التوعية الأمنية للموظفين

التوعية الأمنية للموظفين تعلّم العاملين في الشركة كيف يكتشفون الخدعة قبل أن يقعوا فيها. فمعظم الاختراقات لا تبدأ ببرمجة ذكية، بل بشخص عادي يضغط على رابط يبدو عاديًا أو يدفع فاتورة لم تكن حقيقية أصلًا. ولذلك فهذا هو الجزء من الأمن الذي لا علاقة له بالبرمجيات، وكل علاقته بيوم عمل عادي.

التدريب الحقيقي قصير ومتكرر، فعشر دقائق كل شهر أفضل من ثلاث ساعات مرة واحدة في السنة. الجلسة الطويلة تُنسى في الأسبوع التالي، أما القصيرة فتثبت لأن الجلسة السابقة ما زالت قريبة. والجلسات الجيدة تستخدم الرسائل التي تصل فعلًا إلى موظفيك، لا أمثلة مؤلفة في بلد آخر. وإشعار شحنة أو طلب تغيير كلمة مرور أو رسالة تبدو من صاحب العمل وتطلب تحويلًا سريعًا قبل اجتماع، كل هذا يعلّم أكثر من أي مثال مصنوع.

والنصف الآخر هو اختبار التصيّد الوهمي. يرسل أحدهم للموظفين رسالة غير ضارة تتصرف مثل هجوم حقيقي ثم يحسب من ضغط عليها، وهذا الرقم ليس للعقاب. مهمته الوحيدة أن يوضح أي فريق يحتاج مساعدة أكثر، وهل غيّرت جلسة الشهر الماضي شيئًا. أرسل واحدة كل بضعة أسابيع فتنخفض النسبة، لكن توقّف ستة أشهر فترتفع من جديد.

والمحاضرة السنوية تفشل لسبب بسيط، فهي تُشاهَد وتُوضع لها علامة في القائمة ثم تُنسى. لا أحد يتذكر شريحة عرض في الرابعة عصرًا يوم الخميس بينما يلاحقه مورّد على دفعة، وهذه بالضبط هي اللحظة التي تصل فيها الخدعة. العادات تبقى حيث لا تبقى الشرائح. والتحقق من العنوان الذي جاءت منه الرسالة فعلًا، أو الاتصال بالشخص على رقم تعرفه من قبل، من النوع الذي يثبت في الذاكرة.

وأكثر ما تخطئ فيه الشركات هو الساعة التي تلي الضغطة. فإذا توقّع الموظف أن يُصرخ في وجهه لن يقول شيئًا، وتتحول ساعة هادئة إلى أسبوع هادئ. قل بوضوح إن الإبلاغ السريع هو التصرف الصحيح وإن أحدًا لن يُلام عليه، ثم حدّد عنوانًا واحدًا أو رقمًا واحدًا وتعامل مع كل بلاغ بالطريقة نفسها. ويساعدك أن تسجّل الأنظمة التي يدخل إليها موظفوك من فعل ماذا ومتى، لأن التحقق من البلاغ يصبح عندها ممكنًا في دقائق. وعندما تبدأ لينكي سوفت لنظم المعلومات مشروع أمن سيبراني، نسأل كم استغرق الموظف حتى أبلغ عن آخر خطأ، وهذه الإجابة وحدها تخبرنا أكثر من أي وثيقة سياسات. ولهذا أيضًا لا تبيع لينكي سوفت تدريبًا بديلًا عن العمل التقني، لأن الاثنين لا يعملان إلا معًا.