Çalışanlar arasında siber saldırılar ve siber güvenlik konusunda farkındalık eksikliği olabilir

Armis'in işletme uzmanlarıyla yaptığı bir anket, son olaylar ve uygun siber hijyen hakkında bilgi eksikliğine işaret ediyor.

siber güvenlik.jpg

Resim: Yuichiro Chino/Moment/Getty Images

Kuruluşunuzu siber saldırılara karşı savunmanın en önemli yollarından biri kendi çalışanlarınızı içerir. Kimlik avı kampanyalarına, kötü amaçlı yazılımlara ve diğer saldırı türlerine karşı kendilerini ve işletmenizi korumak için çalışanlarınızın siber olaylar ve daha da önemlisi en iyi güvenlik uygulamaları konusunda belirli bir farkındalığa sahip olmaları gerekir. Ancak güvenlik sağlayıcısı Armis tarafından yakın zamanda yapılan bir anket, birçok katılımcı arasında belirli güvenlik alanlarında bilgi eksikliği olduğunu ortaya koyuyor.

GÖRMEK: Güvenlik Bilinci ve Eğitim politikası (TechRepublic Premium)

Mayıs 2021'de gerçekleştirilen anket, Amerika Birleşik Devletleri'ndeki 2.004 çalışan profesyonelden yanıt aldı. Katılımcılar, eğitim, finans, sağlık, BT ve telekom, üretim, satış, medya ve pazarlama dahil olmak üzere çeşitli endüstri ve sektörlerden geldi. Armis'e göre, anketin amacı, profesyoneller arasında son siber olayların farkındalığını ve uygun siber güvenlik uygulamalarını ölçmekti.

Son fidye yazılımı saldırısı boru hattı sağlayıcısına karşı Koloni Boru Hattı ve son hacker girişimi Florida arıtma tesisinde suyu zehirlemek ikisi de haberlere çıktı. Her iki olay da sadece teknoloji basınında değil, genel medyada da oldukça fazla yer aldı. Ancak Armis'in anket yaptığı profesyonellerin %21'i Koloni Boru Hattı'na yapılan saldırıyı duymamıştı. Ayrıca, ankete katılanların %45'i Florida su arıtma tesisine yapılan saldırıdan habersizdi.

Bu son siber saldırılara aşina olanlar arasında bile, bazıları kalıcı bir etki görmüyor. Fidye yazılımı tehdidine yanıt olarak Colonial Pipeline, boru hattını bir süreliğine kapatmak zorunda kaldı. Başka bir olayda, JBS Foods et işleme faaliyetlerini geçici olarak durdurdu ABD ve Avustralya'da bir fidye yazılımı saldırısının ardından. Bununla birlikte, Armis tarafından ankete katılanların %24'ü, Colonial Pipeline'a yapılan saldırının ABD yakıt endüstrisi üzerinde uzun süreli etkileri olmayacağını düşündüklerini söyledi.

Artı tarafta, ankete katılanlar siber saldırıların toplum üzerindeki genel potansiyel etkisini kabul ettiler. Ankete katılanların %86'sı, petrol tedarikçileri, sağlık hizmetleri, polis departmanları ve su arıtma tesisleri gibi kritik hizmetlere yönelik saldırıların günlük yaşam üzerinde büyük bir etkisi olabileceğine inandıklarını söyledi.

2020'nin başından bu yana, koronavirüs pandemisi daha fazla insanı evden çalışmaya ve iş projeleri için kişisel cihazlarını kullanmaya zorladı. Artık işletmeler yeniden açılmaya başladığından, birçok çalışan hem evde hem de ofiste hibrit bir çalışma modeline geçiyor. Bu nedenle, aynı cihazları evden veya başka bir uzak konumdan ofise getirme olasılıkları daha yüksektir. Bu bir güvenlik riski oluşturuyor mu? Bu bağlıdır.

Bir kuruluş cihazı sıkı bir şekilde koruyorsa ve çalışanın uygun siber hijyeni izlemesini sağlıyorsa, riskler minimum düzeyde olmalıdır. Ama bu her zaman böyle değildir. En iyi güvenlik uygulamalarından habersiz bir çalışanla birleştirilmiş güvenli olmayan bir cihaz, artan siber tehditlere kolayca kapı açabilir.

Ankete katılan profesyonellerin yaklaşık %71'i evden çalışma cihazlarını ofise geri getirmeyi planladıklarını söyledi. Olası risklere rağmen, ankete katılanların yarısından fazlası (%54) kişisel cihazlarının kuruluşları için herhangi bir tehdit oluşturduğuna inanmadıklarını söyledi. Ancak, ankete katılanların yaklaşık %27'si şirketlerinin hem iş hem de kişisel cihazlarını güvence altına almak için mevcut politikaları olmadığını söyledi.

