Zašto je važno vršiti obuku zaposlenih

Potrebno je ovde promovisati sigurnosne principe kojih se obično pridržavaju profesionalci u svakodnevnom radu kako bi i oni mogli da imaju od toga koristi. Ovde se pre svega misli na osnovne stvari, od politike lozinki pa do šifrovanja fajlova i sigurnog korišćenja e-mail-a.

Ovaj članak predstavlja nastavak prethodnog i ima za cilj da ukaže na važnost obuke zaposlenih koja je u našoj zemlji neopravdano zapostavljena. Ima jedna stara priča, kada su pitali jednog direktora zašto toliko ulaže u svoje zaposlene kada oni mogu svakog trenutka otići da rade u drugu kompaniju na šta je on odgovorio „Može da se dogodi da zaposleni u koga ja uložim novac napusti kompaniju i ode da radi za konkurenciju ili otvori svoj privatni biznis, ali sa druge strane može da se dogodi da ja ne uložim u njegovu obuku, a da on ostane, šta ću onda da radim sa njim?“. Ovaj direktor je potpuno u pravu, iako on ovde priča o veštinama koje su potrebne za obavljanje posla, a u našem slučaju radi se o ulaganju u obuku zaposlenih u oblasti poznavanja sajber pretnji koje svakodnevno vrebaju na Internetu. Priča je skoro ista, ulaganjem u obuku zaposlenih na svim nivoima jeste da ćete potrošiti određeni novac. Međutim, ukoliko takva obuka spreči samo jedno curenje važnih podataka ili infekciju interne mreže kompanije ona se odmah isplatila, a da ne pričamo o tome ako se na ovaj način spreči više različitih vrsta napada čija se vrednost ni ne može preračunati. Osim opipljivih stvari koje se mogu ukrasti postoji i nešto što se zove imidž firme koji na ovaj način može biti mnogo urušen što može izazvati izuzetne finansijske gubitke, pa čak kod nekih kompanija i prestanak poslovanja zbog gubljenja poverenja kod svojih klijenata.

Kako treba da izgleda jedna ovakva obuka?

Ovakva obuka uglavnom ne treba da traži bilo kakva predznanja i sprovodi se u kraćem trajanju od maksimalno 2 školska časa odnosno 90 minuta. Treba da bude što praktičnija i da se zaposlenima predstave sve pretnje kao i tehnike kako da ih prepoznaju i odbrane se od njih. Potrebno je ovde promovisati sigurnosne principe kojih se obično pridržavaju profesionalci u svakodnevnom radu kako bi i oni mogli da imaju od toga koristi. Ovde se pre svega misli na osnovne stvari, od politike lozinki pa do šifrovanja fajlova i sigurnog korišćenja e-mail-a. Nije dobro da postoji jedna generička obuka, već se svaka ovakva obuka posebno priprema za kompaniju klijenta, jer postoje specifičnosti koje je potrebno obraditi u pojedinim slučajevima, a koji mogu dosta da utiču na opšte stanje bezbednosti. Ovakve obuke su poznate kao security awareness i predstavljaju vrhunac praktičnih primera iz prakse gde se zaposleni uče na tuđim greškama šta ne treba da rade i kako ne treba da se ponašaju.

Koje zaposlene treba obučavati ovakvim treninzima?

Odgovor na ovo pitanje jeste apsolutno sve. Nikada ne možete znati gde će napadač pokušati da udari, odnosno ko će mu biti prva meta. Uopšte ne mora da znači da će to biti IT (informacione tehnlogije) služba kao što veliki broj ljudi misli, naprotiv po nekim statistikama najveći broj pokušaja napada je bio na HR službu (ljudski resursi) jer oni su pravo mesto za pokušaj ulaska u sistem. SECIT security tim sprovodi ovakve obuke već neko vreme i postoje razvijene obuke za sledeće kategorije:

• trening-obuka za fizičko obezbeđenje;
• trening-obuka za šalterske službenike;
• trening-obuka za kancelarijske radnike;
• trening-obuka za menadžment;
• trening-obuka za radnike call centra;
• trening-obuka za finansijsku službu;
• trening-obuka za HR službu;
• trening-obuka za radnike koji delatnost obavljaju na terenu.

Pored ovih kategorija uvek je moguće napisati obuku po svojoj meri, jer jednostavno nije moguće generalizovati stvari. Većina ovakve obuke smatra troškom što na papiru stvarno i jeste. Međutim, ovakva obuka može kompaniju spasiti od mnogo velike štete, kako finansijske tako i u vidu prestanka poslovanja, pa treba na vreme razmisliti o ovome. Po mišljenju većine stručnjaka u oblasti informacione bezbednosti ovakva obuka predstavlja prvu meru odbrane koja se sprovodi i pre nabavke hardvera i softvera koji se može koristiti za zaštitu i predstavlja proaktivnu meru u zaštiti.

Pošto sam u prethodnom članku već pisao o socijalnom inženjeringu ovde se neću baviti tom temom pa koga zanima neka pročita prethodni članak. Upravo su socijalni inženjeri najveća opasnost po zaposlene u kompaniji. Nadam se da sam ovim uspeo da vas bar malo pokrenem na razmišljanje o ovoj temi i ako jesam to je sasvim dovoljno za početak.