На днях наткнулась на дискуссию. Вопрос: «Вы бы предпочли остаться один на один в лесу с незнакомцем или с медведем?»
Большинство представителей женского сообщества выбирают медведя. Мужчины - мужчину.
Почему я вообще об этом в ИБ-канале?
Потому что это идеальная иллюстрация того, как мы оцениваем риски в безопасности.
✔️ Медведь - это известная угроза. Страшная, но предсказуемая. Ты знаешь, чего от него ждать, если в школе хорошо учился
✔️ Незнакомец - это неизвестность. Он может быть безопасным, а может - нет. И это может пугать сильнее.
В ИБ ровно то же самое.
Мы боимся хакеров в капюшонах, APT-групп, сложных атак нулевого дня. Это наши «медведи». Посчитали, оценили, легли спать.
Но реальные проблемы приходят оттуда, откуда не ждёшь. От своего же администратора, который случайно открыл доступ не туда. От уволенного сотрудника с действующим токеном. От коллеги, который «просто хотел помочь».
Почему мы недооцениваем «знакомые» угрозы?
— Потому что они негероические. Нельзя прийти к CEO и сказать «нам нужен бюджет на защиту от Ивана из бухгалтерии».
— Потому что они требуют работы с людьми, а не с технологиями. А люди - это сложно.
— Потому что признать, что угроза может быть изнутри = признать, что ты ошибся в человеке.
Я не призываю бояться своих сотрудников. Я призываю не закрывать глаза на то, что самые страшные риски часто ходят с вами на одни и те же