0 
0 Não importa quanta tecnologia você adquire ou quantos controles técnicos específicos você instala, quando se trata do seu programa de conscientização sobre segurança da informação, o controle mais importante para sintonizar dentro do seu ambiente é o seu pessoal.
Não estou dizendo nada de novo aqui. Mas à medida que passamos para um terceiro ano de funcionários trabalhando regularmente em casa ou voltando para um ambiente que pode ser dramaticamente reconfigurado e é pessoal diferente de antes (o escritório), não estamos voltando à maneira como as coisas eram nos “tempos anteriores”.
É importante que seus esforços atuais de conscientização de segurança sejam apropriados para como seus funcionários trabalham hoje, não como eles trabalharam há dois anos.
Aqui estão quatro personas de funcionários para você considerar e reconhecer à medida que você revisa e atualiza seu programa de conscientização de segurança:
Funcionários como defensores de primeira linha
As culturas de segurança mais fortes são aquelas em que cada funcionário entende plenamente que está na linha de frente. Eles são membros estendidos e o sistema de aviso antecipado para sua equipe principal no SOC.
Facilite para eles expressarem preocupação com algo que viram ou experimentaram. É a mesma mentalidade do mantra “Se você ver alguma coisa, diga alguma coisa” que todos vemos quando pegamos o transporte público. Não se contente em desenvolver e publicar uma política excessivamente complicada que detalha os muitos passos que o funcionário deve seguir se acreditar que há atividade suspeita. Muitas vezes há muito atrito.
Pense em como esse funcionário preocupado pode rapidamente entrar em contato com sua equipe de segurança da informação diretamente através de um telefonema e via chat. Fornecer vários canais para pedir ajuda aumenta as chances de que um deles seja usado. Um funcionário que acha muito difícil preencher seu formulário de ajuda para abrir um bilhete pode ser um funcionário que decide que simplesmente não vale a pena.
Empregados como pessoas
E as pessoas não são máquinas. Nós nos distraímos. Nós nos cansamos. Cometemos erros. Queremos fazer a coisa certa para nossa organização, e precisamos fazer nosso trabalho, mas às vezes pode parecer que ambos os objetivos estão em oposição um ao outro.
Quando seu currículo de treinamento é apresentado como a maioria dos outros treinamentos que os funcionários consomem – sentados em um exercício de múltipla escolha, tentando atingir a pontuação mínima de passagem para apenas tirá-lo do caminho – você corre o risco de seu público se sintonizar.
Consider a continuous “drip” approach versus a once-a-year “hammer” approach. One way to accomplish this is to wrap additional content around the main curriculum/test each year – in some organizations, the wrapper might even replace the single test.
Um exemplo: um e-mail trimestral que conecta diretamente um incidente relatado em outros lugares do setor ao comportamento dos funcionários que levou ao incidente.
Tomar uma abordagem mais aberta onde você cutuca explicitamente os funcionários durante o seu dia-a-dia de trabalho é outra alternativa: você pode ter uma tecnologia no local que pode monitorar o e-mail durante a composição e inserir um “você tem certeza?” quando um e-mail está indo para fora da organização para um domínio de risco conhecido, ou se ele contém um anexo com informações confidenciais.
Empregados como pais
Funcionários com famílias foram especialmente desafiadores nos últimos dois anos. Eles não se inscreveram para fazer seu próprio suporte técnico em casa. Eles não se inscreveram para impor suas regras de segurança de nível corporativo dentro de seu ambiente doméstico. E eles não se inscreveram por horas incomuns horas de trabalho e aumento significativo do estresse ao tentar ser um trabalhador e um pai durante uma pandemia, quando esses dois papéis estão sentados atrás do mesmo laptop na mesa da sala de jantar.
Ajude-os, mostre-lhes como proteger seus dispositivos de trabalho e seus dispositivos domésticos. Não tenha medo de explicar o “por quê” junto com o “como”.
Como exemplo, talvez você tenha enviado orientações explícitas sobre redes domésticas: “Certifique-se de que a senha do seu roteador Wi-Fi seja complexa.” Bom conselho, com certeza. Mas do ponto de vista do funcionário, o que exatamente é uma senha complexa? Por que é que uma senha complexa faz um trabalho melhor protegendo um ativo de informação versus uma senha não complexa? Onde um funcionário não técnico pode verificar qual é a senha Wi-Fi atual? Existe uma diferença entre uma senha administrativa e a senha que eles usam para juntar um dispositivo à sua rede Wi-Fi? Como eles reconhecem a distinção entre seu roteador Wi-Fi e seu modem a cabo? Emita sua orientação, mas tome o tempo e o cuidado para explicar.
Empregados como ameaças
Sabemos que existem dois tipos primários de ameaças da nossa população de funcionários: acidental e intencional. Seu conteúdo de conscientização de segurança deve ser responsável por esses dois públicos.
Os treinamentos devem incluir cenários envolvendo atores de ameaças externas e internas, cenários que são mais do que “não faça isso” mas “se você ver isso, aqui está o que fazer”. Esta também pode ser uma boa oportunidade para explicar exatamente por que sua organização se reserva o direito de monitorar os funcionários. E mesmo em ambientes onde você pode estar menos preocupado com o risco interno, certifique-se de que seu treinamento também inclua um ângulo de terceiros, especialmente para esse subconjunto de sua equipe que trabalha com parceiros externos.
Sempre haverá funcionários que simplesmente não se importam, que não se importam, e não se incomodam em prestar atenção ao seu currículo de treinamento. Seu trabalho é alcançar o máximo de seu público que puder, e reconhecer que os excepcionais sempre existirão.
Lembre-se: o trabalho não é um local, mas um resultado. Agora é o momento certo para rever seu programa de conscientização de segurança existente para confirmar que ele respeita a nova realidade que seus funcionários remotos estão experimentando todos os dias.
FONTE: HELPNET SECURITY