Membangun Budaya Keamanan yang Kuat di Seluruh Organisasi Anda
Oktober adalah Bulan Kesadaran Keamanan Siber Nasional.
Itu juga terjadi menjadi (di antara lain) Bulan Kesadaran Kanker Payudara, Bulan Kebersihan Gigi, Bulan Pencegahan Intimidasi Nasional dan favorit pribadi saya, Bulan Pizza Nasional. Plus, itu adalah Halloween! Tapi saya menjelang…kita di sini untuk membicarakan keamanan siber.
Setiap produsen harus menyelenggarakan pelatihan kesadaran keamanan siber untuk semua staf setidaknya setahun sekali. Banyak orang ketakutan dengan sekadar menyebutkan kata “keamanan siber” dan “pelatihan,” jadi Oktober tampak seperti waktu yang tepat untuk itu. Pelatihan Anda harus, paling tidak, mencakup kebijakan perusahaan yang relevan seperti keamanan TI, keamanan informasi, dan keamanan fisik.
Selama bertahun-tahun banyak dari kita telah mengambil jenis pelatihan ini dan belajar untuk takut akan itu. Pelatihan di mana seseorang memberikan pidato keamanan siber yang sama seperti tahun lalu lalu membagikan kertas untuk Anda tanda tangan mengatakan Anda hadir. Benar-benar membosankan. Jenis pelatihan ini melakukan pekerjaannya sejauh memenuhi standar minimum tetapi memiliki sedikit dampak pada pembentukan perilaku karyawan sebenarnya.
Tujuan sebenarnya dari upaya kesadaran dan pelatihan keamanan siber adalah untuk menciptakan budaya keamanan, artinya karyawan harus melihat praktik keamanan siber yang baik sebagai bisnis yang baik dan sebagai bagian dari “bagaimana kita berbisnis di sini.” Karyawan harus merasa diberdayakan untuk membuat keputusan keamanan siber yang baik dan memahami apa yang membuat keputusan yang baik. Kesadaran dan pelatihan harus fokus pada:
Menghentikan perilaku berisiko: Bantu karyawan mengetahui keputusan apa yang dapat mengarah pada hasil buruk. Misalnya, membuka lampiran email dari sumber yang tidak dikenal.
Mendorong perilaku yang kurang berisiko: Bantu karyawan memahami dan peduli tentang menerapkan proses yang meningkatkan keamanan. Misalnya, cara membuat kata sandi yang kuat.
Mengubah karyawan menjadi pengawas: Bantu karyawan mengenali dan merespons peristiwa keamanan siber. Misalnya, apa yang harus dilakukan jika tamu mencolokkan drive USB yang tidak sah ke mesin.
Ideally, pelatihan harus menjadi upaya berkelanjutan. Beberapa ide tentang bagaimana menyertakan pelatihan keamanan siber dalam operasional harian bisnis Anda meliputi:
Seringkali menekankan keamanan siber sebagai tujuan penting perusahaan Anda.
Integrasikan satu tips, trik atau pengingat keamanan siber ke dalam setiap rapat.
Pasang pengingat di sekitar tempat kerja tentang praktik keamanan yang sesuai.
Lakukan rapat teratur untuk membahas perbaikan proses yang mungkin dapat membuatnya lebih mudah bagi karyawan untuk membuat keputusan keamanan yang lebih baik.
Telah banyak penelitian tentang bagaimana pelatihan keamanan siber karyawan yang baik terlihat. Secara umum, itu dapat diringkas dengan akronim “RAINSTORMS.” Ya, saya baru saja membuatnya sekarang.
Real: Menggunakan studi kasus dunia nyata atau skenario realistis membantu membawa pelajaran ke rumah.
Actionable: Sertakan sesuatu yang dapat dilakukan karyawan segera. Ini mungkin mencakup mengubah kata sandi mereka, membuat inventaris aset TI mereka atau memastikan mereka memiliki informasi kontak untuk orang atau organisasi yang harus dilaporkan insiden di ponsel mereka. Kadang-kadang tugas rumah jangka panjang juga sesuai, tetapi memiliki tujuan segera selalu membantu.
Interactive: Role-play, diskusi kelompok kecil atau latihan praktik adalah beberapa cara besar untuk membuat pelatihan lebih interaktif. Idealmente, interaksi harus mencakup percakapan dua arah yang melibatkan semua tingkat manajemen untuk memastikan semua orang tahu bahwa semua orang memiliki tanggung jawab yang sama, dan semua orang berada di halaman yang sama.
