Cyfrowi rycerze

Z badań KPMG wynika, że celem 81 proc. z nich są właśnie małe i średnie przedsiębiorstwa. Dlatego Marka Godna Zaufania nie tylko inwestuje w nowoczesne, odpowiadające potrzebom systemy zabezpieczające, ale także uczy zasad cyfrowego bezpieczeństwa. Bo nawet najlepsza technologia nie pomoże, gdy zawiedzie człowiek…

Uświadom ludziom, że to oni są na pierwszej linii frontu

To pierwszy krok w budowaniu bezpiecznej cyfrowo firmy. Niektórzy pracownicy ciągle myślą, że to specjaliści od IT odpowiadają za ochronę firmy przed zagrożeniami cyfrowymi, że ich to nie dotyczy. Nic bardziej mylnego! To właśnie oni każdego dnia podejmują szereg działań mających wpływ na bezpieczeństwo - od otwierania załączników w e-mailach przez zarządzanie hasłami, udostępnianie informacji w mediach społecznościowych po ochronę sprzętu. I to właśnie oni, często nieświadomie, przez swoją niewiedzę, brak czujności czy lekceważenie procedur otwierają hakerom drzwi do cyfrowych zasobów firmy.

Z danych Microsoft wynika, że za 95 proc. przypadków naruszeń bezpieczeństwa odpowiadają właśnie „zwykli” pracownicy! Dlatego ważne jest, by każdy członek zespołu czuł się odpowiedzialny za bezpieczeństwo danych i systemów oraz zrozumiał, że szkolenia z cyberbezpieczeństwa, a także procedury i zasady nie zostały wymyślone po to, by utrudnić mu życie, ale po to, by firma mogła działać i rozwijać się bez przeszkód. Bo skuteczne cyberataki niemal zawsze mają dla firmy bardzo przykre konsekwencje. Nie tylko te finansowe, wynikające np. z ograniczenia lub zawieszenia produkcji, kar, odszkodowań, ale także wizerunkowe wiążące się najczęściej z utratą zaufania i odpływem klientów.

Opracuj zasady bezpieczeństwa IT w firmie

Powinny być one jak najbardziej precyzyjne i zrozumiałe dla wszystkich pracowników. Ludzie muszą wiedzieć, czego nie wolno im robić (np. nigdy nie używaj tego samego hasła do wielu aplikacji, nie korzystaj z nieszyfrowanych sieci Wi-Fi, nie udostępniaj nikomu firmowego sprzętu, nie klikaj w podejrzane linki, sprawdzaj czy strona, na którą wchodzisz, ma połączenie szyfrowane, korzystaj z zasady uwierzytelnienia dwustopniowego itd., itp.) i jak reagować w konkretnych sytuacjach (np. w przypadku utraty sprzętu, nietypowego zachowania systemu czy podejrzeń naruszenia bezpieczeństwa). Bywa, że pracownicy ukrywają swoje wpadki lub nie zgłaszają podejrzanego e-maila, bo boją się surowych konsekwencji lub zarzutów o sianie paniki i fałszywe alarmy, które dezorganizują pracę. Nie pozwól, by takie obawy towarzyszyły twojemu zespołowi. Pracownicy muszą wiedzieć, że lepiej przyznać się do błędu, zgłosić wątpliwość niż zignorować potencjalne zagrożenie. Procedura zgłaszania incydentów powinna być prosta i jednoznaczna, np: jeżeli widzisz podejrzany e-mail, nie otwieraj załącznika, natychmiast przekaż wiadomość do (tu kontakt do osoby działu zajmującego się cyberbezpieczeństwem) i powiadom swojego przełożonego. To bardzo ważne, bo tylko szybka, zdecydowana reakcja uniemożliwi atak lub go zatrzyma, zanim rozprzestrzeni się po całej sieci i wyrządzi poważne szkody.

Organizuj szkolenia, przypominaj o zasadach

Jeśli pracownicy mają być skuteczną barierą dla cyberprzestępców, muszą znać rodzaje zagrożeń, a także metody ich działania. Dlatego cykliczne szkolenia z cyberbezpieczeństwa to must be w każdym przedsiębiorstwie. Nie chodzi o to, by każdy członek zespołu stał się od razu specjalistą w branży cybersecurity, ale by wiedział, jak chronić narzędzia, którymi się posługuje, bezpiecznie korzystać z sieci i nie dać się nabrać na wszelkiego rodzaju próby wyciągnięcia wrażliwych danych. Phishing, spoofing, malware, ransomware, posługiwanie się łatwymi do złamania hasłami, sposoby gromadzenia i przechowywania danych i konsekwencje ich utraty to podstawowe zagadnienia, które trzeba poruszyć. Skuteczny program szkoleń powinien być dostosowany do możliwości, wiedzy, potrzeb pracowników i łączyć różne formy edukacji - od tradycyjnych warsztatów przez e-learning, dostęp online do aktualnej bazy wiedzy po symulacje rzeczywistych ataków. Szczególnie wartościowe są praktyczne ćwiczenia, podczas których członkowie zespołu mogą bezpiecznie doświadczyć prób phishingu czy innych zagrożeń. Ważne jest także regularne przypominanie o zasadach bezpieczeństwa. Krótkie komunikaty przypominające np. o zmianie hasła czy czyszczeniu skrzynki e-mailowej z wrażliwych danych, a także newslettery z aktualnymi informacjami o zagrożeniach sprawiają, że dbałość o cyfrowe bezpieczeństwo staje się nawykiem, a nie przykrym, dodatkowym obowiązkiem.

