Axborot xavfsizligi to'g'risida xabardorlik - Information security awareness

Axborot xavfsizligi to'g'risida xabardorlik ning rivojlanayotgan qismidir axborot xavfsizligi tez rivojlanayotgan shakllarining mumkin bo'lgan xatarlari to'g'risida ongni oshirishga qaratilgan ma `lumot va inson xatti-harakatiga qaratilgan ushbu ma'lumotga nisbatan tez rivojlanayotgan tahdidlar. Tahdidlar pishib, ma'lumotlarning qiymati oshgani sayin, tajovuzkorlar o'zlarining imkoniyatlarini oshirdilar va keng maqsadlarda kengaydilar, ko'proq hujum usullari va metodologiyalarini ishlab chiqdilar va turli xil motivlarda harakat qilmoqdalar. Axborot xavfsizligini boshqarish va jarayonlari pishib yetganligi sababli, boshqaruv va jarayonlarni chetlab o'tish uchun hujumlar pishib yetildi. Hujumchilar korporativ tarmoqlar va muhim infratuzilma tizimlarini buzish uchun odamlarning xatti-harakatlarini maqsad qilib olgan va ulardan muvaffaqiyatli foydalanganlar. Axborot va tahdidlardan bexabar bo'lgan maqsadli shaxslar o'zlari bilmagan holda xavfsizlikning an'anaviy nazorati va jarayonlarini chetlab o'tishlari va tashkilotning buzilishiga yo'l qo'yishlari mumkin. Bunga javoban, axborot xavfsizligi to'g'risida xabardorlik pishib yetilmoqda. Kiberxavfsizlik biznes muammosi sifatida ko'pchilikning kun tartibida hukmronlik qilmoqda bosh axborot xodimlari (CIO) lar, bugungi kiber tahdid manzarasiga qarshi choralar zarurligini ko'rsatmoqda.[1] Axborot xavfsizligi to'g'risida xabardor qilishning maqsadi har kimga bugungi tahlikali vaziyatdagi imkoniyat va muammolarga moyil ekanliklarini anglash, odamlarning xatti-harakatlarini o'zgartirish va xavfsiz tashkiliy madaniyatni yaratish yoki oshirishdir.

Fon

Axborot xavfsizligi to'g'risida xabardorlik - bu axborot xavfsizligining bir necha asosiy tamoyillaridan biridir. Axborot xavfsizligi to'g'risida xabardorlik insonning xatti-harakatlari, e'tiqodlari va tasavvurlari va axborot xavfsizligi haqidagi tushunchalarini tushunishga va rivojlantirishga, shu bilan birga tez rivojlanayotgan tahdidlarga qarshi choralar sifatida tashkiliy madaniyatni tushunishga va oshirishga intiladi. Masalan, OECD "s Axborot tizimlari va tarmoqlari xavfsizligi bo'yicha ko'rsatmalar[2] umumiy qabul qilingan to'qqiz tamoyilni o'z ichiga oladi: xabardorlik, javobgarlik, javob berish, axloq qoidalari, demokratiya, xavfni baholash, xavfsizlikni ishlab chiqish va amalga oshirish, xavfsizlikni boshqarish va qayta baholash. Kontekstida Internet, bu turdagi xabardorlik ba'zan deb nomlanadi kiber xavfsizlik xabardorlik, shu jumladan ko'plab tashabbuslarning diqqat markazida AQSh Ichki xavfsizlik vazirligi Milliy kiber xavfsizlik to'g'risida xabardorlik oyligi[3] va Prezident Obamaning 2015 yilda kiberxavfsizlik va iste'molchilar huquqlarini himoya qilish bo'yicha Oq Uy sammiti.[4]

Kompyuterga asoslangan jinoyatlar biz uchun yangilik emas. Viruslar biz bilan 20 yildan oshiq vaqt davomida mavjud; josuslarga qarshi dastur dastlabki voqealardan beri o'n yildan ko'proq vaqtni tashkil etdi; va fishingdan keng miqyosda foydalanish kamida 2003 yilga borib taqaladi. Shu vaqtlardan birida tadqiqotchilar axborot tizimidagi sur'at rivojlanib, kengayib borayotganiga, xavfsizlik to'g'risida xabardorlik xodimlar orasida dastur orqada qolmoqda. Ammo, afsuski, onlayn xizmatlarning tezkor qo'llanilishi xavfsizlik madaniyatining tegishli quchog'iga mos kelmaganga o'xshaydi.[5]

