9 modulis · 9.2
Jūsų komandos informuotumas
9 modulis: Taisyklės ir organizacija · Skaitymo trukmė: 9 min.
Mokymosi tikslas: Po šios pamokos galėsite organizuoti informuotumą mažoje komandoje: susitarimus, pranešimą be kaltinimų, mokymus ir kartojimą.
Pagrindinės sąvokos: informuotumas, elgesys, pranešimo kultūra, sukčiavimo (phishing) pratimas (su sutikimu ir be bausmių), naujas darbuotojas, trumpas pakartojimas
Žinoti nėra tas pats, kas daryti
Beveik visi žino, kad negalima spausti ant įtartinų nuorodų. Vis dėlto tai nutinka kiekvieną dieną, net žmonėms, kurie tai gerai žino. Tai nutinka ne dėl kvailumo. Taip yra todėl, kad sukčiavimo (phishing) laiškas (pamoka 1.2 ir modulis 3) tiksliai taikosi į tai, kaip mes dirbame: spaudimas, skuba, noras padėti klientui ar kolegai. Penktadienio popietę be penkiolikos penkios, tarp trisdešimties kitų laiškų, „neapmokėta sąskaita“ atrodo visiškai įprastai.
Informuotumas todėl yra ne vien apie žinias, bet apie elgesį: ką žmonės iš tikrųjų daro, net kai jie pavargę ar skuba? Tikslas nėra, kad kiekvienas taptų ekspertu. Tikslas yra keli pastovūs refleksai:
- Sustoti, kai pranešime kažko prašoma: pinigų, slaptažodžio, paspaudimo, priedo atidarymo, kažko įdiegimo.
- Patikrinti kitu būdu: prisijungti pačiam, o ne sekti nuorodą, perskambinti žinomu numeriu.
- Pranešti, jei kažkas neatrodo tinkamai, net jei jau paspaudėte.
Šis trečiasis refleksas yra svarbiausias, ir jis visiškai priklauso nuo to, kaip Jūsų komanda su tuo elgiasi.
Pranešimas be kaltinimų
Įsivaizduokite dvi įmones. Pirmoje darbuotojas, paspaudęs sukčiavimo nuorodą, sulaukia pikto savininko atsakymo: „Kaip galėjai būti toks kvailas?“ Antroje savininkas sako: „Gerai, kad iškart pasakei, dabar galime pakeisti Tavo slaptažodį.“
Kas nutinka kitą kartą, kai kažkas paspaudžia? Pirmoje įmonėje jis tyli ir tikisi, kad viskas baigsis gerai. Antroje įmonėje jis praneša per penkias minutes.
Šis skirtumas yra milžiniškas. Perėmus paskyrą ar prasidedant išpirkos reikalaujančiai programinei įrangai, svarbi kiekviena valanda (pamoka 1.3 ir 3.5). Pranešimas per penkias minutes reiškia: slaptažodžio pakeitimą dar prieš užpuolikui prisijungiant, sesijų atšaukimą, kompiuterio atjungimą nuo tinklo prieš kažkam būnant užšifruotam. Pranešimas po trijų savaičių, arba niekada, reiškia, kad užpuolikas turėjo visą laiką.
Gera pranešimo kultūra turi keletą bruožų:
- Vienas aiškus kontaktinis asmuo pranešimams. Visi žino, pas ką kreiptis: vardą ir telefono numerį, taip pat pavaduotoją, jei to asmens nėra. Tai taip pat nurodyta incidentų kortelėje (pamoka 8.1).
- Padėkoti, o ne bausti. Tas, kuris praneša, net apie savo paties klaidą, sulaukia padėkos. Pasakykite tai garsiai komandoje: „Sanė šįryt pranešė apie netikrą sąskaitą, todėl galėjome įspėti kitus.“
- Abejonė taip pat leidžiama. „Nežinau, ar tai tikra“ yra geras pranešimas. Geriau dešimt kartų patikrinti tikrą laišką, nei vieną kartą praleisti netikrą.
- Vadovybės pavyzdys. Jei pats savininkas praneša, kad vos nepateko į spąstus, tai palengvina tai padaryti visiems.
Bausmės veikia priešingai, nei norima. Ne todėl, kad klaidos nėra svarbios, o todėl, kad bausmės nesumažina klaidų skaičiaus, o tik pranešimų skaičių.
