Η εκπαίδευση και η κατάρτιση των εργαζομένων στην ασφάλεια δεν σταματά τους εισβολείς, ούτε μπορούν να προστατεύσουν την εταιρεία ή την επιχείρηση αποτελεσματικά από τους χάκερς.
Οι εταιρείες κατάρτισης στον τομέα της ασφάλειας στον κυβερνοχώρο συνεχίζουν να τονίζουν τη σημασία της εκπαίδευσης των εργαζομένων προκειμένου να ελαχιστοποιηθεί ο κίνδυνος των απειλών στον κυβερνοχώρο. Το «προσωπικό», υποστηρίζουν, «είναι το μεγαλύτερο περιουσιακό στοιχείο της εταιρείας σας, αλλά ταυτόχρονα και ο μεγαλύτερος δυνητικός κίνδυνος ασφαλείας». Και καθώς οι εργαζόμενοι είναι ο ασθενέστερος κρίκος στην αλυσίδα, πρέπει να είναι καλά εκπαιδευμένοι, τουλάχιστον για να μετριαστεί η ζημιά.
Είναι αλήθεια ότι οι εργαζόμενοι είναι μια τεράστια αδυναμία ασφάλειας: το 46% των συμβάντων IT security προκαλούνται παγκοσμίως από εργαζόμενους κάθε χρόνο και το 55% των εταιρειών που ερωτήθηκαν για το ψήφισμα Experian Data Breach δήλωσαν ότι αντιμετώπισαν ένα ή περισσότερα περιστατικά χακαρίσματος, από κακοπροαίρετους και μη υπαλλήλους.
Η εκπαίδευση των εργαζομένων, ωστόσο, δεν είναι απαραιτήτως η απάντηση σε αυτό το ζήτημα. Καθώς οι απειλές στον κυβερνοχώρο συνεχίζουν να εξελίσσονται και να αυξάνονται με ταχύτατο ρυθμό, η εξειδικευμένη κατάρτιση του εργατικού δυναμικού δεν είναι πλέον σε θέση να διασφαλίσει ότι όλα θα δουλεύουν ρολόι, για πολλούς και διάφορους λόγους.
Ακόμη και ο Bruce Schneier, ο πολύ έμπειρος εμπειρογνώμονας στον τομέα της ασφάλειας στον διαδίκτυο, ο οποίος διαφήμιζε κάποτε την έννοια του «Χρυσού Τριγώνου» των ανθρώπων, των διαδικασιών και της τεχνολογίας, υπογραμμίζει τώρα τη σημασία της εκπαίδευσης στην ασφάλεια στον κυβερνοχώρο σε σύγκριση με την τεχνολογία και τον αυτοματισμό έχει ξεφτίσει . Δηλώνει πλέον ότι «οι άνθρωποι και οι διαδικασίες πρέπει να συμβαδίζουν με τα χρονοδιαγράμματα, διότι το κόστος μία επίθεσης από τους εισβολείς είναι αδιαμφισβήτητα μεγάλο και βγάζει εκτός προγράμματος την εταιρεία από τους στόχους της και αναγκαστικά στρέφει την προσοχή της σε πράγματα δευτερεύοντα».
Για να συμβαδίσουμε με το ρυθμό των απειλών στον κυβερνοχώρο, πρέπει να αποτρέψουμε την έμφαση στους ανθρώπους και τις διαδικασίες – οι οποίες είναι πολύ αργές – και να επικεντρωθούμε στη δύναμη της τεχνολογίας. Ο μόνος τρόπος για να διαχειριστεί κανείς μια τεχνολογική απειλή που αναπτύσσεται ταχύτερα από ό, τι οι άνθρωποι μπορούν να αντιδράσουν, είναι να κοιτάξει κανείς στην ίδια την τεχνολογία για λύσεις.
Έτσι, για τους παρακάτω λόγους, η εκπαίδευση των εργαζομένων δεν είναι πλέον ο τρόπος με τον οποίο θα πρέπει να προχωρούν οι CIO και άλλα στελέχη για να διατηρήσουν τις εταιρείες τους ασφαλείς:
1. Οι απειλές του κυβερνοχώρου εξελίσσονται τόσο γρήγορα που η μαζική εκπαίδευση των εργαζομένων δεν είναι η λύση.
