Многим нашим коллегам кажется, что сильная культура безопасности — это какая-то опция, уж точно не главный инструмент снижения рисков. Поставить антивирус, внедрить межсетевой экран, ограничить доступы, наказать нарушителей — понятнее и надежнее, чем заниматься какой-то культурой.
Тем интересней был сегодняшний разговор с руководителем, который отвечает за информационную безопасность на крупном предприятии.
Оставлю тут несколько цитат:
— Сначала думали наказывать людей, кто провалил атаку. Быстро поняли — так не работает. Гораздо лучше ясная коммуникация: вот что было, вот к чему могло привести, вот кто сообщил об атаке (важное целевое действие) — вам спасибо.
Очень похоже на позитивное подкрепление: ваша команда сильнее, чем вы думаете
— Для руководства работа с людьми — одна из самых эффективных, но при этом дешевых мер (особенно по сравнению с NGFW, SIEM/SOC). И все остальное без работы с людьми не имеет смысла. У нас же русские люди, ссылка не открывается — перешлют коллегам, файл не работает — на домашнем компьютере попытаются открыть 😊
Очень похоже на то, как директор по ИБ Яндекса в свое время рассказывал, почему они не внедряют DLP: потому что каждый третий коллега мне с ходу расскажет, как его обойти, а каждый четвертый при мне это легко сделает
— Да, кто-то может кликнуть по ссылке, такой процент всегда есть. Но главное, что за это время сотня людей уже сообщат об атаке, и мы заблокируем ее на средствах защиты. В результате инцидента не будет.
Вот вам и работающая культура безопасности на практике.
@startwithease