Reilu kulttuuri tietoturvassa: Miksi virheiden rankaiseminen kasvattaa kyberriskiä

Perjantai kello 16.45. Henkilöstöosaston työntekijä saa sähköpostin työnhakijalta, liitteenään tiedosto nimeltä CV.pdf. Kiireessä hän klikkaa liitettä. PowerShell-ikkuna välähtää ruudulla sekunnin murto-osan ja katoaa. Mitä työntekijän mielessä tapahtuu tällä hetkellä? Jos organisaatiossanne harjoitetaan syyttelyä, häpeäleimaa tai kurinpidollisia toimia epäonnistuneen kalastelutestin jälkeen, hän ei ilmoita kenellekään. Hän sammuttaa näytön, toivoo parasta ja lähtee viikonlopun viettoon sormet ristissä.

Tämän 48 tunnin pakotetun hiljaisuuden aikana kiristyshaittaohjelmalla on vapaat kädet kartoittaa Active Directory, viedä kriittiset tietokannat ja tuhota varmuuskopiot. Todellinen haavoittuvuus ei ollut alkuperäinen klikkaus, vaan pelko siitä kertomisesta. CISO:lle ja tietoturvajohdolle inhimillinen virhe, organisaatiokulttuuri ja poikkeamien ilmoittaminen muodostavat erottamattoman kokonaisuuden. Heti kun pelko astuu kuvaan, varhainen havainnointi romahtaa.

Miksi virheestä rankaiseminen saa työntekijät salaamaan tietoturvapoikkeamat?#

Lyhyesti: Seuraamusten pelko laukaisee psykologisen välttämisreaktion, jossa työntekijä peittelee erehdystään suojellakseen mainettaan tai asemaansa. Tämä tiedon pimittäminen vie SOC-tiimiltä ratkaisevat minuutit, joita saastuneen laitteen eristäminen vaatisi ennen hyökkäyksen leviämistä yritysverkossa.

Kun organisaatio ottaa käyttöön rankaisevan linjan simuloitujen tai todellisten kyberhyökkäysten yhteydessä, se kohtelee tahatonta kognitiivista inhimillistä erehdystä virkavirheenä. Tämä on psykologisesti täysin kestämätön lähestymistapa.

Hiljaisuuden näkymätön hinta valvontakeskukselle (SOC)

Verkkorikolliset hyödyntävät universaaleja kognitiivisia vinoumia kuten kiirettä, uteliaisuutta, auktoriteettiuskoa tai pelkoa mahdollisuuden menettämisestä. Yksikään ihmisaivo ei ole täydellinen taitavasti rakennetun syötin edessä. Jos työntekijä tietää, että virheen ilmoittamisesta seuraa:

• Puhuttelu esihenkilön kanssa tai merkintä kehityskeskusteluun,
• Pakollinen, puuduttava 45 minuutin rangaistusverkkokurssi,
• Kollegojen vähättely huonosti hoidetussa purkutilaisuudessa,

kustannus-hyötylaskelma kääntyy välittömästi salaamisen puolelle. Poikkeamienhallinnan mittareissa keskimääräinen havaitsemisaika (MTTD) karkaa käsistä, jos työntekijät eivät jaa epäilyksiään tietoturvavalvonnalle. Useimmissa kiristyshaittaohjelmaiskuissa puolustustiimi tarvitsee vain muutaman minuutin saastuneen päätelaitteen verkkoyhteyden katkaisemiseen, jos hälytys saadaan ilman viivettä. Traficomin Kyberturvallisuuskeskus (NCSC-FI) korostaa jatkuvasti matalan kynnyksen ilmoittamista osana kansallista ja organisaatiotason tilannekuvaa.

Mitä reilu kulttuuri (Just Culture) tarkoittaa operatiivisessa tietoturvassa?#

Lyhyesti: Ilmailusta ja terveydenhuollosta omaksuttu reilu kulttuuri erottaa selkeästi tahattoman inhimillisen virheen tahallisesta sabotaasista tai piittaamattomuudesta. Se takaa rangaistusten puuttumisen oma-aloitteisesta ilmoittamisesta, mikä vahvistaa avoimuutta ja teknistä kriisinkestävyyttä.

Reilu kulttuuri ei tarkoita sääntöjen tai vastuun puuttumista. Se luo kirkkaan rajan kolmen eri toimintamallin välille:

• Tahaton inhimillinen erehdys: taitavasti naamioidun linkin klikkaaminen tai tunnusten syöttäminen aidolta näyttävälle kalastelusivulle. Vaste: tuki, ansan yhteinen analysointi ja teknisen suojauksen parantaminen.
• Riskiä lisäävä toimintatapa: tietoturvaprosessin ohittaminen ajansäästön toivossa hyvää tarkoittaen (esimerkiksi dokumentin siirtäminen omaan henkilökohtaiseen sähköpostiin). Vaste: sparraus, ohjaus ja työkalujen hiominen kitkan vähentämiseksi.
• Tahallinen rikkomus: tietoturvapolitiikan tietoinen rikkominen vahingoittamistarkoituksessa tai perustason ohjeiden karkea laiminlyönti. Vaste: tilanteen mukaiset hallinnolliset ja kurinpidolliset toimet.

Kun tämä ero tehdään näkyväksi, CISO tekee jokaisesta työntekijästä aktiivisen vartijan. Vahingossa klikannut työntekijä ei ole heikoin lenkki, vaan inhimillinen sensori, joka havaitsi vihamielisen yrityksen organisaation rajapinnassa. Työntekijän kiittäminen siitä, että hän ilmoitti asiasta viidessä minuutissa, antaa vahvan ja rohkaisevan signaalin koko työyhteisölle.