Με κάθε παρελθόν έτος η τεχνολογία των επιθέσεων στον κυβερνοχώρο εξελίσσεται και η ταχύτητα αυτής της ανάπτυξης φαίνεται να συνεχίζει να επιταχύνεται. Μόνο τα τελευταία 12 χρόνια σημειώθηκαν 10.000 φορές νέες ψηφιακές απειλές, που σημαίνει, ακόμα και μάγος να ήσουν δεν θα προλάβαινες να τα αντιμετωπίσεις.
Το επάγγελμα του hacking έχει μετακινηθεί από τους ενοχλητικούς ιούς και τα ανεπιθύμητα μηνύματα που δημιουργούνται από τους χάκερ για να αναδείξουν τους υπολογιστικούς μυς τους και για να κερδίσουν δύο λεπτά φήμης στα πρωτοσέλιδα των εφημερίδων, και έχουν μετατραπεί σε εξελιγμένα οργανωμένα δίκτυα hacking που κερδίζουν χρήματα από το έγκλημα στο διαδίκτυο.
Όπως συνοψίστηκε στην έκθεση ασφαλείας της Symantec για το 2017, η «νέα πολυπλοκότητα και η καινοτομία» σήμαινε «σεισμικές μετατοπίσεις στο επίκεντρο των επιθέσεων». Η πολυπλοκότητα της πειρατείας έχει εξελιχθεί στο βαθμό που ακόμη και τα ισχυρότερα έθνη και οι εταιρείες είναι το δόλωμα των χάκερς.
Αυτό το χρονοδιάγραμμα καταδεικνύει με ακρίβεια πώς αυτές οι επιθέσεις έχουν ωριμάσει με την πάροδο του χρόνου και τώρα δημιουργούν σοβαρές οικονομικές συνέπειες και κακή φήμη για τις επιχειρήσεις. Αυτό που ξεκίνησε ως βασικοί ιοί και είναι τώρα εξαιρετικά εξελιγμένα κλειδιά και πιστοποιητικά που βασίζονται σε επιθέσεις που μπορούν να βραβευθούν ακόμη και από τα πιο προηγμένα συστήματα ασφαλείας για την ευρηματικότητα τους και το επίπεδο γνώσεων που κατέχουν.
Το χειρότερο όλων είναι ότι, καθώς οι επιχειρήσεις, οι κυβερνήσεις και τα άτομα συνεχίζουν να συνδέουν όλο και περισσότερα συσκευές στο Διαδίκτυο, οι ευκαιρίες για τους επιτιθέμενους γίνονται ολοένα και μεγαλύτερες. Τελικά, καθώς το internet of Things (IoT) συνδέει ακόμα περισσότερο τα πράγματα με το Διαδίκτυο, προφανώς χάνεται ο έλεγχος και το παιχνίδι πλέον παίζεται μονότερμα από τους χάκερς.
Επιπλέον, οι εμπειρογνώμονες στον τομέα της ασφάλειας στον κυβερνοχώρο αναμένουν ότι η συχνότητα αυτών των επιθέσεων θα συνεχίσει να αυξάνεται. Το 2016, η Symantec προσδιόρισε περίπου 100 νέες οικογένειες κακόβουλων προγραμμάτων το 2016 – σχεδόν το τριπλάσιο από το προηγούμενο έτος.
Οι κυβερνοεγκληματίες υποπτεύονται επίσης ότι χειραγωγούν ήδη τις αναπτυσσόμενες τεχνολογίες, όπως τα δεδομένα για τις πλατφόρμες συναλλαγών όπου διαπραγματεύονται νέα χρηματοπιστωτικά μέσα – και από αυτό δεν θα μπορούσαν να ξεφύγουν τα κρυπτονομίσματα, όπως το Bitcoin.
Συμπεριλαμβανομένης της ψηφιακής υποδομής και των κρυπτονομίσματων μαζί με το IoT, υπάρχουν τώρα τρεις νέοι, ταχέως αναπτυσσόμενοι τομείς που θα μπορούσαν να είναι ευάλωτοι στην πειρατεία. Και ενώ οι χάκερ εργάζονται ήδη για να υπονομεύσουν αυτές τις περιοχές, οι περισσότεροι υπάλληλοι είναι απίθανο να καταλάβουν τις βασικές έννοιες αυτών των αναπτυσσόμενων τεχνολογιών, πόσο μάλλον να ξέρουν πώς να τις χρησιμοποιούν υπεύθυνα – αποδεικνύοντας την αληθινή σοβαρότητα του έργου της εκπαίδευσης των εργαζομένων στην ασφάλεια στον κυβερνοχώρο.
