Podizanje svijesti u Vašem timu

Modul 9: Pravila i organizacija · Vrijeme čitanja: 9 minuta

Cilj učenja: Nakon ove lekcije moći ćete organizirati podizanje svijesti u malom timu: dogovore, prijavljivanje bez krivnje, vježbanje i ponavljanje.
Ključni pojmovi: podizanje svijesti, ponašanje, kultura prijavljivanja, phishing vježba (uz pristanak i bez kažnjavanja), novi zaposlenik, kratko ponavljanje

Znati nije isto što i činiti

Gotovo svi znaju da ne biste trebali kliknuti na sumnjivu poveznicu. Pa ipak se to događa svaki dan, čak i ljudima koji bi to trebali znati bolje. To nije zbog gluposti. Razlog je što phishing poruka (lekcija 1.2 i modul 3) točno cilja na način na koji radimo: pritisak, žurba, želja da pomognemo klijentu ili kolegi. U petak popodne petnaest do pet, među trideset drugih poruka, "neplaćeni račun" izgleda sasvim obično.

Podizanje svijesti stoga se ne odnosi samo na znanje, već na ponašanje: što ljudi doista rade, čak i kad su umorni ili žure? Cilj nije da svatko postane stručnjak. Cilj je nekoliko ustaljenih refleksa:

1. Zaustavite se kod poruke koja nešto traži: novac, lozinku, klik, otvaranje privitka, instalaciju nečega.
2. Provjerite drugim putem: sami se prijavite umjesto da slijedite poveznicu, nazovite natrag na poznati broj.
3. Prijavite ako nešto nije u redu, čak i ako ste već kliknuli.

Taj treći refleks najvažniji je, a potpuno ovisi o tome kako Vaš tim s time postupa.

Prijavljivanje bez krivnje

Zamislite dvije tvrtke. U prvoj zaposlenik koji je kliknuo na phishing poveznicu dobiva ljutitu reakciju vlasnika: "Kako možete biti tako naivni?" U drugoj vlasnik kaže: "Dobro je što ste mi odmah rekli, sad možemo promijeniti Vašu lozinku."

Što se događa sljedeći put kad netko klikne? U prvoj tvrtki šutjet će i nadati se da će sve dobro proći. U drugoj tvrtki to će prijaviti unutar pet minuta.

Ta je razlika golema. Kod preuzimanja računa ili početka ransomwarea svaka minuta je bitna (lekcija 1.3 i 3.5). Prijava unutar pet minuta znači: promjena lozinke prije nego što se napadač uspije prijaviti, opoziv sesija, odvajanje računala od mreže prije nego što bilo što bude šifrirano. Prijava nakon tri tjedna, ili nikad, znači da je napadač imao sve vrijeme ovoga svijeta.

Dobra kultura prijavljivanja ima nekoliko obilježja:

• Jedna jasna točka za prijavu. Svatko zna kome se treba obratiti: ime i telefonski broj, te zamjenska osoba ako prve nema. To je navedeno i na kartici za postupanje u slučaju incidenta (lekcija 8.1).
• Zahvaljivanje, ne kažnjavanje. Tko prijavi, čak i vlastitu pogrešku, dobiva zahvalu. Recite to naglas u timu: "Sanja je jutros prijavila lažni račun, zahvaljujući tome mogli smo upozoriti ostale."
• Sumnja je također dobrodošla. "Ne znam je li ovo stvarno" dobra je prijava. Bolje je deset puta provjeriti pravu poruku nego jednom propustiti lažnu.
• Primjer uprave. Ako vlasnik sam prijavi da je gotovo nasjeo na nešto, to svima olakšava.

Kažnjavanje djeluje kontraproduktivno. Ne zato što pogreške nisu ozbiljne, nego zato što se kažnjavanjem ne smanjuju pogreške, nego samo prijave.

Dogovori koji olakšavaju ponašanje

Ljudi lakše slijede pravilo koje je jasno i jednostavno. Pobrinite se da sigurno ponašanje bude ujedno i najjednostavnije ponašanje. Nekoliko dogovora koji odgovaraju gotovo svakoj maloj tvrtki:

Zapišite dogovore na jednom A4 listu. Ne dvadeset stranica politike koju nitko ne čita, nego popis koji može visjeti pored aparata za kavu.

Vježbanje

Dogovor koji nikad ne vježbate, zaboravit ćete. Postoji nekoliko načina vježbanja, od lakših do zahtjevnijih.

Zajedničko razmatranje primjera. Odvojite pet minuta na sastanku tima za pravu sumnjivu poruku koju je netko primio (bez osobnih podataka). Po čemu ste to prepoznali? Koja je bila prava domena iza poveznice? Ovo ne košta ništa i iznenađujuće dobro djeluje, jer se radi o stvarnim porukama iz Vašeg vlastitog poštanskog sandučića.

Tabletop vježba. Zajedno raspravljate o scenariju: "Ponedjeljak je ujutro i nitko više ne može pristupiti mrežnom disku. Na svakom računalu pojavljuje se poruka sa zahtjevom za otkupninu. Što radimo?" Prolazite kroz kartiku za postupanje u slučaju incidenta i provjeravate gdje zapinje (lekcija 8.1). Jedan sat, jednom godišnje.

