לפי ההערכות, כ-85% מאירועי הסייבר מקורם בעובדי הארגון עצמו. 10 המלצות שיצילו את הארגון שלכם
אחרי שקוראים את הדו"ח הזה קשה לישון בשקט. המנכ"לים של המותגים המובילים בעולם לא יכולים למצמץ רגע אחד, מבלי שאיזה האקר יומרני ינסה לזהות חולשת אבטחה במערכי המידע של הארגון שלהם. קחו למשל את מנכ"ל מיקרוסופט, התאגיד המוביל בדו"ח המטריד של צ'ק פוינט ברבעון הראשון של 2024. מסתבר שכמעט 40% ממתקפות הסייבר בעולם מכוונות נגד מיקרוסופט, הרבה לפני גוגל שרק 11% מהאקרים חושקים בנכסיה הדיגיטליים.
לינקדין, אמזון, פייסבוק, די.אייץ'. אל, אפל, איירבנב ושאר ענקיות הטכנולוגיה, נמצאות אף הן על המשמר מחשש שמערכי ההגנה שלהן ייפרצו ויגרמו הזק בלתי הפיך. ואולם, לפני שמפנים את האצבע המאשימה החוצה, כדאי להביט היטב פנימה. לפי מחקר של אונ' סטנפורד, 88% מאירועי הסייבר מקורם בעובדי הארגון עצמו. רשלנות, עצלנות, לחץ משימות ועוד שאר רעות חולות גורמות לטעויות אבטחה – שיש מי שמחכה להן בעורמה.
לכל אלה יש להוסיף את העובדה שסביבת העבודה המודרנית לא מפסיקה להתפתח וכמובן, את השימוש המוגבר ביישומי ענן. אפשר להמשיך ולהשקיע משאבים רבים בהרחקה והדיפה של ניסיונות פריצה מתוחכמים, אבל באותה מידה אסור להתעלם מהאמת הכואבת: האיומים מגיעים מבפנים.
אחת הגישות היעילות ביותר שגובשה אמנם כבר לפני יותר מעשור, אבל כעת מיושמת בהצלחה היא גישת "אפס אמון" (Zero Trust), שהמציא האנליסט ג'ון קינדרווג ב-2010 במטרה לזהות חולשות ההגנה ההיקפית על נתונים ורשתות תקשורת. עקרונותיה של גישת "אפס אמון" מקדשים אימוץ טכנולוגיות, דרכי עבודה ותרבות ארגונית התומכים באבטחת זהויות, הטמעת יישומי אבטחה, ניטור נתונים וכמובן – מדיניות אימות קשיחה וקפדנית שלא מבדילה בין המנכ"ל לאחרון המפתחים.
מתחילים בהעלאת מודעות העובדים
לפני שרצים לאמץ גישות יקרות בחוץ כדאי לעצור רגע ולוודא שעובדי הארגון מבינים את תפקידם במניעת אירועי סייבר. אחרי שהבינו, יש לוודא שהם יודעים מה לדווח ובעיקר למי. המסקנה היא ברורה: העובדים הם קו ההגנה הראשון של הארגון ועליהם להבין את הסיכונים הכרוכים בפעילותם השוטפת ובסיוע למניעת חדירות, דליפות נתונים והתקפות אחרות.
זה מתחיל בתמימות. גלישה והרשמה לאתר לא מוכר, פתיחת מייל משולח לא מוכר, אי החלפת סיסמה בזמן או התעלמות מעדכון גרסה, עלולים להיות מקור לאירוע סייבר יקר וכואב לארגון. ניתן וצריך למנוע את האיומים הללו באמצעות שימוש בסיסמאות חזקות, הימנעות מלחיצה על קישורים חשודים והתקנת עדכוני אבטחה באופן קבוע. ואולם, גם על ההנהלה מוטלת החובה לחדד באופן תדיר את המדיניות ונהלי האבטחה של הארגון, ולמנות את האנשים הנכונים לכך.
למה מודעות עובדים בסייבר חשובה כל כך לארגון?
העולם הדיגיטלי חשוף כיום יותר מאי פעם לאיומים שעלולים להוביל לנזקים כספיים אדירים, פגיעה במוניטין, ואף גניבת מידע רגיש. בתוך זה, העובדים הם המטרה הקלה ביותר עבור האקרים וביכולתם לשטות בהם ולהביא לחשיפת סיסמאות, פתיחת קבצים זדוניים או ביצוע פעולות אחרות שיאפשרו להם לחדור למערכות המחשוב של הארגון.
עובדים המודעים לסיכוני הסייבר יכולים לסייע לארגון במספר רב של אירועים.