2. Το πρόβλημα της ασφάλειας στον κυβερνοχώρο είναι πολύ ευρύ ώστε οι εργαζόμενοι να έχουν πλήρη εκπαίδευση.
Έχουμε συνδέσει τώρα όλες τις πτυχές της ζωής μας με το Διαδίκτυο, που σημαίνει ότι η απειλή για την ασφάλεια είναι ευρύτερη από ποτέ. Οι επιχειρηματικές δομές και επιχειρήσεις έχουν επίσης γίνει πιο πολύπλοκες, αφήνοντας περισσότερες περιοχές ευάλωτες στις απειλές του κυβερνοχώρου. Η εκπαίδευση των εργαζομένων σε όλους αυτούς τους τομείς είναι πολύ απίθανο να επιτευχθεί με επιτυχία, άλλωστε δεν έχουν όλοι τον ίδιο δείκτη νοημοσύνης και ο χρόνος πιέζει.
Όταν η εκπαίδευση στον τομέα της ασφάλειας στον κυβερνοχώρο σήμαινε τη διδασκαλία των εργαζομένων να αλλάζουν τακτικά τον κωδικό τους και να μην ανοίγουν ύποπτα συνημμένα μηνύματα ηλεκτρονικού ταχυδρομείου, η περίπτωση της εκπαίδευσης στην ασφάλεια στο ιστό ποτέ δεν θα είναι μία απλή διαδικασία ρουτίνας, τουναντίον θα είναι χρονοβόρα και κοστοβόρα.
Τώρα, όμως, η εκπαίδευση στον κυβερνοχώρο σημαίνει ότι πρέπει να εκπαιδεύσουμε τους εργαζόμενους σχετικά με τον τρόπο δημιουργίας κωδικών πρόσβασης. διαχείριση αποθήκευσης και ανταλλαγής αρχείων. να γνωρίζουν ποιοι ιστότοποι και ηλεκτρονικά ταχυδρομεία είναι ασφαλή. πώς να κατεβάσουναρχεία, ποια λογισμικά πρέπει να χρησιμοποιήσουν. πώς να αποφύγουν επιθέσεις κοινωνικής μηχανικής και phishing κλπ. Για να καταλάβετε το μέγεθος της κατάστασης απλά σας αναφέραμε ορισμένα πράγματα.
Μπορεί να ακούγεται κοινότυπο το στοιχείο της ασφάλειας στο διαδίκτυο, όμως παράλληλα δείχνει ακριβώς γιατί το καθήκον της εκπαίδευσης κάθε εργαζομένου για την ασφάλεια στον κυβερνοχώρο έχει καταστεί ανέφικτη κατάσταση, ακόμα και αν γίνει σε κάποιο βαθμό, θα είναι ελλιπές.
Όπως συνοψίζει η Deloitte σε μια έκθεση για τον κίνδυνο του 2016, η ανησυχία για την ασφάλεια στον κυβερνοχώρο δεν είναι μόνο η συχνότητα, αλλά «Το γεγονός ότι οι σημερινές προσπάθειες ασφάλειας απαιτούν προστασία από ένα ευρύτερο φάσμα προκλήσεων». Αυτές οι προκλήσεις περιλαμβάνουν τις «νέες και αναδυόμενες τεχνολογίες, τις τάσεις στη χρήση των κινητών τηλεφώνων, τα κοινωνικά μέσα δικτύωσης, τις ανεπαρκώς χρηματοδοτούμενες εταιρείες και τους οργανωμένους εχθρούς, που εξαπολύουν επιθέσεις όλο το εικοσιτετράωρο, χωρίς σταματημό».
Οι εργαζόμενοι έχουν τις δικές τους δουλειές μέσα στην επιχείρηση και δεν πληρώνονται για να αποκρούσουν τους εισβολείς, οπότε είναι αναμενόμενο να μην παρακολουθούν με ορθότητα όλες αυτές τις απειλές. Η πρόκληση με την εκπαίδευση των εργαζομένων γίνεται απλά για να τους καταστήσει ενήμερους για τον κίνδυνο που θέτουν οι δραστηριότητες τους στο διαδίκτυο και για το πώς να το διαχειριστούν, χωρίς να τις καταστήσουν αντιπαραγωγικές με υπερβολικά πολύπλοκες διαδικασίες.
