Ευαισθητοποίηση στην ομάδα σας

Ενότητα 9: Κανόνες και οργάνωση · Χρόνος ανάγνωσης: 9 λεπτά

Στόχος μαθήματος: Μετά από αυτό το μάθημα θα μπορείτε να οργανώσετε την ευαισθητοποίηση σε μια μικρή ομάδα: συμφωνίες, αναφορά χωρίς ενοχές, εξάσκηση και επανάληψη.
Βασικές έννοιες: ευαισθητοποίηση, συμπεριφορά, κουλτούρα αναφοράς, άσκηση phishing (με συναίνεση και χωρίς τιμωρία), νέος συνεργάτης, σύντομη επανάληψη

Η γνώση δεν είναι το ίδιο με την πράξη

Σχεδόν όλοι γνωρίζουν ότι δεν πρέπει να κάνετε κλικ σε ύποπτους συνδέσμους. Κι όμως, αυτό συμβαίνει καθημερινά, ακόμα και σε ανθρώπους που το γνωρίζουν καλύτερα. Αυτό δεν οφείλεται σε αφέλεια. Οφείλεται στο ότι ένα phishing email (μάθημα 1.2 και ενότητα 3) εκμεταλλεύεται ακριβώς τον τρόπο που δουλεύουμε: πίεση, βιασύνη, την επιθυμία να βοηθήσουμε έναν πελάτη ή συνάδελφο. Μια Παρασκευή απόγευμα στις πέντε παρά τέταρτο, ανάμεσα σε τριάντα άλλα email, ένα «εκκρεμές τιμολόγιο» μοιάζει απολύτως φυσιολογικό.

Η ευαισθητοποίηση επομένως δεν αφορά μόνο τη γνώση, αλλά τη συμπεριφορά: τι κάνουν στην πραγματικότητα οι άνθρωποι, ακόμα κι όταν είναι κουρασμένοι ή βιάζονται; Ο στόχος δεν είναι να γίνει ο καθένας ειδικός. Ο στόχος είναι λίγα σταθερά αντανακλαστικά:

1. Σταματήστε όταν ένα μήνυμα ζητάει κάτι: χρήματα, έναν κωδικό πρόσβασης, ένα κλικ, το άνοιγμα ενός συνημμένου, την εγκατάσταση κάποιου λογισμικού.
2. Ελέγξτε μέσω άλλου καναλιού: συνδεθείτε μόνοι σας αντί να ακολουθήσετε τον σύνδεσμο, καλέστε πίσω σε έναν γνωστό αριθμό.
3. Αναφέρετε αν κάτι δεν φαίνεται σωστό, ακόμα κι αν έχετε ήδη κάνει κλικ.

Αυτό το τρίτο αντανακλαστικό είναι το σημαντικότερο και εξαρτάται εξ ολοκλήρου από το πώς το χειρίζεται η ομάδα σας.

Αναφορά χωρίς ενοχές

Φανταστείτε δύο επιχειρήσεις. Στην πρώτη, ένας συνεργάτης που έκανε κλικ σε έναν σύνδεσμο phishing δέχεται θυμωμένη αντίδραση από τον ιδιοκτήτη: «Πώς μπορέσατε να είστε τόσο απρόσεκτοι;» Στη δεύτερη, ο ιδιοκτήτης λέει: «Καλά κάνατε και το είπατε αμέσως, έτσι μπορούμε τώρα να αλλάξουμε τον κωδικό πρόσβασής σας.»

Τι συμβαίνει την επόμενη φορά που κάποιος κάνει κλικ; Στην πρώτη επιχείρηση, μένει σιωπηλός και ελπίζει ότι όλα θα πάνε καλά. Στη δεύτερη επιχείρηση, το αναφέρει μέσα σε πέντε λεπτά.

