Het cruciale menselijke element in cyberbeveiligingsstrategie

De complexiteit van cyberbeveiliging is exponentieel gegroeid naarmate het aantal onderling verbonden digitale apparaten is toegenomen. Omdat onderling afhankelijke computerinfrastructuren tegenwoordig bijna elke organisatie ondersteunen, is de bescherming van digitale gegevens cruciaal geworden.

Zevenendertig procent van de ondervraagde CEO's zegt dat significante risico's bij de extended business en de belangrijkste enterprise-partners liggen. En preventieve maatregelen alleen zijn niet meer voldoende. De nieuwe omgeving vraagt ​​om waakzaam toezicht en creatieve innovatie. Het vereist deelname van alle belanghebbenden.

Het menselijke element staat centraal. Hoe goed u werknemers doorziet, traint en uitrust, zal uw cyberbeveiligingssysteem, uw reputatie bij klanten en partners en misschien zelfs uw bedrijf zelf maken of breken.

Terwijl 89 procent van de C-suite gelooft dat werknemers informatie op verantwoorde wijze zullen beschermen, zegt 22 procent dat hun werknemers niet op de hoogte zijn van offsite databeleid. Apparaten die het meeste risico lopen, zijn mobiele telefoons van het bedrijf (50 procent), bedrijfslaptops (45 procent) en USB-opslagapparaten (41 procent).

In het rapport over 2018 Views From the C-Suite , BIJ. Kearney ontdekte dat 85 procent van de bedrijven het afgelopen jaar te maken kreeg met beveiligingsinbreuken. Slechts 40 procent ontwierp en implementeerde als reactie hierop cyberbeveiligingsstrategieën.

Naast de focus op medewerkers, is het belangrijk om de hele supply chain mee te nemen. Bedrijfsleiders noemen vier toptactieken om levensvatbare cyberbeveiliging te garanderen:

• Uitgebreide maatregelen voor informatiebeveiliging,
• Zeer bekwame IT-professionals inhuren,
• Analyse van cyberbeveiligingsgedrag, en
• Trainingsprogramma's voor medewerkers.

Het nieuwe paradigma voor cyberbeveiliging is betrekken, overtuigen, opleiden, converteren en belonen. Eindgebruikers worden vaak onterecht gestereotypeerd als niet-coöperatief, controle-avers en niet bereid om gedrag te veranderen. Tegelijkertijd zijn ze de zwakste schakel in cybersecurity. Zelfs diepgaande technische experts kunnen net zo kwetsbaar zijn als minder opgeleide en voorbereide gewone gebruikers.

Een voorbeeld uit de praktijk:Jaren geleden kreeg ik als CISO van een draadloze operator in Zuid-Amerika de taak om het stijgende aantal datalekken te verminderen. Een senior executive adviseerde hardhandige handhaving van het beveiligingsbeleid. Eindgebruikers, zei hij, waren vrijblijvend over beveiliging en reageerden niet op campagnes om de interne controles te verbeteren.

Ik besloot een tegendraadse houding aan te nemen. De ervaring had me ervan overtuigd dat we, om haalbare oplossingen te ontwikkelen, alle belanghebbenden moesten betrekken - elk individu dat wordt beïnvloed door beleid, technologieën en beslissingen - en niet alleen degenen die in bestuurskamers zitten.

In plaats van eindgebruikers te straffen en ons uitsluitend te concentreren op het afdwingen van controles, hebben we een reeks vergaderingen met werknemers belegd om best practices te delen, hun pijnpunten te bepalen en stapsgewijze begeleiding te geven over het juiste gebruik van beveiligingstools.

Het bleek dat veel beveiligingsbeleid achterhaald was door een reeks fusies. Bovendien hadden gebruikers te maken met een omslachtige praktijk voor het verstrijken van wachtwoorden van 30 dagen door hun toegangscodes op Post-It-notities te schrijven. Kwaadwillenden hadden zich daardoor ongeoorloofd toegang verschaft.

Op basis van feedback van medewerkers hebben we het beleid bijgewerkt en procedures en normen herschreven zodat ze relevant en duidelijk waren. Er werden scorekaarten gebruikt om de voortgang bij te houden en er werd een beloningssysteem ingesteld. Datalekken vielen weg en er werd een feedbacklus tot stand gebracht tussen gebruikers en de beveiligingsafdeling om het programma relevant te houden. Eindgebruikers werden bij het proces betrokken, met educatieve lussen om potentiële problemen te ontdekken.

De ervaring bevestigde opnieuw dat een ontwerpproces waarbij de belanghebbenden en de mens centraal staan, waarbij wordt vertrouwd op het betrekken, opleiden, converteren en belonen in plaats van straffen, de meest uitgebreide en duurzame cyberbeveiligingsoplossingen oplevert.

J. Eduardo Campos leidt het adviesbureau van Embedded-Knowledge Inc.