Image

فرهنگ سازی امنیت سایبری به جای سخنرانی های خسته کننده!

 وقتی صحبت از توصیه‌های عملی برای شرکت‌ها به میان می‌آید، همیشه می‌گوییم: «آگاهی امنیتی کارمندان خود را بالا ببرید». این موضوع بسیار حائز اهمیت است؛ اما آنچه دستگیرمان شده این است که هر کسی معنی عبارت آگاهیِ امنیتی را درک نمی‌کند. منظورمان این است که هر کس به فراخور نیازها و شرایط خود، آگاهی امنیتی را در یک چیز می‌بیند.
آگاهیِ امنیتی به هیچ‌ وجه مجموعه ‌ای از سخنرانی ‌های خسته‌ کننده نیست که مدام سعی دارد بگوید جهان سایبری سراسر در خطر است. ما رویکردهای مختلفی را مورد بررسی قرار داده‌ ایم و حال می‌توانیم به جرأت بگوییم صرفاً سخنرانی در خصوص امنیت سایبری بی فایده است. آنچه یک شرکت شدیداً بدان نیاز دارد، فرهنگ ‌سازی در بخش امنیت سایبری است.
رویکرد ما
تجربه به ما می‌گوید، آموزش تنها زمانی ممکن می شود که معیارهای زیر را پوشش دهد:
-تئوریِ محض نباشد؛ چیزهایی را آموزش دهد که با ساز و کار حرفه‌ایِ فرد همخوانی داشته باشد.
-جریان کاری روزانه‌ی افراد شرکت‌کننده در این جلسات آموزشی را به هم نریزد. (مطابق با برنامه ی آنها باشد)
-از نمونه‌ها و مصداق‌های بارز و واقعی استفاده کند.
-توصیه‌هایی را ارائه دهد که واقعاً بشود در زندگی واقعی به کار برد.       
کاربرد               
این مورد آخر شاید خیلی بدیهی به نظر برسد اما فی‌الواقع از سایر ملاک‌ها اهمیت بیشتری دارد. توصیه‌ ی ما خیلی ساده است؛ هر رمز عبوری را منحصر به خودش بسازید؛ سعی کنید رمز عبورتان دست‌کم 18 کاراکتر را در خود جای دهد؛ در آن از نمادهای رندم و تصادفی استفاده کنید و حتی‌المقدور هر هفته یک کدام از آن‌ها را عوض کنید؛ هیچگاه رمزعبور خود را روی کاغذ ننویسید. به حرف، این توصیه عالیست (شاید حتی ایده‌آل هم باشد)؛ اما سوال اینجاست؟ در عمل هم می‌شود به همین خوبی آن را از آب درآورد؟ خوب راستش خیر. آیا همه به این اقدامات عمل می کنند؟ هیچ‌کس. آن‌ها همچنان رمزعبورهای خود را روی برگه ‌ای می‌نویسند. اوج رعایت کردن جوانب احتیاط‌شان به این محدود می‌شود که کاغذشان را زیر کیبوردی جایی قایم کنند.
از همین روست که نسخه‌ی امنیت رمز عبور ما در عوض به مردم توصیه می‌کند رمزعبورهایی سخت و پیچیده برای خود انتخاب کنند... چیزی که فقط خودشان استفاده می‌کنند و بخشی از محاوره‌ی روزانه نیست (که بشود راحت آن را حدس زد). برای خود کلید واژه تعریف کنید؛ مثلاً اگر رمزعبورتان این است: oxygen-meow!72!meow سعی کنید روی کاغذ به جای یادداشت کردن خود رمز، تصویری از دستگاه تنفسی گربه را بکشید (چیزی که بشود با دیدنش سریع یاد رمزعبور افتاد).
از دیدگاه کلاسیک امنیت سایبری، این توصیه به هیچ ‌وجه شدنی نیست. ممکن است هر متخصص امنیتی عصبانی شود و بگوید: «دارید چه کار می‌کنید؟ چطور رویتان می‌شود به مردم بگویید بخشی از رمز عبور خودشان را به صورت رمزی و تصویری بکشند برایشان تداعی‌ کننده باشد؟» اما در واقع این روش خیلی هم کاربردی و اجرایی است.