Αυτή η διαφορά είναι τεράστια. Σε περίπτωση κατάληψης λογαριασμού ή έναρξης επίθεσης ransomware, μετράει κάθε ώρα (μάθημα 1.3 και 3.5). Μια αναφορά εντός πέντε λεπτών σημαίνει: αλλαγή κωδικού πρόσβασης πριν συνδεθεί ο επιτιθέμενος, ανάκληση συνεδριών, αποσύνδεση ενός υπολογιστή από το δίκτυο πριν κρυπτογραφηθεί οτιδήποτε. Μια αναφορά μετά από τρεις εβδομάδες, ή ποτέ, σημαίνει ότι ο επιτιθέμενος είχε όλο τον χρόνο στη διάθεσή του.

Μια καλή κουλτούρα αναφοράς έχει μερικά χαρακτηριστικά:

• Ένα σαφές σημείο αναφοράς. Όλοι γνωρίζουν σε ποιον πρέπει να απευθυνθούν: ένα όνομα και έναν αριθμό τηλεφώνου, καθώς και έναν αναπληρωτή όταν αυτό το άτομο απουσιάζει. Αυτό αναγράφεται και στην κάρτα περιστατικού (μάθημα 8.1).
• Ευχαριστήστε, μην τιμωρείτε. Όποιος αναφέρει κάτι, ακόμα και δικό του λάθος, λαμβάνει ένα ευχαριστώ. Πείτε το δυνατά στην ομάδα: «Η Σάννε ανέφερε σήμερα το πρωί ένα πλαστό τιμολόγιο, έτσι μπορέσαμε να προειδοποιήσουμε τους υπόλοιπους.»
• Η αμφιβολία επιτρέπεται επίσης. Το «Δεν είμαι σίγουρος αν αυτό είναι αληθινό» είναι μια καλή αναφορά. Καλύτερα να ελεγχθεί δέκα φορές ένα πραγματικό email παρά να παραβλεφθεί μία φορά ένα πλαστό.
• Το παράδειγμα της διοίκησης. Όταν ο ίδιος ο ιδιοκτήτης αναφέρει ότι παραλίγο να πέσει θύμα κάποιου κόλπου, αυτό διευκολύνει όλους τους υπόλοιπους.

Η τιμωρία έχει το αντίθετο αποτέλεσμα. Όχι επειδή τα λάθη δεν είναι σοβαρά, αλλά επειδή με την τιμωρία δεν μειώνετε τα λάθη, μόνο τις αναφορές.

Συμφωνίες που διευκολύνουν τη συμπεριφορά

Οι άνθρωποι ακολουθούν ευκολότερα έναν κανόνα που είναι σαφής και απλός. Φροντίστε ώστε η ασφαλής συμπεριφορά να είναι και η πιο εύκολη συμπεριφορά. Μερικές συμφωνίες που ταιριάζουν σχεδόν σε κάθε μικρή επιχείρηση:

Καταγράψτε τις συμφωνίες σε μία σελίδα Α4. Όχι είκοσι σελίδες πολιτικής που κανείς δεν διαβάζει, αλλά μια λίστα που μπορεί να κρεμαστεί δίπλα στη μηχανή του καφέ.

Εξάσκηση

Μια συμφωνία που δεν εξασκείτε ποτέ, ξεχνιέται. Υπάρχουν διάφοροι τρόποι εξάσκησης, από ελαφριούς έως πιο εντατικούς.

Εξέταση παραδειγμάτων μαζί. Αφιερώστε στη συνάντηση της ομάδας πέντε λεπτά για ένα πραγματικό ύποπτο email που έλαβε κάποιος (χωρίς προσωπικά δεδομένα). Από τι το καταλάβατε; Ποιο ήταν το πραγματικό domain του συνδέσμου; Αυτό δεν κοστίζει τίποτα και λειτουργεί εκπληκτικά καλά, επειδή αφορά πραγματικά μηνύματα στο δικό σας γραμματοκιβώτιο.

