Как да измерваме поведението по киберсигурност, което реално намалява риска

Процентът на завършени обучения може да покаже кои служители са отворили даден обучителен модул. Той обаче не може да покаже дали служителят ще докладва подозрителна фактура, ще постави под съмнение необичайна заявка или ще защити чувствителни данни под напрежение. Именно тази разлика е в основата на въпроса как се измерва поведението по киберсигурност. Организациите се нуждаят от доказателства, че хората вземат по-безопасни решения в критични моменти, а не просто от доказателства, че обучението е било възложено.

Киберсигурността започва от хората, а не от технологиите. Измерването на тяхното поведение дава на лидерите по сигурността по-ясна представа за човешкия риск, помага на екипите по съответствие да демонстрират готовност и показва на HR и L&D специалистите къде обучението променя ежедневните решения. Когато се прави правилно, измерването на поведението превръща обученията по осведоменост от формално изискване в реален оперативен контрол за сигурност.

Определете кои поведения са най-важни

Поведението по киберсигурност не е един-единствен показател. То представлява набор от наблюдаеми действия, които служителите предприемат, когато се сблъскат с риск, следват процес или работят с чувствителна информация. Най-важните поведения зависят от профила на заплахите за организацията, бизнес модела ѝ, регулаторните изисквания и ролите на служителите.

За много организации най-приоритетните поведения включват разпознаване и докладване на фишинг атаки, използване на одобрени методи за споделяне на данни, защита на идентификационни данни и пароли, спазване на процедурите за контрол на достъпа и ескалиране на необичайни заявки. Служител във финансов отдел е изправен пред различни рискове от разработчик с привилегирован достъп или служител по обслужване на клиенти, работещ с лични данни. Един универсален резултат често скрива тези различия.

Започнете с инцидентите, които се опитвате да предотвратите. Прегледайте реални инциденти по сигурността, пропуснати рискове, одитни констатации, тикети към help desk и най-честите изключения от политиките. След това идентифицирайте действията на служителите, които биха предотвратили, ограничили или ускорили реакцията при тези събития.

Този подход поддържа програмата фокусирана. Ако компрометирането на бизнес имейл (Business Email Compromise) е сериозен риск, измерването само на знанията за пароли няма да даде реална увереност. Трябва да измервате дали служителите разпознават признаците на социално инженерство, потвърждават заявките по правилните канали и докладват подозрителните съобщения своевременно.

Как да измервате поведението по киберсигурност отвъд процента на завършени обучения

Най-ефективните програми комбинират водещи и изоставащи показатели.

• Водещите показатели показват дали се изграждат по-безопасни навици преди да е настъпил инцидент.
• Изоставащите показатели показват какво се е случило след рисково събитие, компрометирана контрола или реална атака.

Процентът на завършено обучение и резултатите от тестове са полезни водещи показатели, но те са само началото. Те потвърждават участие и базово разбиране. Не доказват, че знанията се прилагат на работното място.

Истинските доказателства за поведение идват от реалистични упражнения и оперативни данни. Фишинг симулациите могат да измерват процента на докладване, процента на кликвания, случаите на въвеждане на идентификационни данни и повторяемостта на грешките. Оценяванията, базирани на сценарии, могат да проверят дали служителите знаят кога да спрат, да проверят информацията или да ескалират ситуацията. Системите за предотвратяване на изтичане на данни (DLP), прегледите на достъпа и регистрите за изключения от политики също разкриват къде реалното поведение създава риск.

Целта не е да се наблюдава всяко действие на служителите или да се създава култура на контрол. Целта е да се измерват ясно дефинирани резултати по сигурността чрез пропорционални и прозрачни методи. За мултинационалните организации е особено важно да се спазват изискванията за поверителност, трудово законодателство и местни регулации. Когато е възможно, използвайте агрегирани резултати и ограничавайте достъпа до индивидуални данни, освен когато има основателна причина за обучение или управление на риска.

Изградете табло с показатели, върху които лидерите могат да действат

Едно полезно табло за измерване на поведението по киберсигурност трябва да отговаря на четири въпроса:

• Учат ли служителите?
• Вземат ли по-безопасни решения?
• Докладват ли рисковете?

Намалява ли организацията своята експозиция във времето?
Следете ограничен брой показатели последователно, вместо да събирате всяка налична информация.

Практично табло може да включва:

1. Готовност за обучение

• Процент завършено обучение по роли
• Резултати от оценки и тестове
• Увереност при прилагането на ключови политики

2. Безопасно вземане на решения

• Резултати от фишинг симулации
• Оценки от сценарийно-базирани тестове
• Намаляване на повтарящите се рискови действия

3. Поведение при докладване

• Процент на докладвани подозрителни имейли
• Средно време за докладване
• Качество на подадените сигнали
• Използване на одобрени канали за ескалация

4. Бизнес въздействие

• Нарушения на политики
• Предотвратими инциденти
• Одитни констатации
• Грешки при работа с данниРазходи и прекъсвания вследствие на човешка грешка

Тези показатели работят най-добре, когато се анализират заедно. Например по-високият процент на докладване може временно да увеличи броя тикети към екипа по сигурността. Това не е непременно проблем. Възможно е просто служителите да са станали по-внимателни и склонни да сигнализират за потенциални заплахи.

Също така ниският процент на кликване при фишинг симулации може да бъде подвеждащ, ако сценариите са прекалено предвидими. Използвайте разнообразни сценарии, релевантни за различните роли, и измервайте напредъка в рамките на множество кампании. Целта е подготовка, а не улавяне на служителите в грешка.