Αλλά αυτή η ισορροπία φαίνεται όλο και πιο αδύνατη να επιτευχθεί καθώς το εύρος των απειλών για την ασφάλεια συνεχίζει να επεκτείνεται.
Πιθανότατα, οι εργαζόμενοι θα συνεχίσουν να βρίσκονται εκτεθειμένοι και θα συνεχίσουν να καλύπτουν αυτούς τους συμβιβασμούς και όχι να τους επιλύουν, όπως αποδείχθηκε στην περίπτωση των περισσότερων επιχειρήσεων.
3. Οι σύγχρονες τεχνολογίες, όπως η μηχανική εκμάθηση και η μεγάλη ασφάλεια των δεδομένων, είναι τώρα πιο αποδοτικές και αποτελεσματικές λύσεις για έναν CIO από την εκπαίδευση των εργαζομένων.
Έτσι, αν οι hackers είναι πάντα ένα βήμα μπροστά από τους εργαζόμενους, ποιες λύσεις μπορούμε να εφαρμόσουμε για να αποτρέψουμε τις παραβιάσεις των εισβολέων;
Μια απάντηση είναι οι λύσεις της μηχανικής εκμάθησης που είναι ικανές να παρακολουθούν τη συμπεριφορά των χρηστών και των εφαρμογών. Αυτές οι λύσεις – όπως η Cylance Cybersecurity – είναι πολύ αποτελεσματικές στην αναγνώριση κακόβουλου λογισμικού. Χρησιμοποιώντας αυτές τις εναλλακτικές λύσεις σημαίνει ότι είστε σε θέση να προβλέψετε και να προλάβετε τις απειλές αντί να εργαστείτε ενεργά στο πίσω μέρος, όπως συμβαίνει με το λογισμικό προστασίας από ιούς.
Το Blockchain είναι ένα άλλο παράδειγμα τεχνολογίας αιχμής που μπορεί να ελαχιστοποιήσει σημαντικά τους κινδύνους για την ασφάλεια στον κυβερνοχώρο. Αυτό γίνεται με την αντιμετώπιση των δύο βασικών αρχών ασφάλειας: διαδικασία και εμπιστοσύνη.
Το Blockchain επιλύει το ζήτημα της διαδικασίας, εφαρμόζοντας έξυπνες συμβάσεις που μπορούν να επιβάλουν διαδικασίες εντός της εταιρείας. Για παράδειγμα, ας πούμε, “ο χρήστης Α μπορεί να έχει πρόσβαση μόνο στο έγγραφο Χ με έγκριση από τον χρήστη Β και Γ”.
Όσον αφορά την εμπιστοσύνη, επιτρέπει στις εταιρείες να διασφαλίζουν ότι οι διαδικασίες εκτελούνται σύμφωνα με τους κανονισμούς. Στο παραπάνω παράδειγμα, δεν υπάρχει ανθρώπινη επαλήθευση που θα μπορούσε να οδηγήσει σε απώλειες ασφαλείας. Αντ ‘αυτού, το σύστημα blockchain εγκρίνει ή αρνείται την πρόσβαση βάσει καθορισμένων κριτηρίων, μειώνοντας τον κίνδυνο ανθρώπινου σφάλματος που συχνά οδηγεί σε παραβιάσεις της ασφάλειας.
Έτσι, όταν επιλέγετε έναν πάροχο ασφαλείας για το δίκτυό σας, επιλέξτε έναν που χρησιμοποιεί τις τελευταίες τεχνολογίες που μπορούν να συμβάλουν στη μείωση του κινδύνου ανθρώπινου σφάλματος. Απλώς δεν είναι πλέον δυνατό για τους υπαλλήλους σας να εκπαιδεύονται στις τελευταίες απειλές για την ασφάλεια στον κυβερνοχώρο, καθώς αναπτύσσονται και εξελίσσονται συνεχώς. Αντ ‘αυτού, ο πιο αποτελεσματικός τρόπος για την καταπολέμηση των τελευταίων τεχνολογικών απειλών είναι η ανάπτυξη των πιο πρόσφατων τεχνολογικών αμυντικών συστημάτων προς όφελός σας.
