Кібербезпека стала важливою темою для обговорення на рівні керівництва та правління. Більше того, все частіше правління та топ-менеджмент включають до свого складу принаймні одного члена з певним досвідом у цій критично важливій області. Пояснення цьому — це зростання кіберзагроз для бізнесу та невтішні результати у запобіганні атакам командами безпеки.
Крім того, кожен керівник, безумовно, погодиться, що навчання повинно бути важливою частиною стратегії захисту. Керівники знають, наприклад, що для перевірки того, які співробітники реагують на фішингові посилання, використовуються певні інструменти. Однак на цьому їхнє розуміння, яким має бути навчання з кібербезпеки, закінчується. Більшість правлінь, наприклад, не мають уявлення про те, яким чином навчання вбудовано в їхню програму безпеки.
Для вирішення цієї проблеми ми пропонуємо нижче п’ять запитань, які керівники мають поставити своєму директору з інформаційної безпеки (CISO). Хоча ці питання можуть здаватися очевидними, проте вони допоможуть розібратися, якими є стратегії та тактики навчання, що використовуються в організації в умовах зростаючих загроз у сфері кібербезпеки. Поряд із кожним запитанням є варіанти відповідей, які б хотілося отримати.
- Як ви навчаєте співробітників і керівників приймати правильні рішення та діяти, дотримуючись правил кібербезпеки та кібергігієни?
Уникати фішингових посилань — це лише невелика частина навчання з безпеки, необхідного для співробітників, менеджерів, консультантів та інших довірених осіб в організації. CISO має пояснити, з яких компонентів складається програма навчання, щоб гарантувати, що всі учасники тренінгів приймають правильні рішення щодо безпеки в усіх аспектах їхньої роботи.
Така програма повинна включати базові концепції з кібербезпеки та найкращі методи навчання. Люди найкраще засвоюють інтерактивний матеріал, а не на сухі звіти або чеклісти. Так само необхідно розробити відповідні показники, щоб мати можливість гарантувати, що кожен розуміє свою повну відповідальність за безпеку, а не лише як уникати підозрілих посилань в і-мейлах.
- Як ви навчаєте наших постачальників приймати правильні рішення щодо безпеки?
Стало занадто поширеним явищем для організацій, які зазнають витоків даних через нехтування кібербезпекою з боку їхніх постачальників, партнерів та третіх осіб. Такі сумнозвісні злами, як, наприклад, з SolarWinds (розробником ПЗ для управління ІТ-інфраструктурою), демонструють, наскільки важливо приділяти увагу належному управлінню ризиками кібербезпеки, пов’язаних з постачальниками.
Найпоширеніший підхід до управління ризиків третіх осіб передбачає використання опитувальників. Закупівельна організація запитує своїх постачальників, наприклад, про те, чи шифрують вони дані, чи використовують надійні паролі тощо. Рідко, але буває, що організації вимагають продемонструвати, як проводяться тренінги з кібербезпеки персоналу в сторонній організації. Ваш CISO має погодитися включати такі запити (якщо цього не було) під час усіх переговорів перед укладанням контрактів із третьою стороною.
- Як ви використовуєте тренінги для усунення прогалин у знаннях та навичках з кібербезпеки?
Сфера кібербезпеки розвивається дуже швидко через постійне зростання як атакуючих заходів, так і захисних тактик, які змінюються майже щодня. Тож регулярне оновлення програми навчання є важливою для експертів з безпеки в організації. Таким чином, якісні навчальні програми можуть бути допомогти зменшити відтік персоналу на конкурентному ринку праці.
З цієї причини ваш CISO має чітко пояснити, як навчання з безпеки впливає на утримання цінних співробітників, окрім того, що покращує рівень обізнаності з кібербезпеки у команді. Це важливо, оскільки знайти та утримати співробітників, які є обізнаними з питань кібербезпеки важко.
- Як ви навчаєте наших експертів з безпеки, аби вони були в курсі появи нових технологій та постачальників?
Однією з найбільших переваг, яку мають команди кіберзахисту, є те, що нові технології та пропозиції постачальників з’являються постійно — буквально щодня. Це надає захисникам безліч варіантів у різних областях, таких як захист кінцевих точок, управління ризиками, аутентифікація без пароля, управління ідентифікацією, доступ до мережі з нульовою довірою тощо.
Однак ці нові технології можуть бути складними, тому CISO повинні забезпечити достатню підготовку, щоб допомогти членам команди бути «в темі». ТОП-менеджери повинні запитувати, яким чином це відбувається — можливо завдяки навчальним програмам, які пропонують спеціальні консалтингові компанії у поєднанні з тренінгами в рамках партнерства з постачальниками. Часто постачальники надають безкоштовне навчання в рамках контракту. CISO мають користуватися такою можливістю.
- Як ви навчаєте наші команди з кібербезпеки співпрацювати над завданнями із захисту?
П’яте питання, і, можливо, одне з найважливіших, стосується того, як CISO забезпечує підготовку команд для спільної роботи над завданнями безпеки. Кібербезпека — це командна робота, яка вимагає підтримки для безперебійного обміну інформацією, координації дій і співпраці для виконання узгоджених кроків під час робочого процесу.
CISO повинні забезпечувати можливості проводити тренування для команд, коли вони навчаються разом. Одним із прекрасних варіантів є так званий кіберсимулятор, коли команди мають реагувати в рамках заздалегідь визначених сценаріїв загроз, які відповідають реалістичним умовам атаки. Займаючись таким навчанням, CISO гарантують, що в разі виникнення реальних інцидентів їхні команди готові реагувати.
