"Human in the machine" (mennesket) er en grundlæggende faktor, når man skal skabe en effektiv strategi for at minimere cyber security risk. Der er imidlertid mange aspekter af dette udsagn, da vores medarbejdere er en afgørende del af vores organisations succes. I stedet for at placere skylden skal vi skille det skadelige fra det utilsigtede, opdage det første og forebygge det sidste.
Gennem fokuseret træning i sikkerhedsbevidsthed kan de menneskelige faktorer, der fører til menneskelige fejl, mindskes. Her er hvordan og hvorfor cybersikkerhedsrisici kan styres gennem sikkerhedsbevidsthed.
Cyber security risk: Hvorfor menneskelige faktorer fører til cybersikkerhedsrisici
Den menneskelige faktor i cybersikkerhedsrisikoen betegnes normalt som "insidertrussel". Insideren" kan være både ansatte og ikke-ansatte, f.eks. konsulenter. Den simple kendsgerning, at insidere er en integreret del af en organisations processer og bruger it-ressourcer med tilladelse, gør det vanskeligt at løse de menneskelige fejl, der fører til cybersikkerhedsrisici.
Insider-relaterede cybersikkerhedsrisici er et stort problem: En 2020 Insider Threat Report fra Cyber Security Insiders påpeger, at 68% af organisationerne føler sig "moderat til ekstremt sårbare" over for insidertrusler. Det er ikke overraskende, når man ser på nogle af de seneste års overskrifter om cyberangreb, f.eks. Twitter-hacket i 2020, hvor højt profilerede Twitter-konti, herunder Barack Obamas, blev tilgået og brugt til at narre Twitter-brugere til at udføre ulovlige bitcoin-transaktioner. Tabene anslås til at være omkring 180 millioner dollars (129 millioner pund), og Twitters aktiekurs blev reduceret med 4 %. Hacket involverede spear-phishing af Twitter-medarbejdere og tyveri af privilegerede legitimationsoplysninger.
Menneskelige faktorer bruges af cyberkriminelle til at opnå uautoriseret adgang, stjæle legitimationsoplysninger og inficere it-systemer og slutpunkter med malware som f.eks. ransomware. Uden mennesket-i-maskinen-effekten ville cyberkriminalitet være meget vanskeligere.
De menneskelige faktorer, der fører til menneskelige fejl
Ifølge en undersøgelse fra IBM er de tre vigtigste områder at fokusere på, når man udarbejder sikkerhedsstrategier for at mindske cybersikkerhedsrisici, følgende:
- Phishing
- Scanning og udnyttelse
- Uautoriseret brug af legitimationsoplysninger
Alle tre vektorer har et element, der involverer en menneskelig faktor på et eller andet tidspunkt i angrebskæden.
Phishing og spear-phishing - menneskelige faktorer: Dette kræver, at et menneskeligt mål klikker på et link eller åbner en inficeret vedhæftet fil for at starte infektionskæden. Ofte vil phishing blive brugt til at ramme privilegerede brugere (spear-phishing) for at få fat i deres legitimationsoplysninger. Privilegerede brugere har adgang til vigtigere ressourcer - tyveri af privilegerede legitimationsoplysninger er hackingens guldgrube. Her kommer en menneskelig faktor, som f.eks. det automatiserede kliksvar, i spil.
Scan og udnyt - menneskeligt svigt: Hackere bruger alt, der gør livet let, og at kunne scanne automatisk efter sårbarheder er en nyttig vej til malware-infektion. IT-systemkomponenter som f.eks. webservere, databaser og cloud-apps kan ende med at blive fejlkonfigureret, hvis man ikke fuldt ud forstår konsekvenserne af dårlig sikkerhed. Usikre apps og webkomponenter resulterer i sikkerhedshuller, som hackere kan udnytte. I dette tilfælde fører menneskelige fejl til cybersikkerhedsrisici.
Uautoriseret brug af legitimationsoplysninger - menneskelige fejl og menneskelige faktorer: tyveri af legitimationsoplysninger fører til uautoriseret adgang til it-systemer og -ressourcer. Der er bl.a. følgende måder, hvorpå legitimationsoplysninger kan bruges uautoriseret:
- Shoulder surfing: legitimationsoplysninger stjæles, når en ondsindet person ser en anden person indtaste en adgangskode.
- Phishing: at narre en person til at indtaste loginoplysninger på en falsk login-side.
