Conștientizarea în echipa dumneavoastră

Modulul 9: Reguli și organizare · Timp de citire: 9 minute

Obiectivul lecției: După această lecție veți putea organiza conștientizarea în echipa dumneavoastră mică: reguli, raportare fără vinovăție, exerciții și repetare.
Noțiuni cheie: conștientizare, comportament, cultura raportării, exercițiu de phishing (cu acord și fără pedepsire), angajat nou, repetare scurtă

A ști nu înseamnă același lucru cu a face

Aproape toată lumea știe că nu trebuie să dea clic pe linkuri suspecte. Totuși, acest lucru se întâmplă zilnic, chiar și la persoane care știu mai bine. Nu din cauza prostiei. Se întâmplă pentru că un e-mail de phishing (lecția 1.2 și modulul 3) mizează exact pe modul în care lucrăm: presiune, grabă, dorința de a ajuta un client sau un coleg. Vineri după-amiaza, la cinci fără un sfert, printre alte treizeci de e-mailuri, o "factură restantă" arată perfect de obișnuit.

Conștientizarea nu se referă doar la cunoștințe, ci la comportament: ce fac oamenii cu adevărat, chiar și atunci când sunt obosiți sau au grabă? Scopul nu este ca toată lumea să devină expert. Scopul este să existe câteva reflexe fixe:

1. Opriți-vă la un mesaj care cere ceva: bani, o parolă, un clic, deschiderea unui atașament, instalarea a ceva.
2. Verificați printr-o altă cale: conectați-vă singur în loc să urmați linkul, sunați înapoi la un număr cunoscut.
3. Raportați dacă ceva nu este în regulă, chiar dacă ați dat deja clic.

Acest al treilea reflex este cel mai important și depinde în întregime de modul în care echipa dumneavoastră gestionează situația.

Raportare fără vinovăție

Imaginați-vă două companii. La prima, un angajat care a dat clic pe un link de phishing primește o reacție furioasă din partea proprietarului: "Cum ai putut fi atât de prost?" La a doua, proprietarul spune: "Bine că mi-ai spus imediat, așa putem schimba acum parola."

Ce se întâmplă data viitoare când cineva dă clic? La prima companie, el tace și speră că totul va fi bine. La a doua companie, raportează în decurs de cinci minute.

Această diferență este enormă. În cazul unei preluări de cont sau al unui început de ransomware, orele contează (lecția 1.3 și 3.5). O raportare în decurs de cinci minute înseamnă: schimbarea parolei înainte ca atacatorul să se fi conectat, revocarea sesiunilor, scoaterea unui calculator din rețea înainte ca ceva să fie criptat. O raportare după trei săptămâni, sau niciodată, înseamnă că atacatorul a avut tot timpul la dispoziție.

O cultură a raportării bună are câteva caracteristici:

• Un singur punct de raportare clar. Toată lumea știe cui trebuie să se adreseze: un nume și un număr de telefon, plus un înlocuitor dacă persoana respectivă nu este disponibilă. Acest lucru figurează și în fișa de incident (lecția 8.1).
• Mulțumiți, nu pedepsiți. Cel care raportează, chiar și o greșeală proprie, primește mulțumiri. Spuneți-o cu voce tare în echipă: "Sanne a raportat azi-dimineață o factură falsă, așa am putut avertiza și pe ceilalți."
• Îndoiala este și ea permisă. "Nu știu dacă acesta este un e-mail real" este o raportare bună. Mai bine verificați de zece ori un e-mail real decât să ratați o singură dată un e-mail fals.
• Exemplul conducerii. Dacă proprietarul însuși raportează că aproape a căzut în capcană, acest lucru le ușurează tuturor situația.

Pedepsirea are efect contrar. Nu pentru că greșelile nu sunt grave, ci pentru că pedepsirea nu reduce numărul de greșeli, ci doar numărul de raportări.

Reguli care fac comportamentul ușor de urmat

Oamenii respectă mai repede o regulă care este clară și ușoară. Asigurați-vă că comportamentul sigur este și comportamentul cel mai ușor. Câteva reguli care se potrivesc în aproape orice companie mică:

Notați regulile pe o singură pagină A4. Nu douăzeci de pagini de politică pe care nimeni nu le citește, ci o listă care poate fi lipită lângă aparatul de cafea.

Exersarea

O regulă pe care nu o exersați niciodată se uită. Există mai multe moduri de a exersa, de la ușor la intensiv.

Analizarea împreună a unor exemple. Luați cinci minute în ședința de lucru pentru un e-mail suspect real primit de cineva (fără date cu caracter personal). După ce vi-ați dat seama? Care era domeniul real al linkului? Acest lucru nu costă nimic și funcționează surprinzător de bine, deoarece se referă la mesaje reale din propria dumneavoastră căsuță de e-mail.

Un exercițiu tip tabletop. Discutați împreună un scenariu: "Este luni dimineață și nimeni nu mai poate accesa discul de rețea. Pe fiecare calculator apare un mesaj cu o cerere de răscumpărare. Ce facem?" Parcurgeți fișa de incident și observați unde apar blocaje (lecția 8.1). O oră, o dată pe an.