Evolyutsiya

Axborot xavfsizligi to'g'risida xabardorlik rivojlanayotgan kiberhujumlar, shaxsiy ma'lumotlarning maqsadli yo'nalishi va axborot xavfsizligini buzish narxlari va miqyosiga qarab rivojlanmoqda. Bundan tashqari, ko'p odamlar xavfsizlik nuqtai nazaridan ular o'zlarini nishonga olishlari va xatti-harakatlari xavflarni oshirishi yoki xatar va tahdidlarga qarshi choralar ko'rishlari mumkinligini tushunmay, texnik nazoratlar nuqtai nazaridan o'ylashadi.

Axborot xavfsizligi to'g'risida xabardorlikni aniqlash va o'lchash aniq ko'rsatkichlar zarurligini ko'rsatdi. Ushbu ehtiyojga javoban, inson tahdidi manzarasini tushunish va o'lchash, odamlarning tushunchasi va xatti-harakatlarini o'lchash va o'zgartirish, tashkiliy xavfni kamaytirish va kamaytirish, axborot xavfsizligi to'g'risida xabardorlikning samaradorligi va narxini qarshi choralar sifatida o'lchash uchun axborot xavfsizligi bo'yicha ko'rsatkichlar jadal rivojlanib bormoqda.[6]

Aksariyat tashkilotlar pul xavfsizligini ta'minlash uchun mablag 'sarflashni xohlamaydilar. PricewaterhouseCoopers (2014) tomonidan o'tkazilgan so'rov natijalariga ko'ra hozirgi xodimlar (31%) va sobiq xodimlar (27%) hanuzgacha axborot xavfsizligi bilan bog'liq hodisalarga o'z hissalarini qo'shmoqdalar. So'rov natijalari shuni ko'rsatdiki, xodimlarga tegishli bo'lgan voqealar soni 2013 yilgi tadqiqot natijalariga ko'ra 25 foizga oshgan.[7]

Xavfsizlik to'g'risida xabardor qilish dasturining zaruriyati

Xavfsizlik to'g'risida xabardor qilish dasturi - bu ichki ishchilar tomonidan xavfsizlik tahdidlarini kamaytirish uchun tashkilot qabul qilishi mumkin bo'lgan eng yaxshi echim. Xavfsizlik to'g'risida xabardor qilish dasturi xodimlarga axborot xavfsizligi shaxsning mas'uliyati emasligini tushunishga yordam beradi; bu hamma uchun mas'uldir. Dasturda, shuningdek, xodimlar o'zlarining shaxsiy identifikatsiyalari bo'yicha amalga oshiriladigan barcha tadbirlar uchun javobgar ekanligi aniq ko'rsatilgan. Bundan tashqari, dastur biznes kompyuterlari bilan ishlashning standart usullarini qo'llaydi.

Garchi tashkilotlar xavfsizlik to'g'risida xabardorlik dasturini taqdim etishning standart usulini qabul qilmagan bo'lsalar-da, yaxshi dastur ma'lumotlar, tarmoq, foydalanuvchilarning xulq-atvori, ijtimoiy tarmoqlar, mobil qurilmalar va WiFi-dan foydalanish, fishing elektron pochta xabarlari, ijtimoiy muhandislik va turli xil viruslar hamda zararli dastur. Xodimlarning xavfsizligini ta'minlash bo'yicha samarali dastur tashkilotdagi har bir kishi IT xavfsizligi uchun javobgarligini aniq ko'rsatishi kerak. Auditorlar dasturda ko'zda tutilgan oltita yo'nalishga: ma'lumotlar, tarmoqlar, foydalanuvchilarning xulq-atvori, ijtimoiy tarmoqlar, mobil qurilmalar va ijtimoiy muhandislik masalalariga katta e'tibor berishlari kerak.[8]

