Her er et par måder at registrere foranstaltning for foranstaltning af dit program for uddannelse i sikkerhedsbevidsthed på.
Når der foretages en måling af noget, giver det os data. Uanset om disse data handler om længden af et stykke snor, eller om en medarbejders adfærd har ændret sig, når han eller hun bliver konfronteret med en phishing-e-mail, giver disse data os vigtig indsigt i en opgave eller et projekt.
Succesen eller ej af et program for sikkerhedsbevidsthedstræning (SAT) kan måles på flere måder og giver derved vigtig indsigt i træningens effektivitet. Men hvordan man optimerer disse målinger kræver et tværfagligt team med visioner.
Hvorfor gider du måle effektiviteten af et træningsprogram for sikkerhedsbevidsthed?
I en nyere artikel fra Gartner Inc. med titlen "Take 3 Steps to Prove That Your Security Awareness Program Is Actually Working" beskrives hvorfor og hvordan man måler et SAT-program. I dokumentet, der er skrevet til sikkerheds- og risikomanagere, identificeres tre hovedårsager til, at det er vigtigt at måle Security Awareness Training:
- Hvis du ikke kan vise beviser for, at cyberrisikoen er reduceret gennem programmet, vil du ikke få opbakning fra ledelsesniveauet til at fortsætte Security Awareness Training.
- Træning i sikkerhedsbevidsthed bliver ofte indført i en organisation uden at have en klar vision om, hvad det er, man forsøger at opnå. Dette resulterer i et program, der ikke opnår de adfærdsændringer, der er nødvendige for at reducere cyberrisikoen.
- Måling af succesen af en sikkerhedsbevidsthedsuddannelse kan ikke baseres på enkelte variabler. Disse programmer indeholder mange elementer, og disse skal registreres for at vise den virkelige effekt af et SAT-program.
En af hovedpointerne i dokumentet er, at en klar vision skal danne grundlaget for et program for sikkerhedsbevidsthed. Uden denne klare vision om, hvad man ønsker at opnå, vil målingerne være meningsløse. Sagt på en anden måde er målinger mere effektive, hvis de har et udgangspunkt som sammenligningsgrundlag. Denne vision skal imidlertid være direkte forbundet med forretningsresultater. En måde at etablere dette udgangspunkt på er ved at anvende en tværfaglig tilgang, dvs. ved at bringe teams sammen på tværs af organisatoriske grænser for at få input til, hvad der er vigtigt for at mindske cyberrisikoen.
Dette bringer cybersikkerhedsvisionen på linje med forretningsmålene; denne tilgang er en løbende øvelse og bedste praksis, da cyberangreb til stadighed skaber ravage i alle industrisektorer. Forretningsmæssige og operationelle beslutninger er nu uløseligt forbundet med sikkerhed. Covid-19-pandemien og mandaterne om arbejde hjemmefra viste dette punkt med den øgede sikkerhedsrisiko ved hjemmearbejde; hjemmearbejdere giver flere muligheder for cyberkriminelle til at angribe et virksomhedsnetværk via dets ansatte.
Men en vision har brug for påviselige foranstaltninger for at vise, at den opfylder sit mandat. Det kræver hårde kendsgerninger at vise en ledelse eller bestyrelse, hvor godt et program skrider fremad. Det er her, at måling kommer ind i billedet.
Tre måder at måle succes med et træningsprogram for sikkerhedsbevidsthed på
Gartner-rapporten nævner tre vigtige ting, der beviser, at dit program for sikkerhedsbevidsthed fungerer. Disse tre områder kan opdeles i følgende:
Generer
Udarbejd en visionserklæring baseret på sikkerhedskultur: Hvad er det, din organisation har brug for fra programmet for sikkerhedsbevidsthed? Hvilken sikkerhedsadfærd ønsker du at se komme ud af medarbejdernes uddannelse i sikkerhedsspørgsmål?
Indfangning
Optag målinger af sikkerhedsadfærd: Skab målinger af sikkerhedsbevidsthed, der viser meningsfulde og positive ændringer i sikkerhedsadfærd. Disse målinger kan f.eks. tage form af traditionelle målinger af sikkerhedsbevidsthed fra undersøgelser og phishing-simulationer.
Demonstrere
Demonstrer reduktion af risikoeksponeringen: Vis Cx-teamet sporbare ændringer i sikkerhedsadfærd i forbindelse med materielle resultater i form af reduceret eksponering for cyberrisici.
Registrering af målinger og adfærdsændringer
Sikkerhedsvisionen er det omdrejningspunkt, som registreringen af målinger og adfærdsbeviser drejer sig om. Denne vision udgør så den dokumentation, der er nødvendig for at vise Cx-teamet, at træning i sikkerhedsbevidsthed virker. Der er mange måder at måle sikkerhedsmetrikker på, og MetaCompliance har diskuteret målinger af Security Awareness Training i et tidligere blogindlæg.
Måling giver kvantificerbare data, som danner grundlag for en evaluering af investeringsafkastet (ROI). Men en simpel ROI-ligning kan ikke indfange den positive, vedvarende virkning af et veludviklet program for sikkerhedsbevidsthed. En organisations centrale sikkerhedsvision skal kortlægges for at validere slutresultater, der reducerer den samlede cyberrisiko i organisationen. Denne vision om en sikker organisation skal kortlægges i form af en sikkerhedstænkning og tilhørende adfærdsændringer.
For at hjælpe dig i din måleøvelse taler Gartner-papiret om "Signaturadfærd", som beskrives som "Signaturadfærd er adfærd, der klart afspejler slutbrugernes positive hensigt og støtte til at realisere visionen om sikkerhedsbevidsthed."
Gartner kortlægger nogle eksempler på ønsket sikkerhedspraksis i forhold til signatursikkerhedsadfærd:
Øvelser: Alle slutbrugere bruger stærke adgangskoder
Adfærd: Vi bruger altid passphrases til at konstruere vores passwords, som vi bruger til at få adgang til vores arbejdskonti.
Øvelser: Tjek links, før du klikker på dem
Adfærd: Vi er opmærksomme på og rapporterer mistænkelige e-mails til IT-servicedesk
Som en del af din sikkerhedsvision skal du arbejde sammen med dit tværfaglige team om at udvikle et sæt signaturadfærdsmønstre, der kan bruges til at dokumentere succes med Security Awareness Training-programmet.
Beviset på budding gennem bedre sikkerhed
I sidste ende ønsker en virksomhed at se, at dens investering i et program for sikkerhedsbevidsthed afspejler sig i en mindsket risiko for, at dens data bliver krænket. Ved at evaluere signaturadfærd i forhold til trusselstyper kan en organisation berige en simpel ROI-ligning med ekstra værdi.
Beviset for sikkerhedsuddannelse ligger i buddingen. Med tiden vil et velplanlagt og effektivt program for sikkerhedsbevidsthedsuddannelse vise en reduktion af cyberangreb. Men det er med en stærk vision, at det hele begynder.
