Een Sterke Beveiligingscultuur Bouwen In Je Organisatie

Oktober is National Cybersecurity Awareness Month.

Het toevallig ook (onder andere dingen) Borstkanker Bewustwordingsmaand, Tandhygiëne Maand, National Bullying Prevention Maand en mijn persoonlijke favoriet, National Pizza Maand. Plus, het is Halloween! Maar ik dwaal af... we zijn hier om over cybersecurity te praten.

Elke fabrikant zou cybersecurity-bewustzijnstraining voor al hun personeel minimaal één keer per jaar moeten houden. Velen zijn gespookt door de blote vermelding van de woorden 'cybersecurity' en 'training', dus oktober lijkt een geschikte tijd daarvoor. Je training zou, op een minimum, relevante bedrijfsbeleidsregels moeten dekken zoals je IT-beveiliging, informatiebeveiliging, en fysieke beveiliging.

Door de jaren heen hebben velen van ons dit type training gevolgd en geleerd er te dijden. Training waar iemand de exacte cybersecurity-toespraak houdt als vorig jaar en dan een papiertje uitdeelt om te tekenen dat je er was. Een echte saai. Dit soort training doet zijn werk wat het bereiken van de absolute minimum betreft, maar heeft weinig impact daadwerkelijk op het vormgeven van werknemersgedrag.

Het echte doel van cybersecurity-bewustzijns- en trainingsinspanningen zou moeten zijn om een cultuur van beveiliging te creëren, wat betekent dat werknemers goede cybersecurity-praktijken moeten zien als goed zakendoen en als deel van 'hoe we hier zaken doen.' Werknemers zouden in staat moeten zijn om goede cybersecurity-beslissingen te nemen en begrijpen wat een goede beslissing maakt. Bewustwording en training zouden zich moeten richten op:

• Riskant gedrag stoppen: Help werknemers weten welke beslissingen tot een slecht resultaat kunnen leiden. Bijvoorbeeld, e-mailbijlagen van onbekende bronnen openen.
• Minder riskant gedrag aanmoedigen: Help werknemers begrijpen en zich erom scheren processen te implementeren die beveiliging verhogen. Bijvoorbeeld, hoe sterke wachtwoorden te maken.
• Werknemers omzetten in wachters: Help werknemers herkennen en reageren op een cybersecurity-gebeurtenis. Bijvoorbeeld, wat te doen als een gast een onbevoegde USB-stick in een machine steekt.

Idealiter zou training een continu inspanning moeten zijn. Enkele ideeën over hoe cybersecurity-training in de dagelijkse werking van je bedrijf te integreren zijn:

• Regelmatig benadrukken dat cybersecurity een belangrijk doel van je bedrijf is.
• Integreer één cybersecurity-tip, truc of herinnering in elke vergadering.
• Plaats herinneringen op de werkplek over passende beveiligingspraktijken.
• Houd regelmatige bijeenkomsten om mogelijke procesverbeteringen te bespreken die het voor werknemers makkelijker kunnen maken om betere beveiligingsbeslissingen te nemen.

Er is veel onderzoek gedaan naar wat goed werknemers cybersecurity-training eruitziet. In het algemeen kan het opgesomd worden met het acroniem 'RAINSTORMS.' Ja, ik heb dat net nu bedacht.

