Mänskliga risker inom cybersäkerhet är ett växande problem och många studier visar att mänskliga misstag, avsiktliga eller oavsiktliga, är en viktig orsak till säkerhetsöverträdelser. Enligt forskning från Stanford University och Tessian orsakas 88% av alla dataintrång av misstag från anställda. Att människor är inblandade i cybersäkerhetskedjan är en betydande riskfaktor, eftersom organisationer ofta har anekdotiska bevis på att mänskliga fel påverkar säkerhetsincidenter. För att effektivt minska dessa hot måste organisationerna ta itu med personalriskerna genom att hantera sårbarheter inte bara bland anställda utan även bland icke anställda.
Den här guiden utforskar de olika typerna av mänskliga risker inom en organisation och erbjuder strategier för att minska dessa risker, med fokus på att bygga upp en säker och motståndskraftig personalstyrka.
Att fela är mänskligt: Att definiera mänsklig risk
Det är viktigt att definiera vad "mänskligt fel" innebär när man ska ta reda på hur man kan minimera risken för ett mänskligt säkerhetsfel.
Mänskliga fel kan i stort sett delas in i två områden:
Övervakning
Misstag och fel inträffar, och när de inträffar ökar hotet mot en organisation. Ett typiskt exempel på tillsyn är att en anställd råkar skicka ett e-postmeddelande med känslig information till fel person, dvs. felaktig leverans av ett e-postmeddelande.
Ett annat exempel på ett förbiseende är felkonfigurering av en molnkomponent, t.ex. en databas. Ett annat exempel är att tro att det är okej att dela ett lösenord med en kollega. Övervakningar omfattar det allmänna området för anställdas felaktiga hantering av känsliga uppgifter som kan leda till bristande efterlevnad, böter och förlust av kundernas förtroende.
Bedrägeri
Social engineering-bedrägerier ökar den mänskliga risken i en organisation. Sociala bedrägerier, t.ex. phishing-e-post som innehåller skadliga bilagor eller länkar, kan öka risken för människor i en organisation.
Ett annat exempel på när en anställd blir lurad av en illvillig aktör är Business Email Compromise (BEC), ett bedrägeri där en cyberbrottsling lurar anställda att betala falska fakturor. Oavsett om en anställd blir lurad eller oavsiktligt begår ett misstag kan resultatet bli katastrofalt. FBI:s internetbrottsenhet IC3:s rapport om BEC-brott visade till exempel att förlusterna på grund av BEC under 2020 uppgick till 1,8 miljarder dollar.
För en mer detaljerad diskussion om medarbetarnas roll i organisationens cybersäkerhet, se artikeln Vad är en Human Firewall och hur bygger man en? som belyser vikten av utbildning och medvetenhet hos medarbetarna för att skapa en stark första försvarslinje.
Fem strategier för att minska riskerna för människor
För att minska riskerna i samband med personalhantering kan organisationer implementera fem nyckelstrategier för att förbättra säkerhetshygienen och minska risken för mänskliga fel:
1) Bryt klickcykeln
Medarbetarnas vanor, som påverkas av användarvänlig UI/UX-design, kan leda till slarviga handlingar, som att klicka på skadliga länkar utan att tänka sig för. För att motverka detta kan kontrollerade phishing-tester bidra till att ändra klickbeteendet och uppmuntra medarbetarna att vara mer försiktiga i sina handlingar.
2) Skapa en säkerhetskultur
Cyberrisker är en angelägenhet för alla. När man bygger upp en cybersäkerhetskultur bör man fokusera på områden som ökar risken i en verksamhet eller en process, samtidigt som man är medveten om att det kan finnas olika eller varierande risknivåer beroende på avdelning eller till och med anställd. Arbetet med att bygga upp en cybersäkerhetskultur måste återspegla verksamhetens detaljerade behov, och genom att skapa en kultur som bygger på medvetenhet om cybersäkerhet kan du bidra till att minska riskerna genom kunskap.
3) Stöd för bättre beslut
Många mänskliga fel som leder till ökad cyberrisk är helt enkelt dåligt omdöme. Mänskliga fel omfattar ett brett spektrum av problem som leder till exponering av data och andra säkerhetsincidenter. Ibland handlar det helt enkelt om att man inte har tillräckligt med information för att fatta ett bra beslut. Och ibland handlar det om att sätta strukturer på plats så att fel beslut inte kan fattas. Säkerhetshygien är ett bra exempel på detta.
Undersökningar från Yubico visar att 69 % av de anställda delar lösenord för att göra det lättare att komma åt konton. För att minska risken för den mänskliga faktorn på jobbet bör du lära personalen hur viktigt det är att inte dela lösenord och stödja detta genom att tvinga fram användning av andrafaktorsautentisering (2FA) i alla appar som stöder 2FA.
4) Cyberhygien för att minska risken för mänskliga fel
Att lära medarbetarna om cyberhygien ger ytterligare tyngd åt de frågor om säkerhetshygien som nämns ovan. Cyberhygien omfattar en rad olika områden och inkluderar en policy för "clean desk" som är möjlig att genomdriva. Bästa praxis för cyberhygien minimerar säkerhetsriskerna online och håller IT-systemen friska. Det bidrar också till efterlevnad av säkerhetsstandarder som ISO 27001.
Detta innefattar att använda lämpliga verktyg för att övervaka potentiella hot, se till att digitala certifikat uppdateras, att korrigeringar snabbt distribueras och så vidare. God cyberhygien innebär att man ser till att alla mänskliga fel i konfigurationen av system eller i affärsprocesser upptäcks innan de utnyttjas.
Mer information om hur man upprätthåller cyberhygien och minimerar mänskliga risker finns i artikeln Human Risk Management i Cybersäkerhet: Skydda Din Organisation med Effektiva Hygienpraxis.
5) Gör människorna till en del av din skiktade strategi för säkerhet
Medarbetarna är ofta källan till en ökad cyberrisk, men det är också där en organisation kan minska den mänskliga faktorn. Genom att se till att anställda och icke anställda ingår i en flerskiktad strategi för cybersäkerhet kan ditt företag säkerställa en holistisk riskreducering av "människor, processer och teknik".
Genom att engagera all personal i utbildningen, från vd:n till den senast utnämnda, täcker du alla luckor där data kan läcka ut eller där säkerhetsmissöden kan inträffa.
Riskreducering i Human Resource Management
Mänskliga fel och social ingenjörskonst är fortfarande några av de största hoten mot en organisations cybersäkerhet. Men genom att vidta proaktiva åtgärder - som att skapa en stark säkerhetskultur, främja cyberhygien och integrera medarbetarna i ett robust säkerhetsramverk - kan organisationerna avsevärt minska sina risker i samband med personalhantering. En välinformerad och engagerad arbetsstyrka är avgörande för att omvandla mänsklig sårbarhet till en strategisk tillgång, vilket stärker organisationens övergripande motståndskraft mot cyberhot.
