Quali sono i buoni modi per educare alla sicurezza IT in un'azienda?

Ciò che ha funzionato in diverse occasioni per me è di incollare il seguente grafico di fronte alla gestione:

Esegui l'elenco delle minacce (colonna a sinistra) e chiedi se credono che qualcuno di quei tipi descritti potrebbe danneggiare l'azienda.

Se è così, allora potresti aver vinto una battaglia. Ora puoi descrivere cosa è necessario per affrontare ciascuna di queste minacce.

@atdre ha avuto un ottimo commento su questo grafico su una domanda diversa:

I don't like this because it doesn't convey the power of collusion or conspiracy. The underground community and underground economy puts all of these guys in the same room together and gives them tools to trade. – atdre'

Quindi potresti voler estendere l'elenco delle minacce per includere le comunità.

L'avvio di un attacco "simulato" contro la rete della tua azienda dovrebbe essere fatto solo con l'esplicito permesso scritto del senior management sulla base della comprensione dell'ambito del tuo lavoro e dei limiti concordati sui risultati del tuo attacco. Altrimenti rischi di farti licenziare per sabotaggio, spionaggio o semplicemente per violare le regole locali.

Ma come si ottiene tale permesso quando non si ha consapevolezza del problema? È qui che la tua idea di "elevator pitch" è buona. Suggerirei di portarlo alle persone rilevanti nella gerarchia aziendale nell'ordine corretto , a cominciare dallo staff IT prima di andare alla direzione / livello C / direttori. La direzione ha delegato la responsabilità delle operazioni quotidiane agli amministratori di sistema, che sono le persone che alla fine dovranno apportare eventuali modifiche. Presentare i tuoi suggerimenti come un editto dall'alto non servirà che a alienare le persone il cui compito è quello di implementare tali suggerimenti.

La conversazione sulla sicurezza con le persone con i soldi è sempre una conversazione sul rischio. Non fare tiri eccessivamente drammatici, o correre in giro urlando alla fine del mondo. Questo è un modo semplice per diventare facilmente screditato e generalmente ignorato. Invece, parla con l'azienda di ciò che stanno cercando di ottenere con i loro sistemi, e quindi presenta i rischi attuali che stanno trasportando a causa della loro (mancanza di) controlli di sicurezza.

Se riesci a convincere l'azienda che stanno portando un rischio che gli costerà 10 milioni di sterline in incidenti, che puoi eliminare con un controllo di 100.000 sterline, è un gioco da ragazzi. Loro colpiranno l'opportunità di ridurre a buon mercato il loro rischio totale.

Tutto ciò che spende l'azienda deve essere giustificato nel contesto aziendale. "Non abbiamo antivirus sul nostro server web pubblico basato su Windows" non ha senso. "Siamo vulnerabili perché il nostro servizio venga interrotto una volta all'anno con un costo di 2 milioni di sterline ogni volta" è significativo.

Una volta creato il tuo nuovo set di controlli di sicurezza, la sfida li sta mantenendo efficaci. La sicurezza riguarda sia il processo che la tecnologia. Una volta che hai convinto l'azienda a spendere un po 'di soldi riducendo il rischio, il problema diventa quindi alterare la percezione che la sicurezza è qualcosa che acquista . In realtà, è qualcosa che fai .

Un argomento importante: i disastri di sicurezza non sono domande che iniziano con "se". Iniziano con "quando"!

Le giuste politiche di sicurezza non elimineranno completamente i rischi, perché è impossibile. Ma ridurrà drasticamente i rischi e, quindi, il tasso di disastri. È una questione di investimento e ritorno sugli investimenti, davvero. Spendi denaro in modo da perdere meno. Il pensiero deve essere lo stesso di quello dell'assicurazione di qualità.

Devi quantificare il pagamento previsto: rischio di rischio * rischio di probabilità.

Questo presuppone che la persona con cui stai parlando si preoccupa veramente del business. Potrebbe sembrare cinico, ma considera questo: la sicurezza ha un costo in denaro, allenamento, frustrazione. Questi riflettono immediatamente sulla persona che implementa una maggiore sicurezza, ma le violazioni della sicurezza e i disastri potrebbero non riflettere sulla persona. Se il capo di questa persona vede solo i negativi (costi) per la sicurezza e non incolpa le persone per i disastri, allora non ha senso che questa persona aumenti la sicurezza.

L'intero manager di Dilbert punta davvero stereotipi di un certo tipo di manager. Il tipo di manager che è molto bravo a non farsi incolpare di nulla, ma lasciare che la compagnia vada in fiamme.

Fondamentalmente, se ti trovi contro questo tipo di disfunzione, il tuo tono deve concentrarsi su come fa sembrare cattivo il manager e su come aumentare la sicurezza senza far sembrare il manager un cattivo spreco di denaro per la sicurezza ("firewall? Andiamo d'accordo e va e spreca migliaia di dollari ").