روابط عمومی شرکت ایدکو (توزیع کننده محصولات کسپرسکی در ایران)؛ وقتی صحبت از توصیه‌های عملی برای شرکت‌ها به میان می‌آید، همیشه می‌گوییم: «آگاهی امنیتی کارمندان خود را بالا ببرید». این موضوع بسیار اهمیت دارد اما آنچه دستگیرمان شده این است که هر کسی معنی عبارت آگاهیِ امنیتی را درک نمی‌کند. منظورمان این است که هر کس به فراخور نیازها و شرایط خود، آگاهی امنیتی را در یک چیز می‌بیند. در ادامه با ما همراه شوید تا توضیح دهیم:
آگاهیِ امنیتی به هیچ‌وجه مجموعه‌ای از سخنرانی‌های خسته‌کننده نیست که مدام سعی دارد بگوید جهان سایبری سراسر در خطر است. ما رویکردهای مختلفی را مورد بررسی قرار داده‌ایم و حال می‌توانیم به جرأت بگوییم سخنرانیِ صرف در مورد امنیت سایبری کاری از پیش نمی‌برد.
آنچه یک شرکت شدیداً بدان نیاز دارد، فرهنگ‌سازی در بخش امنیت سایبری است.
رویکرد ما
تجربه به ما می‌گوید، آموزش تنها زمانی میسر است که معیارهای زیر را پوشش دهد:
- تئوریِ محض نباشد؛ چیزهایی را آموزش دهد که با ساز و کار حرفه‌ایِ فرد همخوانی داشته باشد.
- جریان کاری روزانه‌ی افراد شرکت‌کننده در این جلسات آموزشی را به هم نریزد.
- از نمونه‌ها و مصداق‌های بارز و واقعی استفاده کند.
- توصیه‌هایی را ارائه دهد که واقعاً بشود در زندگی واقعی به کار برد.
کاربرد
این مورد آخر شاید خیلی بدیهی به نظر برسد اما فی‌الواقع از سایر ملاک‌ها اهمیت بیشتری دارد. توصیه‌ی ما خیلی ساده است: هر رمزعبوری را منحصر به خودش بسازید؛ سعی کنید رمزعبورتان دست‌کم 18 کاراکتر را در خود جای دهد؛ در آن از نمادهای رندم و تصادفی استفاده کنید و حتی‌المکان هر هفته یک کدام از آنها را عوض کنید؛ هیچگاه رمزعبور خود را روی کاغذ ننویسید. به حرف، این توصیه عالیست (شاید حتی ایده‌آل هم باشد)؛ اما سوال اینجاست؟ در عمل هم می‌شود به همین خوبی آن را از آب درآورد؟ خوب راستش خیر. آیا همه این اقدامات را دنبال می‌کنند؟ هیچ‌کس. آنها همچنان رمزعبورهای خود را روی برگه‌ای می‌نویسند. اوج رعایت کردن جوانب احتیاط‌شان به این محدود می‌شود که کاغذشان را زیر کیبوردی جایی قایم کنند.
از همین روست که نسخه‌ی امنیت رمزعبور ما در عوض به مردم توصیه می‌کند رمزعبورهایی سخت و پیچیده برای خود انتخاب کنند... چیزی که فقط خودشان استفاده می‌کنند و بخشی از محاوره‌ی روزانه نیست (که بشود راحت حدسش زد). برای خود کلیدواژه تعریف کنید... مثلاً اگر رمزعبورتان این است: oxygen-meow!72!meow سعی کنید روی کاغذ به جای یادداشت کردن خود رمز، تصویری از دستگاه تنفسی گربه را بکشید (چیزی که بشود با دیدنش سریع یاد رمزعبور افتاد).
از دیدگاه کلاسیک امنیت سایبری، این توصیه به هیچ‌وجه شدنی نیست. ممکن است هر متخصص امنیتی عصبانی شود و بگوید: «دارید چه کار می‌کنید؟ چطور رویتان می‌شود به مردم بگویید بخشی از رمزعبور خودشان را به صورت رمزی و تصویری بکشند برایشان تداعی‌کننده باشد؟» اما در واقع این روش خیلی هم کاربردی و اجرایی است.
سازگاری
سازگاریِ آموزش با جریان کار روزانه مبحث دیگریست که باید بدان مفصلاً پرداخت. وقتی مقام‌های بالادست سازمانی تصمیم به افزایش سطح آگاهی امنیتی کارمندان خود می‌گیرند (توجه داشته باشید که در بسیاری از موارد بعد از اینکه این واقعه رخ می‌دهد تازه چنین تصمیم‌گیری‌هایی صورت می‌پذیرد)، اوج زحمتشان این است که فردی را متصدی این امر کرده و بعد خود پا روی پا انداخته و استراحت می‌کنند.
