Bezpečnostné školenie môže byť iba ďalším termínom v kalendári. Ale môže byť aj stretnutím, po ktorom sa zamestnanec pri podozrivom e-maile skutočne zastaví a premyslí si ďalší krok. Mojím cieľom je druhá možnosť.
Vzdelávanie v oblasti kybernetickej bezpečnosti ma osobne veľmi baví. Pri príprave prezentácií si dávam záležať na tom, aby obsah nebol len súhrnom zákazov a definícií. Chcem, aby ľudí zaujal, ukázal im reálne dôsledky incidentov a poskytol poznatky použiteľné v práci.
Prečo nestačí jedna prezentácia pre všetkých
Organizácie sa líšia odvetvím, veľkosťou, technológiami aj spôsobom práce. Iné riziká rieši nemocnica, iné výrobný podnik či spoločnosť poskytujúca služby. Školenie preto prispôsobujem prostrediu konkrétneho zákazníka, jeho procesom a situáciám, s ktorými sa ľudia môžu stretnúť.
Rozdiel je aj medzi cieľovými skupinami. Zamestnanec potrebuje vedieť rozpoznať podozrivú správu a správne ju nahlásiť. Vedenie má porozumieť obchodným a prevádzkovým dôsledkom incidentov a vlastnej zodpovednosti. IT administrátori potrebujú detailnejšie pochopiť typické technické scenáre, prevádzkové súvislosti a možnosti ochrany.
Príklady z praxe sú zapamätateľnejšie než definície
V školeniach používam známe verejne zdokumentované kybernetické incidenty a anonymizované príklady z praxe. Ukazujem, ako sa môže pôvodne nenápadná udalosť zmeniť na výpadok služieb, narušenie prevádzky alebo významný problém pre organizáciu.
Dôležitou témou je phishing. Dnešné podvodné správy môžu byť presvedčivé, jazykovo správne a tematicky prispôsobené adresátovi. Nestačí teda účastníkom ukázať jeden očividný podvodný e-mail. Potrebujú vedieť, na čo sa sústrediť aj pri sofistikovanejšom scenári.
Niekedy účastníkov zámerne prekvapí, ako realisticky môže útok pôsobiť. Nie preto, aby sa báli, ale aby si uvedomili, že opatrnosť a správny postup sú dôležité aj vtedy, keď správa na prvý pohľad vyzerá dôveryhodne.
Práve tento prechod od úsmevu k zamysleniu je veľmi silný vzdelávací moment. Pomáha pochopiť nielen technické následky útoku, ale aj stratu dôvery, prevádzkové a finančné škody či možné zmluvné a regulačné dôsledky. Ich rozsah vždy závisí od okolností konkrétneho incidentu. Cieľom nie je vyvolávať strach, ale spojiť bezpečnostné pravidlá s realitou práce ľudí.
Z mojej skúsenosti je zaujímavá najmä reakcia účastníkov. Niekedy ich obrázok najprv pobaví. Potom sa však začnú zamýšľať nad tým, čo by sa stalo, keby sa tento titulok naozaj týkal ich spoločnosti. Dokázali by sme pokračovať v prevádzke, komunikovať so zákazníkmi a zvládnuť prípadný únik údajov?
Všetky takéto vizualizácie sú výslovne označené ako fiktívne vzdelávacie scenáre. Ak používajú názov alebo vizuálnu identitu konkrétneho zákazníka, vznikajú po jeho odsúhlasení a sú určené na interné školenie, nie na verejné šírenie.
Pri školeniach využívam aj obrázky vytvorené pomocou umelej inteligencie, ktoré názorne zobrazujú možné následky kybernetického incidentu v prostredí konkrétnej organizácie. Môže to byť napríklad fiktívna spravodajská titulka o prevádzke ochromenej ransomvérom, modelový únik osobných údajov či scenár, v ktorom firma musí verejne vysvetľovať výpadok svojich služieb.
Keď si účastníci predstavia vlastnú spoločnosť v správach
Modelový incident prispôsobený vlastnej organizácii
Súčasťou školenia môže byť krátke interaktívne cvičenie. Účastníkom napríklad predstavím bezpečne pripravený modelový phishingový e-mail, ktorý ilustruje, ako by sa útočník mohol pokúsiť osloviť zamestnancov konkrétnej spoločnosti.
Nejde o skutočný škodlivý e-mail ani o zber hesiel. Je to vysvetľujúci, kontrolovaný príklad pripravený s vedomím zákazníka. Spoločne skúmame varovné signály, rozhodovanie adresáta, spôsob nahlásenia a možné dôsledky, keby k incidentu skutočne došlo.
Takéto cvičenie vytvára priestor na diskusiu: Komu by zamestnanec zavolal? Čo by sa stalo, keby sa správa dostala k viacerým ľuďom? Ako by reagoval IT tím? Aké rozhodnutia by muselo prijať vedenie?
Najväčší význam má pre mňa okamih, keď účastníci začnú sami premýšľať, ako by v konkrétnej situácii reagovali.
Phishingové kampane ako pokračovanie vzdelávania
Popri školeniach realizujem aj simulované phishingové kampane. Ich zmyslom je v kontrolovaných podmienkach podporovať bezpečnostné povedomie a získať spätnú väzbu o tom, ktoré typy podvodných správ predstavujú pre organizáciu väčšiu výzvu.
Kampaň sa pripravuje a realizuje len po schválení zákazníkom, s jasne určeným rozsahom, bezpečnými technickými pravidlami a primeranou ochranou osobných údajov. Výsledky majú slúžiť na zlepšenie vzdelávania, nie na verejné označovanie jednotlivcov alebo hľadanie vinníkov.
Dôležité je nadviazať na výsledky kampane, vysvetliť zistenia, ukázať správne postupy a podľa potreby vzdelávanie zopakovať alebo upraviť. Jedna kampaň sama osebe bezpečnostnú kultúru nevytvorí.
Čo by si mal účastník odniesť
Po dobrom školení by mali ľudia vedieť, prečo je bezpečnosť dôležitá v ich konkrétnej práci, aké signály si všímať a ako reagovať bez zbytočného váhania. Majú mať istotu, že podozrenie môžu nahlásiť a že otázky sú vítané.
Aj z pohľadu vedenia a IT tímu je dôležité, aby školenia zapadali do širšieho systému riadenia bezpečnosti, vrátane postupov hlásenia incidentov, prevádzkových pravidiel a ďalších opatrení.
Najlepšie školenie podľa mňa nie je to, ktoré si účastníci iba odpočúvajú, ale to, z ktorého si odnesú poznatky využiteľné pri skutočnom incidente. Práve preto venujem príprave školení osobitnú pozornosť.