Ko'pgina tashkilotlar maxfiylik siyosatini juda murakkablashtiradilar, chunki turli xil xodimlar har doim ushbu qoidalarni tushunmaydilar. Maxfiylik siyosati - bu ishchilar kompyuterga har kirganda eslatilishi kerak bo'lgan narsadir. Maxfiylik siyosati tushunarli va maxfiylik amaliyotini taqqoslash uchun aniqroq, qisqaroq va standartroq bo'lishi kerak.[9] Tashkilotlar xavfsizlik va tahdidlar to'g'risida gaplashish uchun har hafta barcha xodimlarning qatnashishi uchun interaktiv mashg'ulotlar tashkil qilishi mumkin. Interfaol mashg'ulotlar yangi tahdidlar, eng yaxshi amaliyotlar va savollar va javoblar to'g'risida xabardorlikni o'z ichiga olishi mumkin.

Agar tashkilot qoidabuzarlarni jazolamasa, xavfsizlik to'g'risida xabardor qilish dasturi foydali bo'lmasligi mumkin. Dasturni buzganlikda aybdor deb topilgan xodimlar keyingi harakatlar to'g'risida yuqori rahbarlarga xabar berishlari kerak, aks holda dastur samarali bo'lmaydi. Axborot xavfsizligi organlari dasturdagi kamchiliklarni aniqlash uchun bo'shliqlarni tahlil qilishlari mumkin.

Hozirgi holat

2015 yil boshidan boshlab, CIOs axborot xavfsizligi to'g'risida xabardorlikni muhim strategik ustuvor vazifalar deb baholadi. Masalan, 2015 yil fevral oyida Wall Street Journal CIO tarmog'idagi tadbir kelgusi yilda biznes va siyosatni rivojlantirish bo'yicha ustuvor tavsiyalar to'plamini yaratish uchun yig'ilgan bo'lib, kiberxavfsizlik va biznesning qolgan qismi bilan samarali muloqot orqali o'zgarishlarni amalga oshirish atrofida konsensus shakllanganga o'xshaydi.[10]

Axborot xavfsizligi to'g'risida xabardorlik va shov-shuvli huquqbuzarliklar ko'pchilik tashkilotlarning kun tartibida birinchi o'rinda tursa-da, Lans Spritzner tomonidan xavfsizlik to'g'risida xabardor bo'lgan 220 xodimni yaqinda o'tkazgan tadqiqoti uchta tegishli asosiy natijalarni aniqladi. Birinchidan, xavfsizlik to'g'risida xabardorlik dasturini muvaffaqiyatli bajarish uchun ijro etuvchi va moliyaviy ko'mak zarur. Ikkinchidan, an'anaviy xavfsizlik nazorati va qarshi choralarning texnik mohiyati tufayli inson xatti-harakatlarini tushunish va o'zgartirish uchun zarur bo'lgan yumshoq ko'nikmalar etishmayapti va nihoyat, etuklik modeli nuqtai nazaridan xavfsizlik to'g'risida xabardorlik hali boshlang'ich bosqichida.[11]

O'lchash qiyinligi

Insonning xatti-harakatlarini samarali ravishda o'lchash qiyin, chunki xavfli xatti-harakatlar, e'tiqod va hislar ko'pincha noma'lum. Kabi hujumlardan tashqari fishing, ijtimoiy muhandislik va ma'lumotlar tarqalishi, ijtimoiy tarmoq saytlarida joylashtirilgan maxfiy ma'lumotlar va hattoki buzilishlar aniqlanmagan va noma'lum bo'lib qolishi kabi hodisalar muvaffaqiyatsizlik nuqtalarini aniqlash va o'lchashni qiyinlashtiradi. Ko'pincha hujumlar, hodisalar va buzilishlar buzg'unchilar o'z izlarini yopib qo'ygandan so'ng, buzilgan tashkilot tashqarisida ularga munosabat bildiradilar yoki xabar berishadi, shuning uchun ularni izlash va o'lchash mumkin emas. Bundan tashqari, zararli transport tez-tez sezilib qolmaydi, chunki tajovuzkorlar har qanday tajovuzni aniqlash yoki kuzatuv ogohlantirishlariga kirishni oldini olish uchun josuslik qilishadi va ma'lum xatti-harakatlarga taqlid qilishadi.

