Sprievodca školením o automatizácii bezpečnosti pre štíhle bezpečnostné tímy

Kybernetické hrozby bývali menej hrozivé. Hoci nikto nechce, aby boli čísla kreditných kariet jeho zákazníkov odcudzené v dôsledku úniku údajov, alebo aby sa na ich firemnej webovej stránke objavil vyšinutý manifest, takéto incidenty sa môžu zdať takmer kuriózne v porovnaní s ransomvérovými útokmi, ktoré zastavia všetky vaše kritické informačné systémy.

Frekvencia týchto útokov sa minulý rok v USA zvýšila o viac ako 150 % a v roku 2021 sa očakáva, že ich globálne náklady dosiahnu 20 miliárd USD. Efektívne a komplexné bezpečnostné školenie je nevyhnutné na zmiernenie týchto hrozieb, z ktorých mnohé pochádzajú z nízkoprofilového phishingu alebo malvérových útokov s cieľom dostať sa k dverám – útokov, ktoré sa môžu zamerať na kohokoľvek, kto pracuje vo vašej organizácii.

Zamestnanci spoločnosti sú prednou líniou obrany proti kybernetickým útokom a na túto zodpovednosť ich len málokedy postačujú predpripravené školiace videá a krátke kvízy. Problém dobrého školenia je v tom, že si vyžaduje nielen odborné znalosti, ale aj čas a ďalšie zdroje. Spoločnosti, ktoré sa snažia maximalizovať efektivitu a minimalizovať náklady, niekedy zápasia s poskytovaním bezpečnostných školení úmerných hrozbám, ktorým v skutočnosti čelia.

Podľa spoločnosti Gartner® mnohé organizácie s obmedzenými zdrojmi, konkrétne stredne veľké podniky, majú problém poskytnúť svojim používateľom čo i len základné školenia o bezpečnosti, nehovoriac o vývoji sofistikovaného, ​​viackanálového, kontextovo špecifického a na zamestnancov zameraného podnikového bezpečnostného programu.*

Jedným zo spôsobov, ako prekonať túto výzvu bez toho, aby ste si najímali profesionálne služby alebo sa viac opierali o vašich existujúcich IT zamestnancov, je použiť automatizáciu pri školení o bezpečnosti.

Čo je automatizácia vzdelávania?

Hoci slovo „automatizácia“ nebolo vymyslené až do roku 1947 spoločnosťou Ford Motor Company na označenie používania automatických zariadení vo výrobných linkách spoločnosti, dnes je to jeden z najpoužívanejších výrazov v technickom priemysle. Ako módne slovo sa „automatizácia“ skutočne šíri. Navrhuje riešenie, ktoré si poradí s vašimi problémami bez toho, aby ste ho museli neustále monitorovať a preháňať, ale vo veľmi technickom zmysle každý softvérový program, ktorý bol kedy napísaný, zahŕňa nejaký prvok automatizácie. Povedzme, že máte riešenie školenia v oblasti zabezpečenia, ktoré vykonáva niektoré úlohy automaticky, napríklad odosielanie pripomienok školení alebo testovacích e-mailov podľa vopred nastaveného plánu. Je to automatizácia tréningu?

Nie v nejakom zmysluplnom zmysle. Robí len minimum toho, čo by mal robiť akýkoľvek tréningový softvér, a v tomto zmysle je asi taký automatizovaný – a inteligentný – ako budík. Skutočná automatizácia musí byť o niečom viac než len o ukladaní úloh na časovač.

Adaptívny, praktický tréning robí ten rozdiel

Ak zavádzate inováciu svojho softvéru Accounts Payable, môžete sa zbaviť toho, že všetkých naženiete do miestnosti, prinútite ich, aby si o tom pozreli video a potom rozdali kvíz, aby ste sa uistili, že dávajú pozor. Ak je cieľom školenia zabrániť narušeniu údajov, útokom ransomvéru a iným závažným hrozbám, nestačí to.

Lepším riešením je praktické školenie, ktoré poskytuje prax, čo robiť, keď sa prejaví skutočný kybernetický útok, a v ideálnom prípade zohľadní aj úroveň vedomostí a profil správania jednotlivca, ktorý školenie dostáva. Skúsení používatelia môžu mať prospech z toho, že sa vzdelávajú a testujú na jemných, nových prístupoch, zatiaľ čo niektorí používatelia sú len „sérioví klikači“, ktorí si možno budú musieť niekoľkokrát zopakovať phishing 101, kým sa odnaučia svoje zlé návyky.

Samozrejme to predpokladá, že viete, ktorí používatelia sú ktorí – a automatizácia vám to môže pomôcť zistiť tým, že sa zapojíte do nepretržitej analýzy údajov, keď používatelia prechádzajú školiacim programom.

Poloautomatické riešenia môžu kompenzovať svoje nedostatky tým, že ponúkajú množstvo možností manuálnej konfigurácie, ale čas potrebný na ich správne nastavenie znižuje potenciálne zvýšenie efektívnosti, najmä keď sa veci začnú rozširovať. Cesta k skutočnej optimalizácii vždy vedie cez skutočnú automatizáciu, ktorá je nevyhnutná pre škálovateľnosť školení. Len potom môžete optimalizovať, aby ste dosiahli efektívnosť vo veľkom rozsahu.

