Nawet połowa pracowników na świecie obawia się zgłaszać incydenty związane z cyberzagrożeniami ze względu na możliwe konsekwencje wynika z badania „ThinkCyber: Fear and Silence: Half of Employees Afraid to Report Security Mistakes”.
W badaniu QBE 31 proc. pracowników przyznało, że popełniło w ubiegłym roku błędy, które mogły mieć wpływ na cyberbezpieczeństwo ich miejsca pracy (phishing, kliknięcie linku lub pobranie złośliwej zawartości, utrata lub kradzież urządzenia służbowego, udostępnianie haseł współpracownikom).
Badania Tessian Research pokazały, że ponad 40 proc. pracowników jako przyczynę „złapania się” na atak phishingowy podaje zmęczenie i rozproszenie uwagi. Sam incydent także nie pozostaje bez wpływu na dobrostan pracowników. W raporcie Veeam „Ransomware Trends 2024” dwóch na pięciu (40 proc.) badanych specjalistów IT wskazało, że po cyberataku zaobserwowali u siebie podwyższony poziom stresu, który rzutował na ich codzienną pracę i życie osobiste.
– Nie do końca zgadzam się ze stwierdzeniem, że człowiek jest najsłabszym ogniwem w systemie. Użytkownik staje przed zadaniem praktycznie niemożliwym do wykonania – w natłoku setek wiadomości, maili, linków i załączników musi wyłapać ten jeden, w który absolutnie nie należy klikać. Warto pamiętać, że aby zwiększać skuteczność ataków przestępcy w swoich wiadomościach nakładają na ofiary presję czasową, np. wskazują, że trzeba się spieszyć i zareagować natychmiast. Przez to odbiorca takiego maila czy telefonu działa pod wpływem impulsu i strachu, często nie mając możliwości zastanowienia się – mówi Leszek Tasiemski, ekspert ds. cyberbezpieczeństwa i VP w firmie WithSecure.
W wielu firmach brakuje wykwalifikowanych specjalistów IT, a kadra odpowiedzialna za systemy pracuje pod presją – cyberatak może się zdarzyć w każdej chwili. Odpowiedzialność za cyberataki często jest więc rozkładana na wszystkich pracowników, zwłaszcza tych, którzy padli ofiarą oszustów. W efekcie nawet połowa pracowników obawia się zgłaszać swoim przełożonym błędy związane z cyberbezpieczeństwem.
– Szkolenia i bieżące symulacje ataków są bardzo istotne i pomagają trenować czujność. Jednak to przede wszystkim technologia powinna ułatwiać użytkownikom zachowanie bezpieczeństwa, nawet jeżeli popełnią błąd. Link czy załącznik muszą zostać przeskanowane, zanim wylądują w skrzynce odbiorczej. Uprawnienia mogą być automatycznie odbierane po upływie zadanego czasu, żeby zmniejszyć zakres strat po skutecznym ataku. Uwierzytelnianie wieloskładnikowe zminimalizuje straty w przypadku, gdy użytkownik przez przypadek poda hasło oszustowi. Nie mniej istotne jest zachęcanie zatrudnionych w firmie do raportowania wszelkich incydentów, nawet jeżeli wynikają one z nieostrożności czy błędu. W wielu przypadkach wymaga to zmiany kulturowej i przełamania obawy użytkowników przed karą czy zawstydzeniem – wskazuje Leszek Tasiemski.
Rozwiązania ochronne oraz oparte na AI mogą zbierać i analizować dane o obszarach systemu firmy potencjalnie zagrożonych atakiem, wyłapywać ryzykowne wiadomości i pliki oraz interweniować w czasie rzeczywistym, podpowiadając pracownikom odpowiednie działanie. Przede wszystkim, po cyberataku należy skupić się nie na szukaniu winnych, ale na przeanalizowaniu w jaki sposób do niego doszło i na zamknięciu luk w zabezpieczeniach, aby podobny incydent się nie powtórzył.