Monitoruj postępy, doceniaj czujność

Teoretyczna wiedza to jedno, a umiejętność wykorzystania jej w praktyce to drugie. Dlatego weryfikacja efektów szkoleń to obowiązek każdego odpowiedzialnego pracodawcy. Jedną z najskuteczniejszych metod jest przeprowadzanie testów phishingowych, czyli kontrolowane i nadzorowane ataki socjotechniczne przeprowadzane przez wysokiej klasy specjalistów. Pozwalają one sprawdzić, jak pracownicy zachowują się w sytuacji rzeczywistego zagrożenia i wyłapać tych, którzy nie potrafią jeszcze wykryć technik manipulacji stosowanych przez hakerów i odpowiednio na nie zareagować, a więc wymagających dalszego szkolenia. Gra jest warta świeczki, bo według raportu firmy Verizon organizacje prowadzące regularne testy phishingowe odnotowują o 50 proc. mniej skutecznych ataków tego typu. Warto również kontrolować liczbę zgłaszanych incydentów bezpieczeństwa i czas reakcji na zagrożenia. Paradoksalnie im jest ich więcej, a reakcja szybsza, tym lepiej, bo może świadczyć o większej świadomości i czujności zespołu. Warto również umożliwić pracownikom zadawanie pytań, zgłaszanie wątpliwości, czy dzielenie się własnymi doświadczeniami związanymi z cyberbezpieczeństwem, a także publicznie chwalić, a nawet nagradzać tych, którzy dzięki czujności zapobiegli np. włamaniu do firmowej sieci i wyciekowi danych. To buduje zaufanie i zwiększa zaangażowanie zespołu w walkę o cyfrowe bezpieczeństwo firmy. I na koniec dziel się nie tylko sukcesami w walce z cyberprzestępczością, ale także porażkami. Wyjaśnienie, jak doszło do zdarzenia i jak zespół poradził sobie z sytuacją to cenna lekcja na przyszłość.

Promuj bezpieczeństwo w sieci w społeczeństwie

To obowiązek każdej szanującej się firmy. Jest wiele do zrobienia, bo kompetencje cyfrowe Polaków są niezadowalające. I nie chodzi tu tylko o starsze pokolenie, któremu z technologią nie zawsze jest po drodze, ale także młodych ludzi często bezkrytycznie podchodzących do wszystkiego, co znajdą w sieci. Dlatego ważne jest, by dzielić się wiedzą o cyberbezpieczeństwie z klientami, partnerami biznesowymi i społeczeństwem. Specjalna dedykowana bezpieczeństwu cyfrowemu zakładka na stronie internetowej firmy, organizowanie spotkań z ekspertami w tej dziedzinie, porady na firmowych portalach społecznościowych, e-maile ostrzegające przed aktualnymi zagrożeniami, lekcje z bezpiecznego korzystania z sieci w szkołach czy klubach seniorów, konkursy z nagrodami na temat cyberbezpieczeństwa to tylko niektóre z pomysłów, które można wykorzystać. Grunt, by wybrana forma lub formy edukacji były zrozumiałe i interesujące dla odbiorców. Ważne też, by nie była to jednorazowa lub krótkotrwała akcja, ale działanie wpisujące się w długofalową politykę firmy. Tylko wtedy zostanie docenione i zauważone.

Trochę liczb:

• 83% polskich firm miało przynajmniej jedną próbę cyberataku (KPMG)
• 60% wszystkich naruszeń cyberbezpieczeństwa to pshising.Liczba takich ataków wzrasta co roku o 50 proc. (ENISA)
• 2/3 firm, które padły ofiarą cyberataku, odnotowały związany z nim znaczny spadek przychodów (NASA)
• 40% menedżerów w Polsce najbardziej obawia się problemów z płynnością finansową w wyniku cyberataku. 36 proc. wskazuje na negatywny wpływ na wizerunek firmy a 32 proc. na utratę klientów ( SW Research)

----------

Tomasz Janas, Advisory Managing Director, PKF Polska

Szkoła dla cyberrycerzy

W czasach, gdy phishing, ransomware i deepfake to nie science fiction, lecz codzienne zagrożenia i wyzwania dla biznesu, nie wystarczy kupić technologię cyberbezpieczeństwa. Trzeba wychować „cyfrowych rycerzy”.

Bo dziś obrona przed cyberatakami nie zaczyna się w serwerowni i nie kończy na komputerze administratora. Zaczyna się w głowie pracownika, który otwiera załącznik; w decyzji klienta, który ufa naszej stronie; i w zaufaniu partnera, który łączy się z naszym API. Dlatego odpowiedzialność za cyfrowy rozwój to nie działanie PR – to element strategii bezpieczeństwa i reputacji.

Jak ją budować

• Edukacja ciągła, nie okazjonalna – zamiast corocznego szkolenia, mikrolearning, budowanie świadomości cybersec raz w miesiącu.

• Dostępność – koniec z technobełkotem. Cyberedukacja powinna być zrozumiała dla każdego w organizacji.

• Współpraca z klientami – komunikaty bezpieczeństwa nie jako aneks regulaminu, lecz jako zrozumiały przewodnik dla użytkownika.

• Wspólna odpowiedzialność – gdy incydent się wydarzy, szukamy luki w ekosystemie firmy w szczególności w (nie)świadomości pracowników.

• Cyfrowa edukacja ekosystemu – organizacje, które w nią inwestują nie tylko zmniejszają ryzyko incydentu – budują też zaufanie. To dzisiaj najgrubszy mur przeciwko cyberprzestępcom.

Nie musisz być specjalistą od cyberbezpieczeństwa. Wystarczy, że zdecydujesz się być jego liderem.Bo „cyfrowy rycerz” to nie tylko specjalista z cybertarczą. To ktoś, kto uczy, jak tej tarczy może użyć każdy w firmie.