Ο ρόλος του CISO στις επιχειρήσεις έχει αλλάξει σημαντικά, από ειδικός στην κυβερνοασφάλεια με έμφαση στην τεχνολογία σε διαχειριστή ανθρώπων και μηχανών. Αυτές οι δεξιότητες είναι ιδιαίτερα ουσιώδεις για τη μείωση των μεγαλύτερων κινδύνων κυβερνοασφάλειας. Οι κυβερνοεγκληματίες χρησιμοποιούν συνεχώς το social engineering και συνεπώς, την ανθρώπινη συμπεριφορά για να διεισδύσουν αποτελεσματικά στις επιχειρήσεις.
Η συνήθης απάντηση σε αυτό ήταν μέχρι τώρα η αύξηση της ευαισθητοποίησης για την ασφάλεια, αν και αυτή η προσέγγιση δεν έχει οδηγήσει σε σημαντική μείωση του κινδύνου με την πάροδο των χρόνων. Για να αποκτήσουν οι εργαζόμενοι όχι μόνο γνώση αλλά και να εφαρμόσουν ασφαλή συμπεριφορά, οι CISO πρέπει να σχεδιάσουν αποτελεσματικές εκπαιδεύσεις και ασκήσεις. Πρέπει να προωθήσουν μια κουλτούρα ασφάλειας και αμοιβαίας υποστήριξης στις επιχειρήσεις τους.
Η τεχνολογία και οι πολιτικές πρέπει να υποστηρίζουν την καλή συμπεριφορά ασφαλείας, αλλά είναι ακόμα πιο σημαντικό να λαμβάνεται υπόψη μια ανθρωποκεντρική προοπτική. Οι κίνδυνοι κυβερνοασφάλειας μειώνονται μόνο όταν τα μέτρα προστασίας κατευθύνουν την ανθρώπινη συμπεριφορά προς τη σωστή κατεύθυνση. Αυτό επιτυγχάνεται προωθώντας θετικές ενέργειες, όπως η αναφορά περιστατικών ή συμπεριφορών που προστατεύουν από εξωτερικές επιρροές.
Η κυβερνοασφάλεια πρέπει να ευθυγραμμίζεται με αξίες
Οι αξίες που υποστηρίζουν και καθοδηγούν μια ανθρωποκεντρική σκέψη είναι η αυτονομία, η ισότητα, η εμπιστοσύνη και η δικαιοσύνη. Οι εργαζόμενοι αναμένουν ανοιχτή ανατροφοδότηση, κίνητρα, εκτίμηση και εμπιστοσύνη από τους προϊσταμένους τους. Οι CISO πρέπει να προσπαθούν να ενδυναμώνουν τους ανθρώπους και να δίνουν το καλό παράδειγμα. Αυτό μεταφέρεται άμεσα στους εργαζομένους τους.
Μάθηση μέσω πρακτικών σεναρίων
Οι εργαζόμενοι μπορούν να παρασυρθούν από deepfake βίντεο για να συμμετάσχουν σε ψεύτικες διαδικτυακές συναντήσεις. Οι CISO πρέπει να δημιουργήσουν ένα σενάριο deepfake και να το χρησιμοποιήσουν ως εκπαιδευτικό εργαλείο για να διδάξουν στους εργαζομένους πώς να αναγνωρίζουν και να προστατεύονται από τέτοιες απειλές – οι στιγμές μάθησης με πρακτική εφαρμογή μπορούν να δημιουργηθούν με παρόμοιο τρόπο και για άλλα διανύσματα επίθεσης και μέσα. Ολοκληρωμένες προσεγγίσεις ασχολούνται με περισσότερα από “μόνο” email και phishing.
