Осведоменост във Вашия екип @@ОМСЧАНИЕ@@

Модул 9: Правила и организация · Време за четене: 9 минути

Цел на урока: След този урок ще можете да организирате осведоменост в малък екип: правила, докладване без вина, упражнения и повторение.
Основни понятия: осведоменост, поведение, култура на докладване, упражнение с фишинг (с разрешение и без наказания), нов служител, кратко повторение

Знанието не е същото като действието

Почти всеки знае, че не бива да кликва на подозрителни връзки. Въпреки това това се случва всеки ден, дори при хора, които би трябвало да знаят по-добре. Това не се дължи на глупост. Причината е, че фишинг имейлите (урок 1.2 и модул 3) умело се възползват от начина, по който работим: напрежение, бързане, желанието да помогнем на клиент или колега. В петък следобед, в седемнайсет без петнайсет, сред трийсет други имейла, "неплатена фактура" изглежда напълно обичайно.

Осведомеността следователно не се отнася само до знанието, а до поведението: какво правят хората наистина, дори когато са уморени или бързат? Целта не е всеки да стане експерт. Целта е няколко постоянни рефлекса:

1. Спиране при съобщение, което иска нещо: пари, парола, клик, отваряне на прикачен файл, инсталиране на нещо.
2. Проверка по друг начин: влизане в акаунта лично, вместо да се следва връзката, обратно обаждане на познат номер.
3. Докладване, ако нещо не е наред, дори ако вече сте кликнали.

Третият рефлекс е най-важен и зависи изцяло от това как Вашият екип се справя с това.

Докладване без вина

Представете си две фирми. В първата служител, който е кликнал на фишинг връзка, получава ядосана реакция от собственика: "Как можа да бъдеш толкова глупав?" Във втората собственикът казва: "Добре, че веднага ми казахте, сега можем да сменим паролата Ви."

Какво се случва следващия път, когато някой кликне? В първата фирма той мълчи и се надява всичко да мине добре. Във втората фирма съобщава за това в рамките на пет минути.

Тази разлика е огромна. При превземане на акаунт или начало на ransomware атака всеки час има значение (урок 1.3 и 3.5). Доклад в рамките на пет минути означава: смяна на паролата, преди нападателят да е влязъл, прекратяване на сесии, изключване на компютър от мрежата, преди нещо да е било криптирано. Доклад след три седмици, или никога, означава, че нападателят е разполагал с всичкото необходимо време.

Добрата култура на докладване има няколко характеристики:

• Една ясна точка за докладване. Всеки знае при кого да се обърне: име и телефонен номер, и заместник, ако този човек отсъства. Това е записано и на картата за инциденти (урок 8.1).
• Благодарност, не наказание. Който докладва, дори за собствена грешка, получава благодарност. Кажете го на глас в екипа: "Сане докладва тази сутрин за фалшива фактура, благодарение на което успяхме да предупредим останалите."
• Съмнението също е добре дошло. "Не знам дали това е истинско" е добър сигнал. По-добре десет пъти да проверите истински имейл, отколкото веднъж да пропуснете фалшив.
• Примерът на ръководството. Ако собственикът сам съобщи, че почти е паднал в клопка, това улеснява всички останали.

Наказанията действат обратно на целта. Не защото грешките не са сериозни, а защото с наказания не намалявате грешките, а само докладите за тях.

Правила, които улесняват доброто поведение

Хората по-лесно спазват правило, което е ясно и лесно. Погрижете се безопасното поведение да бъде и най-лесното поведение. Няколко правила, които пасват на почти всяка малка фирма:

Запишете правилата на един лист A4. Не двайсет страници политика, които никой не чете, а кратък списък, който може да виси до кафе машината.

Упражнения

Правило, което никога не упражнявате, го забравяте. Има различни начини за упражняване, от леки до по-сериозни.

Разглеждане на примери заедно. Отделете пет минути по време на работна среща за истински подозрителен имейл, който някой е получил (без лични данни). По какво личеше? Какъв беше истинският домейн на връзката? Това не струва нищо и работи изненадващо добре, защото става дума за истински съобщения от Вашата собствена пощенска кутия.

Tabletop упражнение. Обсъждате заедно сценарий: "Понеделник сутрин е и никой вече не може да достигне мрежовия диск. На всеки компютър има съобщение с искане за откуп. Какво правим?" Преминавате през картата за инциденти и проверявате къде се получават проблеми (урок 8.1). Един час, веднъж годишно.