• Real: Het gebruik van real-world case studies of realistische scenario's helpen de lessen thuis brengen.
• Actionable: Voeg iets toe dat werknemers direct kunnen doen. Dit kan het veranderen van hun wachtwoorden, het maken van een inventaris van hun IT-activa of het zorgen dat ze contactinformatie hebben voor de persoon of organisatie waar ze een incident aan moeten melden in hun telefoons. Soms is een langetermijn huiswerkopdracht ook passend, maar een direct doel is altijd nuttig.
• Interactief: Rollenspel, kleine groep discussies of hands-on oefeningen zijn enkele geweldige manieren om training interactiever te maken. Ideaal zouden de interacties bi-directionele gesprekken omvatten met alle managementniveaus om ervoor te zorgen dat iedereen weet dat iedereen dezelfde verantwoordelijkheden heeft, en iedereen op dezelfde pagina staat.
• Nieuw: Enkele herhaling is passend in training, vooral bij het bespreken van beleid, maar het mag niet vervallen. Verschillende trainingformaten (bijv. lezing, rollenspel, video's) kunnen helpen.
• Small: Hapklare brokjes informatie zijn veel makkelijker te verteken dan een hele informatica-opleiding aan werknemers opgedwongen. Eén onderwerp tegelijk is over het algemeen beter.
• Testable: Er moet een meetbaar, testbaar doel zijn voor de cybersecurity-training. Als het algemeen bewustzijn is, misschien kan een quiz ontwikkeld worden. Als een doel is om phishing-aanvallen te mitigeren, misschien kan een nep phishing-e-mail zowel een paar weken voor als een paar weken na het evenement verstuurd worden. Dit zal helpen laten zien hoe effectief de training was.
• Owned: Werknemers moeten de training verlaten met een gevoel van eigenaarschap en dat cybersecurity hun verantwoordelijkheid is; ze moeten zich geempowerd voelen om goede cybersecurity-beslissingen te nemen.
• Relevant: Meeste bedrijven hebben verschillende typen gebruikers. Training aanpassen aan elk type gebruiker maakt het reëler. Dit kan betekenen dat er verschillende training is voor werkvloermedewerkers versus kantoormedewerkers.
• Memorable: Gebruik acroniemen, pittige mnemonica, of, mijn persoonlijke favoriet, humor. Mensen onthouden grappige dingen – wordplay, slechte muziekvideo's, ridicule memes van katten – veel beter dan een saaie lezing. Wees niet bang om het onconventioneel te maken en plezier te hebben.
• Simple: Voor alles, training moet simpel zijn. Overly technische lessen vol technobabbel zijn alleen goed om mensen in slaap te wiegen.

The National Initiative for Cybersecurity Education (NICE) heeft een kleine lijst van gratis en goedkope bronnen om te helpen met werknemerstraining. Er zijn ook veel additionele bronnen beschikbaar online. Doe gewoon een internetzoekopdracht en je wordt gebombardeerd met opties. Evalueer die opties met behulp van de RAINSTORMS-sjabloon hierboven.

Door de maand oktober heen, zal NIST MEP een reeks blogs posten die losvolgend het thema en de outline die geleverd wordt door de National Cybersecurity Alliance (NCSA). Het thema voor dit jaar is 'Do Your Part. #BeCyberSmart.' Persoonlijk ben ik nooit een fan geweest van zelfpromotie van een hashtag, maar als je tweet of blogt over cybersecurity tijdens deze maand, overweeg dan de #BeCyberSmart hashtag te gebruiken – we zullen zien hoe ver het gaat.

De outline die de NCSA heeft uitgegeven is als volgt:

• Week van 5 oktober (Week 1): Als Je Het Verbindt, Beveilig Het
• Week van 12 oktober (Week 2): Apparaten Beveiligen Thuis En Op Het Werk
• Week van 19 oktober (Week 3): Internet-verbonden Apparaten In De Gezondheidszorg Beveiligen
• Week van 26 oktober (Week 4): De Toekomst Van Verbonden Apparaten

Niet zeker waar te beginnen? Je kunt meer leren over hoe een effectief cybersecurity-trainingsprogramma te implementeren door contact op te nemen met je lokale MEP Center. Je kunt ook cybersecurity-bronnen voor fabrikanten benaderen op de NIST MEP website.

Deze blog is deel van een serie gepubliceerd voor National Cybersecurity Awareness Month (NCSAM). Andere blogs in de serie zijn If You Connect It, Protect It door Zane Patalive, Suspicious Minds: Non-Technical Signs Your Business Might Have Been Hacked door Pat Toth, Securing Internet-Connected Medical Devices door Jennifer Kurtz en The Future of Connected Devices door Erik Fogleman en Jeff Orszak.