Phishing vježba. Šaljete kolegama lažnu phishing poruku kako biste vidjeli tko klikne, a tko prijavi. To može biti poučno, ali samo ako to napravite ispravno:

• Uz pristanak i najavljeno. Unaprijed recite da će ove godine biti vježbi, bez spominjanja datuma. Nitko se naknadno ne smije osjećati prevareno.
• Bez kažnjavanja. Tko klikne, odmah dobiva kratko objašnjenje po čemu je to mogao prepoznati, bez ukora i bez popisa imena na sastanku tima.
• Mjerite ono što je bitno. Broj prijava važniji je od broja klikova. Vježba u kojoj troje ljudi klikne, ali ih petero to prijavi unutar deset minuta, uspješna je.
• Bez neugodnih tema. Nema lažne poruke o bonusu, otkazu ili zdravlju kolege. To šteti povjerenju više nego što donosi koristi.
• Vodite računa o privatnosti. Ne čuvajte dulje nego što je potrebno podatke o tome tko je kliknuo, i nikad to ne koristite za ocjenjivanje.

Za tim od pet ljudi prvi oblik često je već dovoljan. Phishing vježba ima smisla tek kad postoje dogovori i točka za prijavu.

Novi zaposlenici i ponavljanje

Dva trenutka posebno su važna.

Prvi radni dan. Novi zaposlenik dobiva račune, prijenosno računalo i pristup sustavima. Upravo u tim prvim tjednima još ne zna kako stvari obično teku, pa stoga ni što je odstupanje od toga. Prevarant koji se predstavlja kao "IT odjel" ili "direktor" tada ima veće izglede za uspjeh. Pri početku rada odvojite pola sata za A4 list s dogovorima, točku za prijavu, upravitelja lozinki i uključivanje dvofaktorske autentifikacije. Uvrstite to u isti popis kao i ostatak postupka zapošljavanja (lekcija 7.1).

Kratko ponavljanje. Svijest s vremenom blijedi. Jedna duga edukacija godišnje djeluje slabije od pet minuta svakog mjeseca. Ideje za takvo kratko ponavljanje:

• razgovor o sumnjivoj poruci iz ovog mjeseca;
• isticanje jednog dogovora s A4 lista i pitanje djeluje li još uvijek;
• nova vrsta prijevare koja je bila u vijestima (na primjer nova varka putem SMS-a ili WhatsAppa, lekcija 3.4);
• pitanje "je li netko ovaj mjesec nešto prijavio?" i zahvala onome tko jest.

U praksi: ovako to izgleda

Primjer sastavljen od situacija koje se često događaju. Arhitektonski ured s devet zaposlenika imao je dokument politike od četrnaest stranica koji se potpisivao pri zapošljavanju, a potom nikad više nije otvaran. Nakon pokušaja prijevare s lažnim računom koji je umalo uspio, promijenili su tri stvari: A4 list sa šest dogovora pored pisača, stalno ime i telefonski broj za prijavu te pet minuta "sumnjive pošte" svaki prvi ponedjeljak u mjesecu na sastanku tima. U prvih šest mjeseci primili su više prijava nego u prethodnih pet godina. Dvije od njih bile su stvarni napadi, uočeni dovoljno rano da se ništa nije dogodilo. Ostalo je bio lažni alarm, i za svaki od njih netko je jednostavno dobio zahvalu.

Sažetak

• Podizanje svijesti odnosi se na ponašanje: zaustavljanje, provjeravanje drugim putem i prijavljivanje.
• Prijavljivanje bez krivnje osigurava brze prijave; kažnjavanje dovodi samo do manje prijava, ne i do manje pogrešaka.
• Zapišite dogovore na jednom A4 listu i učinite sigurno ponašanje najjednostavnijim ponašanjem.
• Vježbajte sa stvarnim primjerima i tabletop vježbom; phishing vježbu provodite samo najavljeno, bez kažnjavanja i uz pažnju prema privatnosti.
• Posvetite dodatnu pažnju novim zaposlenicima i ponavljajte kratko i često.

Kviz

Zadatak

Zadatak D9.2: Plan podizanja svijesti za Vaš tim. Izradite za Vašu vlastitu tvrtku A4 list s najviše osam dogovora, odredite točku za prijavu i zamjenu, te za nadolazeću godinu isplanirajte kada ćete raditi kratka ponavljanja i koju ćete vježbu provesti. Zatim odgovorite na pitanja za razmišljanje.

Dodatno štivo

Koraci u WebOké člancima vrijede za WebOké okruženje; kod drugih pružatelja usluga postupak je sličan.

• Je li ovaj e-mail doista od WebOké? Prepoznavanje phishinga i korištenje akcijskog koda
• Nacionalni CERT, Phishing: https://www.cert.hr/
• Nacionalni CERT, preporuke za samostalne poduzetnike i mala poduzeća: https://www.cert.hr/
• Policija i Nacionalni CERT (prijava prijevare i phishinga): https://policija.gov.hr/