Уходя из дома, вы запираете дверь. Садясь в машину, пристегиваете ремень безопасности. Это привычные меры предосторожности. Мы понимаем их назначение, знаем, как их выполнять, и редко задумываемся о них.

Наша цифровая жизнь отличается. Мы совершаем покупки, проводим банковские операции, работаем и общаемся с семьей и друзьями онлайн, часто не имея четких ориентиров, где начинается опасность или какая мера предосторожности наиболее важна. Мы получаем постоянный поток предупреждений о новых мошеннических схемах, краже учетных данных, утечках данных и уязвимостях программного обеспечения. Сообщения различаются по степени срочности, но многие, кажется, требуют нашего немедленного внимания.

В результате может возникнуть неприятное противоречие: информация, призванная обеспечить нам безопасность, может также перегрузить нас и снизить готовность к действию.

В беседах с людьми как в сфере технологий, так и за ее пределами я постоянно слышу вариации одних и тех же опасений. Каждую неделю появляется новая мошенническая схема, и успевать за ними невозможно. Если крупные компании могут быть взломаны, как может защитить себя отдельный человек? Почти все, что делается онлайн, кажется рискованным.

Это обоснованные вопросы. Как специалист по кибербезопасности, я считаю, что наша реакция должна выходить за рамки простого повторения о существовании угроз. Нам нужно помочь людям понять, какие риски актуальны, что они могут с этим сделать и где заканчивается их ответственность.

Когда предупреждение становится фоновым шумом

Существуют веские причины для мониторинга ландшафта угроз. Преступники адаптируют свои методы, мошеннические схемы развиваются, а уязвимости иногда требуют срочного устранения. Игнорирование этих изменений не является разумной стратегией.

Однако существование угрозы не равнозначно подверженности ей человека или организации. Уязвимость, описанная как критическая, не обязательно создает одинаковый уровень риска для каждого бизнеса. Ответ зависит от того, какие продукты используются, подвергаются ли затронутые системы внешнему воздействию, какие меры защиты уже приняты и каковы потенциальные последствия для бизнеса.

Критический недостаток в технологии, которую организация не использует, может быть отмечен без необходимости экстренных мер. Менее значительная проблема, затрагивающая критически важный для бизнеса сервис, доступный через интернет, может потребовать немедленного внимания. Один только заголовок не может провести такое различие.

Тем не менее, заголовки часто являются тем, как люди сталкиваются с кибербезопасностью. Когда предупреждения поступают без контекста, приоритезации или практических рекомендаций, они конкурируют за ограниченное внимание. То, что должно быть исключительным, начинает ощущаться как рутина. Оповещение, которое действительно требует действий, может затеряться в шуме.

Существует значительная разница между тем, чтобы оставаться информированным, и ощущением необходимости постоянно быть начеку.

Усталость от безопасности — это не просто отсутствие интереса

У исследователей есть название для части этого опыта: усталость от безопасности. В качественном исследовании 2016 года, проведенном Национальным институтом стандартов и технологий США (NIST), были опрошены 40 обычных пользователей компьютеров по вопросам безопасности и конфиденциальности. Признаки усталости проявились в 25 интервью, хотя усталость не была первоначальной целью исследования.

Участники описывали разочарование повторяющимися требованиями и советами, а также чувство смирения и снижения контроля. Исследователи связали этот опыт с избеганием принятия решений, выбором самого простого доступного варианта и игнорированием защитных рекомендаций. Исследование было небольшим и качественным, поэтому его не следует рассматривать как показатель того, насколько широко распространена усталость сегодня. Его ценность заключается в объяснении поведения, которое команды безопасности могут иначе назвать небрежностью.

Когда кто-то игнорирует очередное предупреждение, он может быть не равнодушен к безопасности. Он может просто потерять способность различать, что важно, что срочно и какие действия от него ожидаются.

Это различие имеет значение для руководителей по безопасности. Если каждое сообщение помечено как срочное, не стоит удивляться, когда срочность перестает работать. Больше предупреждений — не всегда лучшее общение.

Замените объем заголовков критериями принятия решений

Я не считаю, что люди должны запоминать каждую новую технику фишинга или следить за каждым раскрытием уязвимостей, чтобы практиковать надежную цифровую безопасность. Также неустойчиво для команд безопасности относиться к каждой проблеме как к одинаково важной.

