Întreabă pe oricine ce înseamnă securitatea cibernetică și o să-ți vorbească despre firewall-uri, antiviruși, parole. Lucruri reale, dar care lasă pe dinafară partea care contează cel mai mult: omul care apasă butonul.
Un atacator știe asta foarte bine. De aceea, de cele mai multe ori, nu încearcă să spargă un sistem. Trimite un e-mail care pare de la șef și așteaptă ca cineva, grăbit, să dea click. Tehnologia ta poate fi impecabilă. Dacă omul cedează, atacul a reușit oricum.
Ce înseamnă, de fapt, cultura de securitate
Nu afișele de pe perete și nici regulamentul semnat o dată, la angajare, și uitat. Cultura de securitate e ce fac oamenii când nu se uită nimeni.
E reflexul de a verifica un e-mail ciudat înainte de a da click. E faptul că nu îți spui parola la telefon, nici dacă cel de la capăt pare de la bancă. E curajul de a spune „cred că am greșit" în loc să ascunzi. Aceste obiceiuri mici, repetate de toată lumea, fac mai mult decât orice produs scump.
De ce cultura bate tehnologia
Pentru că oamenii sunt, în același timp, veriga slabă și prima linie de apărare. Despre asta am scris pe larg în articolul despre factorul uman.
Logica e simplă. Tehnologia oprește atacurile cunoscute, automate. Dar cele mai multe atacuri reușite azi trec pe lângă tehnologie, prin oameni: un e-mail fals, un apel, o factură cu cont schimbat. Acolo nu te apără un firewall, ci un angajat atent. Iar atenția nu se cumpără, se cultivă.
Semnele unei culturi proaste
De multe ori problema se vede cu ochiul liber, dacă știi ce să cauți.
- Frica de a raporta. Oamenii ascund greșelile ca să nu fie certați, așa că afli de un incident târziu, când e deja mare.
- Parole împărțite. „Dă-mi parola ta să intru repede" e ceva normal, nu o excepție.
- Securitatea ca piedică. E văzută ca un moft al IT-ului care încetinește treaba, nu ca ceva care apără pe toată lumea.
- Reguli doar pentru alții. Conducerea cere lucruri pe care ea însăși nu le respectă.
Cum construiești o cultură bună
Vestea bună e că o cultură se schimbă, dacă te ții de câteva lucruri și ai răbdare.
- Începe de sus. Dacă șefii respectă regulile, le respectă toată lumea. Dacă fac excepții pentru ei, nimeni nu le ia în serios.
- Fă securitatea ușoară. Varianta sigură trebuie să fie și cea simplă. Dacă regula corectă e complicată, oamenii o ocolesc.
- Raportare fără pedeapsă. Cine spune repede „am dat click pe ceva" trebuie lăudat, nu certat. Așa afli devreme și oprești la timp.
- Instruire vie, nu bifă. Exemple reale, exerciții, e-mailuri-test, în loc de un curs plictisitor o dată pe an pe care nimeni nu-l ține minte.
- Repetă și recunoaște. Mesaje scurte și dese, plus o vorbă bună pentru cei care fac lucrurile cum trebuie.
Cultura nu se construiește dintr-o ședință, ci din mii de gesturi mici. Iar ea stă pe aceeași bază ca tot restul: securitatea informației înseamnă oameni, procese și tehnologie, în această ordine de importanță.
La INFOSHARE ajutăm firmele să crească o cultură de securitate sănătoasă, prin instruire și training adaptate pe roluri și prin reguli simple, pe care oamenii chiar le folosesc. Vezi și serviciul de securitate a informației.
Întrebări frecvente
Ce este cultura de securitate într-o firmă?
E felul în care se poartă oamenii cu securitatea când nu se uită nimeni. Nu afișele de pe perete sau regulamentul semnat o dată, ci obiceiurile de zi cu zi: că verifici un e-mail ciudat înainte să dai click, că nu împrumuți parola, că anunți când ai greșit. O cultură bună face din securitate ceva normal, nu o corvoadă.
De ce e mai importantă cultura decât tehnologia?
Pentru că cele mai multe incidente pleacă de la oameni, nu de la sisteme. Un atacator preferă să păcălească un angajat decât să spargă un firewall, fiindcă e mai ușor. Poți avea cea mai scumpă tehnologie, dar dacă un om dă click pe un link fals sau își spune parola la telefon, tehnologia nu mai contează. Oamenii sunt și veriga slabă, și prima linie de apărare.
Cum recunoști o cultură de securitate proastă?
Câteva semne clare: oamenilor le e frică să anunțe când au greșit, ca să nu fie pedepsiți; parolele se împart între colegi; securitatea e văzută ca o piedică pusă de IT; iar conducerea cere reguli pe care ea însăși le încalcă. Acolo unde greșelile se ascund, ele se adună până devin un incident mare.
Cum construiești o cultură de securitate bună?
Începe de sus: dacă șefii respectă regulile, le respectă toată lumea. Faci securitatea ușoară, ca varianta sigură să fie și cea simplă. Înlocuiești pedeapsa cu încurajarea de a raporta, ca oamenii să spună repede când au greșit. Și ții treaz interesul cu instruire vie și exemple reale, nu cu o bifă o dată pe an.
Vrei o echipă care apără firma de la sine?
Construim împreună o cultură de securitate sănătoasă: instruire pe înțelesul oamenilor, exemple reale și reguli simple pe care chiar le folosesc.