Molte aziende (forse la tua) si affidano a quei video obbligatori di formazione sulla sicurezza informatica per guidare i dipendenti attraverso i potenziali pericoli online come le email di phishing, le password deboli e i malware. Ma i dipendenti stanno davvero prestando attenzione? O stanno solo giocando con i loro telefoni?
Alcune aziende che producono questi film di formazione informatica hanno alzato il livello, iniettando nei video drammi in stile hollywoodiano, suspense ed effetti speciali. E sebbene ciò possa aiutare, non affronta un'altra preoccupazione sempre più presente nella mente dei responsabili della sicurezza delle informazioni (CISO): anche se i loro dipendenti assorbono le informazioni presentate, spesso sono così generiche da non coprire davvero i tipi specifici di scenari informatici che tendono a verificarsi nel loro particolare settore.
La noia e la rilevanza rimangono le due sfide più grandi per chiunque organizzi una formazione sulla sicurezza informatica. Ecco perché Ken Fishkin (nella foto sopra), che si definisce un "evangelista della privacy", ha deciso di adottare un approccio più personale.
Fishkin aveva la forte sensazione che la formazione video sulla sicurezza informatica nel suo studio legale di 350 persone non stesse davvero sortendo effetto. Il responsabile senior della sicurezza informatica di Lowenstein Sandler ha scoperto che molti avvocati e dipendenti dello studio cadevano vittima di una truffa tramite le applicazioni software DocuSign e DropBox. Gli studi legali si affidano a queste app per condividere documenti che devono essere firmati e approvati, e avvocati, paralegali e altri dipendenti ricevono molte di queste email su base regolare.
In qualità di membro dell'organo direttivo della New Jersey CISO Community e presidente del capitolo statale dell'organizzazione di formazione sulla sicurezza informatica ISC2, Fishkin sa che gli attacchi che utilizzano applicazioni come DocuSign sono in aumento e sempre più sofisticati. Piuttosto che utilizzare semplicemente le tipiche tecniche di phishing, alcuni attori delle minacce stanno creando veri account DocuSign per aggirare i filtri antispam. L'e-mail sembra provenire da una persona reale e da un'azienda reale, con una spiegazione di cosa sia il documento, e all'utente viene chiesto di esaminare e firmare la documentazione, con un link incorporato nell'e-mail per portarlo a un documento basato su cloud. (Un'altra truffa recente si spaccia per PayPal per rubare le credenziali degli utenti e impossessarsi degli account.)
Per una serie di motivi, i dipendenti dell'azienda non si prendevano i pochi secondi necessari per verificare se il link fosse legittimo, ma è anche facile capire come potessero essere truffati. Potrebbero pensare che sia un nuovo cliente o un nuovo assistente a inviare il documento, oppure potrebbero avere così paura di perdere affari o di essere in ritardo con il loro carico di lavoro da cliccare sul link "Rivedi documento".
Fishkin ha riconosciuto che le offerte di formazione generiche non coprono le minacce di ingegneria sociale e le altre preoccupazioni di sicurezza informatica che devono affrontare gli studi legali, quindi ha deciso di cambiare il modo in cui il suo team offriva la formazione sulla sicurezza informatica. Focal Point ha recentemente parlato con Fishkin per scoprire come ha affrontato le truffe di ingegneria sociale che influenzano la sicurezza del suo studio.
(Questa intervista è stata modificata per chiarezza e lunghezza.)
Focal Point: Può parlare del problema di sicurezza che ha affrontato e dei problemi che stava causando all'azienda?
Fishkin: I nostri clienti devono effettuare la dovuta diligenza su di noi, e molte volte vogliono assicurarsi che stiamo svolgendo una formazione sulla consapevolezza della sicurezza per i nostri dipendenti. Ma quello che significa davvero è che le persone stanno semplicemente sedute davanti a un computer per mezz'ora a guardare un video, il che soddisfa i requisiti.
"I truffatori useranno modi creativi per dire a un nuovo assunto che l'azienda ha bisogno che acquisti carte regalo o che debba gestire un'emergenza."
Negli ultimi quattro anni, ho realizzato questi video e poi mettevo alla prova le persone con campagne di sessione – inventavo uno scenario e vedevo quante persone ci cascavano. Era un modo controllato per ingannare le persone con delle truffe, e ci stavano cascando.
Alla fine mi sono detto, OK, probabilmente non stanno guardando questi video; probabilmente stanno facendo qualcos'altro mentre il video era in riproduzione in sottofondo. Ho deciso che dovevamo fare un lavoro migliore nell'educare tutti. Così ho deciso di fare formazione dal vivo con gruppi più piccoli.
[Leggi anche: Perché i lavoratori violano le politiche di sicurezza informatica]
FP: Cosa intende per formazione dal vivo?