מניעת התקפות: עובדים מודעים יכולים לזהות ולמנוע רבות מההתקפות הנפוצות ביותר, כגון פישינג (דיוג), תוכנות זדוניות, גניבת סיסמאות ועוד.
תגובה מהירה: במקרה של התקפת האקרים, מודעות עובדים בסייבר יכולה להגביל את הנזק על ידי דיווח מהיר לאנשי אבטחת המידע וביצוע הנחיותיהם.
שמירה על המוניטין: פגיעה באבטחת המידע עלולה לפגוע קשות במוניטין של הארגון. עובדים מודעים יכולים לסייע במניעת פגיעות אלו.
עמידה בחוק: ארגונים רבים כפופים לתקנות חוקיות המחייבות אותם להגן על מידע רגיש. מודעות עובדים בסייבר לסייע לארגון לעמוד בתקנות אלו.
שיפור התרבות הארגונית: תרבות של מודעות עובדים בסייבר יכולה לשפר את האמון בין העובדים להנהלה, וליצור סביבת עבודה בטוחה יותר.
מודעות עובדים בסייבר היא חיונית לכל ארגון שרוצה להגן על עצמו מפני איומים סייבר. על ידי השקעה בהדרכה ובהעלאת המודעות, ניתן להפחית משמעותית את הסיכון להתקפות מוצלחות ולשמור על נתוני החברה, המוניטין שלה ועובדיה.
10 המלצות לשיפור מודעות עובדים בסייבר
- הדרכה חובה: חשוב לוודא שכל העובדים עוברים הדרכה בסיסית בנוגע לאיומי סייבר נפוצים, שיטות הגנה טובות וחידוד נהלי החברה. ניתן לעשות זאת באמצעות הרצאות, סדנאות או קורסים מקוונים.
- דיוג מדומה: מעת לעת מומלץ לבצע בדיקות פישינג (דיוג) מדומה באופן קבוע כדי לבחון את ערנות העובדים ולזהות אלו מהם זקוקים להדרכה נוספת.
- הטמעת מדיניות אבטחה ברורה: חובה לוודא מדיניות אבטחה ברורה ונגישה לכל העובדים. מדיניות זו צריכה לכלול הנחיות לגבי שימוש בסיסמאות, גישה למידע, שימוש במכשירים ניידים ועוד.
- עדכונים שוטפים: שומרים את העובדים מעודכנים באיומי סייבר חדשים ובמידע על פרצות אבטחה אחרונות. ניתן לעשות זאת באמצעות שליחת עדכונים בדוא"ל, פרסום מודעות בחברה או קיום מפגשים קבועים.
- דגש על אחריות אישית: מדגישים בפני העובדים שכל אחד מהם אחראי לאבטחת המידע של החברה. מעודדים אותם לדווח על כל פעילות חשודה ולשאול שאלות אם אינם בטוחים לגבי משהו.
- תגמול והכרה: מתגמלים עובדים שמפגינים מודעות גבוהה לאבטחת סייבר או מדווחים על איומים בהצלחה. הכרה זו יכולה להיות בצורת פרסים, בונוסים או פשוט הערכה מילולית.
- משחקים ותחרויות: בארגונים מתקדמים הופכים את לימוד אבטחת הסייבר למהנה יותר באמצעות משחקים ותחרויות. ניתן, למשל, לקיים חידונים, טריוויה או סימולציות של התקפות סייבר.
- שימוש בשילוט פנים: אחת הדרכים לתפוס את תשומת הלב בנושא אבטחת סייבר ברחבי החברה, היא פשוט לתלות שלטי תזכורת קבועה המזכירה לעובדים להיות ערניים.
- הקמת קו תמיכה ייעודי: יוצרים קו תמיכה ייעודי אליו עובדים יכולים לפנות בכל שאלה או חשש בנוגע לאבטחת סייבר.
- מעורבות ההנהלה: חשוב שההנהלה הבכירה תהיה מעורבת באופן פעיל בתוכנית המודעות לאבטחת הסייבר של החברה. הדבר יראה לעובדים שחשיבות אבטחת המידע גבוהה בעיני הדרגים הגבוהים בארגון.
בשנים האחרונות פריצות אבטחה הן תעשייה אפלה המגלגלת מיליארדי דולרים מדי שנה. דרישות הכופר רק עולות וזה עוד לפני שהזכרנו את ההתקפות הלאומניות המשויכות למדינות אויב. גם להתחזקות המסחר האלקטרוני יש יד בהתגברות האיומים, אבל זאת בדיוק הסיבה לנחיצותה של העלאת המודעות של העובדים.