Μια άσκηση tabletop. Συζητάτε μαζί ένα σενάριο: «Είναι Δευτέρα πρωί και κανείς δεν μπορεί πλέον να έχει πρόσβαση στον δικτυακό δίσκο. Σε κάθε υπολογιστή εμφανίζεται ένα μήνυμα με αίτημα λύτρων. Τι κάνουμε;» Περνάτε μαζί την κάρτα περιστατικού και εντοπίζετε πού υπάρχουν κενά (μάθημα 8.1). Μία ώρα, μία φορά τον χρόνο.

Μια άσκηση phishing. Στέλνετε στους συναδέλφους ένα πλαστό email phishing για να δείτε ποιος κάνει κλικ και ποιος το αναφέρει. Αυτό μπορεί να είναι διδακτικό, αλλά μόνο αν γίνει σωστά:

• Με συναίνεση και προαναγγελία. Ενημερώστε εκ των προτέρων ότι φέτος θα γίνουν ασκήσεις, χωρίς να αναφέρετε την ημερομηνία. Κανείς δεν πρέπει να νιώσει εξαπατημένος εκ των υστέρων.
• Χωρίς τιμωρία. Όποιος κάνει κλικ λαμβάνει αμέσως μια σύντομη εξήγηση για το πώς θα μπορούσε να το είχε αναγνωρίσει, όχι επίπληξη και καμία λίστα ονομάτων στη συνάντηση της ομάδας.
• Μετρήστε αυτό που μετράει. Ο αριθμός των αναφορών είναι σημαντικότερος από τον αριθμό των κλικ. Μια άσκηση όπου τρία άτομα κάνουν κλικ αλλά πέντε την αναφέρουν εντός δέκα λεπτών, είναι επιτυχημένη.
• Κανένα κακόβουλο θέμα. Κανένα πλαστό email για μπόνους, απόλυση ή την υγεία κάποιου συναδέλφου. Αυτό βλάπτει την εμπιστοσύνη περισσότερο απ' όσο αποδίδει.
• Προσέξτε το απόρρητο. Μην διατηρείτε περισσότερο από όσο χρειάζεται τα στοιχεία για το ποιος έκανε κλικ και ποτέ μην το χρησιμοποιήσετε για αξιολόγηση.

Για μια ομάδα πέντε ατόμων, η πρώτη μορφή είναι συχνά ήδη αρκετή. Μια άσκηση phishing έχει νόημα μόνο όταν υπάρχουν ήδη οι συμφωνίες και το σημείο αναφοράς.

Νέοι συνεργάτες και επανάληψη

Δύο στιγμές είναι ιδιαίτερα σημαντικές.

Η πρώτη ημέρα εργασίας. Ένας νέος συνεργάτης λαμβάνει λογαριασμούς, ένα laptop και πρόσβαση σε συστήματα. Ακριβώς σε αυτές τις πρώτες εβδομάδες δεν γνωρίζει ακόμα πώς λειτουργούν κανονικά τα πράγματα, και άρα ούτε τι είναι ασυνήθιστο. Ένας απατεώνας που παρουσιάζεται ως «το τμήμα IT» ή «ο διευθυντής» έχει τότε περισσότερες πιθανότητες επιτυχίας. Αφιερώστε κατά την έναρξη μισή ώρα για το Α4 με τις συμφωνίες, το σημείο αναφοράς, τον διαχειριστή κωδικών πρόσβασης και την ενεργοποίηση του ελέγχου ταυτότητας δύο παραγόντων. Εντάξτε το στη ίδια λίστα με την υπόλοιπη διαδικασία πρόσληψης (μάθημα 7.1).

Σύντομη επανάληψη. Η ευαισθητοποίηση ξεθωριάζει με τον καιρό. Μία μεγάλη εκπαίδευση τον χρόνο λειτουργεί λιγότερο καλά από πέντε λεπτά κάθε μήνα. Ιδέες για μια τέτοια σύντομη επανάληψη:

• συζήτηση ενός ύποπτου email αυτού του μήνα·
• ανάδειξη μίας συμφωνίας από το Α4 και η ερώτηση αν εξακολουθεί να λειτουργεί·
• ένα νέο είδος απάτης που εμφανίστηκε στα νέα (για παράδειγμα ένα νέο πρόσχημα μέσω sms ή WhatsApp, μάθημα 3.4)·
• η ερώτηση «ανέφερε κανείς κάτι αυτόν τον μήνα;» και ευχαριστίες σε όποιον το έκανε.

