Лучшие методы составления бюджета на кибербезопасность: обучение сотрудников основам кибербезопасности 05.11.2019 15:22Часто при составлении бюджета акцент делает на персонал и технологии. Тем не менее, есть одна важная статья в бюджете кибербезопасности, часто недооцененная, которая может оказать большое влияние на компанию.
В современной среде, в которой правят нормативы, цена возможной утечки данных, вызванная инсайдером, можно оказаться угрожающей для всего бизнеса. По этой причине организация тренингов по повышению осведомленности сотрудников о кибербезопасности может существенно повлиять на общее снижение рисков возникновения инцидентов. Другими словами, вы можете положить на одну чашу весов стоимость предупреждения, на другую - стоимость взлома ваших ИТ-ресурсов, и принять на основе этого решение о расходных статьях бюджета.
Тренинги по повышению осведомленности о кибербезопасности, будучи грамотно спланированными и проведенными, могут предотвратить возникновение многих случайных инсайдерских угроз и одновременно повысить шанс того, что сотрудники, столкнувшиеся со злонамеренными инсайдерскими угрозами, сообщат о них.
Тренинг по повышению осведомленности о кибербезопасности может, следовательно, держать расходы на расследование инсайдерских угроз и на реагирование на инциденты на достаточно невысоком уровне, а также снизить общий риск финансового и репутационного ущерба компании.
Расходы на повышение осведомленности в бюджете кибербезопасности
Мероприятия по повышению осведомленности не бесплатны, когда они проводятся отдельно, но такие мероприятия стоят своих затрат, если смотреть на это с позиции предупреждения развития киберугроз. Давайте внимательно рассмотрим, как планировать бюджет на кибербезопасность и расходы на обучение.
Персонал
Начнем с того, что вам необходимо выделить часть бюджета на человека или людей, которые будут проводить обучение кибербезопасности. В зависимости от размера и направления вашей компании люди, которые проводят обучение, могут быть штатными сотрудниками SOC-центра, аналитиками кибербезопасности или ИТ-специалистами. В некоторых случаях имеет смысл привлекать сторонних консультантов, если сотрудники компании не обладает достаточной квалификацией или если слишком загружены основной работой.
Кроме того, в должностной инструкции любого ИТ и ИБ персонала должны быть прописаны обязанности по руководству и информированию сотрудников по вопросам кибербезопасности. Политика открытой двери и/или использование корпоративного мессенджера для ИБ персонала – хороший способ убедиться, что сотрудники, имеющие вопросы по кибербезопасности, зададут их перед нарушением правил. Кроме того, это повышает вероятность того, что сотрудники сообщат о подозрительном поведении, свидетелями которого они стали.
Расходы на персонал должны быть включены в общий бюджет ИБ, они должны пересматриваться ежегодно или даже чаще.
Программы проактивного обучения кибербезопасности
Говоря в общем, большинство компания должны организовать для сотрудников два типа программ обучения кибербезопасности: ознакомление всех новых сотрудников с политикой кибербезопасности, принятой в компании, и регулярные встречи всех сотрудников, во время которых им напоминают о политиках безопасности и дают рекомендации.
Следует отметить, что во многих компаниях всего этого нет. В последнем исследовании, проведенном институтом Ponemon, респонденты признали, что руководства по безопасности, принятые в их компании, являются непонятными, многие компании не могут обучить сотрудников правилам кибербезопасности. Например, 49% опрошенных респондентов сказали, что они не знакомы с правилами кибербезопасности, связанными с поездками, или что в их компании ничего подобного не существует. Базовое обучение сотрудников кибербезопасности должно быть во всех компаниях, нужно удовлетворить ожидания и максимально точно сформулировать обязанности каждого сотрудника.
Вашим ИТ и ИБ командам может потребоваться какой-то специальный тренинг, дополнительная информация или какие-то инструменты для обучения сотрудников. Расходы на подобные тренинги должны быть предусмотрены в общем бюджете на кибербезопасность.
Образование пользователей в реальном времени
Даже те компании, которые не организуют обучение кибербезопасности, часто не отрицают вероятность того, что самые лучшие образовательные возможности происходят в реальном времени. Халатные пользователи являются причиной 64% всех инсайдерских инцидентов, поэтому оповещение пользователей в реальном времени о поведении, которое не соответствует политикам компании, является очень эффективным способом пресечь подобное поведение и снизить риск.
Например, если инсайдер запускает инструмент, который компания считает неподходящим для использования в рабочее время, такой как личный аккаунт Dropbox, например, то должно быть отправлено уведомление о том, что подобное поведение нарушает политику безопасности компании. В уведомление можно включить список разрешенных альтернатив этому инструменту, а также подтверждение того, что сотрудник осознает, что его действия противоправны (например, он должен поставить флажок). Такой тип обучения кибербезопасности в реальном времени является одним из наиболее эффективных возможных методов, поэтому инвестирование в инструменты тоже должно стать частью общего бюджета кибербезопасности.
Проактивное обучение – что дальше?
ObserveIT позволяет легко организовать проактивное повышение осведомленности пользователей при помощи опциональных уведомлений и предупреждений о нарушении политики. Решение ObserveIT также помогает командам блокировать действия пользователей, не соответствующих политикам, используя напоминания, предупреждения о нарушении политики, а также надежный контроль блокировки приложений.
Начните предупреждение инсайдерских угроз
Наши простые в использовании решения для расследования, обнаружения и предупреждения инсайдерских угроз могут помочь вашим командам достичь максимальной прозрачности и минимизировать риск возникновения дорогостоящего инцидента.