Potrebujemo kibernetske sobe pobega!
Priznajmo si: podjetja in organizacije ter celo varnostnooperativni centri nikoli ne bodo mogli zaposliti toliko varnostnih strokovnjakov, kot bi jih želeli ali potrebovali. Ker jih preprosto ni. Čas je, da to sprejmemo kot dejstvo. Kaj lahko storimo? Poleg očitnega pritiska na izobraževalni sektor, da podjetja, država in svet potrebujejo več tovrstnih profilov, velja ukrepati po najboljših močeh.
Zelo verjetno bo na področju kibernetske varnosti podobno kot v svetu računalništva v oblaku v prihodnje prevladal t. i. hibridni model. Kadrovsko podhranjena podjetja bodo sodelovala z varnostnooperativnimi centri. Še več, tudi ti bodo sodelovali s specializiranimi ponudniki storitev. Zelo verjetno je, da bo večina kratic, ki danes prevladujejo v svetu informacijske in kibernetske varnosti, dobila specializirana podjetja, ki bodo nudila ustrezne storitve. Priče bomo vzponu ponudnikov upravljanih varnostnih storitev (MSSP), ki bodo podjetjem in organizacijam zagotavljali zunanje spremljanje in upravljanje varnostnih naprav ter sistemov, kot so upravljanje požarnega zidu, odkrivanje vdorov, skrb za navidezno zasebno omrežje, pregledovanje ranljivosti, protivirusne storitve itd.
Dodatna relativno dobra novica je tudi to, da se vse več odločitev na področju varnostnih groženj in incidentov prenaša na stroje. Umetna inteligenca postaja vse boljša pri odkrivanju groženj, prevar in zlorab, torej bo polovila večino neželene e-pošte, virusov in poskusov prevar. Varnostni strokovnjaki pa se bodo lahko osredotočili na zahtevnejše naloge, denimo forenziko po večjih kibernetskih napadih. Toda vse našteto naj ne bi bilo dovolj, saj ljudje ostajamo najšibkejši člen varnostne enačbe.
Sam se ne strinjam s trditvijo, da so podjetja proti kibernetskim napadalcem, posebej hekerjem, povsem nemočna. Niso, so pa povsem po nepotrebnem šibka. Če lahko podjetje zaposlene nauči, da vsake tri mesece zamenjajo svoja gesla za nova (in ne prav enostavna), potem jih lahko nauči še marsikaj drugega. Izziv je v motivaciji za učenje. Prav zato bi si drznil predlagati nekaj na prvi pogled čudnega. Gamifikacijo. Če ji je uspelo na področju poslovne programske opreme, zakaj ji ne bi še v svetu varnosti?
Predstavljajte si naslednji scenarij: zaposleni v okviru vaje za ozaveščanje o varnosti vstopijo v sobo, torej v fizični prostor, ki pa predstavlja nekakšno »varnostnooperativno sobo pobega«. Prostor je na prvi pogled videti kot običajna pisarna, toda ko zaposleni, ki so v ta namen v vlogi kriminalcev in »socialnih inženirjev«, začno opazovati informacije, ki jih lahko uporabijo v nečedne namene, se igra mimogrede prelevi v izjemno koristno učenje. V košu za smeti je na zmečkanem listu napisano geslo. Videokonferenčni sestanek je ostal nezaklenjen. Povsod okoli udeležencev tega inovativnega varnostnega izobraževanja so namigi, ki bi jim lahko pomagali pri zlorabi sistemov in aplikacij ter kraji podatkov.
Zakaj bi to počeli? Ker verjamem, da bi zaposlenim takšna izkušnja pomagala pogledati na njihovo poslovno okolje skozi oči kriminalca – tako bodo poleg fizične varnosti doumeli tudi pomen kibernetske varnosti. Ko bo misija »kibernetske sobe pobega« končana, bodo zaposleni razumeli, da je treba skrbeti za zaščito podjetja tudi v digitalni krajini in na napravah, s katerimi delajo. Table naj se po sestankih pobrišejo, prenosni računalniki naj bodo zaklenjeni, dokumenti pa skriti ali uničeni.
Bodite iskreni, menite, da bi takšno usposabljanje in ozaveščanje obrodilo sadove?