Η επιρροή του Ανθρώπινου Παράγοντα στην Ψηφιακή Ασφάλεια

Έχοντας περάσει πρόσφατα μια περίοδο όπου για πρώτη φορά οι Τεχνολογίες Πληροφορικής & Επικοινωνιών απέκτησαν τον πρωταγωνιστικό ρόλο, αναδεικνύοντας τη σημασία τους στην εύρυθμη λειτουργία των περισσότερων επιχειρήσεων, τα στελέχη του IT ήρθαν αντιμέτωπα με νέες προκλήσεις οι οποίες δημιουργούν την ανάγκη εξέτασης της επιρροής του ανθρώπινου παράγοντα στο Cyber Security υπό διαφορετικό πρίσμα

Μιλώντας για τον ανθρώπινο παράγοντα, συχνά η σκέψη των περισσότερων οδηγείται στον «αδύναμο κρίκο» της αλυσίδας, στον τελικό χρήστη. Στην πραγματικότητα όμως ο ανθρώπινος παράγοντας που επηρεάζει την ψηφιακή ασφάλεια μιας επιχείρησης χωρίζεται σε 4 κατηγορίες και 2 ομάδες : διαχειριστές συστημάτων, αναλυτές ψηφιακής ασφάλειας & στελέχη ασφαλείας (Decision makers) του IT και χρήστες στη μία πλευρά, κι επιτιθέμενοι στην απέναντι πλευρά. Αποτελούν τα συστατικά του Ανθρώπινου Παράγοντα του οποίου οι αποφάσεις και οι συμπεριφορές διαμορφώνουν καθημερινά τον χάρτη του cyber security.

Το λάθος είναι βασικό χαρακτηριστικό της ανθρώπινης φύσης ως ένας τρόπος απόκτησης γνώσης. Ο καθένας απ’ τους παράγοντες της πρώτης ομάδας μπορεί να κάνει λάθος στις επιλογές και την συμπεριφορά του σε θέματα ψηφιακής ασφάλειας, τα οποία η δεύτερη ομάδα, των επιτιθέμενων, εξαπλώνεται ταχύτατα για να επωφεληθεί. Αν παρομοιάσουμε την στρατηγική άμυνας και επίθεσης μεταξύ τους με μια παρτίδα σκάκι, τότε η σκακιέρα είναι τα τερματικά. Καθώς τα τερματικά είναι το κύριο μέσο των χρηστών για την πρόσβαση στα δεδομένα, ενώ μεγαλύτερου μεγέθους τερματικά, οι εξυπηρετητές, φυσικοί ή όχι, αποθηκεύουν όλη την πολύτιμη πληροφορία που χρειάζεται για την λειτουργία της επιχείρησης, είναι το μέσο που χρίζει περισσότερο προφύλαξης μιας που στο 92% των περιπτώσεων είναι η πύλη κακόβουλης εισόδου στο δίκτυο ενός οργανισμού. Παράλληλα το 98% των μεγαλύτερων συμβάντων διαρροής δεδομένων, οφειλόταν σε ανθρώπινο λάθος.

Ποια είναι όμως τα εμπόδια που δυσκολεύουν την εξασφάλιση ψηφιακής προστασίας και τι χρειάζεται να κάνει ο κάθε εμπλεκόμενος ;

• Χρήστες τερματικών : Συνήθως διαχωρίζονται σε ομάδες ανάλογα με το τμήμα που απασχολούνται και τις εργασίες που πραγματοποιούν, σύμφωνα με τις οποίες εφαρμόζονται οι αντίστοιχες πολιτικές ασφαλείας στα τερματικά τους. Στις πολιτικές αυτές συχνά παρατηρούνται επικίνδυνες εξαιρέσεις προς στελέχη της διοίκησης ή υψηλόβαθμα στελέχη τμημάτων, μα είναι αλήθεια πως το ίδιο πουκάμισο δεν ταιριάζει σε όλους. Παράλληλα, χάρη στους χρήστες και στις εργασίες που πραγματοποιούν με τερματικά τους, οι διαχειριστές επιφορτίζονται με την ενημέρωση πολλαπλών εφαρμογών, προγραμμάτων και συστημάτων. Επιλέγοντας μια λύση ασφαλείας για το τερματικό που εστιάζει στην εμπειρία του χρήστη (user experience) χωρίς να επηρεάζει την παραγωγικότητά του, ενώ ταυτόχρονα με πολλαπλούς μηχανισμούς ελέγχου διατηρεί το τερματικό ασφαλές αποτρέποντας το λάθος του χρήστη, μπορείτε να περιορίσετε το άγχος τους στην διαχείριση των εταιρικών δεδομένων. Ταυτόχρονα, επιλέγοντας ένα εργαλείο προγραμματισμένης ενημέρωσης των εφαρμογών και των προγραμμάτων (Patch Management), μπορείτε να εξασφαλίσετε ομοιογένεια και ασφάλεια εξοικονομώντας πολύτιμο χρόνο του IT. Καθώς οι απαιτήσεις αυξάνονται και οι πρόσφατες εξελίξεις αποδείχθηκαν ένα crash test για την υποδομή και την διαχείριση σε πολλούς οργανισμούς, οι σουίτες εργαλείων που επιτρέπουν την μέγιστη απόδοση με τους ελάχιστους πόρους αποτελούν την βέλτιστη λύση. Τα εύχρηστα και αποδοτικά εργαλεία μπορούν να προσφέρουν στα στελέχη του IT τον χρόνο που χρειάζονται για να εφαρμόσουν προγράμματα εκπαίδευσης των χρηστών στην ευαισθητοποίηση ψηφιακής ασφάλειας (Security Awareness), προσφέροντας στην εταιρεία ένα «ανθρώπινο τοίχος» προστασίας απέναντι στις κυβερνοεπιθέσεις.