Miten ryhmädynamiikka muutetaan häpeästä pelillisyyteen?#

Perinteinen tietoturvakoulutus on nojannut pitkään ylhäältä alaspäin pidettyihin kalvosulkeisiin ja ahdistusta herättäviin pistokokeisiin. Tällainen koulumainen malli passivoi henkilöstöä ja kasvattaa kuilua liiketoiminnan ja tietoturvatiimin välillä.

Jotta refleksit juurtuvat pysyvästi ilman vastareaktioita, tarvitaan yhteisöllistä pelillisyyttä. Yksilöiden virheiden osoittelemisen sijaan eri osastot kannattaa osallistaa lyhyisiin, energisiin ja positiivisiin oppimishetkiin.

Tämä on taustalla ratkaisuissa kuten Cyber Cup. Se on tiimipohjainen arcade-tyylinen tietoturvavisailu, jossa pelataan kolmen minuutin eriä ja seurataan reaaliaikaista tulostaulua. Konsepti poistaa turhan draaman ja pelon tietoturvateemojen ympäriltä. Se on kokeiltavissa suoraan itsepalveluna (viisi maksutonta pelikertaa ilman luottokorttia), ja se tekee oppimisesta yhteisen onnistumisen rangaistuksen sijaan. Kun kyberturvallisuudesta tulee reilua tiimityötä, uhkista puhuminen tai virheen myöntäminen muuttuu luontevaksi kahvipöytäkeskusteluksi häpeällisen salaisuuden sijaan.

BRAIN SECURITY KÄYTÄNNÖSSÄ · Cyber Cup

Neljä konkreettista keinoa myönteisen ilmoituskulttuurin rakentamiseen#

Kun haluatte siirtyä teoriasta käytäntöön ja vahvistaa tietoturvakulttuuria johtoryhmässä ja arjessa, hyödyntäkää näitä käytännön keinoja:

• Toteuttakaa matalan kynnyksen ilmoituspainike: Ilmoituksen tekemisen sähköpostissa on tapahduttava yhdellä ainoalla klikkauksella ilman kymmenien kenttien lomakkeita.
• Vastatkaa aina kiitoksella: Olipa ilmoitettu viesti todellinen kyberuhka, sisäinen harjoitus tai vaaraton väärä hälytys, vastatkaa aina kiittämällä työntekijää aktiivisesta valppaudesta.
• Uudistakaa mittaristonne: Lopettakaa pelkän harjoituskampanjoiden klikkausprosentin tuijottaminen. Mitatkaa ensisijaisesti ilmoitusastetta ja keskimääräistä aikaa ensimmäiseen ilmoitukseen. Kypsässä organisaatiossa klikkauksia tapahtuu aina, mutta ratkaisevaa on ilmoitusten salamannopeus.
• Käykää opit läpi ilman leimaamista: Poikkeamien jälkipuinnissa keskittykää teknisiin ja kontekstuaalisiin tekijöihin, jotka mahdollistivat harhautuksen, näyttämättä koskaan virheen tehneen henkilön nimeä.

Purkamalla syyllistämisen kulttuurin yhdistätte loppukäyttäjien ja tietoturvatiimin intressit. Työntekijät lakkaavat olemasta passiivisia maalitauluja ja heistä tulee organisaationne ensimmäinen aktiivinen puolustuslinja.

Haluatteko rakentaa innostavan tietoturvakulttuurin, joka voimauttaa henkilöstöä syyllistämisen sijaan? Keskustelkaa tarpeistanne asiantuntijoidemme kanssa ja katsotaan, miten pelilliset ratkaisumme tukevat organisaationne kyberresilienssiä.

Lue lisää: aiheeseen liittyvät artikkelit ja Brain Securityn ratkaisut#

Aiheeseen liittyvät artikkelit

• Kyberturvallisuuskoulutuksen vuosikello: Miten ylläpitää henkilöstön valppautta ilman koulutusväsymystä (Gamification) : Rakenna toimiva kyberturvallisuuden vuosikello. Yhdistä yhteiset kampanjat, jatkuva mikrioppiminen ja täsmäkoulutukset ilman koulutusväsymystä.
• Tietoturvakoulutuksen arvo ja ROI johtoryhmalle: Mittarit ja perustelut (Gamification) : Näytä tietoturvakoulutuksen todellinen ROI ja arvo johtoryhmälle ja hallitukselle. Esittele riskipohjaiset mittarit NIS 2 ja DORA -aikakaudella.
• Ebbinghausin unohtamiskäyrä: Miten ankkuroida kyberturvallisuustaidot pysyvästi? (Gamification) : Selätä Ebbinghausin unohtamiskäyrä kyberturvallisuudessa. Opi hyödyntämään mikro-oppimista ja jaksotettua toistoa pysyvien toimintamallien luomiseksi.
• Tiedon luokittelu: Miten suojata arkaluonteinen data käytännössä (Cyber Crisis & Ransomware) : Opi toteuttamaan tiedon luokittelu ilman raskaita matriiseja. Rakenna henkilöstölle selkeät toimintamallit arjen työn tueksi.

Tutustu Brain Securityn ratkaisuihin verkkosivuillamme

• Liittyvä ratkaisu : Cyber Cup : Sisäinen kyberturvallisuusturnaus: lyhyet tiimiottelut, jotka juurruttavat tietoturvataidot osaksi arkea.
• Suunnittele organisaatiosi Kyberturvallisuuskuukauden ohjelma
• Vertaa kyberturvallisuus- ja tekoälykoulutusmuotojamme
• Tutustu koko Brain Securityn interaktiiviseen tuotevalikoimaan
• Keskustele tarpeistasi tiimimme kanssa (demo ja käyttöönotto)