讓企業(yè)的網(wǎng)絡(luò)安全培訓(xùn)更有吸引力和有效的八個(gè)方法

責(zé)任編輯:cres

作者:Rosalyn Page

2023-11-15 15:33:42

來源:企業(yè)網(wǎng)D1Net

原創(chuàng)

為什么網(wǎng)絡(luò)安全培訓(xùn)項(xiàng)目達(dá)不到要求?從過時(shí)的內(nèi)容到平淡無奇的交付方式,許多因素都導(dǎo)致了未達(dá)預(yù)期的結(jié)果。本文介紹了讓網(wǎng)絡(luò)安全培訓(xùn)更有吸引力和更有效的方法。

企業(yè)很難讓員工參加網(wǎng)絡(luò)安全意識(shí)培訓(xùn),往往不得不強(qiáng)制員工遵守。持續(xù)不斷的財(cái)務(wù)緊張影響著所有企業(yè),這也意味著規(guī)模較小的團(tuán)隊(duì)需要更多工作,這些團(tuán)隊(duì)需要時(shí)間來完成非常乏味的培訓(xùn)。解決方案是重新設(shè)想這些計(jì)劃,把重點(diǎn)放在更頻繁但持續(xù)時(shí)間更短的培訓(xùn)上,獎(jiǎng)勵(lì)員工,避免點(diǎn)名和羞辱,并幫助他們理解這不僅有助于他們目前的工作,也有助于他們在家里和未來的工作。
 
以下是你目前的培訓(xùn)沒有效果的八個(gè)原因,以及企業(yè)應(yīng)該考慮什么才能讓它更具吸引力。
 
1.調(diào)整網(wǎng)絡(luò)安全培訓(xùn)的方法是打破常規(guī)
 
Security Innovation的首席執(zhí)行官Ed Adams表示,讓培訓(xùn)變得有效的“更好方法”是讓人們表現(xiàn)得像攻擊者,模仿復(fù)雜、快速演變的網(wǎng)絡(luò)攻擊世界,特別是在軟件安全方面,他指出,根據(jù)該公司與波內(nèi)蒙研究所的2023年研究,包括現(xiàn)實(shí)模擬在內(nèi)的網(wǎng)絡(luò)安全培訓(xùn)項(xiàng)目可以提供更高的投資回報(bào)率。
 
像這樣的培訓(xùn)計(jì)劃可能包括任務(wù)、挑戰(zhàn)——例如破壞訪問控制——競賽,以及帶有補(bǔ)充實(shí)驗(yàn)室和課程的排行榜,以評估能力并最大限度地提高學(xué)習(xí)和協(xié)作能力。他告訴記者:“能夠看到數(shù)據(jù)被盜和欺詐性交易形式的攻擊的含義,將漏洞從理論問題轉(zhuǎn)變?yōu)閷?shí)際問題。”
 
他的建議是,根據(jù)一個(gè)人的角色和他們的技術(shù)平臺(tái)量身定做培訓(xùn)。他說:“有了模塊化的安全課程,就更容易將安全概念分解成針對特定角色的可互換的核心組成部分。在這種方法中,培訓(xùn)必須具有參與性和情境性,以確保掌握,同時(shí)跟上安全團(tuán)隊(duì)面臨的最新威脅。”
 
培訓(xùn)計(jì)劃還需要定期更新,并不斷更新最新的威脅情報(bào)。Adams說:“沒有什么比每年提供一次過時(shí)的內(nèi)容更能告訴人們你不把培訓(xùn)當(dāng)回事。”雖然你不能強(qiáng)迫人們吸收他們不想要的知識(shí),但強(qiáng)制性培訓(xùn)也可以是激勵(lì)的,但加強(qiáng)為什么要建立以安全為重點(diǎn)的文化至關(guān)重要。
 
