Ozaveščanje Vaše ekipe

Modul 9: Pravila in organizacija · Čas branja: 9 minut

Cilj učenja: Po tej lekciji boste znali organizirati ozaveščanje v majhni ekipi: dogovore, prijavljanje brez obsojanja, vajo in ponavljanje.
Ključni pojmi: ozaveščanje, vedenje, kultura prijavljanja, vaja lažnega predstavljanja (phishing) (z dovoljenjem in brez kaznovanja), nov sodelavec, kratka ponovitev

Vedeti ni isto kot ravnati

Skoraj vsi vedo, da ne smete klikniti na sumljive povezave. Pa vendar se to dogaja vsak dan, tudi pri ljudeh, ki bi morali vedeti bolje. To ni posledica neumnosti. Gre za to, da sporočilo z lažnim predstavljanjem (lekcija 1.2 in modul 3) natančno izkorišča način, kako delamo: pritisk, naglico, željo, da bi pomagali stranki ali sodelavcu. V petek popoldne, petnajst pred peto, med tridesetimi drugimi sporočili, "neplačan račun" izgleda povsem običajno.

Ozaveščanje zato ne govori le o znanju, temveč o vedenju: kaj ljudje dejansko storijo, tudi ko so utrujeni ali v naglici? Cilj ni, da bi vsi postali strokovnjaki. Cilj je nekaj ustaljenih refleksov:

1. Ustavite se ob sporočilu, ki nekaj zahteva: denar, geslo, klik, odpiranje priloge, namestitev česa.
2. Preverite po drugi poti: sami se prijavite namesto da sledite povezavi, pokličite nazaj na znano številko.
3. Prijavite, če nekaj ni v redu, tudi če ste že kliknili.

Ta tretji refleks je najpomembnejši in je povsem odvisen od tega, kako Vaša ekipa ravna z njim.

Prijava brez obsojanja

Predstavljajte si dve podjetji. V prvem sodelavec, ki je kliknil na lažno povezavo, dobi jezen odziv od lastnika: "Kako ste lahko tako neumni?" V drugem lastnik reče: "Dobro, da ste takoj povedali, zdaj lahko spremenimo Vaše geslo."

Kaj se zgodi naslednjič, ko nekdo klikne? V prvem podjetju bo molčal in upal, da se bo dobro izteklo. V drugem podjetju bo prijavil v petih minutah.

Ta razlika je ogromna. Pri prevzemu računa ali začetku izsiljevalskega programja (lekciji 1.3 in 3.5) štejejo ure. Prijava v petih minutah pomeni: spremembo gesla, preden se je napadalec prijavil, preklic sej, izklop računalnika iz omrežja, preden je karkoli šifrirano. Prijava po treh tednih ali nikoli pomeni, da je imel napadalec ves čas na voljo.

Dobra kultura prijavljanja ima nekaj značilnosti:

• Ena jasna kontaktna točka za prijavo. Vsi vedo, na koga se morajo obrniti: ime in telefonsko številko, ter nadomestno osebo, če te osebe ni. To je zapisano tudi na kartici za ukrepanje ob incidentu (lekcija 8.1).
• Zahvala, ne kaznovanje. Kdor prijavi, tudi lastno napako, dobi zahvalo. Povejte to na glas v ekipi: "Ana je danes zjutraj prijavila lažni račun, zato smo lahko pravočasno opozorili ostale."
• Dvom je tudi dovoljen. "Ne vem, ali je to pristno" je dobra prijava. Raje desetkrat preverite pristno sporočilo, kot da enkrat spregledate lažnega.
• Zgled vodstva. Če lastnik sam prizna, da je skoraj nasedel nečemu, je to za vse lažje.

Kaznovanje ima nasproten učinek. Ne zato, ker napake niso resne, temveč zato, ker s kaznovanjem ne zmanjšate števila napak, ampak le število prijav.

Dogovori, ki olajšajo pravilno vedenje

Ljudje hitreje upoštevajo pravilo, ki je jasno in preprosto. Poskrbite, da bo varno vedenje tudi najpreprostejše vedenje. Nekaj dogovorov, ki ustrezajo skoraj vsakemu malemu podjetju:

Dogovore zapišite na en A4 list. Ne dvajset strani politike, ki je nihče ne bere, temveč seznam, ki lahko visi ob avtomatu za kavo.

Vaja

Dogovor, ki ga nikoli ne vadite, pozabite. Obstaja več načinov vaje, od lažjih do zahtevnejših.

Skupen pregled primerov. Na delovnem sestanku si vzemite pet minut za pristno sumljivo sporočilo, ki ga je nekdo prejel (brez osebnih podatkov). Po čem ste to prepoznali? Kakšna je bila dejanska domena povezave? To ne stane nič in presenetljivo dobro deluje, ker gre za resnična sporočila iz Vašega lastnega predala.

Namizna vaja (tabletop). Skupaj obravnavate scenarij: "Ponedeljek zjutraj je in nihče ne more več do omrežnega diska. Na vsakem računalniku je sporočilo z zahtevo po odkupnini. Kaj storimo?" Pregledate kartico za ukrepanje ob incidentu in ugotovite, kje zatika (lekcija 8.1). Ena ura, enkrat na leto.

