Security awareness, czyli program zmieniający nawyki pracowników
Security awareness to budowanie nawyków, a nie przekazywanie wiedzy raz w roku. Pracownik, który ćwiczył na udawanym ataku, reaguje inaczej niż ten, który obejrzał prezentację. Poniżej porównujemy trzy modele takiego programu.
W skrócie
Security awareness to ciągły program, który uczy pracowników rozpoznawać ataki socjotechniczne i właściwie na nie reagować. Opiera się na powtarzalnych ćwiczeniach, krótkich lekcjach i mierzeniu wyników. Naiwne realizuje go jako abonament dla firm.
| Pojęcie | Znaczenie |
|---|---|
| Security awareness | Świadomość bezpieczeństwa, czyli nawyki i wiedza pracowników |
| Socjotechnika | Wykorzystanie zaufania i presji, by skłonić człowieka do działania |
| Symulacja | Kontrolowany, udawany atak na własny zespół |
| Mikrolekcja | Bardzo krótka lekcja w chwili, gdy błąd jest najlepiej zapamiętany |
Jakie są modele programu security awareness?
W praktyce firmy wybierają jeden z trzech modeli. Poniższa tabela porównuje je neutralnie, według tego, co dają i czego brakuje.
| Model | Co daje | Czego brakuje |
|---|---|---|
| Jednorazowe szkolenie z trenerem | Kontakt na żywo, pytania, spełnienie formalnego wymogu | Brak powtarzania, brak pomiaru, wiedza słabnie po kilku tygodniach |
| E-learning płatny za osobę | Dostęp w dowolnym czasie, zaświadczenia | Mały efekt bez ćwiczeń na realnych schematach, koszt rośnie z liczbą osób |
| Ciągły program symulacji | Powtarzalne ćwiczenia, lekcja w chwili błędu, trend i raport | Wymaga planu kampanii i regularnego rytmu |
Dlaczego powtarzalne ćwiczenia działają lepiej?
Odruchy powstają przez powtarzanie. Kiedy pracownik raz w miesiącu widzi realistyczną wiadomość i dostaje natychmiastową lekcję, uczy się w momencie, w którym uwaga jest największa. Dlatego Naiwne łączy symulację z lekcją po kliknięciu.
Od czego zacząć program security awareness?
- dodaj zespół przez import z Microsoft 365 albo Google Workspace
- zaplanuj kampanię na 12 miesięcy
- uruchom pierwszą symulację i obserwuj wyniki
- raz na kwartał przekaż zarządowi raport
Kroki opisujemy szczegółowo na stronie jak to działa. Zakres programu dla pracowników znajdziesz na stronie szkolenie z cyberbezpieczeństwa dla pracowników.