Det sägs ofta att anställda är den svagaste länken i företagens cybersäkerhetskedja. Detta skulle utan tvekan förklara varför nätfiskeattacker har blivit den främsta hotvektorn för cyberattacker. Under covid-19-krisen har organisationer utan tvekan blivit mer utsatta än någonsin för potentiellt osäkert användarbeteende från sina distansarbetare. En del av anledningen är att med tanke på det stora antalet inblandade hemarbetare kanske många inte har lyxen att använda en bärbar dator. Personlig utrustning kan vara mindre säker, medan hemmiljön kan vara mer distraherande än kontoret. Dessutom innebär begränsade IT-ledningsgrupper och budgetar att de med ett säkerhetsproblem kanske inte får det stöd de normalt skulle få.
Ingen medarbetare är den andra lik.
Det är ett bekymmer. Så hur mycket ska vi bry oss om våra anställda? En nyligen genomförd global studie från Trend Micro, baserad på svar från mer än 13.000 27 distansarbetare i 78 länder, belyser bästa praxis och potentiella problem. Med mer än tre fjärdedelar (72 %) av de svarande som arbetar hemifrån under pandemin, behöver företags- och IT-ledare veta var riskerna ligger så att de kan vidta konkreta åtgärder för att ta itu med dem. När de gör det bör de också komma ihåg att inga två anställda är den andra lik. Vi arbetade med en oberoende expert på cyberpsykologi, Dr. Linda K. Kaye, för att granska studieresultaten och upptäckte att det faktiskt finns fyra distinkta personligheter i varje organisation. Att förstå dessa kommer att hjälpa personalen att utbilda mer effektivt om utbildning och medvetenhet om cybersäkerhet, även om tekniska kontroller också är en kritisk del av alla säkerhetsstrategier. Den första goda nyheten är att även om de arbetar i fysisk isolering från kollegor och chefer, sa ett överväldigande antal anställda (4 %) att de hade blivit mer säkerhetsmedvetna under låsningen, med endast 85 % som sa att de var mindre. Vad betyder detta i praktiken? Detta innebär att man förstår att godkända handelsplattformar måste användas för att skicka filer och att man inser att användning av en icke-professionell applikation för handelsverksamhet är en säkerhetsrisk. Det handlar också om att ta instruktioner från IT-teamet på allvar, som XNUMX % sa, och hålla med om att de har ett viktigt ansvar för att hålla organisationen säker. Det handlar också om att förstå att det är riskabelt att klicka på oönskade e-postmeddelanden, även de där attraktiva och lovande erbjudandena, som gratis molnlagring eller snabbare internethastigheter. Och definitivt veta att inte klicka om du använder en bärbar dator för företag.Men det är en lång väg kvar att gå
Tyvärr är det där de flesta goda nyheterna slutar. Vi hittade också en mängd dåliga säkerhetsrutiner som kan utsätta organisationer för allvarliga cybersäkerhetsrisker. Dessa inkluderade: Wi-Fi och distansarbete: Nästan två femtedelar av de svarande sa att de alltid eller ofta använder offentligt Wi-Fi utan att använda företagets VPN, vilket kan utsätta deras surfning och lösenord för avlyssning. indiskret. En tredjedel arbetade till och med med dokument som var känsliga för allmänheten utan att använda skärmskydd för integritet, vilket steg till 44 % för entreprenörer, 48 % för de i juridiska roller och 47 % för yrkesverksamma. av HR. Utsätter bärbara företagsdatorer för onlinehot: Endast 20 % sa att de aldrig använder sin bärbara affärsdator för personlig vinning. Mer än en tredjedel gör det fritt och ytterligare 45 % endast under affärsresor. Sådan aktivitet kan innebära att företagsdata exponeras för skadlig programvara som finns på torrentwebbplatser, opålitliga appbutiker, webbplatser med barnförbjudet innehåll, etc. Personliga enheter som används för att komma åt arbetsdata: Cyberrisken multipliceras också åt andra hållet: om distansarbetare använder potentiellt mindre skyddade personliga enheter för att komma åt företagets system. Två femtedelar (39 %) av de tillfrågade sa att de gör det ofta eller alltid. Shadow IT och icke-affärsapplikationer: Kanske ännu mer oroande är det faktum att två femtedelar (38 %) av distansarbetarna laddade ner företagsdata till en icke-affärsapplikation. Även om dessa är legitima applikationer, förvärrar det faktum att de inte är sanktionerade av IT de synlighets- och kontrollutmaningar som är förknippade med skugg-IT.Rekommendationer
Lyckligtvis kan organisationer göra mycket för att mildra riskfyllda anställdas beteenden, även i samband med massarbete på distans. IT-säkerhetschefer bör kombinera strikt acceptabla användningspolicyer, som att granska företagets policy för BYOD och bedöma risker baserat på datakänslighet eller kritikalitet, i samband med förbättrad utbildning och medvetenhet. Den senare bör fokusera på bästa säkerhetspraxis, inklusive hur man upptäcker nätfiskeattacker, användning av praktiska uppgifter och verkliga simuleringar för att driva beteendeförändringar. Distansarbete förväntas bli normen långt efter att den nuvarande pandemin har avtagit. Nu när den första brådskan att stödja en distribuerad arbetsstyrka har lagt sig, är det vettigt att på allvar börja planera för att mildra de risker som lyfts fram i denna studie.- Bharat Mistry, senior säkerhetsstrateg, Trend Micro.