Лучший подход начинается с трех вопросов при появлении нового оповещения:

1. Затрагивает ли это меня или мою организацию? Касается ли оповещение сервиса, устройства, учетной записи или процесса, которые я использую или контролирую?

2. Требует ли это немедленных действий? Есть ли достоверные рекомендации и конкретная причина для срочности, или это общая информация о возможной угрозе?

3. Каково наиболее эффективное доступное мне действие? Следует ли мне установить обновление, проверить необычный запрос через другой канал, включить средство защиты или уведомить соответствующую команду?

Это не гарантия безопасности. Это способ отделить полезную информацию от шума и сохранить внимание для принятия важных решений.

Для отдельных лиц более ценной является последовательная базовая линия, чем попытка распознать мошенническую схему недели: обновляйте устройства и приложения, используйте длинные и уникальные пароли с менеджером паролей, включите многофакторную аутентификацию и проверяйте запросы, требующие немедленных действий или конфиденциальной информации. Эти привычки легко описать, даже если их реализация иногда требует помощи.

Для организаций эквивалентом является процесс, основанный на оценке рисков, который связывает оповещения с фактическими активами, подверженностью угрозам, приоритетами бизнеса и четкими ответственными лицами. Бюллетень по безопасности должен отвечать на вопросы: кто затронут, что известно организации, что нужно сделать и к какому сроку. Когда никаких действий не требуется, об этом также полезно сообщить.

Бремя не может лежать исключительно на пользователях

Было бы несправедливо завершать это обсуждение, предоставляя людям еще один длинный список обязательств. Если для обеспечения безопасности требуется, чтобы каждый сотрудник интерпретировал технические предупреждения, разбирался в сложных настройках и каждый раз делал правильный выбор, то дизайн системы является частью проблемы.

Организации и поставщики технологий должны по умолчанию облегчать безопасное поведение. Это включает разумные настройки защиты, автоматические обновления, где это уместно, эффективную фильтрацию, простые каналы отчетности и четкие инструкции, когда необходимо принять реальное решение. Это также означает подготовку к ошибкам через обнаружение, реагирование и восстановление, а не предположение о безупречном поведении человека.

Работа NIST по человеко-ориентированной кибербезопасности выдвигает аналогичный тезис: системы и рекомендации должны учитывать реальные потребности, возможности и ограничения людей. Цель состоит в том, чтобы сделать безопасные действия практически более легкими, а не просто выдавать больше инструкций.

Руководители по безопасности могут применить этот принцип на практике, просматривая предупреждения, получаемые сотрудниками. Отправляют ли несколько команд перекрывающиеся сообщения об одной и той же угрозе? Объясняют ли оповещения действие и его ответственного? Просим ли мы сотрудников решать проблемы, которые может предотвратить технический контроль? Могут ли люди сообщать о подозрительном сообщении, не опасаясь обвинений?

Эти вопросы признают, что поведение пользователя имеет значение, но оно всегда происходит в рамках системы, которая может поддерживать или подрывать правильные решения.

Повышайте осведомленность через уверенность

Я хочу, чтобы осведомленность о безопасности относилась к людям как к партнерам, а не как к самому слабому звену, которое нужно запугать до подчинения. Хорошая коммуникация о рисках должна объяснять, почему что-то важно, кого это затрагивает и какой реалистичный следующий шаг доступен. Она также должна уметь сказать, когда нет причин для паники.

Уверенность не означает предположение, что ничего не пойдет не так. Это означает понимание наиболее актуальных рисков, знание о принятых мерах защиты и знание, куда обратиться, когда происходит что-то необычное.

Поэтому мы должны быть осторожны в том, как мы измеряем осведомленность. Количество распространенных оповещений или доставленных обучающих сообщений мало говорит о том, могут ли люди действовать в соответствии с полученными знаниями. Я бы предпочел задать более сложный вопрос: Получив наши рекомендации, люди лучше подготовлены к принятию обоснованного решения?

Если ответ отрицательный, нам нужно изменить способ передачи информации о кибербезопасности.

Осведомленность не должна пугать людей. Она должна предоставлять знания, чувство контроля и практические способы действий.