Susitarimai, kurie palengvina elgesį
Žmonės greičiau laikosi taisyklės, kuri yra aiški ir paprasta. Pasirūpinkite, kad saugus elgesys būtų ir lengviausias elgesys. Keletas susitarimų, tinkančių beveik kiekvienai mažai įmonei:
| Susitarimas | Kodėl |
|---|---|
| Mokėjimai ir pakeisti sąskaitų numeriai visada tikrinami perskambinant ir dalyvaujant antram asmeniui (pamoka 1.2) | Tada netikro laiško nepakanka, kad būtų pervesti pinigai |
| Slaptažodžiai laikomi tik slaptažodžių tvarkyklėje, niekada laiške ar pokalbyje (pamoka 2.2) | Jokių slaptažodžių pašto dėžutėse, kurios gali nutekėti |
| Dviejų veiksnių autentifikavimas visose verslo paskyrose (pamoka 2.3) | Nutekėjusio slaptažodžio nepakanka |
| Jokios programinės įrangos diegimo be susitarimo (pamoka 5.2) | Mažesnė tikimybė dėl informacijos vagysčių ir išpirkos reikalaujančios programinės įrangos |
| Prarastas telefonas ar nešiojamas kompiuteris pranešamas nedelsiant (pamoka 5.2) | Nuotolinis ištrynimas ir sesijų atšaukimas |
| Niekada „tiesiog šį kartą ne pagal tvarką“, net ir direktoriui | Vadovo apgaulė (CEO sukčiavimas) kaip tik tuo naudojasi |
Užrašykite susitarimus viename A4 lape. Ne dvidešimties puslapių politikos dokumentą, kurio niekas neskaito, o sąrašą, kurį galima pakabinti šalia kavos aparato.
Mokymasis praktikoje
Susitarimą, kurio niekada nepraktikuojate, pamirštate. Yra įvairių būdų mokytis, nuo lengvesnių iki sunkesnių.
Bendrai peržiūrėti pavyzdžius. Per darbo susirinkimą skirkite penkias minutes realiam įtartinam laiškui, kurį kažkas gavo (be asmens duomenų). Pagal ką tai atpažinote? Koks buvo tikras nuorodos domenas? Tai nieko nekainuoja ir veikia stebėtinai gerai, nes kalbama apie tikrus pranešimus Jūsų pačių pašto dėžutėje.
Tabletop pratimas (scenarijaus aptarimas). Kartu aptariate scenarijų: „Yra pirmadienio rytas ir niekas nebegali pasiekti tinklo disko. Kiekviename kompiuteryje rodomas pranešimas su išpirkos reikalavimu. Ką darome?“ Peržiūrite incidentų kortelę ir žiūrite, kur užstringama (pamoka 8.1). Viena valanda, kartą per metus.
Sukčiavimo (phishing) pratimas. Siunčiate kolegoms netikrą sukčiavimo laišką, kad pamatytumėte, kas paspaudžia, o kas praneša. Tai gali būti naudinga, bet tik jei darote tai tinkamai:
- Su sutikimu ir iš anksto paskelbta. Iš anksto praneškite, kad šiais metais bus pratimų, nenurodydami datos. Niekas neturi jaustis apgautas vėliau.
- Be bausmių. Tas, kuris paspaudžia, iškart gauna trumpą paaiškinimą, pagal ką galėjo tai atpažinti, be priekaištų ir be vardų sąrašo darbo susirinkime.
- Matuoti tai, kas svarbu. Pranešimų skaičius yra svarbesnis nei paspaudimų skaičius. Pratimas, kurio metu trys žmonės paspaudė, bet penki per dešimt minučių pranešė, yra sėkmingas.
- Jokių žiaurių temų. Jokio netikro laiško apie premiją, atleidimą iš darbo ar kolegos sveikatą. Tai pakenkia pasitikėjimui labiau, nei duoda naudos.
- Saugokite privatumą. Nelaikykite ilgiau nei būtina informacijos, kas paspaudė, ir niekada nenaudokite jos vertinimui.
Penkių žmonių komandai pirmosios formos dažnai jau pakanka. Sukčiavimo pratimas prasminga tik tada, kai jau yra susitarimai ir kontaktinis asmuo pranešimams.
Nauji darbuotojai ir kartojimas
Du momentai yra ypač svarbūs.
Pirmoji darbo diena. Naujas darbuotojas gauna paskyras, nešiojamą kompiuterį ir prieigą prie sistemų. Kaip tik per tas pirmąsias savaites jis dar nežino, kaip viskas vyksta įprastai, taigi ir nežino, kas yra neįprasta. Sukčius, apsimetantis „IT skyriumi“ ar „direktoriumi“, tada turi daugiau galimybių. Pradžioje skirkite pusvalandį A4 lapui su susitarimais, kontaktiniam asmeniui pranešimams, slaptažodžių tvarkyklei ir dviejų veiksnių autentifikavimo įjungimui. Įtraukite tai į tą patį sąrašą kaip ir kitas priėmimo į darbą procedūras (pamoka 7.1).
