Zvyšovanie povedomia vo vašom tíme

Modul 9: Pravidlá a organizácia · Čas čítania: 9 minút

Cieľ lekcie: Po tejto lekcii dokážete zorganizovať zvyšovanie povedomia v malom tíme: pravidlá, nahlasovanie bez obviňovania, nácvik a opakovanie.
Kľúčové pojmy: povedomie, správanie, kultúra nahlasovania, phishingové cvičenie (so súhlasom a bez trestania), nový zamestnanec, krátke opakovanie

Vedieť nie je to isté ako robiť

Takmer každý vie, že by nemal klikať na podozrivé odkazy. Napriek tomu sa to deje každý deň, aj u ľudí, ktorí to vedia lepšie. Nie je to kvôli hlúposti. Je to preto, že phishingový e-mail (lekcia 1.2 a modul 3) presne cieli na to, ako fungujeme: tlak, zhon, snaha pomôcť klientovi alebo kolegovi. V piatok popoludní o štvrť na päť, medzi tridsiatimi ďalšími e-mailami, vyzerá „neuhradená faktúra“ celkom bežne.

Povedomie preto nie je len o vedomostiach, ale o správaní: čo ľudia skutočne robia, aj keď sú unavení alebo majú zhon? Cieľom nie je, aby sa z každého stal expert. Cieľom je niekoľko pevných reflexov:

1. Zastaviť sa pri správe, ktorá niečo žiada: peniaze, heslo, kliknutie, otvorenie prílohy, inštaláciu niečoho.
2. Overiť iným spôsobom: prihlásiť sa sám namiesto kliknutia na odkaz, zavolať späť na známe číslo.
3. Nahlásiť, ak niečo nesedí, aj keď ste už klikli.

Tretí reflex je najdôležitejší a úplne závisí od toho, ako sa k tomu stavia váš tím.

Nahlasovanie bez obviňovania

Predstavte si dve firmy. V prvej dostane zamestnanec, ktorý klikol na phishingový odkaz, nahnevanú reakciu od majiteľa: „Ako si mohol byť taký hlúpy?“ V druhej majiteľ povie: „Dobre, že to hneď hovoríte, teraz môžeme zmeniť vaše heslo.“

Čo sa stane nabudúce, keď niekto klikne? V prvej firme bude mlčať a dúfať, že to dobre dopadne. V druhej firme to nahlási do piatich minút.

Tento rozdiel je obrovský. Pri prevzatí účtu alebo začínajúcom ransomvéri (lekcia 1.3 a 3.5) sa počítajú hodiny. Nahlásenie do piatich minút znamená: zmeniť heslo skôr, ako sa útočník prihlási, zrušiť relácie, odpojiť počítač od siete skôr, ako sa niečo zašifruje. Nahlásenie po troch týždňoch, alebo vôbec, znamená, že útočník mal na všetko dosť času.

Dobrá kultúra nahlasovania má niekoľko znakov:

• Jedno jasné miesto na nahlásenie. Každý vie, na koho sa má obrátiť: meno a telefónne číslo a zástupcu, ak táto osoba nie je k dispozícii. To je uvedené aj na incidentovej kartičke (lekcia 8.1).
• Poďakovanie, nie trestanie. Kto nahlási, aj vlastnú chybu, dostane poďakovanie. Povedzte to nahlas v tíme: „Sanne dnes ráno nahlásila falošnú faktúru, vďaka tomu sme mohli varovať ostatných.“
• Pochybnosť je v poriadku. „Neviem, či je toto skutočné“ je dobré nahlásenie. Radšej desaťkrát nechať skontrolovať skutočný e-mail, než raz prehliadnuť falošný.
• Príklad vedenia. Ak sám majiteľ nahlási, že takmer naletel na niečo, uľahčí to situáciu každému.

Trestanie má opačný účinok. Nie preto, že by chyby neboli vážne, ale preto, že trestaním neznížite počet chýb, iba počet nahlásení.

Pravidlá, ktoré uľahčujú správne správanie

Ľudia ochotnejšie dodržiavajú pravidlo, ktoré je jasné a jednoduché. Zariaďte, aby bezpečné správanie bolo zároveň aj najjednoduchším správaním. Niekoľko pravidiel, ktoré sa hodia takmer do každej malej firmy:

Napíšte pravidlá na jeden list A4. Nie dvadsať strán politiky, ktorú nikto nečíta, ale zoznam, ktorý môže visieť vedľa kávovaru.

Nácvik

Pravidlo, ktoré nikdy neprecvičujete, zabudnete. Existuje viacero spôsobov nácviku, od jednoduchých po náročnejšie.

Spoločne si prezrieť príklady. Venujte na pracovnej porade päť minút skutočnému podozrivému e-mailu, ktorý niekto dostal (bez osobných údajov). Podľa čoho ste to spoznali? Aká bola skutočná doména odkazu? Toto nič nestojí a prekvapivo dobre funguje, pretože ide o skutočné správy z vašej vlastnej poštovej schránky.

Tabletop cvičenie. Spoločne preberiete scenár: „Je pondelok ráno a nikto sa nevie dostať k sieťovému disku. Na každom počítači je správa s požiadavkou na výkupné. Čo urobíme?“ Prejdete si incidentovú kartičku a sledujete, kde to viazne (lekcia 8.1). Hodina, raz ročne.