Vaja lažnega predstavljanja (phishing). Sodelavcem pošljete ponarejeno sporočilo z lažnim predstavljanjem, da vidite, kdo klikne in kdo prijavi. To je lahko poučno, vendar samo, če je izvedeno pravilno:

• Z dovoljenjem in napovedjo. Vnaprej povejte, da bodo letos potekale vaje, brez navedbe datuma. Nihče se naknadno ne sme počutiti prevaranega.
• Brez kaznovanja. Kdor klikne, takoj dobi kratko razlago, po čem bi lahko to prepoznal, brez graje in brez seznama imen na delovnem sestanku.
• Merite tisto, kar šteje. Število prijav je pomembnejše od števila klikov. Vaja, pri kateri trije ljudje kliknejo, a jih pet prijavi v desetih minutah, je uspešna.
• Brez zlobnih tem. Brez lažnega sporočila o bonusu, odpuščanju ali zdravju sodelavca. To bolj škoduje zaupanju, kot koristi.
• Pazite na zasebnost. Podatek o tem, kdo je kliknil, hranite le toliko časa, kot je potrebno, in ga nikoli ne uporabite za ocenjevanje.

Za ekipo petih je prva oblika pogosto že dovolj. Vaja lažnega predstavljanja ima smisel šele, ko so dogovori in kontaktna točka za prijavo vzpostavljeni.

Novi sodelavci in ponavljanje

Dva trenutka sta še posebej pomembna.

Prvi delovni dan. Nov sodelavec dobi račune, prenosnik in dostop do sistemov. Prav v teh prvih tednih še ne ve, kako stvari običajno potekajo, torej tudi ne, kaj je odstopanje. Goljuf, ki se predstavlja kot "IT oddelek" ali "direktor", ima takrat več možnosti za uspeh. Ob začetku si vzemite pol ure za A4 list z dogovori, kontaktno točko za prijavo, upravitelja gesel in vklop dvostopenjskega preverjanja. To uredite v istem seznamu kot preostali del postopka zaposlitve (lekcija 7.1).

Kratka ponovitev. Ozaveščanje s časom bledi. Eno dolgo usposabljanje na leto deluje slabše kot pet minut vsak mesec. Zamisli za tako kratko ponovitev:

• obravnava sumljivega sporočila iz tega meseca;
• izpostavitev enega dogovora z A4 lista in vprašanje, ali še vedno velja;
• nova vrsta prevare, o kateri je bilo v novicah (na primer nov izgovor prek sms sporočila ali WhatsAppa, lekcija 3.4);
• vprašanje "je kdo ta mesec kaj prijavil?" in zahvala tistemu, ki je to storil.

V praksi: tako je videti

Primer, sestavljen iz pogostih situacij. Arhitekturni biro z devetimi zaposlenimi je imel štirinajststranski dokument politike, ki so ga podpisali ob zaposlitvi in nato nikoli več odprli. Po skorajšnji uspešni prevari z lažnim računom so spremenili tri stvari: A4 list s šestimi dogovori ob tiskalniku, stalno ime in telefonsko številko za prijavo ter vsak prvi ponedeljek v mesecu pet minut "sumljive pošte" na delovnem sestanku. V prvem polletju so prejeli več prijav kot v prejšnjih petih letih skupaj. Dva primera sta bila dejanska napada, ki sta bila opažena tako zgodaj, da se ni zgodilo nič. Ostalo je bil lažni alarm in za to so se vsakič preprosto zahvalili.

Povzetek

• Ozaveščanje govori o vedenju: ustaviti se, preveriti po drugi poti in prijaviti.
• Prijava brez obsojanja zagotavlja hitre prijave; kaznovanje zmanjša le število prijav, ne pa števila napak.
• Dogovore zapišite na en A4 list in poskrbite, da bo varno vedenje tudi najpreprostejše vedenje.
• Vadite s pristnimi primeri in namizno vajo; vajo lažnega predstavljanja izvedite samo napovedano, brez kaznovanja in s skrbjo za zasebnost.
• Posvetite dodatno pozornost novim sodelavcem in pogosto ponavljajte na kratko.

Kviz

Naloga

Naloga D9.2: Načrt ozaveščanja za Vašo ekipo. Za Vaše lastno podjetje pripravite A4 list z največ osmimi dogovori, določite kontaktno točko za prijavo in nadomestno osebo ter za prihajajoče leto načrtujte, kdaj boste izvedli kratko ponovitev in katero vajo boste izvedli. Nato odgovorite na vprašanja za razmislek.

Za nadaljnje branje

Koraki v člankih WebOké veljajo za okolje WebOké; pri drugih ponudnikih deluje podobno.

• Je ta e-pošta res poslana s strani WebOké? Prepoznavanje lažnega predstavljanja (phishing) in uporaba kode za akcijo
• SI-CERT, lažno predstavljanje (phishing): https://www.cert.si/
• SI-CERT, nasveti za samostojne podjetnike in mala podjetja: https://www.cert.si/
• SI-CERT (prijava goljufij in lažnega predstavljanja): https://www.cert.si/