自定進(jìn)度的學(xué)習(xí)對于擴(kuò)展知識(shí)和靈活性也很重要,融入親密的生活環(huán)境可以建立團(tuán)隊(duì)合作。“這就是為什么由講師指導(dǎo)的團(tuán)隊(duì)意識(shí)活動(dòng)是有效的,即使是遠(yuǎn)程的。培訓(xùn)培訓(xùn)師或?qū)W徒計(jì)劃的選項(xiàng)對于組織的成熟和認(rèn)同至關(guān)重要。接受‘自己人’的培訓(xùn)會(huì)帶來新的視角,并增加傾聽和學(xué)習(xí)的意愿。”
 
2.要想使培訓(xùn)有效,需要重視安全文化
 
馬里蒙特大學(xué)(Marymount University)兼職教授、網(wǎng)絡(luò)醫(yī)生(Cyber Doctor)創(chuàng)始人Stephen Boyce表示,CISO可能會(huì)錯(cuò)過的是,在網(wǎng)絡(luò)安全培訓(xùn)中超越以復(fù)選框合規(guī)為重點(diǎn)的方法。
 
要使企業(yè)的安全文化成熟,需要更多的預(yù)算和人力資源。Boyce告訴記者:“除了技術(shù)人才,企業(yè)還應(yīng)該用非傳統(tǒng)背景的人才來支持他們的員工隊(duì)伍,比如人的因素、心理學(xué)和安全專業(yè)人員。”
 
每個(gè)企業(yè)都有或缺乏安全文化,隨著時(shí)間的推移,隨著時(shí)間的推移,有了專門的資源,這種文化應(yīng)該會(huì)成熟,就像它的網(wǎng)絡(luò)安全計(jì)劃一樣。他說:“一個(gè)企業(yè)的網(wǎng)絡(luò)安全計(jì)劃的影響力取決于該企業(yè)的安全文化,以及它是否使用了多種交付方法,將員工不同的學(xué)習(xí)風(fēng)格結(jié)合在一起。”
 
他說:“一些企業(yè)使用不同的交付方法,根據(jù)個(gè)人的風(fēng)險(xiǎn)狀況而不是他們的職稱或部門來定制他們的培訓(xùn)計(jì)劃,這需要他們員工的個(gè)人基線來了解每個(gè)員工的風(fēng)險(xiǎn)狀況。然后進(jìn)行持續(xù)評估,以了解他們在應(yīng)對當(dāng)前威脅時(shí)的優(yōu)勢和劣勢,從而提供與員工相關(guān)的有意義的培訓(xùn)。”
 
但Boyce認(rèn)為,這種做法未來需要改變。“今天的安全培訓(xùn)和教育項(xiàng)目是由數(shù)字移民為數(shù)字移民設(shè)計(jì)的,然而,隨著勞動(dòng)力人口結(jié)構(gòu)的持續(xù)變化和數(shù)字原住民在勞動(dòng)力中的主導(dǎo)地位,企業(yè)會(huì)發(fā)現(xiàn)他們一貫的做法不再那么有效。”
 
他說:“一些培訓(xùn)項(xiàng)目正在提供可以從一個(gè)雇主轉(zhuǎn)移到另一個(gè)雇主的數(shù)字徽章,使企業(yè)能夠在未來員工開始工作日期之前確定他們的基線,并將培訓(xùn)項(xiàng)目與人力資源系統(tǒng)聯(lián)系起來。”
 
3.該行業(yè)需要一種不同的方式來衡量人類風(fēng)險(xiǎn)
 
“為什么它很糟糕?AwareGO的聯(lián)合創(chuàng)始人兼研發(fā)主管Ragnar Sigurdsson表示:“它太長了,太技術(shù)了,安全管理員太依賴釣魚模擬了。”他認(rèn)為,網(wǎng)絡(luò)培訓(xùn)應(yīng)該是愉快的,但也是小規(guī)模的;保持培訓(xùn)視頻不超過兩分鐘,使用演員而不是卡通,并利用廣告行業(yè)的技巧,以一種更快、更吸引人的方式傳達(dá)有關(guān)威脅的信息。“人們很快就會(huì)失去興趣,如果他們覺得自己的時(shí)間被浪費(fèi)了,他們就會(huì)開始憎恨培訓(xùn),不會(huì)參加培訓(xùn),”Sigurdsson說。
 