Phishingové cvičenie. Pošlete kolegom napodobeninu phishingového e-mailu, aby ste zistili, kto klikne a kto to nahlási. Môže to byť poučné, ale len ak to urobíte správne:

• So súhlasom a oznámením vopred. Vopred oznámte, že tento rok prebehnú cvičenia, bez uvedenia dátumu. Nikto sa nesmie spätne cítiť podvedený.
• Bez trestania. Kto klikne, dostane hneď krátke vysvetlenie, podľa čoho to mohol spoznať, žiadne pokarhanie ani zoznam mien na pracovnej porade.
• Merajte to, na čom záleží. Počet nahlásení je dôležitejší ako počet kliknutí. Cvičenie, pri ktorom traja ľudia klikli, ale piati to do desiatich minút nahlásili, je úspešné.
• Žiadne zlomyseľné témy. Žiadny falošný e-mail o bonuse, prepustení alebo zdraví kolegu. To poškodzuje dôveru viac, ako prináša úžitku.
• Dbajte na súkromie. Neuchovávajte dlhšie, ako je potrebné, informácie o tom, kto klikol, a nikdy to nepoužívajte na hodnotenie.

Pre tím piatich ľudí často stačí už prvá forma. Phishingové cvičenie má zmysel až vtedy, keď existujú pravidlá a miesto na nahlásenie.

Noví zamestnanci a opakovanie

Mimoriadne dôležité sú dva momenty.

Prvý pracovný deň. Nový zamestnanec dostáva účty, notebook a prístup k systémom. Práve v týchto prvých týždňoch ešte nevie, ako veci bežne fungujú, a teda ani to, čo je neobvyklé. Podvodník, ktorý sa vydáva za „IT oddelenie“ alebo „riaditeľa“, má vtedy väčšiu šancu na úspech. Pri nástupe si vyhraďte pol hodiny na list A4 s pravidlami, miesto na nahlásenie, správcu hesiel a zapnutie dvojfaktorového overenia. Zaraďte to do rovnakého zoznamu ako zvyšok nástupného procesu (lekcia 7.1).

Krátke opakovanie. Povedomie sa časom vytráca. Jedno dlhé školenie ročne funguje horšie ako päť minút každý mesiac. Nápady na takéto krátke opakovanie:

• prebrať podozrivý e-mail z tohto mesiaca;
• vyzdvihnúť jedno pravidlo z listu A4 a opýtať sa, či ešte funguje;
• nový druh podvodu, o ktorom sa písalo (napríklad nová lesť cez sms alebo WhatsApp, lekcia 3.4);
• otázka „nahlásil niekto tento mesiac niečo?“ a poďakovanie tomu, kto to urobil.

V praxi: ako to vyzerá

Príklad zostavený zo situácií, ktoré sa často vyskytujú. Architektonická kancelária s deviatimi zamestnancami mala štrnásťstránový dokument politiky, ktorý sa pri nástupe podpísal a potom sa už nikdy neotvoril. Po takmer úspešnom faktúrovom podvode zmenili tri veci: list A4 so šiestimi pravidlami pri tlačiarni, stále meno a telefónne číslo na nahlásenie a každý prvý pondelok v mesiaci päť minút „podozrivej pošty“ na pracovnej porade. V prvom polroku prišlo viac nahlásení ako za predchádzajúcich päť rokov. Dva z nich boli skutočné útoky, ktoré boli zachytené tak včas, že sa nič nestalo. Zvyšok bol falošný poplach a za ten sa vždy jednoducho poďakovalo.

Zhrnutie

• Povedomie sa týka správania: zastaviť sa, overiť iným spôsobom a nahlásiť.
• Nahlasovanie bez obviňovania vedie k rýchlym nahláseniam; trestanie vedie len k menšiemu počtu nahlásení, nie k menšiemu počtu chýb.
• Zapíšte pravidlá na jeden list A4 a urobte z bezpečného správania to najjednoduchšie správanie.
• Precvičujte so skutočnými príkladmi a tabletop cvičením; phishingové cvičenie robte len s predchádzajúcim oznámením, bez trestania a s ohľadom na súkromie.
• Venujte zvýšenú pozornosť novým zamestnancom a opakujte krátko a často.

Kvíz

Úloha

Úloha D9.2: Plán zvyšovania povedomia pre váš tím. Vytvorte pre svoju firmu list A4 s maximálne ôsmimi pravidlami, určite miesto na nahlásenie a zástupcu a naplánujte na nasledujúci rok, kedy budete krátko opakovať a aké cvičenie urobíte. Potom odpovedzte na reflexné otázky.

Ďalšie čítanie

Postupy v článkoch WebOké platia pre prostredie WebOké; u iných poskytovateľov to funguje podobne.

• Je skutočne tento e-mail od spoločnosti WebOké? Ako rozpoznať phishing a použiť akčný kód
• NBÚ, Phishing: https://www.nbu.gov.sk/
• SK-CERT, odporúčania pre živnostníkov a malé firmy: https://www.sk-cert.sk/
• Polícia SR a SK-CERT (nahlasovanie podvodov a phishingu): https://www.minv.sk/?policia