Кіберобізнаність, орієнтована на людину

Чому майбутнє кібербезпеки починається з людей

Упродовж багатьох років організації вкладали значні кошти в навчання з кібербезпеки.

Працівники щороку проходять навчальні курси. Виконують обов’язкові тести. Переглядають відеосимуляції. Показники проходження відстежуються, за результатами формуються звіти, а керівники впевнені, що людський чинник у кібербезпеці враховано. Та попри це кіберінциденти продовжують траплятися з тривожною регулярністю. Людина й досі залишається найвразливішою ланкою в системі кіберзахисту.

Реальність неприємна, але її важко ігнорувати: якби самого лише навчання з кіберобізнаності було достатньо, нині ми були б значно краще захищені, чи не так?

Організації роками збільшували інвестиції в програми з підвищення обізнаності, однак людська помилка й досі залишається одним з найпоширеніших чинників виникнення кіберінцидентів. Традиційні підходи часто надмірно зосереджені на технологіях, ґрунтуються на припущенні, що більший обсяг інформації автоматично призводить до зміни поведінки, та використовують універсальний контент, який недостатньо враховує реальні робочі ситуації та контекст.

Кібербезпека — це насамперед проблема людського чинника, а вже потім технологій

Більшість працівників знає, що не слід переходити за підозрілими посиланнями. Більшість розуміє важливість надійних паролів. Більшість чула застереження щодо соціальної інженерії. І все ж люди продовжують натискати. Не тому, що вони необачні. А тому, що вони — люди.

Сучасні працівники працюють в умовах постійних відволікань, конкуруючих пріоритетів, інформаційного перевантаження, гібридного формату роботи та дедалі складнішої цифрової взаємодії. Рішення потрібно ухвалювати за лічені секунди. Концентрація швидко втрачається, а постійне перемикання між різними видами контенту стало нормою.

Зловмисники чудово розуміють цю реальність. Програми з кібербезпеки — ні.

Кіберобізнаність, орієнтована на людину, ґрунтується на простому, але важливому спостереженні: люди ухвалюють рішення не в лабораторних умовах. Вони роблять це, коли зайняті, відволікаються, перебувають під тиском і намагаються виконати роботу. Якщо організації прагнуть кращих результатів у сфері безпеки, навчання має враховувати ці реалії.

Від формального дотримання вимог до зміни поведінки

Традиційні програми з підвищення обізнаності часто покликані підтвердити дотримання встановлених вимог. Кіберобізнаність, орієнтована на людину, спрямована на зміну поведінки. І ця відмінність має значення. Показники проходження навчання свідчать про те, хто його пройшов, але майже нічого не говорять про те, чи ухвалить людина правильніше рішення, отримавши переконливий фішинговий лист, шахрайський запит на платіж або зіткнувшись зі спробою соціальної інженерії, створеною за допомогою ШІ.

Ефективні програми з підвищення обізнаності зосереджуються на розумінні того, як люди мислять, що їх мотивує, які когнітивні упередження впливають на ухвалення рішень і де найімовірніше виникає ризикована поведінка. Вони враховують принципи поведінкових наук і постійно закріплюють набуті знання, а не зводять підвищення обізнаності до разового щорічного заходу.

Мета полягає не в тому, щоб перетворити працівників на експертів з безпеки. Мета — допомогти їм ухвалювати безпечніші рішення тоді, коли це має найбільше значення.

Контекст має значення

Один з найбільших недоліків програм з підвищення обізнаності — припущення, що всі стикаються з однаковими ризиками. Насправді це не так. Наприклад:

Працівник фінансового підрозділу, який здійснює платежі, стикається з іншими загрозами, ніж представник вищого керівництва.

Розробник стикається з іншими ризиками, ніж фахівець служби підтримки клієнтів.

Організація у сфері охорони здоров’я працює в інших умовах і під іншим тиском, ніж виробниче підприємство чи фінансова установа.

Підхід орієнтований на людину аби підвищити обізнаність враховує ці відмінності та відповідно адаптує зміст. Навчання узгоджується з конкретними ролями, бізнес-процесами, галузями та сценаріями загроз, що робить його актуальнішим, цікавішим і зрештою ефективнішим.

Коли працівники впізнають себе в наведених прикладах, вони зосереджуються. Коли ж навчання здається відірваним від їхньої реальності, вони втрачають інтерес.

Розвиток ШІ посилює значення людського чинника

Ландшафт кібербезпеки стрімко змінюється.

Штучний інтелект знизив бар’єри для зловмисників, розширив можливості соціальної інженерії та збільшив кількість і складність атак. Водночас організації впроваджують ШІ у внутрішні процеси, щоб підвищувати ефективність, стимулювати інновації та забезпечувати зростання.

Хоча технології й надалі відіграють важливу роль у кіберзахисті, людський чинник набуває ще більшого значення.

Майбутнє кібербезпеки залежатиме від здатності організацій поєднувати технології, процеси й людей у межах стійкої операційної моделі. У міру того як кіберризик дедалі глибше інтегрується в бізнес-стратегію, забезпечити стійкість лише за допомогою інструментів неможливо. Для цього працівники на всіх рівнях мають стати активними учасниками управління ризиками. Саме тому підходи до навчання з кіберобізнаності повинні розвиватися.

Організаціям потрібні програми, які допомагають працівникам розпізнавати нові ризики, адаптуватися до змін і ухвалювати обґрунтовані рішення в реальних ситуаціях.

Формування стійких навичок безпечної поведінки

Найсильніша культура кібербезпеки формується не через страх, а завдяки актуальності.

Працівники краще сприймають навчання, коли воно відображає їхній щоденний досвід, допомагає зрозуміти наслідки і демонструє практичні способи зниження ризиків без уповільнення бізнес-процесів.

Організації, які досягають успіху в цій сфері, розглядають обізнаність як постійну спроможність, а не як щорічний захід. Вони безперервно оцінюють результати, удосконалюють зміст, виявляють ризиковані моделі поведінки та послідовно закріплюють належні навички безпечної поведінки.

Такий підхід перетворює підвищення обізнаності з формальної вимоги на інструмент підтримки бізнесу.

Він допомагає сформувати більш стійку й обізнану команду, краще підготовлену до впевненої роботи в дедалі складнішому цифровому середовищі.

Подальший шлях

Кібербезпека стала питанням швидкості, а не технологій.

Організації розвиваються швидше, ніж будь-коли. ШІ прискорює інновації. Цифрові екосистеми розширюються. Загрози продовжують еволюціонувати.

У таких умовах успішними будуть не ті організації, які пропонують найдовші чи найбільшу кількість курсів з підвищення обізнаності або мають найвищі показники їхнього проходження.

Успішними будуть організації, які розуміють людей.

Вони розуміють, що кібербезпека зрештою визначається ухваленням рішень, поведінкою і культурою.

Майбутнє кіберобізнаності — не в більшій кількості контенту.

Воно — у кращих результатах.

А ці результати починаються з підходу орієнтованого на людину, який враховує реальні обставини людей і особливості їхньої роботи та дає їм змогу стати одним з найнадійніших рівнів захисту, які може створити організація.

BDO допомагає організаціям формувати надійніші навички безпечної поведінки завдяки практичному й актуальному навчанню, узгодженому з реальними бізнес-ризиками.

Докладніше 

Будемо раді відповісти на ваші запитання.