Zvyšování povědomí ve Vašem týmu

Modul 9: Pravidla a organizace · Doba čtení: 9 minut

Cíl lekce: Po této lekci dokážete zorganizovat zvyšování povědomí v malém týmu: pravidla, nahlašování bez obviňování, nácvik a opakování.
Klíčové pojmy: povědomí, chování, kultura nahlašování, phishingové cvičení (se souhlasem a bez trestání), nový zaměstnanec, krátké opakování

Vědět není totéž jako dělat

Téměř každý ví, že by neměl klikat na podezřelé odkazy. Přesto se to děje každý den, i u lidí, kteří to vědí lépe. Není to kvůli hlouposti. Je to tím, že phishingový e-mail (lekce 1.2 a modul 3) přesně cílí na to, jak pracujeme: spěch, tlak, přání pomoci zákazníkovi nebo kolegovi. V pátek odpoledne za patnáct minut pět, mezi třiceti dalšími e-maily, vypadá „neuhrazená faktura" naprosto obyčejně.

Zvyšování povědomí proto není jen o znalostech, ale o chování: co lidé skutečně dělají, i když jsou unavení nebo spěchají? Cílem není, aby se každý stal expertem. Cílem je naučit se pár pevných reflexů:

1. Zastavit se u zprávy, která o něco žádá: peníze, heslo, kliknutí, otevření přílohy, instalaci něčeho.
2. Ověřit jinou cestou: přihlásit se sám namísto klikání na odkaz, zavolat zpět na známé číslo.
3. Nahlásit, pokud něco nesedí, i když jste už klikli.

Tento třetí reflex je nejdůležitější a zcela závisí na tom, jak s ním Váš tým zachází.

Nahlašování bez obviňování

Představte si dvě firmy. V té první se zaměstnanec, který klikl na phishingový odkaz, setká s rozzlobenou reakcí majitele: „Jak jsi mohl být tak hloupý?" V té druhé majitel řekne: „Dobře, že jsi to hned řekl, teď můžeme změnit tvé heslo."

Co se stane příště, když někdo klikne? V první firmě bude mlčet a doufat, že to dobře dopadne. Ve druhé firmě to nahlásí do pěti minut.

Ten rozdíl je obrovský. Při převzetí účtu nebo začátku útoku ransomwaru záleží na hodinách (lekce 1.3 a 3.5). Nahlášení do pěti minut znamená: změnit heslo dříve, než se útočník přihlásí, zneplatnit relace, odpojit počítač od sítě dříve, než se něco zašifruje. Nahlášení po třech týdnech, nebo vůbec, znamená, že útočník měl veškerý čas.

Dobrá kultura nahlašování má několik znaků:

• Jedno jasné kontaktní místo. Každý ví, na koho se obrátit: jméno a telefonní číslo, a náhradníka pro případ, že tato osoba není dostupná. To je uvedeno i na kartě pro řešení incidentů (lekce 8.1).
• Poděkovat, netrestat. Kdo něco nahlásí, i vlastní chybu, dostane poděkování. Řekněte to nahlas před týmem: „Aneta dnes ráno nahlásila falešnou fakturu, díky tomu jsme mohli varovat ostatní."
• Pochybnost se počítá. „Nevím, jestli je to opravdové" je dobré nahlášení. Je lepší desetkrát nechat zkontrolovat pravý e-mail, než jednou přehlédnout falešný.
• Příklad vedení. Pokud majitel sám nahlásí, že málem na něco naletěl, usnadní to situaci všem ostatním.

Trestání má opačný účinek. Ne proto, že by na chybách nezáleželo, ale protože trestáním neomezíte chyby, jen hlášení o nich.

Pravidla, která usnadňují správné chování

Lidé snáze dodržují pravidlo, které je jasné a snadné. Zajistěte, aby bezpečné chování bylo zároveň tím nejjednodušším chováním. Několik pravidel, která se hodí téměř do každé malé firmy:

Pravidla si zapište na jeden list A4. Ne dvacet stran zásad, které nikdo nečte, ale seznam, který může viset vedle kávovaru.

Nácvik

Pravidlo, které nikdy netrénujete, zapomenete. Existuje několik způsobů nácviku, od lehkých po náročné.

Společný rozbor příkladů. Věnujte na poradě pět minut skutečnému podezřelému e-mailu, který někdo dostal (bez osobních údajů). Na čem to bylo poznat? Jaká byla skutečná doména odkazu? Nic to nestojí a funguje to překvapivě dobře, protože jde o skutečné zprávy z vaší vlastní schránky.

Cvičení typu tabletop. Společně proberete scénář: „Je pondělní ráno a nikdo se nedostane k síťovému disku. Na každém počítači je zpráva s požadavkem výkupného. Co uděláme?" Projdete kartu pro řešení incidentů a zjistíte, kde to vázne (lekce 8.1). Jedna hodina, jednou ročně.

