Slik gjør dere brukerne bevisste på IT-sikkerhet
Visste du at brukerne er den største angrepsflaten mot bedrifter? Og at angrep rettet mot dem fortsetter å øke? Slik ser virkeligheten ut for nordiske organisasjoner i dag, noe som gjør at IT-lederes og ledergruppers ansvar for å arbeide med IT-sikkerhet øker, samtidig som kravene blir høyere. I denne artikkelen går vi gjennom hvordan man kan gjøre brukerne mer bevisste på IT-sikkerhet.
Det er en allmenn sannhet at brukerne bare er mennesker og at det utnyttes av hackerne. Brukerne blir derfor lett sårbare for phishing, bedrageri og andre brukerrettede angrep. Når vi befinner oss i vår trygge sone og ikke er oppmerksomme, er det relativt enkelt for et angrep å slippe gjennom. Derfor må bedriftene arbeide forebyggende med IT-sikkerhet ved å gjøre medarbeiderne bevisste på de truslene som finnes, hvordan de kan se ut og hva man bør gjøre. Men det er også viktig å legge til praktisk beskyttelse som hjelper til når feil først blir begått.
Vanlige utfordringer med brukersikkerhet
Det brukes mange ulike knep og metoder for å få brukere til å klikke på skadelige lenker og vedlegg i mail eller andre meldingstjenester. Ofte blir brukeren oppfordret til å handle raskt, noe som gjør at man får kort tid til å tenke seg om og undersøke meldingen før man gjør et feilaktig klikk. Ifølge sikkerhetsfirmaet Nimblr, som kontinuerlig følger med på utviklingen innen brukersikkerhet, er den vanligste feilen akkurat nå at brukeren klikker på en skadelig lenke i en mail fra en avsender som utgir seg for å være PostNord. Nettopp denne typen mail har fått mye oppmerksomhet i media, og det gjør at resultatet er litt overraskende fordi denne angrepsmetoden er godt kjent.
Til tross for stadige oppfordringer fra IT-avdelingen og overskrifter i nyhetene tar brukerne ikke alltid til seg informasjonen om at man bør være på vakt mot denne typen mail. Hvordan skal man da kunne nå medarbeiderne hvis informasjonen likevel ikke øker forsiktigheten? Her er noen metoder for å øke brukersikkerheten når tradisjonelle oppfordringer eller utdanninger ikke fungerer:
Metoder for arbeid med brukersikkerhet
Micro learning
Med micro learning, det vil si korte, interessante utdanninger som oppfattes som tiltalende, kan man nå brukerne på en enklere måte enn gjennom lengre utdanningsøkter. Når informasjonen er mer ”appetittlig”, blir det lettere for brukerne å ta den til seg. For med hånden på hjertet, hvor mange av brukerne i en organisasjon har særlig interesse for IT-sikkerhet?
Penetrasjonstester
Med penetrasjonstester kan dere undersøke hvor stor risiko det er for at deres organisasjon skal bli utsatt for et innbrudd, gjennom f.eks. angrep mot brukerne. Men vanligvis innebærer en penetrasjonstest at det fokuseres på å kontrollere at de eksisterende sikkerhetsløsningene fungerer som de skal. Når dere gjennomfører en penetrasjonstest, er det viktig å sørge for at brukeraspektet er med som en del av testen. Der kan man f.eks. teste hvor godt virksomheten takler simulerte phishingangrep rettet mot brukerne.
Bruk sikkerhetsverktøy som gjør det vanskeligere for hackerne
Det fokuseres mye på brukeren og dennes ansvar for at uvedkommende ikke skal slippe inn i IT-miljøet, og det er selvsagt en nødvendighet. Men i tillegg til å arbeide regelmessig med micro learning og tester av brukernes sikkerhetsbevissthet, finnes det også praktiske løsninger som gjør det lettere for brukerne å handle rett.
Ved å bruke teknologi for å identifisere, advare og agere på mistenkelige mail eller nettsteder, behøver ikke alt ansvar ligge hos brukerne. Å implementere multifaktorautentisering ved innlogging er grunnleggende for et sikkert IT-miljø i dag. Beskyttelse som advarer mot mistenkelige vedlegg eller avsendere i mailen, er en annen måte. Dessuten kan man som IT-avdeling styre hvilke systemer og applikasjoner en bruker skal ha tilgang til avhengig av hvor vedkommende befinner seg.