Budowanie świadomości w zespole

Moduł 9: Przepisy i organizacja · Czas czytania: 9 minut

Cel lekcji: Po tej lekcji można zorganizować budowanie świadomości w małym zespole: zasady, zgłaszanie bez obwiniania, ćwiczenia i powtórki.
Kluczowe pojęcia: świadomość, zachowanie, kultura zgłaszania, ćwiczenie phishingowe (za zgodą i bez karania), nowy pracownik, krótkie powtórki

Wiedza to nie to samo co działanie

Niemal każdy wie, że nie należy klikać w podejrzane linki. Mimo to zdarza się to każdego dnia, również osobom, które wiedzą lepiej. Nie wynika to z głupoty. Wynika to z tego, że e-mail phishingowy (lekcja 1.2 oraz moduł 3) trafia dokładnie w sposób, w jaki pracujemy: pośpiech, presja czasu, chęć pomocy klientowi lub koledze z pracy. W piątkowe popołudnie za piętnaście piąta, pośród trzydziestu innych wiadomości, „zaległa faktura” wygląda zupełnie zwyczajnie.

Budowanie świadomości nie dotyczy więc samej wiedzy, lecz zachowania: co ludzie robią naprawdę, także gdy są zmęczeni lub się spieszą? Celem nie jest, aby każdy stał się ekspertem. Celem jest wypracowanie kilku stałych odruchów:

1. Zatrzymać się przy wiadomości, która o coś prosi: o pieniądze, hasło, kliknięcie, otwarcie załącznika, zainstalowanie czegoś.
2. Sprawdzić inną drogą: zalogować się samodzielnie zamiast klikać w link, oddzwonić na znany numer.
3. Zgłosić, jeśli coś się nie zgadza, nawet jeśli kliknięcie już nastąpiło.

Ten trzeci odruch jest najważniejszy i zależy w całości od tego, jak podchodzi do tego zespół.

Zgłaszanie bez obwiniania

Proszę wyobrazić sobie dwie firmy. W pierwszej pracownik, który kliknął w link phishingowy, słyszy od właściciela zirytowaną reakcję: „Jak można być tak nieostrożnym?”. W drugiej właściciel mówi: „Dobrze, że od razu Państwo to zgłosili, możemy teraz zmienić hasło”.

Co się stanie następnym razem, gdy ktoś kliknie? W pierwszej firmie będzie milczeć i liczyć na to, że wszystko dobrze się skończy. W drugiej firmie zgłosi to w ciągu pięciu minut.

Ta różnica jest ogromna. Przy przejęciu konta lub początku ataku ransomware liczy się każda godzina (lekcja 1.3 oraz 3.5). Zgłoszenie w ciągu pięciu minut oznacza: zmianę hasła, zanim atakujący zdąży się zalogować, unieważnienie sesji, odłączenie komputera od sieci, zanim cokolwiek zostanie zaszyfrowane. Zgłoszenie po trzech tygodniach, albo nigdy, oznacza, że atakujący miał na wszystko czas.

Dobra kultura zgłaszania ma kilka cech charakterystycznych:

• Jeden jasny punkt zgłaszania. Każdy wie, do kogo ma się zgłosić: imię i nazwisko oraz numer telefonu, a także osobę zastępującą, gdyby ta pierwsza była nieobecna. Informacja ta znajduje się też na karcie postępowania w razie incydentu (lekcja 8.1).
• Dziękować, nie karać. Osoba, która zgłasza, także własny błąd, otrzymuje podziękowanie. Warto powiedzieć to głośno w zespole: „Anna zgłosiła dziś rano fałszywą fakturę, dzięki czemu mogliśmy ostrzec pozostałych”.
• Wątpliwości też są mile widziane. „Nie wiem, czy to prawdziwa wiadomość” to dobre zgłoszenie. Lepiej dziesięć razy sprawdzić prawdziwą wiadomość, niż raz przeoczyć fałszywą.
• Przykład idący z góry. Jeśli sam właściciel zgłasza, że niemal dał się nabrać, ułatwia to sprawę wszystkim pozostałym.

Karanie działa odwrotnie do zamierzonego efektu. Nie dlatego, że błędy nie są poważne, lecz dlatego, że karanie nie zmniejsza liczby błędów, a jedynie liczbę zgłoszeń.

Zasady, które ułatwiają właściwe zachowanie

Ludzie szybciej stosują się do zasady, która jest jasna i prosta. Należy zadbać, aby bezpieczne zachowanie było jednocześnie najłatwiejsze. Kilka zasad, które pasują niemal do każdej małej firmy:

Warto zapisać zasady na jednej kartce A4. Nie dwadzieścia stron polityki, której nikt nie czyta, lecz krótką listę, którą można powiesić obok ekspresu do kawy.

Ćwiczenie

Zasada, której nigdy się nie ćwiczy, zostaje zapomniana. Istnieje kilka sposobów ćwiczenia, od lżejszych po bardziej zaawansowane.

Wspólna analiza przykładów. Warto poświęcić podczas narady pięć minut na omówienie prawdziwej podejrzanej wiadomości, którą ktoś otrzymał (bez danych osobowych). Po czym było ją rozpoznać? Jaka była prawdziwa domena linku? Nie kosztuje to nic, a działa zaskakująco dobrze, ponieważ dotyczy prawdziwych wiadomości z Państwa własnej skrzynki.

Ćwiczenie symulacyjne (tabletop). Wspólnie omawia się scenariusz: „Jest poniedziałek rano i nikt nie ma już dostępu do dysku sieciowego. Na każdym komputerze widnieje żądanie okupu. Co robimy?”. Przegląda się wtedy kartę postępowania w razie incydentu i sprawdza, gdzie pojawiają się trudności (lekcja 8.1). Godzina, raz w roku.

