Одной из главных проблем для компаний является защита от цифровых угроз. И даже при внедрении ряда мер, приложений и инновационных решений для предотвращения вторжений и кражи данных, успех зависит не только от передовых технологий, но и от поведения человека. По словам эксперта по кибербезопасности Леонардо Байарди из dataRain, 74% кибератак вызваны человеческим фактором. Руководитель подчеркивает, что адекватное обучение сотрудников может иметь решающее значение для эффективной стратегии безопасности.
Байарди считает человека самым слабым звеном в борьбе с киберрисками в корпоративной среде. «Каждый сотрудник компании должен понимать, что он несёт ответственность за безопасность данных, и это достигается только благодаря обучению, подотчётности и коммуникации между отделами. Каждый должен осознавать риски, которым он подвергается».
Мнение эксперта дополняет выводы, представленные в отчёте Proofpoint о человеческом факторе за 2023 год, в котором подчёркивается значительная роль человеческого фактора в уязвимостях безопасности. Исследование показывает двенадцатикратное увеличение количества атак с использованием социальной инженерии через мобильные устройства – атак, которые начинаются с, казалось бы, безобидных сообщений и способствуют установлению отношений. По словам Байарди, это происходит потому, что поведением человека можно манипулировать. «Как сказал легендарный хакер Кевин Митник, человеческий разум – самый лёгкий актив для взлома. Ведь у людей есть эмоциональный слой, чрезвычайно восприимчивый к внешнему влиянию, что может привести к необдуманным действиям, таким как переход по вредоносным ссылкам или обмен конфиденциальной информацией», – говорит он.
В число наиболее часто регистрируемых угроз в отчете также входят фишинговые наборы, предназначенные для обхода многофакторной аутентификации (MFA), и облачные атаки, которым ежемесячно подвергаются около 94% пользователей.
Наиболее распространенные ошибки
Среди наиболее распространенных ошибок, приводящих к нарушениям безопасности, Байарди перечисляет: непроверку подлинности электронных писем, оставление компьютеров незащищенными, использование общественных сетей Wi-Fi для доступа к корпоративной информации и задержку обновлений программного обеспечения.
«Такое поведение может открыть двери для вторжений и компрометации данных», — объясняет он. Чтобы не попасться на удочку мошенников, эксперт рекомендует избегать переходов по подозрительным ссылкам. Поэтому он советует проверять отправителя, домен электронной почты и срочность сообщения. «Если сомнения всё ещё остаются, совет: оставьте указатель мыши над ссылкой, не нажимая на неё, чтобы увидеть полный URL-адрес. Если ссылка выглядит подозрительно, вероятно, она вредоносная», — советует он.
Фишинг
Фишинг — одна из самых серьёзных киберугроз, использующая корпоративную электронную почту в качестве вектора атак. Для защиты от него Байарди предлагает многоуровневый подход: повышение осведомлённости и обучение сотрудников, а также применение надёжных технических мер.
Поддержание актуальности программного обеспечения и операционных систем критически важно для снижения уровня уязвимостей. «Новые уязвимости появляются ежедневно. Самый простой способ снизить риски — регулярно обновлять системы. В критически важных средах, где постоянные обновления невозможны, необходима более надёжная стратегия».
Он приводит реальный пример того, как эффективное обучение помогает предотвращать атаки. «После внедрения имитационных учений и обучения фишинговым атакам мы заметили значительное увеличение числа сообщений о попытках фишинга со стороны сотрудников, что свидетельствует о более развитом критическом восприятии угроз».
Для оценки эффективности обучения Байарди предлагает определить чёткую область применения и проводить периодические симуляции с заранее заданными показателями. «Необходимо измерять количество и качество реакции сотрудников на потенциальные угрозы».
Руководитель ссылается на отчёт компании Knowbe4, занимающейся образованием в области кибербезопасности, который показывает, что Бразилия отстаёт от таких стран, как Колумбия, Чили, Эквадор и Перу. Опрос 2024 года подчёркивает, что сотрудники понимают важность кибербезопасности, но не до конца понимают, как действуют и функционируют угрозы. Поэтому в нём подчёркивается важность организационной культуры для внедрения безопасных практик: «Без хорошо реализованной программы развития культуры кибербезопасности невозможно оценить уровень зрелости компании в этом аспекте».
Специалист также отвечает за разработку решений в области кибербезопасности, продвигаемых компанией dataRain, которая предлагает надежные и быстро внедряемые решения, такие как безопасность электронной почты, оценка соответствия требованиям и уязвимости, безопасность конечных точек и управление облаком. «Кибербезопасность — это постоянная проблема, и люди играют важнейшую роль в обеспечении защиты информации и целостности систем. Инвестиции в обучение и повышение осведомленности — это инвестиции в безопасность всей организации. Все наши решения сопровождаются передачей знаний, что позволяет нам повышать осведомленность клиентов об угрозах», — заключает он.
