Atbilstoši pētījumam, katru gadu darbinieki izraisa 46 % IT drošības incidentu, tāpēc uzņēmumu ievainojamība ir jānovērš vairākos līmeņos, nevis tikai ar IT drošības nodaļas starpniecību.
Neinformēti vai pavirši darbinieki ir viens no biežāk sastopamajiem kiberdrošības incidentu cēloņiem aiz ļaunprogrammatūrām. Lai gan ļaunprogrammatūras kļūst arvien sarežģītākas, mūžīgais cilvēkfaktors var radīt vēl lielākas briesmas, uzsvērts pētījumā.
Attiecībā uz mērķuzbrukumiem darbinieku neuzmanība ir viena no lielākajām plaisām uzņēmuma kiberdrošībā. Kaut gan progresīvi hakeri vienmēr var izmantot pielāgotu ļaunprogrammatūru un augsto tehnoloģiju metodes, lai izplānotu ielaušanos, visticamāk, viņi sāks ar vienkāršākā ieejas punkta — cilvēka dabas — izmantošanu.
Pētījumā teikts, ka pagājušajā gadā 28% mērķuzbrukumu uzņēmumiem pirmsākums bija pikšķerēšana vai sociālā inženierija. Piemēram, bezrūpīgs grāmatvedis viegli var atvērt ļaundabīgu datni, kas ir nomaskēta par rēķinu no uzņēmuma daudzajiem līgumpartneriem. Tādā veidā var izslēgt visu organizācijas infrastruktūru un padarīt grāmatvedi par uzbrucēju neapzinātu līdzdalībnieku.
"Kaspersky Lab" pētnieks Deivids Jakobi norāda, ka kibernoziedznieki bieži izmanto darbiniekus par ieejas punktu iekļūšanai uzņēmuma infrastruktūrā. "Pikšķerēšanas e-vēstules, vājas paroles un viltus zvani no tehniskā atbalsta dienesta — viss ir bijis. Pat parasta zibatmiņas karte, kas nomesta biroja stāvlaukumā vai pie sekretāra rakstāmgalda, var apdraudēt visu tīklu — tikai nepieciešams, lai uzņēmumā ir kāda persona, kura nezina vai nepievērš uzmanību drošībai, un šī ierīce var tikt vienkārši pievienota tīklam un nodarīt postījumus," skaidro Jakobi.
Pētījums liecina, ka sarežģīti mērķuzbrukumi organizācijām nenotiek katru dienu, bet parastas ļaunprogrammatūras uzbrūk masveidīgi. Vienlaikus pētījumā teikts, ka pat tad, kad ir iejaukta ļaunprogrammatūra, bieži vien ir iesaistīti arī neinformēti un bezrūpīgi darbinieki, kas izraisa inficēšanos ar ļaunprogrammatūru 53% incidentu.
Darbinieki, kas slēpj incidentus, kuros viņi ir iesaistīti, var izraisīt traģiskas sekas, palielinot kopējo nodarīto kaitējumu. Pat viens nepaziņotais gadījums var norādīt uz daudz lielāku pārkāpumu, un drošības dienestiem ir jāspēj ātri identificēt draudus, ar ko tie saskaras, lai izvēlētos pareizo seku mazināšanas taktiku, uzsvērts pētījumā.
Taču darbinieki drīzāk pakļauj riskam organizācijas, nevis ziņo par problēmu, jo baidās no soda vai apkaunojuma par to, ka ir atbildīgi par kādu nepareizu darbību. Atbilstoši pētījumam, daži uzņēmumi ir ieviesuši stingrus noteikumus un uzliek darbiniekiem papildu atbildību, nevis mudina viņus tikai būt modriem un sadarboties. Tas nozīmē, ka kiberaizsardzība ietilpst ne vien tehnoloģiju, bet arī organizācijas kultūras un mācību sfērā, kur ir jāiesaistās augstākajai vadībai un personāla speciālistiem.
"Kaspersky Lab" drošības izglītības programmas vadītājs Vjačeslavs Boriļins skaidro, ka par incidentu slēpšanas problēmu ir jāinformē ne tikai darbinieki, bet arī augstākā vadība un personāla nodaļas. "Ja darbinieki slēpj incidentus, tam ir kāds iemesls. Dažkārt uzņēmumi ievieš stingras, bet neskaidras politikas un izdara pārāk lielu spiedienu uz darbiniekiem, brīdinot, lai viņi nedara šo vai to, citādi būs atbildīgi, ja notiks kaut kas slikts," uzsver Boriļins.
Viņš norāda, ka iepriekšminētās uzņēmumu politikas veicina bailes un atstāj darbiniekiem tikai vienu iespēju — izvairīties no soda. "Ja (..) kiberdrošības kultūra no augšas līdz apakšai ir pozitīva un balstīta uz izglītojošu, nevis ierobežojošu pieeju, rezultāti būs acīmredzami," norāda Boriļins.
Vienlaikus Boriļins atgādina par industriālās drošības modeli, kur uzņēmējdarbības centrā ir ziņošanas un mācīšanās no kļūdām pieeja. Piemēram, nesenajā paziņojumā Tesla vadītājs Īlons Masks lūdz ziņot tieši viņam par katru incidentu, kas skart darbinieku drošību, lai viņš var spēlēt galveno lomu pārmaiņās.
Pētījums liecina, ka organizācijas visā pasaulē jau apzinās problēmu, ka darbinieki padara uzņēmumus ievainojamus - 52% aptaujāto uzņēmumu atzina, ka personāls ir to IT drošības vājākais punkts. Tāpat pētījumā teikts, ka aizvien skaidrāk ir redzama nepieciešamība ieviest darbiniekiem paredzētus pasākumus, jo 35% uzņēmumu grasās uzlabot drošību, rīkojot personāla mācības, padarot to par otro populārāko kiberaizsardzības metodi pēc sarežģītākas programmatūras izvietošanas (43 %).
Lai aizsargātu organizācijas no kiberdraudiem, kas saistīti ar cilvēkiem, vislabākais veids ir pareizo rīku un prakses apvienošana. Tam ir jāietver personāla speciālistu un vadības centieni motivēt un iedrošināt darbiniekus būt modriem un meklēt palīdzību, ja ir noticis incidents, norādīts pētījumā.
Pirmie pasākumi, kas organizācijām jāveic, ir drošības izpratnes mācības personālam, precīzu vadlīniju, nevis daudzlapu dokumentu ieviešana, spēcīgu prasmju un motivācijas veidošana un atbilstīgas darba atmosfēras veicināšana.
Savukārt raugoties no drošības tehnoloģiju viedokļa, pētījumā teikts, ka lielāko daļu pret neinformētiem vai neuzmanīgiem darbiniekiem vērsto apdraudējumu, tostarp pikšķerēšanu, var novērst ar galiekārtu drošības risinājumiem. Tie var aptvert gan mazu, gan lielu uzņēmumu īpašās vajadzības saistībā ar funkcionalitāti, iepriekš konfigurētu aizsardzību vai papildu drošības iestatījumiem, lai mazinātu riskus.
"Kaspersky Lab" ir privāts informācijas tehnoloģiju drošības programmu izstrādes uzņēmums, kura produktus lieto 400 miljoni lietotāju visā pasaulē. Uzņēmums reģistrēts Apvienotajā Karalistē.