Firma może wydawać miliony na cyberbezpieczeństwo, ale wystarczy jeden ludzki błąd, żeby jej przyszłość stanęła pod znakiem zapytania. Pomyłki i zaniechania pracowników mogą skutkować poważnymi stratami. Tymczasem nawet co drugi pracownik ma obawy przez zgłaszaniem luk w zabezpieczeniach.
Według badania przeprowadzonego przez Think Cyber wśród specjalistów ds. cyberbezpieczeństwa, nawet połowa pracowników obawia się zgłosić błąd w zabezpieczeniu organizacji. Mimo rosnącej liczby ataków oraz podnoszenia świadomości dotyczącej cybernetycznych zagrożeń w ramach szkoleń dla pracowników, sytuacja bezpieczeństwa w firmach maluje się w ciemnych barwach. Specjaliści ds. cyberbezpieczeństwa pytani o największe obawy, jeśli chodzi o zachowania pracowników związane z bezpieczeństwem, wskazali przede wszystkim: klikanie linków w wiadomościach e-mail, udostępnianie danych firmowych na zewnętrz oraz udostępnianie nazw użytkowników i haseł. Zgłaszała je mniej więcej połowa ankietowanych.
Pracownicy nie zachowują się zgodnie z procedurami nawet mimo ogromnego nacisku na przestrzeganie zasad dotyczących bezpieczeństwa. Dodatkowo aż 60 proc. ankietowanych przyznaje, że szkolenia dotyczące cyfrowego bezpieczeństwa w ich organizacjach odbywają się zdecydowanie zbyt rzadko, bo raz na kilka miesięcy lub nawet raz w ciągu roku. Tymczasem zagrożenia stają się coraz częstsze i coraz bardziej skomplikowane.
– Sytuacja związana z cyberbezpieczeństwem zmienia się z tak dużą dynamiką, że szkolenia ledwo nadążają za nowymi wyzwaniami. Tym bardziej wiedzę dotyczącą cyfrowego bezpieczeństwa należy aktualizować na bieżąco, aby organizacje były po prostu mniej podatne na zagrożenia. Zwłaszcza, że niebezpieczeństw jest coraz więcej. Pracownicy powinni wiedzieć, jak mają zachowywać się na co dzień, aby nie narazić swojego pracodawcy na kryzys. To kwestia nie tylko bezpieczeństwa, ale także zgodności z wymaganiami regulatora – tłumaczy Paweł Ładna, Cybersecurity Consultant z firmy Safesqr, specjalizującej się w cyberbezpieczeństwie.
Wśród wyzwań, z jakimi muszą mierzyć się organizacje są monitoring zabezpieczeń oraz mierzenie i śledzenie postępów w zakresie cyberbezpieczeństwa. Jak wynika z opinii ankietowanych, nie jest to łatwe. Aż 42 proc. specjalistów deklaruje, że ich firma nie jest w stanie wykazać, że szkolenia, które oferuje pracownikom, są skuteczne. To pokazuje, że pracownicy nie wierzą, że szkolenia mogą być efektywne, a to może wpływać na ich zaangażowanie.
Badanie wykazało dodatkowo zadziwiająco beztroskie podejście do zagadnień związanych z bezpieczeństwem, zwłaszcza wśród szeregowych pracowników. Tylko niewiele ponad połowa (51 proc.) zgadza się ze stwierdzeniem, że większość osób zatrudnionych w ich organizacji koncentruje się na bezpieczeństwie, a 39 proc., że robi to tylko kadra kierownicza i zespoły, które się w tym specjalizują. Natomiast połowa stwierdziła, że obawia się reperkusji wywołanych zgłoszeniem błędu lub luki w systemie zabezpieczeń firmy.
To właśnie jest najbardziej niepokojące. Pracownicy nie chcą zgłaszać błędów, ponieważ obawiają się kary, upokorzenia lub utraty pracy, zwłaszcza jeśli zagrożenie wynikało z ich działania. Powodem może być także brak zaufania, transparentności i odpowiedniej komunikacji. Pracownicy mogą też uważać, że ich wysiłki są niedoceniane lub ignorowane. Ostatni czynnik to wspomniany brak szkoleń i odpowiednich procedur – osoby, które wiedzą, jak rozpoznać zagrożenie, mogą po prostu nie wiedzieć, jakie podjąć kroki.
Ekspertka Safesqr podkreśla ważną rolę procedur tworzących bezpieczne środowisko do zgłaszania wszelkich problemów i podsuwają rozwiązania, jakie mogą zachęcić pracowników do współdziałania:
– Organizacje mogą np. wprowadzić politykę anonimowego zgłaszania błędów i zapewniać, że wszelkie tego typu informacje będą traktowane z odpowiednią wagą i bez represji. Dodatkowo istotne jest stworzenie kultury organizacyjnej, w której błędy nie są powodem do karania, ale okazją do nauki i poprawy, to może skutecznie zmniejszyć obawy pracowników. Firmy przede wszystkim powinny skupić się na rozwoju i poprawie procesów, zamiast szukaniu winnych – mówi Natalia Zajic, konsultantka cybersecurity.
Aby skutecznie zachęcić pracowników do zgłaszania problemów z zabezpieczeniami, konieczne jest zrozumienie ich obaw oraz wprowadzenie konkretnych działań, które te obawy zmniejszą lub zlikwidują.
