Školenie kybernetickej bezpečnosti

Čo to znamená

Školenie kybernetickej bezpečnosti je pravidelné vzdelávanie zamestnancov o tom, ako rozpoznať a odraziť kybernetické hrozby. Zameriava sa na správanie ľudí, nie na techniku: ako vyzerá phishingový e-mail, ako overiť zmenu bankového účtu dodávateľa, prečo nepoužívať rovnaké heslá a čo robiť, keď sa niečo zdá podozrivé.

Dôvodom je, že väčšina úspešných útokov nezačína prelomením technických ochrán, ale chybou človeka. Útočníci využívajú sociálne inžinierstvo: vydávajú sa za kolegu, konateľa, banku či dodávateľa a tlačia na rýchlosť. Aj najlepší firewall nepomôže, ak zamestnanec sám otvorí prílohu alebo odošle platbu podvodníkovi.

Smernica NIS2 a slovenský zákon o kybernetickej bezpečnosti vyžadujú od dotknutých subjektov pravidelné školenia nielen pre zamestnancov, ale aj pre členov vedenia, ktorí nesú za kybernetickú bezpečnosť zodpovednosť. Aj firmy mimo NIS2 školenia často potrebujú kvôli požiadavkám poisťovní, zákazníkov či certifikácií.

Ako to funguje v praxi

Efektívne školenie je krátke, praktické a opakované. Namiesto jednej dlhej prednášky ročne sa osvedčujú krátke moduly počas roka doplnené simulovanými phishingovými kampaňami. Zamestnanci dostanú cvičný podvodný e-mail a tí, ktorí naň kliknú, absolvujú krátke doplnkové vzdelávanie. Výsledky ukazujú, kde sú slabé miesta.

Obsah treba prispôsobiť rolám. Účtovníci a ľudia schvaľujúci platby potrebujú poznať BEC podvody a podvodné faktúry, vedenie cielené útoky na manažérov, všetci zamestnanci vishing a smishing a zásady práce s heslami vrátane používania správcu hesiel a dvojfaktorového overenia.

Kľúčovou súčasťou je jasný postup hlásenia. Zamestnanec musí vedieť, komu a ako nahlásiť podozrivý e-mail či omyl, napríklad kliknutie na odkaz, a nesmie mať strach z trestu. Rýchle nahlásenie umožní zastaviť útok skôr, než sa rozšíri. Firma, ktorá za hlásenie trestá, sa o incidentoch dozvie neskoro.

Na čo si dať pozor

Najčastejšou chybou je školenie ako formalita: jednorazová prezentácia bez overenia, ktorú zamestnanci preklikajú. Také školenie splní papierovú povinnosť, ale správanie nezmení. Úspešnosť sa má merať, napríklad podielom zamestnancov, ktorí podozrivý e-mail nahlásia, a jej vývoj sledovať v čase.

Školenie nenahrádza technické opatrenia. Aj dobre vyškolený človek sa v strese pomýli. Preto sa má kombinovať s filtrom e-mailov, dvojfaktorovým overením, oddelením povinností pri platbách a zálohovaním. Až spolu tvoria obranu, ktorá vydrží aj jednotlivé zlyhanie.