Un exercițiu de phishing. Trimiteți colegilor un e-mail de phishing simulat pentru a vedea cine dă clic și cine raportează. Acest lucru poate fi instructiv, dar numai dacă este făcut corect:

• Cu acord și anunțat în prealabil. Anunțați dinainte că în acest an vor avea loc exerciții, fără a menționa data. Nimeni nu trebuie să se simtă păcălit ulterior.
• Fără pedepsire. Cine dă clic primește imediat o scurtă explicație despre cum ar fi putut recunoaște capcana, fără mustrare și fără o listă cu nume în ședința de lucru.
• Măsurați ce contează. Numărul de raportări este mai important decât numărul de clicuri. Un exercițiu în care trei persoane dau clic, dar cinci raportează în decurs de zece minute, este un succes.
• Fără teme răutăcioase. Niciun e-mail fals despre un bonus, o concediere sau sănătatea unui coleg. Acest lucru afectează încrederea mai mult decât aduce beneficii.
• Acordați atenție confidențialității. Nu păstrați mai mult decât este necesar cine a dat clic și nu folosiți niciodată acest lucru pentru o evaluare.

Pentru o echipă de cinci persoane, prima formă este adesea suficientă. Un exercițiu de phishing are sens doar dacă regulile și punctul de raportare există deja.

Angajați noi și repetare

Două momente sunt deosebit de importante.

Prima zi de lucru. Un angajat nou primește conturi, un laptop și acces la sisteme. Tocmai în primele săptămâni el nu știe încă cum merg lucrurile în mod normal, deci nici ce anume este anormal. Un escroc care se dă drept "departamentul IT" sau "directorul" are atunci mai multe șanse. La începutul activității, alocați o jumătate de oră pentru pagina A4 cu reguli, punctul de raportare, managerul de parole și activarea autentificării în doi pași. Includeți acest lucru în aceeași listă ca restul procesului de angajare (lecția 7.1).

Repetare scurtă. Conștientizarea se diminuează în timp. O singură instruire lungă pe an funcționează mai puțin bine decât cinci minute în fiecare lună. Idei pentru o astfel de repetare scurtă:

• discutarea unui e-mail suspect din luna respectivă;
• evidențierea unei reguli de pe pagina A4 și întrebarea dacă mai funcționează;
• un nou tip de fraudă apărut în presă (de exemplu, un nou pretext prin sms sau WhatsApp, lecția 3.4);
• întrebarea "a raportat cineva ceva luna aceasta?" și mulțumirea celui care a făcut-o.

În practică: cum arată acest lucru

Un exemplu, alcătuit din situații care apar frecvent. Un birou de arhitectură cu nouă angajați avea un document de politică de paisprezece pagini, semnat la angajare și niciodată redeschis ulterior. După o tentativă de fraudă cu facturi care aproape a reușit, au schimbat trei lucruri: o pagină A4 cu șase reguli lângă imprimantă, un nume și un număr de telefon fixe pentru raportare și, în fiecare prima zi de luni a lunii, cinci minute de "corespondență suspectă" în ședința de lucru. În primele șase luni au primit mai multe raportări decât în cei cinci ani anteriori. Două dintre acestea au fost atacuri reale, observate atât de devreme încât nu s-a întâmplat nimic. Restul au fost alarme false, iar de fiecare dată s-au mulțumit pur și simplu persoanei respective.

Rezumat

• Conștientizarea se referă la comportament: oprire, verificare pe altă cale și raportare.
• Raportarea fără vinovăție asigură raportări rapide; pedepsirea reduce doar raportările, nu și greșelile.
• Notați regulile pe o singură pagină A4 și faceți din comportamentul sigur comportamentul cel mai ușor.
• Exersați cu exemple reale și un exercițiu tip tabletop; faceți un exercițiu de phishing doar anunțat, fără pedepsire și cu atenție la confidențialitate.
• Acordați atenție suplimentară angajaților noi și repetați scurt și des.

Test (quiz)

Exercițiu

Exercițiul D9.2: Un plan de conștientizare pentru echipa dumneavoastră. Creați pentru propria companie o pagină A4 cu maximum opt reguli, desemnați un punct de raportare și un înlocuitor, și planificați pentru anul următor momentele de repetare scurtă și exercițiul pe care îl veți face. Apoi răspundeți la întrebările de reflecție.

Lectură suplimentară

Pașii din articolele WebOké sunt valabili pentru mediul WebOké; la alți furnizori funcționează similar.

• Acest e-mail este cu adevărat de la WebOké? Recunoașterea phishingului și utilizarea codului de acțiune
• Autoritatea națională de securitate cibernetică (Țările de Jos), despre phishing: https://www.ncsc.nl/phishing
• Autoritatea națională de securitate cibernetică (Țările de Jos), verificare de securitate cibernetică pentru PFA și IMM-uri: https://tools.ncsc.nl/cyberveilig-check/
• Poliția și autoritatea națională de securitate cibernetică (Țările de Jos), raportarea fraudei și phishingului: https://www.fraudehelpdesk.nl