New: Beberapa repetisi sesuai dalam pelatihan, terutama ketika berbicara tentang kebijakan, tetapi itu tidak boleh membosankan. Format pelatihan yang berbeda (misalnya kuliah, role-play, video) dapat membantu.
Small: Potongan informasi yang kecil jauh lebih mudah dicerna daripada gelar ilmu komputer penuh informasi yang dipaksa pada karyawan. Satu topik pada satu waktu umumnya lebih disukai.
Testable: Harus ada tujuan yang terukur dan dapat diuji untuk pelatihan keamanan siber. Jika itu kesadaran umum, mungkin kuis dapat dikembangkan. Jika tujuannya adalah untuk mengurangi serangan phishing, mungkin email palsu phishing dapat dikirim beberapa minggu sebelum dan beberapa minggu setelah acara. Ini akan membantu menunjukkan seberapa efektif pelatihan tersebut.
Owned: Karyawan harus meninggalkan pelatihan dengan rasa kepemilikan dan bahwa keamanan siber adalah tanggung jawab mereka; mereka harus merasa diberdayakan untuk membuat keputusan keamanan siber yang baik.
Relevant: Sebagian besar perusahaan memiliki berbagai jenis pengguna. Menyesuaikan pelatihan untuk setiap jenis pengguna membuatnya lebih nyata. Ini mungkin berarti memiliki pelatihan yang berbeda untuk karyawan lantai pabrik versus karyawan kantor.
Memorable: Gunakan akronim, mnemonic yang ringkas, atau, favorit pribadi saya, humor. Manusia mengingat hal-hal lucu – kata lelucon, video musik buruk, meme kucing yang konyol – jauh lebih baik daripada kuliah yang membosankan. Jangan takut untuk membuatnya tidak konvensional dan bersenang-senang.
Simple: Di atas segalanya, pelatihan harus sederhana. Pelatihan terlalu teknis yang penuh dengan istilah teknis hanya baik untuk membuat orang tertidur.
National Initiative for Cybersecurity Education (NICE) memiliki daftar kecil sumber daya gratis dan berbiaya rendah untuk membantu pelatihan karyawan. Juga ada banyak sumber daya tambahan yang tersedia online. Cukup cari di internet dan Anda akan terpancar dengan opsi. Evaluasi opsi tersebut menggunakan template RAINSTORMS di atas.
Selama bulan Oktober, NIST MEP akan memposting serangkaian blog yang mengikuti tema dan garis besar yang disediakan oleh National Cybersecurity Alliance (NCSA). Tema tahun ini adalah “Lakukan Bagian Anda. #BeCyberSmart.” Secara pribadi, saya tidak pernah menjadi penggemar mempromosikan hashtag sendiri, tetapi jika Anda tweet atau blog tentang keamanan siber selama bulan ini, pertimbangkan untuk menggunakan hashtag #BeCyberSmart – kita akan melihat sejauh mana itu pergi.
Garis besar yang dikeluarkan NCSA adalah sebagai berikut:
Minggu 5 Oktober (Minggu 1): Jika Anda Menghubunginya, Lindungi
Minggu 12 Oktober (Minggu 2): Mengamankan Perangkat di Rumah dan Kerja
Minggu 19 Oktober (Minggu 3): Mengamankan Perangkat Terhubung Internet di Perawatan Kesehatan
Minggu 26 Oktober (Minggu 4): Masa Depan Perangkat Terhubung
Tidak yakin di mana memulai? Anda dapat mempelajari lebih lanjut tentang cara mengimplementasikan program pelatihan keamanan siber yang efektif dengan menghubungi Pusat MEP lokal Anda. Anda juga dapat mengakses sumber daya keamanan siber untuk produsen di situs web NIST MEP.
Blog ini adalah bagian dari seri yang diterbitkan untuk Bulan Kesadaran Keamanan Siber Nasional (NCSAM). Blog lain dalam seri ini meliputi If You Connect It, Protect It oleh Zane Patalive, Suspicious Minds: Non-Technical Signs Your Business Might Have Been Hacked oleh Pat Toth, Securing Internet-Connected Medical Devices oleh Jennifer Kurtz dan The Future of Connected Devices oleh Erik Fogleman dan Jeff Orszak.