Сегментирайте резултатите по роля, риск и регион

Средните стойности за цялата организация са лесни за представяне, но често подвеждат.

Ако 92% от служителите са завършили обучение, останалите 8% може да са именно хората, които имат достъп до платежни системи, клиентски данни или критична инфраструктура.

По същия начин общ процент на неуспех от 4% при фишинг симулация може да скрива значително по-висок риск в конкретен отдел.

Сегментирайте данните според:

• Роля
• Ниво на достъп\
• Бизнес звено
• Географска локация
• Изложеност на специфични заплахи

За организации с международно присъствие локализацията също е важна. Езикът, регионалните схеми за измами, нормативните изисквания и местните работни практики влияят върху начина, по който служителите възприемат и ескалират потенциални проблеми.

Сегментацията предотвратява една често срещана грешка: еднакво обучение за всички. Служител, който многократно борави неправилно с чувствителни данни, има нужда от различна подкрепа в сравнение с екип, който докладва успешно фишинг атаки, но среща затруднения при проверката на плащания.

Създайте базова линия преди да задавате цели

Много лидери по сигурността търсят един универсален показател, като желан процент на кликвания или минимален резултат от обучение. Такива бенчмаркове могат да са полезни, но в началния етап собствената базова линия на организацията е много по-ценна.

Измерете текущото състояние, идентифицирайте пропуските и задайте цели според реалните рискове, а не според произволни проценти.

Например може да установите, че служителите докладват само 6% от симулираните фишинг съобщения и средно се нуждаят от 18 часа, за да ескалират подозрителен имейл. В този случай първоначалната цел трябва да бъде увеличаване на активността при докладване и намаляване на времето за реакция, а не постигане на съвършен резултат.

Задавайте цели на няколко нива:

• Организационно ниво
• Отделно ниво
• Индивидуално ниво за коучинг и развитие

Тук решаваща роля има подкрепата от висшето ръководство. Поведенческите показатели трябва да се разглеждат като показатели за риск, а не просто като данни от обучителна програма.

Свържете измерването с обучение и затвърждаване на знанията
Измерване без последващи действия е просто отчетност без стойност.

Всеки показател трябва да води до конкретно действие:

• Затвърждаване
• Коучинг
• Подобрение на обучението
• Ескалация при необходимост

Когато резултатите показват липса на разбиране, подобрете обучителното преживяване. Кратките интерактивни обучения с реалистични казуси обикновено са по-ефективни от дълги презентации с политики.

Когато симулациите откриват повтарящи се рискови поведения, осигурете навременна и уважителна обратна връзка. Обяснете какъв сигнал е бил пропуснат и какво действие трябва да бъде предприето следващия път.

Понякога проблемът не е в служителя. Възможно е политиката да е твърде сложна, инструментът да е труден за използване или инструкциите за ескалация да са объркващи. Измерването на поведението често разкрива именно такива организационни затруднения, чието отстраняване носи по-бързо намаляване на риска от всяко допълнително напомнящо обучение.

Анализирайте тенденции, а не единични събития

Една неуспешна симулация или едно нарушение на политика рядко определят даден служител или цялата култура по сигурност.

Търсете тенденции във времето:

• Намаляват ли повторяемите рискови действия?
• Докладват ли служителите по-бързо?
• Подобряват ли се високорисковите екипи след целево обучение?
• Намаляват ли инцидентите, причинени от човешка грешка?
• Стават ли тези инциденти по-малко сериозни?

Преглеждайте резултатите ежемесечно на оперативно ниво и ежеквартално на управленско ниво. Използвайте тези прегледи за вземане на решения, а не само за представяне на табла с показатели.

Най-ценният показател не е този, който изглежда добре в презентация пред ръководството. Това е показателят, който разкрива къде хората се нуждаят от по-ясни насоки, преди малка грешка да се превърне в скъпоструващ инцидент. Измервайте именно това поведение, подобрявайте условията около него и дайте на служителите всички възможности да бъдат защитната линия, от която бизнесът се нуждае.

Често задавани въпроси (FAQ)

1. Кои са най-важните показатели за измерване на поведението по киберсигурност?

Най-полезните показатели включват процента на докладване на подозрителни имейли, времето за докладване, резултатите от фишинг симулации, спазването на политиките за сигурност и броя на повтарящите се рискови действия. Тези метрики показват реално поведение, а не само участие в обучение.

2. Защо процентът на завършено обучение не е достатъчен?

Завършването на обучение доказва, че служителят е преминал модула, но не показва дали ще разпознае фишинг атака, ще защити чувствителни данни или ще реагира правилно при инцидент. Истинското намаляване на риска се измерва чрез действията на хората в реални ситуации.

3. Колко често трябва да се измерва поведението по киберсигурност?

Оперативните екипи могат да преглеждат данните ежемесечно, а ръководството да анализира тенденциите на тримесечна база. По-важно е проследяването на дългосрочни тенденции, отколкото реакцията на единични събития или грешки.

4. Трябва ли всички служители да бъдат оценявани по едни и същи критерии?

Не. Рисковете се различават според ролята, нивото на достъп и отговорностите на служителите. Например финансовите отдели, разработчиците и служителите, работещи с лични данни, са изложени на различни заплахи и изискват различни показатели за оценка.

5. Как поведението по киберсигурност помага за намаляване на риска?

Когато служителите разпознават заплахите, докладват навреме и следват утвърдените процедури, организацията открива инцидентите по-рано и ограничава последствията им. Това превръща обучението по осведоменост в реален защитен механизъм, а не просто в административно изискване.