Fishkin: Organizzavo una chiamata Zoom o mi sedevo con le persone di persona e avevo conversazioni sui problemi che gli studi legali hanno con le truffe. Colpisce un po' più nel profondo rispetto alla visione di un video destinato al pubblico generale, perché questa formazione è più specifica per gli studi legali.
FP: Con quante persone parla alla volta?
Fishkin: È per i nuovi assunti, quindi se abbiamo cinque persone appena assunte quella settimana, parlerò con cinque persone. Non è che assumiamo centinaia di persone alla volta, quindi è un ritmo che riesco a gestire.
[Leggi anche: 4 priorità di leadership critiche per i CISO nell'era dell'IA]
FP: Di cosa parla durante una sessione di formazione sulla sicurezza dal vivo?
Fishkin: Parlo di truffe reali che sono accadute alla nostra azienda. Per esempio, quando qualcuno annuncia su LinkedIn di essere stato appena assunto da Lowenstein – o quando facciamo una campagna PR per annunciare l'assunzione di un nuovo partner – molti truffatori iniziano con tecniche di ingegneria sociale, come fingere di essere il presidente dello studio e chiedere un numero di cellulare. Oppure i truffatori usano metodi creativi per dire al nuovo assunto che lo studio ha bisogno che acquisti carte regalo o che debba gestire un'emergenza, e che il numero di cellulare è necessario per sistemare le cose.
"Mostrare [ai dipendenti] cose pratiche, truffe che sono effettivamente accadute nella nostra azienda in particolare, colpisce davvero nel profondo."
I nuovi assunti non conoscono ancora bene le persone e non conoscono la cultura dell'azienda, quindi sono molto ricettivi. Soprattutto i giovani che cercano di accontentare tutti per ottenere attenzione.
FP: Che tipo di successo hai avuto con questo approccio personale?
Fishkin: Ho ottenuto buoni risultati. Ho spiegato loro come esistano truffe in cui le persone chiamano dicendo di essere supporto tecnico. Abbiamo le email bomb, dove le persone ricevono migliaia di email in un breve periodo di tempo che riempiono la loro casella di posta. Poi riceveranno una chiamata da qualcuno che finge di essere il supporto tecnico mentre questo sta accadendo. Chi non penserebbe che si tratti davvero di un supporto tecnico legittimo? Ma è una truffa per installare software. Quindi ora le persone verificano che si tratti del vero help desk con cui stanno parlando.
[Leggi anche: Cos'è il social engineering nella cybersecurity – una guida completa]
Sto cercando di assicurarmi che i dipendenti capiscano che non devono semplicemente cliccare sulle cose, ma tutti sono così occupati che non prestano davvero attenzione a quello che sta succedendo. Mostrare loro cose pratiche, truffe che sono effettivamente accadute nella nostra azienda in particolare, colpisce davvero nel segno. Ora vedo più persone che mi contattano per verificare se un'email è falsa o reale.
FP: Continuerà a fare le sessioni annuali di formazione video?
Fishkin: Continuerò a fare la formazione annuale, ma probabilmente diventerà un mix di quello che sto facendo ora con i nuovi dipendenti. Il piano è di fare la formazione annuale per reparto e in questo modo posso parlare con tutti e la formazione sarà più mirata a quel gruppo e alle loro specifiche problematiche di sicurezza. Voglio davvero che le persone si sveglino e prendano la sicurezza più seriamente.
PER SAPERNE DI PIÙ
Scopri altre interviste esclusive con i responsabili della sicurezza nella nostra serie "Storie di successo".
- Joseph Karpenko di Stratascale su…
DALL'EVOLUZIONE DELLE VIOLAZIONI ALLA STRATEGIA AZIENDALE - Marvel 'Superhero' Mike Wilkes su…
USARE L'IA PER COMBATTERE IL CRIMINE INFORMATICO - Ash Hunt di Apex Group su…
PREVEDERE IL RISCHIO INFORMATICO (CON PRECISIONE) CON QUESTA FORMULA - Jeff Aguilar della Contea di LA su…
COME FORMA (E RIFORMA) I LAVORATORI PER COMBATTERE IL PHISHING - Dennis Leber di Honest Medical Group su…
PERCHÉ NON PARLA (MOLTO) DI SICUREZZA INFORMATICA CON IL CONSIGLIO - Stephen Held di Leo A Daly su…
IL ROVESCIO DELLA MEDAGLIA DEL RISCHIO DI TERZE PARTI - Michael Adams di Zoom su…
RAGGIUNGERE LA SICUREZZA INFORMATICA 2,0 CON IL PUNTEGGIO DI RISCHIO INFORMATICO
