13 ottobre 2023 - Cyber security
La maggior parte dei programmi di sicurezza si concentra sulla tecnologia e sui processi. Per la maggior parte dei CISO, questa è la parte più facile. È per questo che sono stati addestrati.
La parte difficile, quella che manda all'aria anche le strategie di sicurezza meglio pianificate, sono le persone.
Le persone ignorano i gestori di password. Le persone cliccano su link phishing . Le persone lasciano i computer portatili nei taxi. E se siete un CISO, lo sapete già: nessuna quantità di strumenti può mettere una pezza a una cultura che non prende sul serio la sicurezza.
Questa guida riguarda la parte più difficile. Si tratta di costruire una vera e propria cultura security awareness . Non una cultura che spunta una casella, ma una cultura che cambia effettivamente il comportamento.
Che cos'è la cultura security awareness ?
La cultura non è una dichiarazione di missione, un documento programmatico o una formazione annuale. È la somma di ciò che le persone credono e di come si comportano, soprattutto quando nessuno le osserva.
In un'azienda con una forte cultura security awareness :
- I dipendenti sanno quali minacce sono importanti.
- Capiscono cosa ci si aspetta.
- Agiscono in base a questa conoscenza senza bisogno di essere informati.
Perché è importante? Perché quasi tutte le violazioni - il 95%, in realtà - sono legate a un errore umano. Cliccare sul link sbagliato. Riutilizzo della password sbagliata. Scaricare il file sbagliato sul Wi-Fi sbagliato.
E più la forza lavoro è distribuita, più la posta in gioco è alta. Non si può far rispettare tutto. È necessario che le persone si preoccupino.
La cultura Security awareness trasforma il rischio passivo in difesa proattiva. Ma non succede per caso. Ci vuole un progetto.
Ecco come costruirlo.
1. Iniziare dall'inizio (o fermarsi prima di iniziare)
La cultura della sicurezza inizia dove inizia la cultura aziendale: la leadership.
Se il vostro CEO non parla di sicurezza, nessun altro lo farà. Se i dirigenti saltano la formazione, lo faranno anche tutti gli altri. E se il consiglio di amministrazione vede la sicurezza come un centro di costo, indovinate come considererà le vostre iniziative?
Ecco perché il tuo primo compito non è la formazione sulla consapevolezza della sicurezza. È ottenere il consenso interno.
Utilizzate un semplice cruscotto che mostri come la consapevolezza stia migliorando o dove sia carente. Riportate costantemente il numero di rischi informatici segnalati, la partecipazione alla formazione e gli argomenti che richiedono maggiore attenzione. L'obiettivo è rendere la cultura della sicurezza una priorità per tutta l'azienda, non un progetto secondario.
Una volta che la leadership è allineata, scendete di un livello. I capi reparto e i capisquadra sono i vostri amplificatori. Date loro visibilità alle prestazioni del loro team. Chiedete un feedback e rendeteli co-proprietari dei risultati.
Suggerimento: se gestite decine di stakeholder, utilizzate un semplice tracker o una mappa degli stakeholder. Non perdete il filo.
2. Definite il vostro marchio prima che lo facciano gli altri
Ogni programma di sicurezza ha una reputazione, indipendentemente dal fatto che l'abbiate creata o meno.
Alcuni sono visti come bloccanti. Altri come alleati. Se volete che la vostra organizzazione si impegni, definite come vi presentate.
Creare una dichiarazione del marchio di sicurezza. Non si tratta di uno slogan, ma di una guida interna che risponde a domande reali:
- Chi dobbiamo chiamare quando qualcosa non va?
- Come risponderà la sicurezza?
- Quali sono i comportamenti che premiamo?
Poi, invece di limitarvi a trasmetterlo, vivetelo. Come dice il CISO Jadee Hanson: "Non comunicarlo, ma celebrarlo". Quando qualcuno segnala un tentativo phishing , pronunciate il suo nome su Slack. Quando un team raggiunge i punteggi di formazione, fatelo notare a tutte le mani. Prova sociale > documento di politica.
La cultura è contagiosa quando è visibile.