Στην πράξη: έτσι μοιάζει

Ένα παράδειγμα, βασισμένο σε καταστάσεις που συχνά προκύπτουν. Ένα αρχιτεκτονικό γραφείο με εννέα άτομα είχε ένα έγγραφο πολιτικής δεκατεσσάρων σελίδων που υπογραφόταν κατά την πρόσληψη και μετά δεν ανοιγόταν ποτέ ξανά. Μετά από μια απάτη τιμολογίου που παραλίγο να πετύχει, άλλαξαν τρία πράγματα: ένα Α4 με έξι συμφωνίες δίπλα στον εκτυπωτή, ένα σταθερό όνομα και έναν αριθμό τηλεφώνου για αναφορές, και κάθε πρώτη Δευτέρα του μήνα πέντε λεπτά «ύποπτη αλληλογραφία» στη συνάντηση της ομάδας. Στο πρώτο εξάμηνο ήρθαν περισσότερες αναφορές απ' ό,τι στα πέντε προηγούμενα χρόνια. Δύο από αυτές ήταν πραγματικές επιθέσεις, που εντοπίστηκαν τόσο νωρίς ώστε τελικά δεν συνέβη τίποτα. Οι υπόλοιπες ήταν ψευδής συναγερμός και κάθε φορά απλώς ευχαριστούσαν τον συνεργάτη.

Σύνοψη

• Η ευαισθητοποίηση αφορά τη συμπεριφορά: σταματήστε, ελέγξτε μέσω άλλου καναλιού και αναφέρετε.
• Η αναφορά χωρίς ενοχές εξασφαλίζει γρήγορες αναφορές· η τιμωρία μειώνει μόνο τις αναφορές, όχι τα λάθη.
• Καταγράψτε τις συμφωνίες σε ένα Α4 και κάντε την ασφαλή συμπεριφορά την πιο εύκολη συμπεριφορά.
• Εξασκηθείτε με πραγματικά παραδείγματα και μια άσκηση tabletop· κάντε μια άσκηση phishing μόνο με προαναγγελία, χωρίς τιμωρία και με προσοχή στο απόρρητο.
• Δώστε επιπλέον προσοχή στους νέους συνεργάτες και επαναλάβετε σύντομα και συχνά.

Κουίζ

Άσκηση

Άσκηση D9.2: Ένα σχέδιο ευαισθητοποίησης για την ομάδα σας. Δημιουργήστε για τη δική σας επιχείρηση ένα Α4 με το πολύ οκτώ συμφωνίες, ορίστε ένα σημείο αναφοράς και έναν αναπληρωτή, και προγραμματίστε για τον επόμενο χρόνο πότε θα κάνετε σύντομη επανάληψη και ποια άσκηση θα πραγματοποιήσετε. Απαντήστε στη συνέχεια στις ερωτήσεις αναστοχασμού.

Περαιτέρω ανάγνωση

Τα βήματα στα άρθρα του WebOké ισχύουν για το περιβάλλον του WebOké· σε άλλους παρόχους η διαδικασία είναι παρόμοια.

• Είναι αυτό το email πραγματικά από την WebOké; Αναγνώριση phishing και χρήση του κωδικού προσφοράς
• Εθνική Αρχή Κυβερνοασφάλειας, Phishing: https://cyber.gov.gr/
• Οι οδηγίες της Εθνικής Αρχής Κυβερνοασφάλειας για ελεύθερους επαγγελματίες και μικρομεσαίες επιχειρήσεις: https://cyber.gov.gr/
• Διεύθυνση Δίωξης Ηλεκτρονικού Εγκλήματος (αναφορά απάτης και phishing): https://www.cyberalert.gr/