他說:“幾十年來,公司一直依靠網(wǎng)絡(luò)釣魚模擬來告訴他們公司在網(wǎng)絡(luò)安全方面的立場,這些測試確實(shí)讓你對自己的風(fēng)險(xiǎn)狀況有了一些了解,但只在一個(gè)方面(他們點(diǎn)擊了還是沒有點(diǎn)擊),即使這樣,信息也不是那么好,它們不會(huì)顯示人們是否忽視了這封電子郵件,如果他們轉(zhuǎn)發(fā)了它,他們是如何決定它是安全的還是不安全的等等,這些都是非常重要的信息,安全管理員應(yīng)該想知道這些信息,以便他們能夠補(bǔ)救真正的問題。”他說。
 
眾所周知,釣魚模擬也會(huì)對員工產(chǎn)生負(fù)面影響,因?yàn)樗鼈儠?huì)讓人們在使用真實(shí)組織的域時(shí)失敗,這使得釣魚電子郵件幾乎不可能被發(fā)現(xiàn)。Sigurdsson說:“這導(dǎo)致員工惡意合規(guī),聲稱公司的每一封電子郵件都是釣魚郵件,不回復(fù)電子郵件或會(huì)議請求。”
 
我們需要一種不同的方法來衡量人類風(fēng)險(xiǎn)。不是標(biāo)準(zhǔn)化的問卷調(diào)查或網(wǎng)絡(luò)釣魚模擬,而是針對多個(gè)威脅領(lǐng)域的獨(dú)立和互動(dòng)評估方案,每個(gè)方案都揭示了不同水平的知識(shí)和行為。Sigurdsson傾向于從人類風(fēng)險(xiǎn)評估開始,然后使用該評估來建立具有相關(guān)主題的培訓(xùn)計(jì)劃。
 
將獎(jiǎng)勵(lì)和游戲化結(jié)合起來有助于激勵(lì)和一些良性競爭。此外,最好是向員工提供分?jǐn)?shù)和關(guān)于他們正確答案和錯(cuò)誤答案的信息,而不是簡單地說“不及格”。Sigurdsson補(bǔ)充道:“并為得分最高的員工提供獎(jiǎng)勵(lì),并在不同地點(diǎn)或部門內(nèi)建立排行榜。”
 
他認(rèn)為,還有必要在內(nèi)部“推銷”網(wǎng)絡(luò)安全培訓(xùn)計(jì)劃,以幫助買入。他說:“宣傳得不好的安全項(xiàng)目很少能獲得成功。倡議背后需要一個(gè)平易近人的人;部門負(fù)責(zé)人和中層管理人員需要全力以赴并給予支持,才能獲得一些吸引力。”好的成績應(yīng)該得到表揚(yáng)和吶喊,而差的成績必須通過訓(xùn)練來補(bǔ)救,不能責(zé)備或羞愧。他說:“安全計(jì)劃不能是來自最高層的指令,而是作為從首席執(zhí)行官到看門人的所有人的共同責(zé)任。”
 
4.游戲化和在實(shí)踐中學(xué)習(xí)
 
Skill able執(zhí)行主席兼聯(lián)合創(chuàng)始人Corey Hynes表示,游戲化在安全領(lǐng)域尤其奏效,參與者喜歡展示知識(shí)和技能。安全游戲,如攻擊/防御、奪旗和紅色對藍(lán)色,始終實(shí)現(xiàn)更高的參與率,產(chǎn)生更好的學(xué)習(xí)結(jié)果和技能獲得。根據(jù)Hynes的說法,當(dāng)單獨(dú)完成排行榜時(shí),排行榜是激勵(lì)學(xué)習(xí)的一個(gè)很好的工具。
 