Phishingové cvičení. Pošlete kolegům napodobeninu phishingového e-mailu, abyste zjistili, kdo klikne a kdo to nahlásí. Může to být poučné, ale jen pokud to uděláte správně:

• Se souhlasem a předem oznámené. Oznamte předem, že letos proběhnou cvičení, bez uvedení konkrétního data. Nikdo by se neměl zpětně cítit podveden.
• Bez trestání. Kdo klikne, dostane ihned krátké vysvětlení, podle čeho to mohl poznat, žádné napomenutí ani seznam jmen na poradě.
• Měřit to, na čem záleží. Počet nahlášení je důležitější než počet kliknutí. Cvičení, při kterém tři lidé kliknou, ale pět to do deseti minut nahlásí, je úspěšné.
• Žádná zlomyslná témata. Žádný falešný e-mail o odměně, výpovědi nebo zdraví kolegy. To poškozuje důvěru víc, než kolik přináší užitku.
• Dbejte na soukromí. Neuchovávejte déle, než je nutné, kdo klikl, a nikdy to nepoužívejte při hodnocení.

Pro tým pěti lidí často stačí první forma. Phishingové cvičení má smysl až tehdy, když už existují pravidla a kontaktní místo pro nahlašování.

Noví zaměstnanci a opakování

Dva okamžiky jsou obzvlášť důležité.

První pracovní den. Nový zaměstnanec dostane účty, notebook a přístup do systémů. Právě v prvních týdnech ještě neví, jak věci obvykle probíhají, a tudíž nepozná, co je neobvyklé. Podvodník, který se vydává za „IT oddělení" nebo „ředitele", má pak větší šanci na úspěch. Při nástupu věnujte půl hodiny listu A4 s pravidly, kontaktnímu místu pro nahlašování, správci hesel a zapnutí dvoufázového ověření. Zařaďte to do stejného seznamu jako zbytek procesu nástupu (lekce 7.1).

Krátké opakování. Povědomí postupně slábne. Jedno dlouhé školení ročně funguje hůř než pět minut každý měsíc. Náměty na takové krátké opakování:

• probrat podezřelý e-mail z tohoto měsíce;
• vybrat jedno pravidlo z listu A4 a zeptat se, zda ještě funguje;
• nový typ podvodu, o kterém se psalo (například nová výmluva přes SMS nebo WhatsApp, lekce 3.4);
• zeptat se „nahlásil někdo tento měsíc něco?" a poděkovat tomu, kdo to udělal.

V praxi: jak to vypadá

Příklad sestavený ze situací, které se často opakují. Architektonická kancelář s devíti lidmi měla čtrnáctistránkový dokument zásad, který se podepisoval při nástupu a poté už nikdy nebyl otevřen. Po téměř úspěšném podvodu s fakturou změnili tři věci: list A4 se šesti pravidly u tiskárny, pevné jméno a telefonní číslo pro nahlašování a každé první pondělí v měsíci pět minut „podezřelé pošty" na poradě. Během prvního půl roku přišlo více nahlášení než za předchozích pět let. Dva z nich byly skutečné útoky, které byly odhaleny tak včas, že se nic nestalo. Zbytek byl planý poplach, a i za ten bylo pokaždé jednoduše poděkováno.

Shrnutí

• Zvyšování povědomí je o chování: zastavit se, ověřit jinou cestou a nahlásit.
• Nahlašování bez obviňování zajišťuje rychlá hlášení; trestání vede jen k méně hlášením, ne k méně chybám.
• Zapište si pravidla na jeden list A4 a udělejte bezpečné chování tím nejjednodušším.
• Trénujte na skutečných příkladech a pomocí cvičení typu tabletop; phishingové cvičení dělejte pouze oznámené předem, bez trestání a s ohledem na soukromí.
• Věnujte zvýšenou pozornost novým zaměstnancům a opakujte krátce a často.

Kvíz

Úkol

Úkol D9.2: Plán zvyšování povědomí pro Váš tým. Vytvořte pro svou firmu list A4 s maximálně osmi pravidly, určete kontaktní místo pro nahlašování a náhradníka a naplánujte na nadcházející rok, kdy budete krátce opakovat a jaké cvičení provedete. Poté odpovězte na reflexní otázky.

Další čtení

Kroky v článcích znalostní báze WebOké platí pro prostředí WebOké; u jiných poskytovatelů to funguje obdobně.

• Je jedná o e-mail skutečně od WebOké? Jak rozpoznat phishing a použít akční kód
• NÚKIB, Phishing: https://nukib.gov.cz/
• NÚKIB, doporučení pro OSVČ a malé a střední firmy: https://nukib.gov.cz/
• Policie ČR a národní tým CSIRT.CZ (nahlášení podvodu a phishingu): https://www.policie.gov.cz/