Ισορροπία μεταξύ τριβής και ροής
Για μια καλά συντονισμένη κυβερνοασφάλεια, είναι απαραίτητο να χρησιμοποιούνται στοχευμένα σημεία τριβής και αποσπάσεις για να ενισχυθούν οι εμπειρίες μάθησης. Όταν οι CISO ξεκινούν με τα προγράμματα διαχείρισης ανθρώπινων κινδύνων, η ασφάλεια συχνά θεωρείται ως δευτερεύον θέμα και ως καθήκον του τμήματος IT. Η πρόκληση είναι να γίνει αυτό το θέμα συλλογική ευθύνη που έχει προτεραιότητα για όλους τους εργαζόμενους. Η κυβερνοασφάλεια δεν πρέπει να είναι αυτοσκοπός – ο στόχος της διαχείρισης κινδύνου δεν είναι να ελαχιστοποιηθούν οι κίνδυνοι, αλλά να μεγιστοποιηθεί η αξία με ταυτόχρονη διαχείριση ενός αποδεκτού επιπέδου κινδύνου.
Οι CISOs πρέπει να διασφαλίσουν ότι οι εκπαιδεύσεις, τα εργαλεία και οι διαδικασίες κυβερνοασφάλειας επιβαρύνουν όσο το δυνατόν λιγότερο τον χρήστη, προσφέροντας ταυτόχρονα το μέγιστο δυνατό όφελος.
Πώς οι CISO μπορούν να δημιουργήσουν μια διαχείριση ανθρώπινου κινδύνου
Ένα ώριμο πρόγραμμα διαχείρισης ανθρώπινου κινδύνου (HRM) περιλαμβάνει τα εξής θεμέλια:
Αξιολόγηση του κινδύνου συμπεριφοράς: Οι ομάδες ασφαλείας χρειάζονται δεδομένα για να κατανοήσουν ποιοι εργαζόμενοι κάνουν κλικ σε phishing emails, χρησιμοποιούν επικίνδυνους κωδικούς πρόσβασης, παραβιάζουν πολιτικές ή προκαλούν προειδοποιήσεις ασφαλείας. Αυτά τα δεδομένα συγκεντρώνονται σε ατομικές ή τμηματικές αξιολογήσεις κινδύνου, οι οποίες μπορούν να παρακολουθούνται και να παρουσιάζονται σε τάσεις με την πάροδο του χρόνου.
Τμηματοποίηση και προτεραιοποίηση κινδύνων: Μόλις εντοπιστούν οι κίνδυνοι, οι επιχειρήσεις πρέπει να τμηματοποιήσουν τους χρήστες ανάλογα με το ρόλο τους, το επίπεδο πρόσβασης και τη συμπεριφορά τους. Η τμηματοποίηση βοηθά τις ομάδες ασφαλείας να επικεντρώσουν τις προσπάθειές τους εκεί που θα έχουν τη μεγαλύτερη επίδραση.
Στοχευμένα μέτρα για τη μείωση του κινδύνου: Ένα αποτελεσματικό HRM απαιτεί περισσότερα από γενικές εκπαιδεύσεις. Αντίθετα, χρησιμοποιούνται εξατομικευμένα μέτρα για την αλλαγή της συμπεριφοράς. Παρέχοντας το σωστό μήνυμα τη σωστή στιγμή, το HRM βοηθά τους εργαζομένους να εσωτερικεύσουν καλές συνήθειες ασφαλείας.
Συνεχής παρακολούθηση και ανατροφοδότηση: Ένα σύγχρονο πρόγραμμα HRM χρησιμοποιεί συνεχή παρακολούθηση και διαρκείς βρόχους ανατροφοδότησης για να προσαρμόζεται. Οι αξιολογήσεις κινδύνου συμπεριφοράς πρέπει να υπολογίζονται εκ νέου τακτικά, με πίνακες ελέγχου που δείχνουν τις βελτιώσεις ή τις οπισθοδρομήσεις με την πάροδο του χρόνου. Οι CISOs πρέπει επίσης να καθορίσουν KPIs, όπως η μείωση των ποσοστών κλικ σε προσομοιώσεις phishing, λιγότερες παραβιάσεις πολιτικών ή προειδοποιήσεις DLP, ή αυξημένες αναφορές ύποπτων emails. Όλες αυτές οι μετρήσεις αποδεικνύουν την αξία σε απτούς, επιχειρηματικούς όρους.
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