Hynes說:“將游戲化納入培訓(xùn)計(jì)劃,并不需要很復(fù)雜才能有效。復(fù)雜的計(jì)分卡或復(fù)雜的自動(dòng)化和評分可能是不必要的。然而,將人們放在同伴小組中,由能夠管理互動(dòng)和促進(jìn)良性競爭的教練或協(xié)調(diào)員監(jiān)督,可能是非常有效的。”他認(rèn)為,太多的節(jié)目依賴于“邊看邊學(xué)”,而沒有給予“邊做邊學(xué)”足夠的重視。
 
在未來,隨著攻擊變得更加復(fù)雜和頻繁,通常得益于GenAI的進(jìn)步,Hynes認(rèn)為,企業(yè)必須讓人們準(zhǔn)備好在第一時(shí)間做出快速而正確的反應(yīng)。“要為這個(gè)現(xiàn)實(shí)做準(zhǔn)備,你需要的不僅僅是閱讀或觀看視頻。”
 
5.摒棄一刀切的做法
 
NINJIO網(wǎng)絡(luò)安全意識(shí)培訓(xùn)的首席執(zhí)行官Shaun McAlmont表示,將課程個(gè)性化是至關(guān)重要的,以滿足學(xué)習(xí)者的需求。“要做到這一點(diǎn),公司需要一個(gè)培訓(xùn)計(jì)劃,使他們能夠根據(jù)個(gè)人或團(tuán)隊(duì)的需求量身定做課程,解決他們角色或個(gè)人弱點(diǎn)的現(xiàn)實(shí)問題。”McAlmont告訴記者。
 
他認(rèn)為,許多網(wǎng)絡(luò)安全意識(shí)項(xiàng)目的幾個(gè)共同特征是被誤導(dǎo)的,因?yàn)樗鼈兂鲇诤弦?guī)目的勾選了一個(gè)框,但沒有考慮人們?nèi)绾螌W(xué)習(xí)以及如何讓他們改變自己的行為。“如果人們從一開始就置身事外,他們就不會(huì)學(xué)習(xí)和改變行為,所以我們需要考慮三件事來呈現(xiàn)這些信息:時(shí)機(jī)、相關(guān)性和個(gè)性化。”
 
由于網(wǎng)絡(luò)安全是一個(gè)復(fù)雜的話題,有很多技術(shù)細(xì)節(jié),每年給某人上一次課并不會(huì)帶來更安全的企業(yè),因?yàn)槿藗儾粫?huì)很好地保留信息,也不會(huì)改變他們正在做的事情。相反,每月定期培訓(xùn)可能會(huì)將網(wǎng)絡(luò)安全意識(shí)的需求放在首位。
 
McAlmont說,反復(fù)的學(xué)術(shù)研究發(fā)現(xiàn),最佳演講時(shí)長為15分鐘,那么為什么要試圖在長時(shí)間的勞動(dòng)力培訓(xùn)中傳達(dá)超重要的信息呢?“取而代之的是,把訓(xùn)練分成更短、更容易理解的部分,然后把它們分散到每月固定的節(jié)奏中。這樣做可以避免學(xué)習(xí)者疲憊不堪,并降低他們在午餐前忘記一切的可能性。”
 
為了保持培訓(xùn)的相關(guān)性,需要向?qū)W習(xí)者展示像網(wǎng)絡(luò)安全這樣的技術(shù)主題如何適應(yīng)他們的生活。McAlmont說:“這意味著要建立一個(gè)相關(guān)的故事,讓人們想:‘這可能真的會(huì)發(fā)生在我身上’,或者他們需要能夠?qū)⑴嘤?xùn)中的主題與現(xiàn)實(shí)生活中的事件聯(lián)系起來。”
 
當(dāng)某人犯了錯(cuò)誤時(shí),無論是被IT部門的模擬釣魚郵件迷住了,還是被真正的攻擊迷住了,太多的程序都會(huì)依賴于懲罰性的方法,比如讓這個(gè)人參加“補(bǔ)救性培訓(xùn)”,或者給他打一個(gè)負(fù)分。他表示:“相反,要保持積極和不帶偏見。如果網(wǎng)絡(luò)安全意識(shí)培訓(xùn)不帶有負(fù)面內(nèi)涵或引發(fā)恐懼情緒,人們更有可能參與其中,并為之做出積極貢獻(xiàn)。”
 