Упражнение с фишинг. Изпращате на колегите фалшив фишинг имейл, за да видите кой ще кликне и кой ще докладва. Това може да е поучително, но само ако го направите правилно:

• С разрешение и обявено предварително. Съобщете предварително, че тази година ще има упражнения, без да споменавате датата. Никой не трябва да се чувства измамен впоследствие.
• Без наказания. Който кликне, веднага получава кратко обяснение по какво е могъл да разпознае измамата, без порицание и без списък с имена на работната среща.
• Измервайте това, което наистина има значение. Броят на докладите е по-важен от броя на кликовете. Упражнение, при което трима души са кликнали, но петима са докладвали в рамките на десет минути, е успешно.
• Без зли теми. Без фалшив имейл за бонус, уволнение или здравето на колега. Това вреди на доверието повече, отколкото носи полза.
• Внимавайте с поверителността. Не съхранявайте по-дълго от необходимото кой е кликнал, и никога не го използвайте за оценка.

За екип от пет души първата форма често вече е достатъчна. Упражнение с фишинг има смисъл едва когато правилата и точката за докладване вече съществуват.

Нови служители и повторение

Два момента са особено важни.

Първият работен ден. Новият служител получава акаунти, лаптоп и достъп до системи. Именно в тези първи седмици той все още не знае как обикновено се случват нещата и затова не разпознава какво е отклонение. Измамник, който се представя за "ИТ отдела" или "директора", има по-голям шанс тогава. В началото отделете половин час за листа A4 с правилата, точката за докладване, мениджъра на пароли и включването на двуфакторно удостоверяване. Уредете това заедно с останалата част от процеса по постъпване на работа (урок 7.1).

Кратко повторение. Осведомеността избледнява. Едно дълго обучение годишно работи по-слабо от пет минути всеки месец. Идеи за такова кратко повторение:

• обсъждане на подозрителен имейл от този месец;
• подчертаване на едно правило от листа A4 и въпрос дали все още работи;
• нов вид измама, за която се е говорило в новините (например нов трик чрез sms или WhatsApp, урок 3.4);
• въпросът "докладва ли някой нещо този месец?" и благодарност към този, който го е направил.

На практика: ето как изглежда това

Пример, съставен от ситуации, които често се случват. Архитектурно бюро с девет души имаше документ с политика от четиринайсет страници, който се подписваше при постъпване на работа и след това никога повече не се отваряше. След почти успешна измама с фактура те промениха три неща: лист A4 с шест правила до принтера, постоянно име и телефонен номер за докладване, и всеки първи понеделник от месеца пет минути "подозрителна поща" на работната среща. През първите шест месеца постъпиха повече доклади, отколкото през предходните пет години. Два от тях бяха истински атаки, които бяха забелязани толкова рано, че не се случи нищо. Останалото беше фалшива тревога, и всеки път просто бе благодарено за нея.

Обобщение

• Осведомеността се отнася до поведение: спиране, проверка по друг начин и докладване.
• Докладването без вина осигурява бързи сигнали; наказанията водят само до по-малко доклади, не до по-малко грешки.
• Запишете правилата на един лист A4 и направете безопасното поведение най-лесното поведение.
• Упражнявайте се с истински примери и tabletop сценарии; правете упражнение с фишинг само обявено предварително, без наказания и с внимание към поверителността.
• Отделяйте допълнително внимание на новите служители и повтаряйте кратко и често.

Тест (quiz)

Задача

Задача D9.2: План за повишаване на осведомеността на Вашия екип. Направете за собствената си фирма лист A4 с максимум осем правила, определете точка за докладване и заместник, и планирайте за следващата година кога ще правите кратки повторения и какво упражнение ще проведете. След това отговорете на въпросите за размисъл.

За допълнително четене

Стъпките в статиите на WebOké важат за средата на WebOké; при други доставчици работи по сходен начин.

• Това имейл съобщение истинско ли е от WebOké? Разпознаване на фишинг и използване на кода за промоцията
• Национален екип за реагиране при инциденти (CERT България), Фишинг: https://govcert.bg/
• Препоръките на CERT България: https://govcert.bg/
• ГДБОП, сектор „Киберпрестъпност" (докладване на измами и фишинг): https://www.cybercrime.bg/