Trumpas kartojimas. Informuotumas pamažu blėsta. Vienas ilgas mokymas per metus veikia prasčiau nei penkios minutės kiekvieną mėnesį. Idėjos tokiam trumpam pakartojimui:
- aptarti šio mėnesio įtartiną laišką;
- išryškinti vieną susitarimą iš A4 lapo ir paklausti, ar jis vis dar veikia;
- naują sukčiavimo rūšį, kuri buvo naujienose (pavyzdžiui, nauja gudrybė per sms ar WhatsApp, pamoka 3.4);
- klausimas „ar kas nors šį mėnesį kažką pranešė?“ ir padėkoti tam, kas tai padarė.
Praktikoje: štai kaip tai atrodo
Pavyzdys, sudarytas iš dažnai pasitaikančių situacijų. Architektų biuras su devyniais žmonėmis turėjo keturiolikos puslapių politikos dokumentą, kuris buvo pasirašomas priėmimo į darbą metu ir po to niekada daugiau neatidaromas. Po beveik pavykusios sąskaitų sukčiavimo bandymo jie pakeitė tris dalykus: A4 lapą su šešiais susitarimais prie spausdintuvo, nuolatinį vardą ir telefono numerį pranešimams, ir kiekvieną pirmą mėnesio pirmadienį penkias minutes skirdavo „įtartinam paštui“ darbo susirinkime. Per pirmąjį pusmetį gauta daugiau pranešimų nei per praėjusius penkerius metus. Du iš jų buvo tikros atakos, pastebėtos taip anksti, kad nieko neįvyko. Likę buvo klaidingi pavojaus signalai, ir kiekvieną kartą už tai buvo tiesiog padėkota.
Santrauka
- Informuotumas yra apie elgesį: sustoti, patikrinti kitu būdu ir pranešti.
- Pranešimas be kaltinimų užtikrina greitus pranešimus; bausmės sumažina tik pranešimų skaičių, o ne klaidų skaičių.
- Užrašykite susitarimus viename A4 lape ir padarykite saugų elgesį lengviausiu elgesiu.
- Mokykitės su tikrais pavyzdžiais ir tabletop pratimu; sukčiavimo pratimą darykite tik iš anksto paskelbtą, be bausmių ir atsižvelgdami į privatumą.
- Skirkite ypatingą dėmesį naujiems darbuotojams ir kartokite trumpai bei dažnai.
Testas (quiz)
Užduotis
Užduotis D9.2: Komandos informuotumo planas. Sudarykite savo įmonei A4 lapą su ne daugiau kaip aštuoniais susitarimais, paskirkite kontaktinį asmenį pranešimams ir pavaduotoją, ir suplanuokite ateinantiems metams, kada trumpai kartosite ir kokį pratimą atliksite. Tada atsakykite į refleksijos klausimus.
Užduotis D9.2: Komandos informuotumo planas
Kaip tai atlikti: (1) Užrašykite ne daugiau kaip aštuonis susitarimus viename A4 lape (kaip pradžią naudokite pamokoje pateiktą lentelę: mokėjimų tvarka, slaptažodžių tvarkyklė, 2FA, programinė įranga nediegiama be derinimo, praradimo pranešimas, jokių išimčių be procedūros). (2) Paskirkite pranešimų kontaktą (vardą ir telefono numerį) ir pavaduotoją. Įrašykite tai A4 lapo viršuje. (3) Suplanuokite ateinančius dvylika mėnesių: pastovų kiekvieno mėnesio momentą penkių minučių priminimui, praktinį pratimą (8.1 pamoka), ir ar darysite sukčiavimo pratimą. Jei taip: kaip jį paskelbsite, kad nebausite, ką matuosite (pranešimus, ne tik paspaudimus) ir kiek trumpai saugosite duomenis. (4) Į naujų darbuotojų sąrašą (7.1 pamoka) įtraukite pusvalandį informuotumo ugdymo pirmąją darbo dieną. (5) Aptarkite A4 lapą artimiausiame darbo susirinkime ir pakabinkite jį.
Jūsų pažymėti varneliai ir pastabos lieka tik šioje naršyklėje; niekur jų nesiunčiame. Jei esate prisijungę, skiltyje Mano kursai išsaugome tik tai, kad užduotį atlikote.
Skaitykite daugiau
Veiksmai, nurodyti WebOké straipsniuose, galioja WebOké aplinkoje; kitų teikėjų atveju veikimo principas panašus.
- Ar šis laiškas tikrai yra iš WebOké? Kaip atpažinti sukčiavimą (phishing) ir pasinaudoti akcijos kodu
- Nacionalinis kibernetinio saugumo centras (NKSC), sukčiavimas (phishing): https://www.ncsc.nl/phishing
- Nacionalinis kibernetinio saugumo centras (NKSC), kibernetinio saugumo patikra savarankiškai dirbantiems ir mažoms bei vidutinėms įmonėms: https://tools.ncsc.nl/cyberveilig-check/
- Praneškite apie sukčiavimą per e. policiją: https://www.epolicija.lt/