Ćwiczenie phishingowe. Do współpracowników wysyła się spreparowaną wiadomość phishingową, aby sprawdzić, kto kliknie, a kto zgłosi. Może to być pouczające, ale tylko wtedy, gdy zostanie przeprowadzone właściwie:

• Za zgodą i zapowiedziane. Należy wcześniej poinformować, że w danym roku odbędą się ćwiczenia, bez podawania konkretnej daty. Nikt nie powinien poczuć się potem oszukany.
• Bez karania. Osoba, która kliknie, otrzymuje od razu krótkie wyjaśnienie, po czym mogła rozpoznać oszustwo, bez nagany i bez listy nazwisk omawianej na naradzie.
• Mierzyć to, co się liczy. Liczba zgłoszeń jest ważniejsza niż liczba kliknięć. Ćwiczenie, w którym trzy osoby klikną, ale pięć zgłosi to w ciągu dziesięciu minut, jest udane.
• Bez nieprzyjemnych tematów. Żadnej fałszywej wiadomości o premii, zwolnieniu czy stanie zdrowia współpracownika. Szkodzi to zaufaniu bardziej, niż daje korzyści.
• Dbałość o prywatność. Nie należy przechowywać dłużej niż to konieczne informacji o tym, kto kliknął, i nigdy nie wykorzystywać tego w ocenie pracownika.

Dla zespołu liczącego pięć osób pierwsza forma często wystarcza. Ćwiczenie phishingowe ma sens dopiero wtedy, gdy istnieją już zasady i punkt zgłaszania.

Nowi pracownicy i powtórki

Dwa momenty zasługują na szczególną uwagę.

Pierwszy dzień pracy. Nowy pracownik otrzymuje konta, laptop i dostęp do systemów. Właśnie w pierwszych tygodniach nie wie jeszcze, jak zwykle wyglądają sprawy, a więc też nie rozpoznaje, co jest odstępstwem od normy. Oszust podający się za „dział IT” lub „dyrektora” ma wtedy większe szanse powodzenia. Warto na początku poświęcić pół godziny na omówienie kartki A4 z zasadami, punktu zgłaszania, menedżera haseł i włączenia uwierzytelniania dwuskładnikowego. Należy ująć to w tej samej liście co pozostałe elementy wdrożenia nowego pracownika (lekcja 7.1).

Krótkie powtórki. Świadomość z czasem słabnie. Jedno długie szkolenie rocznie działa gorzej niż pięć minut co miesiąc. Pomysły na taką krótką powtórkę:

• omówienie podejrzanej wiadomości z tego miesiąca;
• wyróżnienie jednej zasady z kartki A4 i sprawdzenie, czy nadal działa;
• omówienie nowego rodzaju oszustwa, o którym było głośno w mediach (na przykład nowy pretekst przez SMS lub WhatsApp, lekcja 3.4);
• pytanie „czy ktoś w tym miesiącu coś zgłosił?” oraz podziękowanie osobie, która to zrobiła.

W praktyce: tak to wygląda

Przykład oparty na sytuacjach, które zdarzają się często. Biuro architektoniczne zatrudniające dziewięć osób miało czternastostronicowy dokument polityki, podpisywany przy zatrudnieniu i nigdy później nieotwierany. Po niemal udanym oszustwie na fakturę wprowadzono trzy zmiany: kartkę A4 z sześcioma zasadami przy drukarce, stałą osobę i numer telefonu do zgłaszania oraz pięć minut poświęcanych w każdy pierwszy poniedziałek miesiąca na temat „podejrzanej korespondencji” podczas narady. W ciągu pierwszego półrocza wpłynęło więcej zgłoszeń niż przez poprzednie pięć lat. Dwa z nich dotyczyły prawdziwych ataków, które wykryto na tyle wcześnie, że nic się nie stało. Reszta okazała się fałszywym alarmem, za każdym razem zwyczajnie docenionym podziękowaniem.

Podsumowanie

• Budowanie świadomości dotyczy zachowania: zatrzymania się, sprawdzenia inną drogą i zgłoszenia.
• Zgłaszanie bez obwiniania zapewnia szybkie zgłoszenia; karanie prowadzi jedynie do mniejszej liczby zgłoszeń, a nie do mniejszej liczby błędów.
• Warto zapisać zasady na jednej kartce A4 i sprawić, by bezpieczne zachowanie było najłatwiejsze.
• Należy ćwiczyć na prawdziwych przykładach i w formie symulacji; ćwiczenie phishingowe powinno być zapowiedziane, bez karania i z uwzględnieniem prywatności.
• Warto poświęcić dodatkową uwagę nowym pracownikom i powtarzać krótko oraz często.

Quiz

Zadanie

Zadanie D9.2: Plan podnoszenia świadomości dla zespołu. Należy przygotować dla własnej firmy kartkę A4 z maksymalnie ośmioma zasadami, wyznaczyć punkt zgłaszania i osobę zastępującą, a następnie zaplanować na nadchodzący rok terminy krótkich powtórek i rodzaj ćwiczenia. Na koniec należy odpowiedzieć na pytania do refleksji.

Dalsza lektura

Kroki opisane w artykułach WebOké dotyczą środowiska WebOké; u innych dostawców działanie jest podobne.

• Czy ta wiadomość rzeczywiście pochodzi od WebOké? Jak rozpoznać phishing i skorzystać z kodu promocyjnego
• CERT Polska, poradniki dotyczące phishingu: https://cert.pl/
• CERT Polska, poradniki dla osób prowadzących jednoosobową działalność gospodarczą i MŚP: https://cert.pl/
• CERT Polska (zgłaszanie oszustw i phishingu): https://incydent.cert.pl/