- Social engineering: at narre en person til at udlevere en login-oplysninger over telefonen, sociale medier eller ved hjælp af andre kommunikationsmetoder, f.eks. e-mails, helpdesks og sms'er.
I alle tre af de mest vellykkede hackermetoder er både den menneskelige faktor og menneskelig fiasko en vigtig faktor. Cybersikkerhedsrisikoen er koncentreret hos vores ansatte og ikke-ansatte, men hvordan kan vi reducere denne risiko?
Bedste praksis for at forhindre menneskelige faktorer i at blive menneskelige fejl?
En undersøgelse fra Kaspersky, der fokuserede på den rolle, som menneskelige faktorer spiller i forbindelse med cybersikkerhedsrisici, viste, at "uforsigtige eller uoplyste medarbejdere" er den næstmest sandsynlige årsag til et alvorligt sikkerhedsbrud; malware-infektion er den første, men skyldes ofte selv uforsigtige eller uoplyste medarbejdere. Med høje risikoniveauer forbundet med menneskelige faktorer er det afgørende for at mindske sikkerhedsrisikoen at reducere fejl at reducere fejl.
Der er to områder, der skiller sig ud, og som omfatter både uforsigtige og uoplyste medarbejdere:
Uforsigtige beslutninger, der fører til sikkerhedssvigt: At træffe dårlige sikkerhedsvalg, f.eks. at fejlkonfigurere it-systemer og komponenter eller klikke på et phishing-link, før man tænker sig om, er menneskelige fejl, der fører til øget cybersikkerhedsrisiko. Fejlkonfiguration af it-systemer og komponenter er et eksempel på en uforsigtig sikkerhedsbeslutning. At klikke på et phishing-link er et andet. Både it- og ikke-it-medarbejdere kan træffe uforsigtige beslutninger, der fører til sikkerhedssvigt. En grundlæggende måde at mindske cybersikkerhedsrisikoen på er at sikre, at alle medarbejdere, både tekniske og ikke-tekniske, bliver gjort opmærksom på konsekvenserne af deres valg.
Uinformeret personale fører til sikkerhedssvigt: Hvis personalet ikke er klar over deres handlinger, hvordan kan de så kende konsekvenserne for sikkerheden? Virksomheder uddanner rutinemæssigt personale på andre områder af virksomheden, og dette bør udvides til at omfatte uddannelse i sikkerhedsbevidsthed. Uddannelse af personalet i sikkerhed omfatter en forståelse af, hvordan phishing fungerer, samt andre almindelige sikkerhedssvigt som f.eks. deling af adgangskoder og forkert levering af e-mails. Det skal bemærkes, at forkert levering fortsat stiger som en form for menneskelig fejl ifølge Verizon Data Breach Investigation Report (DBIR).
Mindskelse af den menneskelige faktor i cybersikkerhedsrisici
Kaspersky-undersøgelsen identificerede et afgørende element af menneskelige fejl i sikkerhed - trangen til at skjule fejl. Undersøgelsen viste, at i 40 % af virksomhederne skjulte medarbejderne sikkerhedshændelser. Dette tal bør få alarmklokkerne til at ringe og få folk til at intensivere deres sikkerhedsuddannelse. Selv om medarbejderen forstod konsekvenserne af en sikkerhedshændelse, følte han/hun sig stadig tvunget til at skjule oplysningerne. Det giver anledning til at spørge hvorfor, og svaret er todelt:
Gør sikkerhed til en kultur: Det lyder måske som en kliché, men hvis sikkerhedsbegrebet er forankret i din virksomhedskultur, er det mindre sandsynligt, at medarbejderne bliver overvældet og bange, når der sker noget. En sikkerhedskultur skabes ved hjælp af Security Awareness Training, der hjælper med at danne positive sikkerhedsvaner hos medarbejderne.
Gør det nemt at rapportere en sikkerhedshændelse: Hændelser skal rapporteres, så de kan blive behandlet af det rette kvalificerede personale, der afspejler risikoniveauet. Et rapporteringssystem, der er designet til at gøre det super nemt for medarbejderne at rapportere, vil gøre det lettere at rapportere hændelser og gøre det mere sandsynligt, at det sker.
Menneskelige faktorer fører til menneskelige fejl. Gennem træning i cybersikkerhedsbevidsthed kan organisationer tage fat på den menneskelige adfærd, der forårsager skødesløse fejl og dårlige beslutninger, og dermed reducere cybersikkerhedsrisikoen.