سازگاری
سازگاری آموزش با جریان کار روزانه مبحث دیگریست که باید بدان مفصلاً پرداخت. وقتی مقام ‌های بالادست سازمانی تصمیم به افزایش سطح آگاهی امنیتی کارمندان خود می‌گیرند (توجه داشته باشید که در بسیاری از موارد بعد از اینکه این واقعه رخ می‌دهد تازه چنین تصمیم‌گیری‌هایی صورت می‌پذیرد)، اوج زحمتشان این است که فردی را متصدی این امر کرده و بعد خود پا روی پا انداخته و استراحت می‌کنند.
در عمل، تنها یک سخنرانی طولانی و ملال ‌آور است. کاری بزرگ و وقت ‌گیر که شاید هیچکس بدان توجهی نکند و اگر هم بکند شاید در نهایت چیزی به دردش نخورد.
بعد از همه‌ ی این آموزش ‌ها اگر یک نفر از آن‌ها بپرسد چه یاد گرفته ‌اید هیچ جوابی ندارند بدهند. شاید برای یکی دو هفته بر اثر جو محیطی کلاس‌ها کمی بهشان تلنگر بخورد و چیزهایی هم یادشان باشد؛ اما با گذشت مدتی همه‌ چیز از خاطرشان می‌رود و روز از نو روزی از نو.
 دادن یک سری فعالیت‌ها، درس‌ها، آزمون‌ها و شبیه‌سازی‌های سبک به کارمندان باعث می‌شود اطلاعات را خیلی راحت در ذهن فرو برده و آن‌ها را هضم کنند. بدین‌ترتیب به جریان کاری روزمره‌ شان نیز خدشه‌ ای وارد نشده و در این زمینه فرهنگ ‌سازی درستی صورت می‌گیرد.
ارتباط و تجسم فکری
در این خصوص، موضع ما مشخص است. ما با افراد زنده کار می‌کنیم نه با یک سری اکانت. اگر این فرآیند جذاب نباشد خیلی زود فراموش خواهد شد. و همچنین مطالب باید مرتبط باشند. ما از نظامی متشکل از سطوح مختلف استفاده می‌کنیم که هر یک گروهی از کارمندان را در حوزه‌ی خاصی از وظایف مورد خطاب قرار می‌دهد. اصلاً به نظر خودتان این منطقی است که به فردی که هیچ دسترسی ‌ای به سیستم ‌های بانکی ندارد در مورد تهدیدهای سایبری مالی صحبت کنیم؟ علاوه بر این، ابتدا توضیح می‌دهیم چرا کارمندان باید در خصوص موضوعی اطلاعات کسب کنند و بعد از آن است که شروع می‌کنیم به دادن توصیه‌ها در آن خصوص.
شبیه ‌سازی‌ های تعاملی همچنین فراتر از اطلاعات ساده در مورد تهدیدات قدم می‌گذارند و سعی دارند تا نمونه ‌های قابل ‌اجرا را ارائه دهند. آن‌ها همچنین بهترین روش برای کار کردن با مدیران ارشدند؛ که دسترسی گسترده‌ای دارند اما به ندرت در جلسات آموزشیِ معمول شرکت می‌کنند.
خیلی ‌ها شبیه ‌سازی تعاملی محافظت کسپرسکی را به چشم محتوایی آموزشی نمی ‌بینند بلکه آن را رویدادی تیمی تلقی می‌کنند. مدیران طی همکاری خود با کارمندان‌شان جهت مصون نگه داشتن یک شرکت شبیه‌سازی‌شده از گزند تهدیدات تازه متوجه می‌شوند که چرا شرکت باید اقدامات محافظتی انجام دهد، کجا باید اقدامات دفاعی را شروع کند و چطور می‌شود که درآمد شرکت به امنیت سایبری وابسته می‌شود. تجربه‌ای کاملاً ناب و منحصر به فرد. و در آخر بگوییم تنها ما نیستیم که داریم به مزایای فرهنگ ‌سازی در زمینه‌ی امنیت سایبری فکر می‌کنیم. شرکت‌های تحلیلی نیز ایده ‌هایی مشابه با ما را دارند.