantota veca parole, ir neaizsargāta vieta, ko kibernoziedznieki var izmantot un izmantos. Tomēr daudzas organizācijas šo soli noraksta kā nenozīmīgu lietu, kurai pievērsīsies vēlāk - ja tas raksturo jūsu organizāciju, šī ir viena no pirmajām lietām, ko varat darīt, lai sevi aizsargātu.
• End-to-end šifrēšana Ļoti svarīgi ir izveidot sistēmu, kas spēj šifrēt datus kustībā, taču ir arī jāpārliecinās, ka varat šifrēt datus arī miera stāvoklī. Darbiniekiem jābūt informētiem par šo sistēmu esamību un to nozīmi.
• Labojumu pārvaldība Ir neizbēgami, ka, operētājsistēmām novecojot, ievainojamības kļūs gan pamanāmākas, gan aktuālākas. Sekojiet līdzi šai problēmai, bieži izdodot labojumus un mudinot darbiniekus pēc iespējas biežāk atjaunināt savas ierīces. Ja kāda iemesla dēļ kāds jūsu mārketinga nodaļas darbinieks neinstalē minētos labojumus, viņš atstāj savu sistēmu atvērtu iespējamiem uzbrukumiem. Ļoti svarīgi ir ieviest regulāru atjaunināšanas procesu un prasīt, lai darbinieki būtu atbildīgi.

Kad esat novērtējis darbinieku esošās zināšanas un ieviesis šo uzņēmuma mēroga praksi, ir pienācis laiks ķerties pie nākamā soļa - apmācības.

Rūpīgas apmācības programmas ieviešana

Unsplash

Galvenais, lai ieviestu apmācību programmu, kas ir noturīga, ir neuzskatīt to par vienreizēju semināru. Neviens, un es gribu teikt, ka neviens neko neaizmirsīs no 30 minūšu garas lekcijas par kiberuzbrukumu briesmām, ar korporatīvajam stilam atbilstošu zīmolu un spīdīgām pārejām. Labākajā gadījumā komandas locekļi atcerēsies vienu vai divus faktus, ja zinās, ka pēc tam būs tests; sliktākajā gadījumā viņi vienkārši minimizēs logu un koncentrēsies uz savu darbu, uzskatot šo vitāli svarīgo kursu tikai par pārbaudi personāla daļas kontrolsarakstā.

Labākais veids, kā izveidot mācību programmu, kas sniegs pievienoto vērtību, ir koncentrēties uz praktiskām atziņām. Tā vietā, lai sniegtu īsu prezentāciju, uztveriet mācības kā vairāku semināru kursu, kas prasa, lai darbinieki demonstrē savas jauniegūtās zināšanas ik uz soļa. Varat izmantot dažādus šī kursa posmus, lai mācītu viņiem ne tikai par pamata labāko praksi, bet arī par kiberdrošības tendencēm, piemēram:

• Blokķēdes tehnoloģija Blokķēde ir viena no jaunākajām inovācijām datu drošības jomā, jo tās iebūvētā drošība padara to ideāli piemērotu datu koplietošanai un darījumu veikšanai. Īss kurss par blokķēdes izmantošanas priekšrocībām un ar to saistītajiem unikālajiem drošības jautājumiem būtu lielisks ievadkurss, jo īpaši, ja jūsu organizācija apsver tās izmantošanu.
• Tumšās optiskās šķiedras tīkli Tumšās optiskās šķiedras tīkli, kas ir jauns veids, kā strukturēt tīklus, kas nodrošina stabilitātes, drošības un joslas platuma kontroli, arī strauji gūst arvien lielāku popularitāti. Daļēji tāpēc, ka tie ļauj lietotājiem viegli ieviest datu drošības protokolus, un daļēji tāpēc, ka to izmaksas ir prognozējamas un kopējā aizture ir zema. Apmācībās par šo tēmu darbiniekiem būtu jāiemāca, kā mijiedarboties ar tumšo šķiedru tīklu, kādas ir kontroles iespējas un kā šie tīkli palielina drošības līmeni.
• VPN VPN nodrošina papildu privātuma līmeni, lietotājiem sērfojot tīmeklī, jo sensitīvie dati tiek pārsūtīti pa privātu, šifrētu kanālu. VPN pēdējā laikā ir kļuvuši ļoti populāri, jo 77 % patērētāju izmanto VPN, lai aizsargātu savus privātos datus tiešsaistē. Līdzīgi daudzsološi ir arī korporatīvo uzņēmumu izmantošanas gadījumi, un izpratne par to, kā pareizi izveidot VPN, būs ļoti svarīga darbiniekiem, kas strādā ar konfidenciāliem datiem.
• DNS aizsardzība DNS rīki DNS rīki ierobežo vietņu veidus, kuriem darbinieki var piekļūt, meklējot tīmeklī, un preventīvi izslēdz vietnes, kurām ir augsts ļaunprātīgas programmatūras inficēšanās risks. Zinot, ka šie rīki pastāv un kāpēc, darbinieki zina, ka, iedarbojoties uz sistēmu, vietni, kurai viņi mēģināja piekļūt, ir labāk novērst.
• Bezuzticamības tīkli Bezuzticamības tīkli apvieno stingru identitātes pārbaudi ar ierobežotu piekļuvi uzņēmuma datiem. Izpratne par to, kāpēc ir ieviestas šīs kontroles (un dažos gadījumos - kā tās iestatīt), palīdz darbiniekiem atšķirt sensitīvus datus no publiski koplietojamas informācijas, saglabājot datu konfidencialitāti.

Protams, šādos kursos jāiekļauj arī pamatinformācija par visbiežāk sastopamajiem kiberuzbrukumu veidiem, piemēram, pikšķerēšanu, sociālo inženieriju, izspiedējvīrusu un brutālā spēka uzbrukumiem. Sperot vēl vienu soli tālāk, darbiniekiem tiek sniegtas zināšanas par to, kādi risinājumi ir pieejami, kā tie darbojas un kāpēc tie ir nepieciešami. Šī stratēģija sagatavo darbiniekus izmantot šos risinājumus, izvairīties no to ievainojamībām un modri aizsargāt datus no vairākiem aspektiem.

Panākumu mērīšana

Kad esat veicinājis informētību un izveidojis tehnoloģiju apmācības programmu, jums ir jāspēj iegūt augsta līmeņa pārskatu par komandas locekļu progresu. KPI noteikšana pirms šo iniciatīvu uzsākšanas ir ārkārtīgi svarīga, jo vēlaties, lai jūs varētu noteikt, vai jūsu iniciatīvas pienācīgi sagatavo jūsu komandas.

Unsplash

Testēšana ir viens no elementiem, ko varat izmantot; citi elementi ietver ielāpu ieviešanas izsekošanu, piekļuves sensitīviem datiem uzraudzību un regulāras pārbaudes ar komandas locekļiem, kuriem pielāgošanās process nav tik veiksmīgs, ieviešanu. Noderīga var būt arī ziņošana par kiberuzbrukumu mēģinājumiem (un to, kā jūsu komandas locekļi ar tiem tika galā), jo tā ļauj jums noteikt pašreizējo procesu ievainojamību un attiecīgi tos pārvērtēt.

Atcerieties: esat tik spēcīgs, cik spēcīgs ir jūsu vājākais posms. Uzmanīgi sekojiet līdzi, pārliecinieties, ka mācības notiek nepārtraukti, un periodiski pētiet jaunākos kiberdrošības draudus, un jūsu sensitīvie dati būs gan slepeni, gan droši.