Koska Yhdistynyt kuningaskunta on tietoverkkorikollisuuden tiheyslistan kärjessä(4 783 uhria miljoonaa asukasta kohti), yritysten on varmistettava, että ne tekevät kaikkensa organisaationsa suojelemiseksi.
Yksi tehokkaimmista tavoista todistaa, että tietoturvatietoisuuskoulutus toimii, on se, että ohjelman tulokset osoittavat positiivista edistystä. Jos turvallisuustietoisuuskoulutuksen tulokset voisivat parantua, sinun on ymmärrettävä, miksi.
Turvallisuustietoisuuskoulutuksen optimointi on ratkaisevan tärkeää, sillä kyberuhat muuttuvat yhä monimutkaisemmiksi ja haastavammiksi. Seuraavassa on viisi syytä, miksi turvallisuuskoulutuksesi ei ehkä tuota tulosta:
#1 Motivoivan sisällön puute
Tylsistyminen on oppimisen vihollinen; suunnittelu on ratkaisevan tärkeää motivoivien ja innostavien turvallisuustietoisuuskoulutuskampanjoiden luomisessa.Toisiinsa liittyvien aktiviteettienja kiinnostavan sisällön käyttäminen on aikuiskoulutuksen parhaita käytäntöjä, ja niitä olisi käytettävä oppimiskokemusten tehostamiseen.
Turvallisuustietoisuusohjelma on suunniteltava siten, että se heijastaa todellisia kokemuksia, jotta työntekijät saadaan sitoutettua. Jos koulutus ei ole innostavaa eikä sitä voi ymmärtää, se voi kääntää koulutettavat pois, ja sitä voidaan pitää tylsänä. Tylsistynyt yleisö ei säilytä tietoa, ja heikko turvallisuuskäyttäytyminen jää ongelmaksi.
Suunnittele turvallisuuskoulutuskampanja, joka sitouttaa yleisöäsi tunnetasolla ja jossa käsitellään esimerkiksi tiettyä riskikäyttäytymistä:
Tehtäväkohtainen koulutus: käytä tehtäväkohtaisia simuloituja phishing-kampanjoita, joissa testataan työntekijöiden reagointia uhkiin, joita tietty osasto todennäköisesti kohtaa.
Vuorovaikutteinen sisältö: käytä koulutusmateriaaleja, jotka tarjoavat vuorovaikutteisia kokemuksia ja sisältävät tarpeen mukaan tapahtuvaa oppimista; tämä antaa oppijoille neuvoja istunnon aikana ja osoittaa, missä he ovat menneet pieleen, mitä voi tapahtua ja miten toiminta voidaan estää tulevaisuudessa.
#2 Tick-Box-mentaliteetti
Säädökset voivat tarjota ruudun, johon voi laittaa rastin vaatimustenmukaisuuden osalta, mutta tämän ruudun rastittaminen ei tuota tehokkaita koulutustuloksia. Jos tietoturvatietoisuuskoulutuskampanja toteutetaan siten, että tarkoituksena on rastittaa vaatimustenmukaisuusruutu, ei todennäköisesti saada hyviä tuloksia. Turvallisuustietoisuuskoulutuksessa on viime kädessä kyse inhimillisestä kokemuksesta ja sosiaalisesta vuorovaikutuksesta.
Sen sijaan, että tietoturvatietoisuuskoulutusta järjestetään vain vaatimustenmukaisuussyistä, kannattaa luoda hyvin suunniteltu interaktiivinen ja mukaansatempaava tapahtumaohjelma. Rakenna koulutustilaisuuksia, jotka heijastavat työntekijäpohjaasi, jotka perustuvat rooleihin, rakentuvat tietämyksen päälle ja tarjoavat oppimismahdollisuuksia, jotka jäävät mieleen.
Auta kattavan ja säännöllisen koulutusohjelman luomisessa automatisoimalla tietoturvatietoisuuskoulutuskampanja, jotta oppimista tapahtuu koko kalenterin ajan. Automatisoitu tietoturvatietoisuuskoulutus tarjoaa puitteet kiinnostavalle ja jatkuvalle sisällölle, joka edistää myönteistä turvallisuuskäyttäytymistä.
#3 Koulutuksessa ei keskitytä käyttäytymiseen
Tietoturvakoulutuksessa on käsiteltävä syvään juurtuneita käyttäytymismalleja, joita verkkorikolliset käyttävät hyväkseen manipuloidakseen työntekijöitäsi. Valitettavasti teknologiat, joita käytämme päivittäin työpaikoillamme, ovat osa tätä manipulointia, ja IBM:n Threat Intelligence Index 2022 -indeksin mukaan phishing-sähköpostit ovat edelleen verkkorikollisten suosikkityökalu.
Käyttäytymisen muuttaminen on kuitenkin vaikeaa; älä odota, että tietoturvatietoisuuskoulutuksella on vaikutusta yhdessä yössä. Koulutus siitä, miten huijarit manipuloivat ihmisiä, vaatii yhteisiä ponnisteluja, joissa käytetään kampanjasisältöä, joka on suunniteltu keskittymään huonon turvallisuuskäyttäytymisen muuttamiseen. Käytä käyttäytymiseen perustuvaa turvallisuuskoulutussisältöä, kuten vuorovaikutteisia videoita, jotta saat koulutusohjelmistasi parempia tuloksia. Näissä käyttäytymiseen perustuvissa ohjelmissa tunnistetaan riskikäyttäytyminen ja kehitetään sen avulla yksilön koulutustarpeita, ja tieto karttuu ajan myötä.
