Mitnick Kevin Sztuka Podstepu (2)

[ Pobierz całość w formacie PDF ]
.Szkolenie musi mieć ambitniejszy cel niż tylko zakomunikowanie zasad.Twórca programu szkolenia musi rozpoznawać silną pokusę u części pra-cowników, aby pod naciskiem codziennych obowiązków pomijać lub ignoro-wać zalecenia związane z bezpieczeństwem.Znajomość taktyk stosowanychprzez socjotechników i sposobów ochrony przed nimi jest ważna, ale będziemiała wartość jedynie wtedy, gdy szkolenie skoncentruje się na motywowaniupracowników do korzystania ze zdobytej wiedzy.Można uznać, że program szkolenia spełnił podstawowe założenie, jeżeliwszyscy są jednoznacznie przekonani i zmotywowani przeświadczeniem, iżzabezpieczenie informacji stanowi część ich normalnych obowiązków.Pracownicy muszą pogodzić się z faktem, że zagrożenie atakiem socjo-technicznym jest realne i że poważna strata poufnych informacji może za-grozić firmie, jej pracownikom i ich posadom.W pewnym sensie beztroskietraktowanie bezpieczeństwa informacji jest tożsame z beztroskim traktowa-niem numeru PIN karty kredytowej.Ta analogia może pomóc w zbudowa-niu zrozumienia dla praktyk bezpieczeństwa.Wprowadzenie programu w życieOsoba odpowiedzialna za stworzenie programu szkolenia i uświadamia-nia w sprawach bezpieczeństwa musi zdać sobie sprawę, że nie może być onotakie samo dla wszystkich.Szkolenie musi być zaplanowane w taki sposób,by odpowiadać specyficznym wymogom różnych grup pracowników przed-siębiorstwa.Podczas gdy wiele z zaleceń zarysowanych w rozdziale 16.sto-suje się do wszystkich zatrudnionych, część z nich ma ograniczony zakres.Jako niezbędne minimum większość firm będzie potrzebować programówdostosowanych do następujących grup: kadra zarządzająca, personel infor-matyczny, użytkownicy komputerów, pracownicy administracyjni, recep-cjonistki i portierzy, pracownicy ochrony (w rozdziale 16.znajduje się wy-szczególnienie zaleceń w zależności od zajmowanych stanowisk).Jako że od pracowników straży przemysłowej zwykle nie wymaga się ob-sługiwania komputera i praktycznie nie mają oni kontaktu z firmową siecią,nie są zwykle brani pod uwagę przy tworzeniu programu.Socjotechnik po-273trafi jednak oszukać strażnika ochrony tak, aby ten wpuścił go na teren bu-dynku lub wykonał czynności, w których rezultacie nastąpi włamanie dosystemu.To, że strażnicy nie muszą przechodzić szkolenia przeznaczonegodla użytkowników firmowych komputerów, nie oznacza, że należy ich cał-kowicie pomijać przy tworzeniu programu szkolenia.W organizacji prawdopodobnie niewiele jest zagadnień ważnych dlawszystkich pracowników, które mają tak istotne znaczenie, a jednocześnie sąw tak oczywisty sposób nudne, jak zagadnienia bezpieczeństwa.Dobry pro-gram szkolenia musi jednocześnie informować, przyciągać uwagę i wzbu-dzać zaangażowanie słuchaczy.Szkolenie i podtrzymywanie świadomości bezpieczeństwa musi stać sięangażującym uwagę, interaktywnym doświadczeniem.Stosowane techni-ki mogą polegać na demonstracji metod socjotechnicznych przy wykorzy-staniu scenek z podziałem na role, przeglądzie doniesień medialnych o ostat-nich przypadkach ataków na bardziej pechowe firmy i omawianie sposobów,w jaki firma mogłaby tego uniknąć; warto pomyśleć o projekcji filmu na te-mat zasad bezpieczeństwa, który jest jednocześnie zabawny i pouczający.Ist-nieje kilka firm, które zajmują się dystrybucją filmów i materiałów dotyczą-cych zagadnień związanych z bezpieczeństwem.UwagaInstytucje, które nie mają możliwości zorganizowania wewnętrznegoszkolenia z zakresu bezpieczeństwa, mogą skorzystać z oferty którejśz firm szkoleniowych, prowadzących szkolenia z tego zakresu.Historie opisane w tej książce stanowią dobry materiał objaśniający me-tody i taktyki stosowane przez socjotechników, zwiększający świadomośćzagrożenia i demonstrujący słabości ludzkich zachowań.Można rozważyćużycie tych scenariuszy jako podstawy do budowania scenek rodzajowych.Historie te również prowokują do dyskusji na temat: co mogłaby odpowie-dzieć ofiara, aby uniknąć ataku.Dobry twórca programu i dobry szkoleniowiec znajdzie obok mnóstwawyzwań wiele sposobów na ożywienie szkolenia i w rezultacie motywowa-nie ludzi, aby stali się częścią mechanizmu obrony.274Struktura szkoleniaProgram podstawowego szkolenia z zakresu bezpieczeństwa powinienstać się obowiązkowy dla wszystkich pracowników.Od nowych powinno sięwymagać uczęszczania na takie szkolenie jako jednego z elementów wdraża-nia do pracy.Zalecam, by dostęp do komputera był możliwy dopiero po za-liczeniu takiego kursu.Początkowy etap szkolenia powinien być na tyle skoncentrowany, byprzykuć uwagę, i na tyle krótki, aby ważne komunikaty zostały zapamięta-ne.Oczywiście ilość zagadnień do poruszenia z całą pewnością usprawiedli-wia dłuższe szkolenie, ale z drugiej strony konieczność zapewnienia świado-mości i motywacji oraz przekazania zapamiętywanej liczby podstawowychkomunikatów przeważa na korzyść rezygnacji z parogodzinnych lub cało-dniowych sesji, po których ludzie są przytłoczeni nadmiarem informacji.Nacisk podczas tych sesji musi być położony na uświadamianie szkód, ja-kie może ponieść firma i sami pracownicy, jeżeli nie będą przestrzegali od-powiednich zaleceń dotyczących bezpieczeństwa.Ważniejsza od samego na-uczenia zasad i praktyk jest motywacja pracowników, która prowadzi do ak-ceptacji swojej własnej odpowiedzialności za bezpieczeństwo.W sytuacjach, gdy niektórzy pracownicy nie mają możliwości od razurozpocząć szkolenia, firma powinna rozważyć przeprowadzenie szkoleniaprzy wykorzystaniu innych form, np [ Pobierz całość w formacie PDF ]

Linki