• Διαχειριστές- IT Administrators : Επιφορτισμένοι με την υποστήριξη του συνόλου της εγκατάστασης σε υποδομές, δίκτυα και τερματικά, παρεμβάλλονται ανάμεσα στους χρήστες και τα ανώτερα στελέχη του IT στην εταιρεία κι αυτό τους δίνει αδιαμφισβήτητα έναν απ’ τους πιο καίριους ρόλους στην ασφάλεια των δεδομένων. Κάθε επιχείρηση οφείλει να ενημερώνει ενδελεχώς τους διαχειριστές για την πολιτική που θέλει να εφαρμόσει έτσι ώστε να γνωρίζουν σε κάθε τους ενέργεια γιατί κάνουν την κάθε διεργασία, αποφεύγοντας μηχανικές κινήσεις σαν ένα «τικ» σε μια λίστα με κουτάκια. Οι μη σκεπτόμενες επιλογές ρουτίνας, σε συνδυασμό με την υπερφόρτωση εργασιών και την έλλειψη χρόνου, έχουν οδηγήσει τους διαχειριστές σε λάθη που έκαναν την εταιρεία τους ένα διάσημο παράδειγμα Cyber Security ατυχήματος . Είναι προτιμότερο, ακόμη και για μικρές επιχειρήσεις που δεν διαθέτουν ολοκληρωμένα τμήματα IT, να επενδύσουν στην επιλογή περισσότερων επαγγελματιών με την ανάλογη εξειδίκευση (Managed Detection & Response), αποφεύγοντας την διακινδύνευση της ψηφιακής τους ασφάλειας.

• Αναλυτές & Στελέχη ασφαλείας (Decision makers) : Ρόλοι που στην χώρα μας συναντώνται σε μεγαλύτερους οργανισμούς, αποτελούν συχνά τον ενδιάμεσο κρίκο ανάμεσα στους διαχειριστές και την Διοίκηση. Αυτό είναι ίσως και το σημαντικότερο σημείο καθώς είναι υπεύθυνοι να εξασφαλίσουν μια στρατηγική ασφαλείας με συμμέτοχο και υποστηρικτή την Διοίκηση του οργανισμού. Αυτό βοηθά στην μέριμνα απόκτησης όλων εκείνων των εργαλείων και των πόρων που χρειάζονται για την δημιουργία αρχιτεκτονικής μηδενικής εμπιστοσύνης  (zero trust architecture). Η έλλειψη παροχής επιμόρφωσης των στελεχών ασφαλείας, σ’ ένα περιβάλλον που αλλάζει καθημερινά, οδηγεί σε έλλειψη γνώσεων για νέες απειλές και τεχνολογίες που μπορούν να εξασφαλίσουν την απρόσκοπτη λειτουργία της επιχείρησης ή την βέλτιστη αξιοποίηση πόρων. Οι εκπρόσωποι αυτής της θέσης, για να διασφαλίσουν την αποδοτικότητά τους, πρέπει να ανανεώνουν ανελλιπώς τις γνώσεις τους για τους νέους ψηφιακούς κινδύνους και για τις λύσεις που μπορούν να ενισχύσουν την άμυνά τους. Στην συνέχεια είναι σε θέση να οργανώσουν πρόγραμμα εκπαίδευσης Security Awareness για τους διαχειριστές και τους χρήστες τους, εξασφαλίζοντας ότι όλοι οι ανθρώπινοι παράγοντες που εμπλέκονται με τα ψηφιακά συστήματα , διαθέτουν το υπόβαθρο να προφυλάξουν τα δεδομένα τα επιχείρησης ή τουλάχιστον να περιορίσουν την επικίνδυνη συμπεριφορά.

Μέχρι οι επιθέσεις και η προστασία να γίνεται εξολοκλήρου από μηχανές με τεχνητή νοημοσύνη, ο ανθρώπινος παράγοντας θα είναι αναπόσπαστο κομμάτι του ψηφιακού κόσμου, είτε σαν μέρος του προβλήματος είτε σαν μέρος της λύσης στην ασφάλεια των ψηφιακών δεδομένων. Κι αν όντως η στρατηγική άμυνας απέναντι στις κυβερνοεπιθέσεις παρομοιάζεται με σκάκι, ο περιορισμός της εκτεθειμένης επιφάνειας (Hardening) για τις κινήσεις του αντιπάλου σας μπορεί να κάνει την διαφορά !

Διαβάστε το πλήρες αρθρο της κας Αθανασίας Ρουσσιά στην πηγή https://www.itsecuritypro.gr