Sua organização leva a segurança a sério? Seus usuários sabem como evitar ataques de engenharia social? Os dispositivos portáteis da sua organização têm a criptografia de dados ativada? Se você respondeu "não" ou "não sei" a alguma dessas perguntas, sua organização não está fornecendo um bom treinamento de conscientização de segurança.
A Wikipedia define a conscientização de segurança como o conhecimento e a atitude que os membros de uma organização possuem em relação à proteção dos ativos físicos e de informações da organização.
Resumindo: lábios soltos afundam navios. Essa é realmente a essência do que é a conscientização sobre segurança, Charlie Brown.
Se você é responsável pelos ativos de informação de sua organização, então você deve definitivamente desenvolver e implementar um programa de treinamento de conscientização de segurança. O objetivo deve ser tornar seus funcionários conscientes do fato de que existem pessoas más no mundo que querem roubar informações e danificar os recursos organizacionais.
Um bom programa de treinamento de conscientização de segurança incutirá um sentimento de orgulho na propriedade dos dados e recursos de sua organização. Os funcionários verão ameaças à sua organização como ameaças ao seu sustento. Um mau programa de treinamento de conscientização de segurança tornará as pessoas paranóicas e ressentidas.
Vejamos algumas dicas para criar um programa de treinamento de conscientização de segurança eficaz:
Eduque os usuários sobre os tipos de ameaças do mundo real que eles podem encontrar
O treinamento de conscientização de segurança deve incluir a educação dos usuários em conceitos de segurança, como o reconhecimento de ataques de engenharia social, ataques de malware, táticas de phishing e outros tipos de ameaças que eles provavelmente encontrarão. Confira nossa página de combate ao crime cibernético para obter uma lista de ameaças e técnicas de criminosos cibernéticos.
Ensine a arte perdida da construção da senha
Embora muitos de nós saibam como criar uma senha forte, ainda há muitas pessoas por aí que não percebem como é fácil decifrar uma senha fraca. Explique o processo de quebra de senhas e como funcionam as ferramentas de quebra offline, como aquelas que usam o Rainbow Tables. Eles podem não entender todos os detalhes técnicos, mas pelo menos verão como é fácil decifrar uma senha mal construída, e isso pode inspirá-los a serem um pouco mais criativos na hora de fazer uma nova senha.
Foco na Proteção de Informações
Muitas empresas dizem aos seus funcionários para evitar discutir negócios da empresa enquanto estão no almoço porque você nunca sabe quem pode estar ouvindo, mas nem sempre lhes dizem para assistir o que dizem nos sites de mídia social. Uma simples atualização do status do Facebook sobre o quanto você está louco porque o produto em que você está trabalhando não será liberado a tempo poderá ser útil para um concorrente que possa ver seu status postado, caso suas configurações de privacidade sejam muito permissivas. Ensine seus funcionários que tweets soltos e atualizações de status também afundam navios.
As empresas rivais podem vasculhar as mídias sociais em busca de funcionários de sua concorrência para obter vantagem sobre a inteligência dos produtos, quem está trabalhando no que, etc.
A mídia social ainda é uma fronteira relativamente nova no mundo dos negócios e muitos gerentes de segurança estão tendo dificuldade em lidar com isso. Os dias de apenas bloqueá-lo no firewall da empresa acabaram. A mídia social é agora parte integrante dos modelos de negócios de muitas empresas. Educar os usuários sobre o que eles devem e não devem postar no Facebook, Twitter, LinkedIn e outros sites de mídia social.
Faça backup de suas regras com consequências potenciais
Políticas de segurança sem dentes não valem nada para sua organização. Obtenha o comprometimento do gerenciamento e crie consequências claras para ações do usuário ou inação. Os usuários precisam saber que têm o dever de proteger as informações em sua posse e fazer o melhor possível para mantê-los protegidos contra danos.
Faça com que eles saibam que existem consequências civis e criminais para divulgar informações confidenciais e / ou proprietárias, adulteração de recursos da empresa, etc.
Não reinvente a roda
Você não precisa começar do zero. O Instituto Nacional de Padrões e Tecnologia (NIST) escreveu literalmente o livro sobre como desenvolver um programa de treinamento de conscientização sobre segurança, e o melhor de tudo, é grátis. Faça o download da Publicação Especial 800-50 do NIST - Construindo um Programa de Conscientização e Treinamento em Segurança da Tecnologia da Informação para aprender como fazer o seu próprio.