這種方法是圍繞人們?nèi)绾螌W(xué)習(xí)改變他們的行為而建立的,這是一個(gè)比勾選合規(guī)計(jì)劃的框要好得多的目標(biāo)。McAlmont說:“事實(shí)證明,使用動(dòng)畫風(fēng)格、故事驅(qū)動(dòng)的插曲內(nèi)容是該行業(yè)制作的最吸引人的內(nèi)容之一。將這種娛樂性的方式與個(gè)性化交付相結(jié)合是全新的。”
 
6.網(wǎng)絡(luò)教育需要成為一種享受
 
當(dāng)涉及到教育時(shí),我們低估了講故事的力量,這意味著與其在培訓(xùn)模塊中使用假設(shè)場景,不如分享現(xiàn)實(shí)世界的入侵、騙局或網(wǎng)絡(luò)釣魚。SEI的網(wǎng)絡(luò)安全主管Mike Lefebvre告訴記者:“從實(shí)際的網(wǎng)絡(luò)戰(zhàn)爭故事中學(xué)習(xí)可以從一個(gè)實(shí)際的網(wǎng)絡(luò)事件中學(xué)到很多教訓(xùn)。”
 
他說:“員工需要關(guān)心網(wǎng)絡(luò)安全培訓(xùn),才能改變員工的行為。如果網(wǎng)絡(luò)培訓(xùn)被定位為一種生活技能,可以幫助保護(hù)工作中和家里的員工,那么就有可能提高培訓(xùn)參與度。”
 
它需要及時(shí)、相關(guān)、吸引人、可接觸和簡潔,也就是治療。“因此,當(dāng)終端用戶點(diǎn)擊錯(cuò)誤的鏈接或下載錯(cuò)誤的電子郵件附件時(shí),我們可以近乎實(shí)時(shí)地向他們介紹微型課程,而不是使用復(fù)雜的、正式的培訓(xùn)模塊,”他說。“在網(wǎng)絡(luò)安全變得像安全帶或安全氣囊一樣無縫之前,我們還有很多工作要做。”
 
至于人工智能,目前還不清楚這對網(wǎng)絡(luò)教育和培訓(xùn)到底意味著什么,但它的巨大普及可能會(huì)改寫一些學(xué)習(xí)規(guī)則。它可能更像是一種“垃圾輸入,回收信息輸出”的情況,而不是迄今為止計(jì)算機(jī)科學(xué)定義的“垃圾輸入,垃圾輸出”的格言。“人工智能的突破表明,有可能從看似糟糕的數(shù)據(jù)中獲得一些情報(bào),”他表示。
 
Lefebvre認(rèn)為,未來需要對教育和培訓(xùn)項(xiàng)目進(jìn)行重大改造,以吸引即將與人工智能一起成長的一代人。“人工智能有可能從根本上改變我們?nèi)祟愄幚砗蜋z索信息的方式,”他說。
 
7.通過冒險(xiǎn)和非冒險(xiǎn)的行動(dòng)向員工提供實(shí)時(shí)反饋
 
Uptycs的CISO和產(chǎn)品戰(zhàn)略副總裁Kevin Paige表示,觀看基于計(jì)算機(jī)的視頻的傳統(tǒng)培訓(xùn)不起作用。“觀看一個(gè)你不理解的話題的視頻,指望別人記住內(nèi)容,并將其應(yīng)用到現(xiàn)實(shí)世界中,這不是人們學(xué)習(xí)的方式。”
 
更好的方法是接入收集個(gè)人安全和風(fēng)險(xiǎn)遙測的系統(tǒng),并使用這些數(shù)據(jù)向員工提供實(shí)時(shí)反饋,以及個(gè)人每天采取的有風(fēng)險(xiǎn)和無風(fēng)險(xiǎn)的行動(dòng)。“就像用積極和消極的增援來訓(xùn)練一只狗一樣,我們可以根據(jù)實(shí)時(shí)的行動(dòng)/信息來訓(xùn)練人類。”Paige說。
 
