211service.com
Gjenoppdag tilliten til cybersikkerhet
Levert av Kode42
Verden har endret seg dramatisk på kort tid – og endret også arbeidsverdenen. Den nye hybride fjern- og arbeidsverdenen på kontoret har konsekvenser for teknologi – spesielt cybersikkerhet – og signaliserer at det er på tide å erkjenne hvor sammenvevd mennesker og teknologi virkelig er.
Å muliggjøre en fartsfylt, skydrevet samarbeidskultur er avgjørende for raskt voksende selskaper, og posisjonere dem til å innovere, utkonkurrere og overliste sine konkurrenter. Å oppnå dette nivået av digital hastighet kommer imidlertid med en raskt voksende cybersikkerhetsutfordring som ofte blir oversett eller deprioritert: innsiderisiko , når et teammedlem ved et uhell – eller ikke – deler data eller filer utenfor klarerte parter. Å ignorere den iboende koblingen mellom ansattes produktivitet og innsiderisiko kan påvirke både en organisasjons konkurranseposisjon og dens bunnlinje.
Du kan ikke behandle ansatte på samme måte som du behandler nasjonalstatshackere
Innsiderisiko inkluderer enhver brukerdrevet dataeksponeringshendelse – sikkerhet, overholdelse eller konkurransemessig – som setter den økonomiske, omdømmemessige eller operasjonelle velferden til et selskap og dets ansatte, kunder og partnere i fare. Tusenvis av brukerdrevne dataeksponering og eksfiltreringshendelser forekommer daglig, som stammer fra utilsiktet brukerfeil, ansattes uaktsomhet eller ondsinnede brukere som har til hensikt å skade organisasjonen. Mange brukere skaper insiderrisiko ved et uhell, ganske enkelt ved å ta avgjørelser basert på tid og belønning, dele og samarbeide med målet om å øke produktiviteten. Andre brukere skaper risiko på grunn av uaktsomhet, og noen har ondsinnede hensikter, som en ansatte stjeler bedriftsdata å bringe til en konkurrent.
Fra et cybersikkerhetsperspektiv må organisasjoner behandle innsiderisiko annerledes enn eksterne trusler. Med trusler som hackere, skadelig programvare og nasjonalstatlige trusselaktører er intensjonen klar – den er ondsinnet. Men intensjonen til ansatte som skaper innsiderisiko er ikke alltid klar – selv om virkningen er den samme. Ansatte kan lekke data ved et uhell eller på grunn av uaktsomhet. Å fullt ut akseptere denne sannheten krever et tankesettskifte for sikkerhetsteam som historisk har operert med en bunkersmentalitet – under beleiring fra utsiden, og holder kortene tett inntil vesten slik at fienden ikke får innsikt i forsvaret de kan bruke mot dem. Ansatte er ikke motstandere av et sikkerhetsteam eller et selskap – faktisk bør de sees på som allierte når det gjelder å bekjempe innsiderisiko.
Åpenhet gir tillit: Bygg et grunnlag for opplæring
Alle selskaper ønsker å forhindre at kronjuvelene deres – kildekode, produktdesign, kundelister – havner i feil hender. Se for deg den økonomiske, omdømme- og operasjonelle risikoen som kan komme fra materielle data som lekkes før en børsnotering, oppkjøp eller inntjening. Ansatte spiller en sentral rolle i å forhindre datalekkasjer, og det er to avgjørende elementer gjøre ansatte om til innsiderisiko-allierte : åpenhet og opplæring.
Åpenhet kan føles i strid med cybersikkerhet. For cybersikkerhetsteam som opererer med en kontradiktorisk tankegang som er egnet for eksterne trusler, kan det være utfordrende å tilnærme interne trusler annerledes. Åpenhet handler om å bygge tillit på begge sider. Ansatte ønsker å føle at organisasjonen deres stoler på at de bruker data klokt. Sikkerhetsteam bør alltid starte fra et tillitssted, forutsatt at flertallet av ansattes handlinger har positive hensikter. Men, som det sies i cybersikkerhet, er det viktig å stole på, men bekrefte.
Overvåking er en kritisk del av håndtering av innsiderisiko, og organisasjoner bør være transparente om dette. CCTV-kameraer er ikke skjult i offentlige rom. Faktisk er de ofte ledsaget av skilt som varsler overvåking i området. Ledelse bør gjøre det klart for ansatte at deres databevegelser blir overvåket – men at deres personvern fortsatt respekteres. Det er stor forskjell på overvåking av data bevegelse og lese alle ansattes e-poster.
Åpenhet bygger tillit – og med det grunnlaget kan en organisasjon fokusere på å redusere risiko ved å endre brukeratferd gjennom opplæring. For øyeblikket er sikkerhetsopplæring og bevisstgjøringsprogrammer nisje. Phishing-trening er sannsynligvis det første du tenker på på grunn av suksessen den har hatt med å flytte nålen og få ansatte til å tenke før de klikker. Utenom phishing er det ikke mye opplæring for brukere for å forstå nøyaktig hva de bør og ikke bør gjøre.
Til å begynne med vet mange ansatte ikke engang hvor organisasjonene deres står. Hvilke applikasjoner har de lov til å bruke? Hva er reglene for engasjement for disse appene hvis de vil bruke dem til å dele filer? Hvilke data kan de bruke? Har de rett til disse dataene? Bryr organisasjonen seg i det hele tatt? Cybersikkerhetsteam håndterer mye støy fra ansatte som gjør ting de ikke burde. Hva om du kunne kutte ned den støyen bare ved å svare på disse spørsmålene?
Opplæring av ansatte bør være både proaktive og lydhøre . Proaktivt, for å endre ansattes atferd, bør organisasjoner tilby både lang- og kortformede opplæringsmoduler for å instruere og minne brukere om beste atferd. I tillegg bør organisasjoner reagere med en mikrolæringstilnærming ved å bruke små videoer designet for å ta opp svært spesifikke situasjoner. Sikkerhetsteamet må ta en side fra markedsføringen, med fokus på repeterende meldinger levert til de riktige personene til rett tid.
En gang bedriftsledere forstå den innsiderisikoen er ikke bare et cybersikkerhetsproblem, men et som er tett sammenvevd med en organisasjons kultur og har en betydelig innvirkning på virksomheten, vil de være i en bedre posisjon til å utkonkurrere, utkonkurrere og overliste sine konkurrenter. I dagens hybrid ekstern og på kontoret arbeidsverden , det menneskelige elementet som finnes innen teknologi har aldri vært mer betydningsfullt. Det er derfor åpenhet og opplæring er avgjørende for å forhindre at data lekker utenfor organisasjonen.
Dette innholdet ble produsert av Code42. Den ble ikke skrevet av MIT Technology Reviews redaksjon.