2016 yilgi tadqiqotlar xavfsizlik to'g'risida xabardorlikni o'lchash usulini ishlab chiqdi.[12] Xususan, ular "xavfsizlik protokollarini chetlab o'tish, tizimlarning mo'ljallangan funktsiyalarini buzish yoki qimmatli ma'lumotlarni to'plash va qo'lga tushmaslik to'g'risida tushuncha" ni o'lchashdi (38-bet). Tadqiqotchilar odamlar turli xil xavfsizlik stsenariylarini guruhlarga ajratish orqali mutaxassislar va yangilarni ajrata oladigan usul yaratdilar. Mutaxassislar ushbu stsenariylarni markazlashtirilgan xavfsizlik mavzulariga asoslanib tashkil qiladilar, bu erda yangi boshlanuvchilar yuzaki mavzular asosida stsenariylarni tashkil qilishadi.

Qaerda simulyatsiya qilingan fishing kampaniyalar muntazam ravishda olib boriladi, ular foydalanuvchi tomonidan muvofiqlik choralarini ta'minlashi mumkin.[13]

Shuningdek qarang

Adabiyotlar

  1. ^ "CIOlar eng yaxshi 5 ta strategik ustuvorlikni nomlashdi. Tongni yuklab olish: Xavf va o'zgarish davridagi xavfsizlik CIO dasturida ustunlik qiladi".
  2. ^ "oecd.org" (PDF). Olingan 2015-02-14.
  3. ^ "AQSh ichki xavfsizlik vazirligi". Olingan 2015-02-14.
  4. ^ "Prezident Obama Oq uyning kiberxavfsizlik va iste'molchilar huquqlarini himoya qilish bo'yicha sammitida nutq so'zladi".
  5. ^ Furnell, Stiven (2008). "Oxirgi foydalanuvchi xavfsizlik madaniyati: Hech qachon o'rganib bo'lmaydigan darsmi?". Kompyuter firibgarligi va xavfsizligi. 2008 (4): 6–9. doi:10.1016 / S1361-3723 (08) 70064-2.
  6. ^ "https://scadahacker.com/library/Documents/Insider_Threats/DHS%20-%20Risks%20to%20US%20Critical%20Infrastructure%20from%20Insider%20Threat%20-%2023%20Dec%2013.pdf" (PDF). scadahacker.com. Olingan 2015-04-25. Tashqi havola sarlavha = (Yordam bering)
  7. ^ Da Veiga, Adele; Martins, Niko (2015). "Keys-tadqiqot orqali tasvirlangan monitoring va amalga oshirish harakatlari orqali axborot xavfsizligi madaniyatini oshirish". Kompyuterlar va xavfsizlik. 49: 162–176. doi:10.1016 / j.cose.2014.12.006. hdl:10500/21765.
  8. ^ "Xodimlarning xavfsizligi to'g'risida xabardorlik dasturini baholash". iaonline.theiia.org. Olingan 2015-04-25.
  9. ^ "FTC iste'molchilar uchun maxfiylik asoslari va keyingi qadamlar. - Bepul onlayn kutubxona". www.thefreelibrary.com. Olingan 2015-04-25.
  10. ^ "CIOlar eng yaxshi 5 strategik ustuvorlikni nomlashdi".
  11. ^ "SANS inson xavfsizligi to'g'risida xabardorligini ta'minlash".
  12. ^ Giboni, Jastin Skott; Prudfoot, Jeffri Geyner; Goel, Sanjay; Valacich, Jozef S (2016). "Xavfsizlik bo'yicha ekspertizani baholash o'lchovi (SEAM): xakerlar tajribasi uchun o'lchovni ishlab chiqish". Kompyuterlar va xavfsizlik. 60: 37–51. doi:10.1016 / j.cose.2016.04.001.
  13. ^ R, Keyt. "Fishing bilan bog'liq muammo". Milliy kiber xavfsizlik markazi. GCHQ. Olingan 12 sentyabr 2018.

Tashqi havolalar