Paige認(rèn)為,培訓(xùn)應(yīng)該直接展示當(dāng)員工點(diǎn)擊釣魚電子郵件、在互聯(lián)網(wǎng)瀏覽器中鍵入密碼、打開共享文件或從不安全的網(wǎng)站下載病毒時(shí)會(huì)發(fā)生什么。當(dāng)員工沒有從未經(jīng)批準(zhǔn)的來源下載軟件時(shí),他們應(yīng)該得到積極的反饋。如果組織能夠?qū)⑦@些反饋捆綁在一起,并給員工一個(gè)風(fēng)險(xiǎn)評分,這將使他們能夠評估他們公司的整體風(fēng)險(xiǎn)狀況。
 
8.讓網(wǎng)絡(luò)安全成為商業(yè)對話的一部分,但要保持相關(guān)性
 
網(wǎng)絡(luò)安全意識(shí)和培訓(xùn)不能只是一次性的活動(dòng),相反,它需要是關(guān)于威脅和風(fēng)險(xiǎn)格局不斷變化的性質(zhì)的定期、持續(xù)的對話。
 
為了幫助將潛在風(fēng)險(xiǎn)保持在人們頭腦中的前沿,Rapid7開發(fā)了自己的組織范圍內(nèi)每周安全公告,涵蓋了內(nèi)部和外部風(fēng)險(xiǎn)和威脅。就像每周的風(fēng)險(xiǎn)報(bào)告一樣,高級(jí)領(lǐng)導(dǎo)層有一個(gè)版本,企業(yè)的其他人也有另一個(gè)版本,其目的是報(bào)道嚴(yán)肅的主題,但以簡短有力的方式進(jìn)行。
 
Rapid7的CSO Jaya Baloo告訴記者:“最多五個(gè)項(xiàng)目,因?yàn)槲也皇窍胱屓魏稳顺?fù)荷工作,我只是想讓每個(gè)人都變得更有水平,開始越來越具體地思考會(huì)影響我們企業(yè)的網(wǎng)絡(luò)安全問題。”
 
她說:“Leadance One有五個(gè)內(nèi)部項(xiàng)目,我們認(rèn)為這些項(xiàng)目對企業(yè)來說是真正的風(fēng)險(xiǎn),這些項(xiàng)目會(huì)交給高級(jí)副總裁和高管,要么需要采取行動(dòng),要么僅供參考。”而五個(gè)外部因素是世界其他地區(qū)正在發(fā)生的事情,無論是地緣政治事件、競爭對手還是地區(qū)性事件,我們都可以學(xué)習(xí),這將惠及整個(gè)公司。
 
Baloo還相信谷歌無可指責(zé)的事后哲學(xué),該公司也遵循了這一做法。“我們不是想讓任何人在這件事上得罪人,我們只是想把它調(diào)整好。”
 
關(guān)于企業(yè)網(wǎng)D1net(m.r5u5c.cn):
 
國內(nèi)主流的to B IT門戶,同時(shí)在運(yùn)營國內(nèi)最大的甲方CIO專家?guī)旌椭橇敵黾吧缃黄脚_(tái)-信眾智(www.cioall.com)。同時(shí)運(yùn)營19個(gè)IT行業(yè)公眾號(hào)(微信搜索D1net即可關(guān)注)。
 
版權(quán)聲明:本文為企業(yè)網(wǎng)D1Net編譯,轉(zhuǎn)載需在文章開頭注明出處為:企業(yè)網(wǎng)D1Net,如果不注明出處,企業(yè)網(wǎng)D1Net將保留追究其法律責(zé)任的權(quán)利。

鏈接已復(fù)制,快去分享吧

企業(yè)網(wǎng)版權(quán)所有?2010-2024 京ICP備09108050號(hào)-6京公網(wǎng)安備 11010502049343號(hào)