與網絡罪犯的對戰中獲勝

日期 : 2018年12月31日

機構 : Palo Alto Networks

作者 : Palo Alto Networks 副總裁兼亞太區安全總監 Sean Duca

 

員工正迅速成為防禦網絡罪犯的最薄弱的一環。不論是無心之失，或因其讀取敏感資料的權限被針對攻擊，員工的人為錯誤可以輕鬆打開迎接惡意軟件或資訊盜竊的大門。

網絡攻擊之所以成功，往往涉及不當的工作流程和對人性的利用。要減低企業被威脅的可能性，定期員工培訓需著重「預防」多於「治療」。對企業來說，純粹以規程為導向的網絡安全培訓方法已被證實無效，通常是因缺乏趣味或切身感而未能引發員工的想像力。企業應側重於教育員工如何保護個人資料，從而鼓勵他們於工作間進一步實踐維護網絡安全的措施。

在眾多員工培訓的形式中，日漸流行將網絡安全教育計劃「遊戲化」(Gamification)。「遊戲化」即在非遊戲環境中使用遊戲機制，將遊戲激發的刺激感應用到其他不甚有趣的活動。遊戲化的計劃加入競爭和獎勵元素，適用於不同行業，因而變得流行。

僱主可以兩種方法將其網絡安全培訓遊戲化：

令培訓變得更刺激吸引

遊戲化可以多種方式幫助企業提高網絡安全，包括向員工展示網絡攻擊預防方法和了解軟件安全漏洞。

國際顧問公司羅兵咸永道（PwC）透過其電子遊戲來教授網絡安全。管理層玩家各自扮演攻擊或防守的角色，在現實的網絡安全環境下競爭。攻擊者選擇攻擊策略、方法和技能，而防守者則制定防禦戰略，投入適當的技術和人才來應對。此遊戲讓他們了解如何準備和應對網絡威脅、公司的防禦能力以及網絡安全團隊每天面對的情況。

遊戲化有助令員工培訓變得生動有趣，提高員工對網絡安全實踐的意識，包括如何正確處理攻擊。

以獎賞鼓勵良好操守

大多數安全漏洞歸咎於人為錯誤，例如面對限期壓力的員工可能會忽視公司的安全政策。舉例來說，一些防範仿冒詐騙解決方案是培訓員工有關電子郵件安全的好方法，活動包括定期向整個企業發送釣魚郵件來測試員工的反應和行動。

遊戲化讓企業獎勵遵守正確安全指引的員工，進一步鼓勵良好的操守。僱主可給予僱員獎章或積分，紀錄以便員工參考。有些企業會向達標的員工送贈禮券之類的實際獎勵，以作加許。

遊戲化系統還可識別表現不佳的員工，以便為他們安排進一步的網絡安全培訓。認同和獎勵能激勵員工維持良好的操守，提升工作環境的網絡安全水平。

任何安全意識培訓的核心都在於培養員工的責任感，一份對他們無論在公司或家中所創建、處理和使用的數據的責任感。所有推廣安全意識的活動都應該持續推行，要達到目標也並不必大撒金錢。例如:

一、善用影像
可以從短片、海報或比賽入手，提醒大家確保網絡安全是每個人的責任。

二、避免威嚇手段
企業應致力建立網絡安全意識文化，就像舉辦營銷活動那樣說服和改變員工的行為。

三、短而精是為上策
就好像人們都會忽略累贅的電郵一樣，培訓必須保持簡短而有趣，並確保是採用從上而下（top-down）的策略。若領袖都不以身作則，跟隨他們的員工又怎麼會做呢？此舉在於教育員工重視及採用網絡安全的最佳措施，而非要訓練所他們成為專家，所以保持輕鬆愉快的氣氛更有效協助大家學習。

加強和跟進十分關鍵

培訓必須持之以恆；從有效的措施中學習並按需要重新教育員工。測試新入職及現職的員工會否誤墮欺騙郵件的圈套，查看多少員工仍然無法識別虛假電郵。鼓勵內部溝通，舉報虛假電郵，指出可能滯後的部門。這些行為目的不在於針對個別人士，而是為整個企業建立良性競爭。

消滅任何行業的網絡風險都是一個漫長的過程，但我們絕對可以掌控情勢。我們需要建構讓員工提出問題，按需要重新教育的氛圍。如果員工受訓後能在點擊惡意檔案前提出質疑，那麼你便向網絡安全邁進一步。