Výzvou není povědomí.
Výzvou je chování.
Naši zaměstnanci absolvují každoroční školení. Plní povinné kvízy. Sledují simulační videa. Sledují se všechny míry dokončení, vytvářejí se zprávy vysvětlující výsledky a vedoucí si jsou jisti, že se zabývali lidskou stránkou kybernetické bezpečnosti. Přesto kybernetické incidenty stále vznikají alarmujícím tempem. A lidé? Ti zůstávají prvním vstupním bodem.
Realita nás znepokojuje, ale je velmi těžké ji ignorovat: kdyby samotný trénink povědomí fungoval, byli bychom mnohem bezpečnější než dnes, že?
Organizace roky zvyšovaly investice do programů osvěty, přesto lidská chyba zůstává jedním z nejčastějších přispěvatelů ke kybernetickým incidentům. Tradiční metody často přeceňují technologie, předpokládají, že více informací automaticky mění chování, a metody spoléhají na obecný obsah, který má jen malou souvislost s realitou fungování lidí.
Většina zaměstnanců ví, že by neměli klikat na podezřelé odkazy. Většina chápe, že silná hesla jsou důležitá. Většina slyšela varování před sociálním inženýrstvím. Přesto lidé přesto klikají. Není to proto, že by byli lidé neopatrní. Je to proto, že jsou lidé.
Moderní zaměstnanci pracují v prostředí s neustálými přerušeními, konkurenčními prioritami, informačním přetížením, hybridními pracovními uspořádáními a stále sofistikovanějšími digitálními interakcemi. Očekává se, že rozhodnutí budou učiněna během několika sekund. Pozornost je roztříštěná neustálým přepínáním obsahu, což se stalo normou.
Hroziví aktéři tuto realitu velmi dobře chápou. Kybernetické bezpečnostní programy ne.
Kybernetické povědomí zaměřené na člověka začíná jednoduchým, ale důležitým pozorováním: lidé nerozhodují v laboratorním prostředí. Rozhodují se zaneprázdněni, rozptýlení, pod tlakem a snažící se dokončit práci. Pokud organizace chtějí jiné bezpečnostní výsledky, školení musí tyto skutečnosti odrážet.
Tradiční programy ke zvýšení povědomí jsou často navrženy tak, aby prokázaly dodržování předpisů. Programy zaměřené na člověka jsou navrženy tak, aby měnily chování. Tento rozdíl je důležitý. Metriky dokončení nám říkají, kdo se školení zúčastnil, ale málo nám říkají o tom, zda někdo učiní lepší rozhodnutí, když čelí přesvědčivému phishingovému e-mailu, podvodné žádosti o platbu nebo pokusu o sociální inženýrství generované umělou inteligencí.
Efektivní programy osvěty se zaměřují na pochopení toho, jak lidé přemýšlejí, co je motivuje, jaké předsudky ovlivňují rozhodování a kde je nejpravděpodobnější riziko rizikového chování. Začleňují principy behaviorální vědy a neustále posilují učení, místo aby povědomost braly jako cvičení jednou ročně.
Cílem není vytvářet bezpečnostní experty. Cílem je pomoci lidem dělat bezpečnější rozhodnutí právě tehdy, když je to nejdůležitější.
Jednou z největších mezer v programech povědomí je předpoklad, že všichni čelí stejným rizikům. Není tomu tak. Například:
Lidsky orientované povědomí tyto rozdíly rozpoznává a přizpůsobuje obsah těmto rozdílům. Školení je sladěno s konkrétními rolemi, obchodními procesy, odvětvími a hrozbami, což jej činí relevantnějším, poutavějším a nakonec efektivnějším.
Když se zaměstnanci v uvedených příkladech vidí, věnují tomu pozornost. Když se školení zdá být obecné, vypnou to.
PŘÍSTUP | |
ZALOŽENÉ NA RIZIKU | Sladění s hrozbami a chováním nejrelevantnějším pro organizaci. |
PŘIZPŮSOBENÍ | Přizpůsobené podle role, oddělení, odvětví a rizikové expozice. |
ZAMĚŘENÉ NA PODNIKÁNÍ | Souvisí to s tím, jak lidé dělají rozhodnutí v každodenní práci. |
ORIENTOVANÉ NA VÝSLEDKY | Měřeno za účelem identifikace znalostních mezer a podpory změny chování. |
Prostředí kybernetické bezpečnosti se rychle mění.
Umělá inteligence snížila bariéry pro hrozby, urychlila schopnosti sociálního inženýrství a zvýšila objem a sofistikovanost útoků. Organizace také interně přijímají umělou inteligenci, aby podpořily efektivitu, inovace a růst.
Zatímco technologie nadále hraje zásadní roli v kybernetické obraně, lidský faktor se stává ještě důležitějším.
Budoucnost kybernetické bezpečnosti bude záviset na schopnosti organizací kombinovat technologie, procesy a lidi do odolného provozního modelu. Jak se kybernetická rizika více integrují do obchodní strategie, odolnost nelze dosáhnout pouze pomocí nástrojů. Odolnost vyžaduje, aby se zaměstnanci na všech úrovních stali aktivními účastníky řízení rizik. Proto se musí vyvíjet školení v oblasti povědomí.
Organizace potřebují programy, které pomáhají zaměstnancům rozpoznat nově vznikající rizika, přizpůsobit se měnícímu se prostředí a činit informovaná rozhodnutí v reálných situacích.
Nejsilnější kultury kybernetické bezpečnosti nejsou budovány strachem. Jsou budovány na relevanci.
Zaměstnanci reagují, když školení odráží jejich každodenní zkušenosti, pomáhá jim pochopit důsledky a ukazuje praktické způsoby, jak snížit riziko, aniž by zpomalila podnikání.
Organizace, které v této oblasti uspějí, považují povědomí za trvalou schopnost, nikoli za každoroční událost. Průběžně měří výsledky, zpřesňují obsah, identifikují rizikové chování a postupně posilují pozitivní bezpečnostní návyky.
Tento přístup proměňuje povědomí z požadavku na dodržování předpisů na podnikatelský nástroj.
Pomáhá vytvářet pracovní sílu, která je odolnější, informovanější a lépe vybavená k sebevědomému fungování v stále složitějším digitálním prostředí.
Kybernetická bezpečnost se stala problémem rychlosti, nikoli technologií.
Organizace se pohybují rychleji než kdy dříve. AI urychluje inovace. Digitální ekosystémy se rozšiřují. Hrozby se neustále vyvíjejí.
V tomto prostředí nebudou organizace, které prosperují, ty, které mají nejdelší kurzy povědomí, nejvíce kurzů povědomí nebo nejvyšší míru dokončení školení.
Budou to organizace, které rozumí lidem.
Uvědomí si, že kybernetická bezpečnost je nakonec otázkou rozhodování, chování a kultury.
Budoucnost kybernetického povědomí není v dalším obsahu.
Jsou to lepší výsledky.
A tyto výsledky začínají lidsky orientovaným přístupem, který se setkává s lidmi tam, kde jsou, odráží jejich práci a posiluje je, aby se stali jednou z nejsilnějších obranných vrstev, které může organizace vybudovat.
BDO pomáhá organizacím budovat silnější bezpečnostní chování prostřednictvím školení, která jsou praktická, relevantní a přizpůsobená reálným podnikatelským rizikům.