Kampanjan suunnittelun tulisi perustua tiedossa oleviin ja odotettavissa oleviin riskeihin rakeisella, rooleihin perustuvalla ja osastokohtaisella tasolla. Näitä riskejä levittäviin käyttäytymistapoihin, kuten phishing-linkin klikkaamiseen, voidaan puuttua erikoistuneiden koulutusohjelmien, kuten simuloidun phishingin, avulla.
#4 Et tiedä, ymmärtävätkö työntekijäsi koulutuksen?
Yksi tärkeimmistä oppimisen osa-alueista on yksilöllisen kehityksen ja ymmärryksen arviointi. Jos organisaatiossasi havaitaan, että joidenkin tai kaikkien työntekijöiden turvallisuuskäyttäytyminen ei ole kehittynyt, sinun on selvitettävä, miksi nämä työntekijät eivät opi sisällöstä. Oikeantyyppisten mittaustietojen avulla voit mukauttaa turvallisuustietoisuusohjelmaa tehokkaammaksi.
Kun toteutat tietoturvatietoisuuskampanjoita, käytä sisäänrakennettuja analytiikka- ja raportointikeinoja, jotta voit luoda mittareita tarkastelua varten. Monet kehittyneet tietoturvatietoisuusjärjestelmät, kuten simuloidut phishing-alustat, tarjoavat mekanismeja, joiden avulla voidaan kerätä mittareita yksilö- tai osastokohtaisesti. Käytä näitä mittareita koulutuksen eri osa-alueiden tehokkuuden arviointiin. Saatat esimerkiksi huomata, että tietyt aiheet tai niiden esitystapa eivät ole yhtä tehokkaita käyttäytymisen muuttamisessa.
Suunnittele tietoturvatietoisuuskampanjasi siten, että keräät mittareita niiden riskien ja käyttäytymismallien perusteella, joihin haluat puuttua. Huippuriskien osalta phishing-linkkien klikkausprosentti on hyvä lähtökohta, koska mittarit kerätään phishing-simulaatioiden aikana. Kun keräät tietoja alttiudesta napsauttaa phishing-linkkiä, säädä kampanjoita sen varmistamiseksi, että ongelmakohtiin puututaan oppimispisteiden avulla. Jatka klikkausasteen mittaamista ja säädä sitä, kunnes huomaat, että phishing-linkkien klikkaukset vähenevät. Tämä iteratiivinen mukauttamisstrategia olisi toistettava muiden huonojen käyttäytymistapojen, kuten salasanan uudelleenkäytön, osalta.
Turvallisuustietoisuuskoulutuksen mittarit auttavat myös arvioimaan koko ohjelmaa ja tarjoavat keinon osoittaa johdolle turvallisuuskoulutuksen tärkeys. Strategisten mittareiden analyysin tulisi olla linjassa sellaisten osa-alueiden kanssa kuin vaaratilanteiden määrä, tietoturvaloukkauksen kustannukset sekä käytäntöjen ja säännösten rikkominen. Kehittyneet tietoturvatietoisuusalustat tuottavat kattavia raportteja ja visuaalisia esityksiä, joita voit näyttää johtoryhmällesi.
#5 Yhteisöllisyys puuttuu
Turvallisuustietoisuuskoulutuksen piirissä puhutaan paljon turvallisuuskulttuurin kehittämisestä. Tähän on hyvä syy. Kulttuuri, jossa turvallisuus otetaan vakavasti, johtaa parempaan turvallisuustilanteeseen.
Turvallisuutta koskevan yhteishengen puute johtaa pahoihin seurauksiin: tuoreen raportin mukaan 61 prosenttia työntekijöistä ei ilmoittaisi turvallisuusvälikohtauksesta. Tämä voi tarkoittaa, että tietoturvaloukkauksiin puuttuminen ja jatkuvien tietoturvaongelmien ehkäiseminen on monimutkaisempaa.
Kun edistät yhteisiä ponnisteluja organisaation turvaamiseksi, työntekijät tuntevat todennäköisemmin yleistä vastuuta työpaikan turvallisuudesta. Turvallisuuskulttuuri syntyy, kun turvallisuustietoisuusohjelmat ovat onnistuneita. Tehokas tietoturva-asioita koskeva koulutusohjelma antaa työntekijöille tietoa ja muuttaa huonon tietoturvakäyttäytymisen positiivisiksi toimiksi, jotka pysäyttävät tietoverkkorikollisuuden.
Kun kaikki toimivat yhdessä, kehittyy myönteisten turvallisuusasenteiden kulttuuri ja turvallisuuskulttuuri. Kun edellä mainitut neljä syytä otetaan huomioon, ne auttavat rakentamaan perustan tälle turvallisuustietoiselle kulttuurille. Tuloksena on vähemmän verkkohyökkäyksiä ja säännösten noudattaminen.
Kun valmistelet ja toteutat tietoturvatietoisuuskoulutusta vuonna 2023, tarkista, että noudatat parhaita käytäntöjä parhaiden tulosten saavuttamiseksi.