3. Allenarsi settimanalmente (o non allenarsi affatto)
La maggior parte delle aziende organizza corsi di formazione sulla sicurezza una o due volte l'anno. Di solito per controllare una casella di conformità, non perché si aspettino davvero un cambiamento di comportamento tangibile da parte dei loro dipendenti.
Un vero cambiamento comportamentale richiede la ripetizione. Le ricerche dimostrano che il 90% di ciò che si impara in un'unica sessione viene dimenticato entro 24 ore, figuriamoci in 4 settimane. È necessario trattare la consapevolezza come un muscolo, qualcosa che si costruisce nel tempo.
I programmi migliori sono brevi, frequenti e incentrati su scenari reali:
- Phishing e smishing
- Lavoro remoto sicuro
- Frode del CEO
- Aggiornamenti software
- Igiene del ransomware
Non affidatevi a esperti interni per la realizzazione manuale. L'insegnamento è una competenza a sé stante e la maggior parte dei team di sicurezza non ha il tempo o l'esperienza per creare programmi di studio coinvolgenti.
Utilizzate una soluzione costruita per il cambiamento del comportamento. Ad esempio, Guardey offre sfide gamificate settimanali di 3 minuti, progettate da esperti di sicurezza e specialisti della formazione. È leggera, coerente e misurabile.
4. Comunicare troppo (e poi comunicare di nuovo)
La sicurezza è al primo posto solo se la si mantiene attivamente.
Proprio come una solida cultura aziendale richiede la ripetizione degli stessi valori, una solida cultura della sicurezza necessita di una comunicazione continua e visibile.
Ciò significa che:
- Condividere aggiornamenti e vittorie nei canali pubblici
- Evidenziare le prestazioni del team nei cruscotti di formazione
- Celebrazione della segnalazione rapida degli incidenti
- Rispondere alle domande pubblicamente, non solo nei messaggi di posta elettronica.
Esempio: "Questa settimana Peter ha individuato un'e-mail sospetta e l'ha segnalata prima che qualcuno cliccasse. Questo tipo di vigilanza ci protegge tutti. 🙌"
Alla Royal Koopmans hanno persino consegnato un trofeo al reparto che si è classificato in cima alla classifica della loro piattaforma di security awareness .
Quando le persone vedono che un comportamento viene riconosciuto, lo replicano.
Inoltre: Rendete il vostro team di sicurezza facilmente raggiungibile. Se qualcuno non è sicuro di segnalare qualcosa, l'esitazione potrebbe costarvi cara.
5. Misurare ciò che conta (e ciò che non appare nei rapporti)
La maggior parte dei CISO tiene traccia dei tassi di partecipazione, dei punteggi dei quiz o dei clic nelle simulazioni di phishing.
Sono utili, ma sono indicatori in ritardo.
I segnali più significativi sono spesso più difficili da tracciare:
- I dipendenti segnalano un maggior numero di incidenti nel tempo?
- I team segnalano i rischi potenziali prima che si aggravino?
- State assistendo a conversazioni organiche sulla sicurezza al di fuori del vostro dipartimento?
Questa è la differenza tra conformità e cultura. Quando le persone iniziano a ritenersi reciprocamente responsabili, quando iniziano a fare domande prima di lanciare nuovi strumenti, avete raggiunto la velocità di fuga.
Volete accelerare questa conoscenza? Eseguite regolarmente sondaggi di opinione. Fate domande aperte. Utilizzate quanto appreso per perfezionare la formazione e le comunicazioni.
Poi chiudete il cerchio. Mostrate come il feedback dei dipendenti ha influenzato la vostra strategia.
La cultura è il vero firewall
La maggior parte delle aziende tratta ancora la cultura della sicurezza come un progetto secondario. Ma la verità è che è l'unica difesa sostenibile.
Il software si evolve. Le minacce si evolvono. Ma se costruite una cultura in cui ogni dipendente si assume le proprie responsabilità, le possibilità di mitigare i rischi saranno più alte della media.
Non ci si arriva con una formazione annuale. Ci si arriva con coerenza, chiarezza e una leadership che dia l'esempio.