Obrazový kredit: CybeReady

Ako používať automatizáciu pri školení kybernetickej bezpečnosti na minimalizáciu rizika

Každá organizácia má „vysoko rizikových zamestnancov“, ktorí ohrozujú jej stabilitu. Zistili sme, že jeden z piatich ľudí v organizácii môže spadať do tejto vysoko rizikovej kategórie. Môžu byť zamestnancami absolútnej rockovej hviezdy v každom inom zmysle, ale z nejakého dôvodu sú nútení klikať na odkazy v podivných e-mailoch, ktoré by ani nemali otvárať. Možno je to niečo o spôsobe, akým sú zapojené, ale zvyčajne sú obrovskými faktormi školenia a vzdelávanie. Týmto zamestnancom len chýba povedomie o tom, aké nebezpečné môžu byť phishingové útoky a ako ich spoľahlivo identifikovať.

Toto sú ľudia, ktorí najviac potrebujú bezpečnostné školenia a potrebujú, aby boli efektívne.

Riešením CybeReady je plne automatizovaná platforma poháňaná technológiou strojového učenia, ktorá zmierňuje riziká spôsobené ľudskou chybou prostredníctvom vzdelávacieho prístupu, ktorý poskytuje časté, prispôsobivé a pútavé školenia na nepretržitej báze.

Pre bezpečnostné tímy, ktoré fungujú na princípe štíhlosti, je zložitosť potrebná na spustenie takéhoto školiaceho programu takmer nemožné implementovať bez skutočne automatizovaného riešenia, ktoré má v softvéri zapracované odborné znalosti.

CybeReady funguje tak, že sa riadi metodikou nepretržitého školenia, ktorá generuje dostatok údajov na rozlíšenie medzi používateľmi, ktorí sa príležitostne chytia do phishingových e-mailov, a používateľmi, ktorí zvyčajne klikajú na nebezpečné odkazy. Druhá skupina si vyžaduje trochu extra starostlivosti a pozornosti a segmentovaním účastníkov podľa úrovne ich rizika môžete poskytnúť cielený tréning, ktorý účastníka stretne na presnej úrovni vedomostí a vzdeláva ho pomocou individuálnych lekcií a simulácií, ktoré znížia ich rizikové správanie.

Tu je niekoľko princípov, ktoré CybeReady používa na dosiahnutie merateľného tréningového pokroku:

  • Just-in-Time Learning: Keď zamestnanec klikne na škodlivý e-mail, CybeReady využije „zlatý moment“ a zobrazí vyskakovaciu vzdelávaciu stránku, ktorá upozorní na červené vlajky, ktoré zmeškali.
  • Včasné pripomienky: Vysokorizikovým zamestnancom sa v strategických intervaloch posielajú pripomienky, aby sa posilnili školenia a pomohli im prekonať ich zlé návyky.
  • Adaptívne úrovne obtiažnosti: Niektoré simulované phishingové e-maily sú zrejmé a ľahko rozpoznateľné, iné sú veľmi záludné. Hodnotenia minulej výkonnosti možno použiť na výber simulácií, ktoré poskytnú príjemcovi tú správnu úroveň výzvy.
  • Upravená frekvencia učenia: Vysoko rizikoví zamestnanci dostávajú simulované phishingové e-maily častejšie. Keď sa zlepšia v ich identifikácii a môžu byť presunuté späť do nižšej kategórie rizika, frekvencia sa upraví späť na normálnu úroveň.

Záverečné myšlienky

V dnešnom prostredí hrozieb je silná kybernetická bezpečnosť rozhodujúca. Skutočná automatizácia vo vašich bezpečnostných školiacich systémoch môže výrazne posilniť vašu obranu efektívnym usporiadaním zdrojov smerom k zamestnancom s najvyšším rizikom, že sa stanú obeťou kybernetického útoku, bez toho, aby ste museli najať profesionálny školiaci tím alebo nútiť vašich IT zamestnancov, aby sa stali učiteľmi. .

Riešenie strojového učenia CybeReady má priamo v sebe zabudované odborné znalosti, analytiku a školiace metódy, takže keď sa začnú objavovať hackeri a phisheri, môžete si byť istí, že nenájdu žiadne ľahké ciele medzi zamestnancami vyzbrojenými znalosťami z modernej doby. -moderný, na dátach založený, plne adaptívny a skutočne automatizovaný tréningový program.

Začnite so školiacim programom CybeReady, ktorý je prispôsobený pre tímy štíhlej bezpečnosti

*Zdroj: Gartner, „Príručka trhu pre školenia zamerané na informovanosť o bezpečnosti“, Richard Addiscott, Claude Mandy, William Candrick, 26. júla 2021. GARTNER je registrovaná ochranná známka a servisná známka spoločnosti Gartner, Inc. a/alebo jej pridružených spoločností v USA a medzinárodne a tu sa používa so súhlasom. Všetky práva vyhradené.