Ancak teknik bilgisi olmayan çalışanların en son siber olaylardan haberdar olması gerektiğini varsaymak adil olur mu? Ve haberlerde saldırılar hakkında bilgi eksikliği, bir çalışanın siber hijyen alışkanlıklarında rol oynuyor mu?

"Armis'ten gelen bu rapor, genel nüfusun önemli siber saldırılardan ne yazık ki habersiz olduğunu, ancak %100'ünün farkında olsa bile, kuruluşların güvenliğini sağlamada hangi rolü oynadıklarını bildikleri açık mı?" Siber varlık yönetimi firması JupiterOne'da bilgi güvenliği sorumlusu Sounil Yu'ya sordu. "Ne kadar önemli bir rol oynamalılar? Kişisel veya IoT cihazlarının girişini yasaklayan veya kontrol eden güvenlik politikaları Koloni Boru Hattı ve su arıtma tesisine yönelik saldırıları önleyebilir miydi?"

Doğru eğitimi sağlamadığınız sürece, çalışanlarınızın saldırılarla mücadeleye yardımcı olmak için siber güvenlik konusunda yeterince bilgili olmalarını otomatik olarak beklemek aptalcadır. Çalışanların kendilerini savaşa katılmaya adamadan önce bu tür saldırıların kendileri ve işleriyle nasıl ilişkili olduğunu anlamaları gerekir.

İstihbarat sağlayıcısı Netenrich'in tehdit istihbarat danışmanı John Bambinek, "Güvenlik bilincinin çalışanlarla ilgili olana göre uyarlanması ve ideal olarak olaylar sırasında onlara yakın zamanda iletilmesi gerekiyor" dedi.

Bambinek, "Son yardımcı program saldırılarının özelliklerini bilmek, çalışanların hangi eklerin açılmayacağını veya hangi kimlik avı bağlantılarına tıklanmayacağını bilmeleri anlamına gelmiyor" dedi. "Çalışanlar güvenlik uyarıları oluşturduğunda, bu anları eğitici olarak kullanmak için düşmanca olmayan bir şekilde onlarla tartışmak önemlidir. Kimlik avı simülasyonları da bazı sonuçlar verdi, ancak güvenlik bilincini çalışanın neyle ilgili olduğuyla daha alakalı hale getirebilirsiniz. aslında görmek kritiktir."

Yine de bir çalışanın siber güvenlik konusundaki farkındalığı ve anlayışı, saldırıların çoğu kendilerine yönelik olduğundan hayati önem taşır. Güvenlik firması ThycoticCentrify'ın baş güvenlik bilimcisi Joseph Carson'a göre, farkındalık eksikliği, bir kimlik avı saldırısı veya sosyal mühendislik yoluyla bir kuruluşun ağına erişmek isteyen bir siber suçlu için bir çalışanı kolay bir hedef haline getiriyor.

"Kötü amaçlı yazılım yüklü e-postaların ve kimlik bilgisi hırsızlığına yönelik diğer ilkel girişimlerin nasıl belirleneceği gibi her düzeydeki çalışana yeterli eğitimin verilmesini sağlamak, bir saldırının başarı oranını düşürmeye veya en azından bir uyarı vermeye yardımcı olmak için önemli bir adım olabilir, dedi Carson. "İş yeri kültürü içinde eğitimi normalleştirerek, kuruluşlar bu uygulamalar için uzun vadede dikkatin korunmasına yardımcı olabilir."

Son olarak, kuruluşların saldırılarla mücadeleye yönelik iki yönlü bir yaklaşım olarak hem çalışan eğitimine hem de güvenlik teknolojisine zaman ve kaynak ayırması gerekir. Bu amaçla, olay müdahale firması BreachQuest'in CISO'su AJ King, aşağıdaki önerileri sunuyor:

  1. Mühendis değil, çalışanlarınızı eğitmek için bir kitleyle nasıl etkileşime geçeceğini bilen pazarlama uzmanları olan özel güvenlik bilincine sahip kişileri işe alın.
  2. İnsanların kolayca önlenebilir hatalar yapmasını önleyen teknik araçlar uygulayın.
  3. Özellikle e-posta sistemleri, VPN'ler ve ayrıcalıklı hesaplar için çok faktörlü kimlik doğrulamayı ayarlayın.
  4. Standart kullanıcılar için yerel yönetici ayrıcalıklarını kaldırın.
  5. Tüm çalışanlar için parola güvenliğini iyileştirmek ve kolaylaştırmak için kuruluşunuz genelinde bir parola yöneticisi benimseyin.

Ayrıca bkz.

Source link

İlk yorum yapan olun

Bir yanıt bırakın

E-posta hesabınız yayımlanmayacak.


*