در عمل، تنها یک سخنرانی طولانی و ملال‌آور است... کاری بزرگ و وقت‌گیر که شاید هیچ‌کس بدان توجهی نکند و اگر هم بکند شاید در نهایت چیزی به دردش نخورد (چپاندن کلی محتوا در بازه‌ی زمانی کوتاه هیچ برآیند مثبتی در پی نخواهد داشت).
بعد از همه‌ی این آموزش‌ها اگر یک نفر از آنها بپرسد چه یاد گرفته‌اید هیچ جوابی ندارند بدهند. شاید برای یکی دو هفته بر اثر جوّ کلاس‌ها کمی بهشان تلنگر بخورد و چیزهایی هم یادشان باشد؛ اما با گذشت مدتی همه‌چیز از خاطرشان می‌رود و روز از نو روزی از نو.
برای همین است که سعی داریم با محصولاتمان (در اینجا به طور خاص منظورمان پلت‌فرم آگاهی امنیتی خودکار کسپرسکی است) افراد با اطلاعات بمباردمان نشوند. دادن یک سری فعالیت‌ها، درس‌ها، آزمون‌ها و شبیه‌سازی‌های سبک به کارمندان باعث می‌شود اطلاعات را خیلی راحت در ذهن فرو برده و آنها را هضم کنند. بدین‌ترتیب به جریان کاری روزمره‌شان نیز خدشه‌ای وارد نشده و در این زمینه فرهنگ‌سازیِ درستی صورت می‌گیرد.
ارتباط و تجسم فکری
در این خصوص، موضع ما مشخص است- ما با افراد زنده کار می‌کنیم نه با یک سری اکانت بی‌صورت. اگر این فرآیند جذاب نباشد خیلی زود فراموش خواهد شد. و همچنین مطالب باید مربوط باشند. ما از نظامی متشکل از سطوح مختلف استفاده می‌کنیم که هر یک گروهی از کارمندان را در حوزه‌ی خاصی از وظایف مورد خطاب قرار می‌دهد. اصلاً به نظر خودتان این منطقی است که به فردی که هیچ دسترسی‌ای به سیستم‌های بانکی ندارد در مورد تهدیدهای سایبریِ مالی صحبت کنیم؟ علاوه بر این، ابتدا توضیح می‌دهیم چرا کارمندان باید در خصوص موضوعی اطلاعات کسب کنند و بعد از آن است که شروع می‌کنیم به دادن توصیه‌ها در آن خصوص.
شبیه‌سازی‌های تعاملی همچنین فراتر از اطلاعات ساده در مورد تهدیدات قدم می‌گذارند و سعی دارند تا نمونه‌های قابل‌اجرا را ارائه دهند. آنها همچنین بهترین روش برای کار کردن با مدیران ارشدند؛ که دسترسی گسترده‌ای دارند اما به ندرت در جلسات آموزشیِ معمول شرکت می‌کنند.
خیلی‌ها شبیه‌سازی تعاملیِ محافظت کسپرسکی[1] را به چشم محتوایی آموزشی نمی‌بینند بلکه آن را رویدادی تیمی تلقی می‌کنند. مدیران طی همکاری خود با کارمندان‌شان جهت مصون نگه داشتن یک شرکت شبیه‌سازی‌شده از گزند تهدیدات تازه متوجه می‌شوند که چرا شرکت باید اقدامات محافظتی انجام دهد، کجا باید اقدامات دفاعی را شروع کند و چطور می‌شود که درآمد شرکت به امنیت سایبری وابسته می‌شود. تجربه‌ای کاملاً ناب و منحصر به فرد. و در آخر بگوییم تنها ما نیستیم که داریم به مزایای فرهنگ‌سازی در زمینه‌ی امنیت سایبری فکر می‌کنیم. شرکتهای تحلیلی نیز ایده‌هایی مشابه با ما را دارند.
[1] Kaspersky Interactive Protection Simulation
منبع: کسپرسکی آنلاین (ایدکو)
کسپرسکی اسم یکی از بزرگترین شرکتهای امنیتی و سازنده آنتی ویروس است که برخی از کاربران اشتباهاً این شرکت و محصولات آنتی ویروس آن را با عناوینی نظیر کسپرسکای،کاسپرسکی، کسپراسکای، کسپراسکای، و یا کاسپراسکای نیز می‌شناسد. همچنین لازم به ذکر است مدیرعامل این شرکت نیز یوجین کسپرسکي نام دارد.
