Školenie kybernetickej bezpečnosti zamestnancov: čo funguje a čo je len splnená kolónka
Celodenná prednáška, prezenčka a ročný pokoj. Tak vyzerá väčšina školení — a preto po nich zamestnanci klikajú rovnako ako predtým. Ako postaviť školenie, po ktorom sa naozaj zmení rozhodovanie.
V skratke
- Zapamätá sa rozhodnutie, nie informácia — školenie preto musí dať človeku rozhodovať, nie počúvať.
- Krátke bloky opakovane fungujú lepšie než jedno celodenné školenie raz do roka.
- Scenáre musia byť z prostredia učiaceho sa: preložená zahraničná firemná politika nepomôže úradníkovi pri prepážke.
- Merajte dokončenie a dôkaz o ňom (certifikát s dátumom a verziou obsahu), nie počet odsedených hodín.
Väčšina organizácií školenie bezpečnostného povedomia má. Väčšina zamestnancov si z neho nepamätá nič konkrétne. Tieto dve vety si neprotirečia — len opisujú školenie, ktoré bolo navrhnuté tak, aby sa dalo odškrtnúť, nie aby zmenilo rozhodovanie.
Prečo celodenná prednáška nefunguje
Nie preto, že by prednášajúci bol slabý. Formát má tri vlastnosti, ktoré sú proti učeniu:
- Je pasívny. Človek počúva správne odpovede namiesto toho, aby sám rozhodoval a mýlil sa. Pamäť na cudzie rozhodnutia je krátka.
- Je jednorazový. Po týždni zostane dojem, po mesiaci názov. Kritický moment — nečakaná správa — prichádza o štyri mesiace.
- Je všeobecný. Aby vyhovoval celej firme, hovorí o „kybernetických hrozbách“. Účtovníčke však nehrozí „hrozba“, hrozí jej správa o zmene IBANu.
K tomu sa pripája nepríjemná vec: zúčastnení po takom školení často subjektívne cítia väčšiu istotu, než akú im dáva reálna schopnosť podvod odhaliť. Falošná istota je horší stav než priznaná neistota.
Čo funguje
1. Rozhodovanie namiesto počúvania
Učiaci sa musí dostať správu a povedať phishing / legitímne ešte pred vysvetlením. Aj nesprávna odpoveď má hodnotu — vysvetlenie, ktoré prichádza tesne po vlastnom omyle, drží v pamäti neporovnateľne dlhšie než to isté vysvetlenie v odrážke.
2. Krátke bloky, viackrát
Dvadsať až štyridsať minút je blok, ktorý zamestnanec naozaj dokončí. Celodenné školenie raz ročne prehrá s tromi krátkymi kurzami v priebehu roka — nie preto, že je dlhšie, ale preto, že medzi opakovaniami je priestor zabudnúť a znova si vybaviť.
3. Scenáre z ich vlastného prostredia
Toto je najčastejšia chyba nákupu. Preložené zahraničné školenie hovorí o firemnej VPN politike a o „wire transfer fraud“. Zamestnanec obecného úradu potrebuje falošnú doménu slovensko-sk.eu, eID, BOK a zmenu IBANu dodávateľa odvozu odpadu. Ak sa v scenári nevidí, nezapamätá si ho.
4. Postup, nie apel
„Buďte opatrní“ nie je postup. „Zmenu bankového spojenia overujem telefonicky na čísle zo zmluvy“ je. Dobré školenie nekončí pocitom zodpovednosti, ale jednou vetou, ktorú si človek zapamätá a ktorá ho aj kryje pred nadriadeným.
5. Niečo, čo neschová chybu
Kultúra, v ktorej sa zamestnanec bojí priznať klik, je drahšia než ten klik. Väčšinu škody spôsobí čas medzi omylom a jeho nahlásením. Preto musí byť v školení výslovne povedané, komu a ako sa incident hlási — a že za nahlásenie nikoho nečaká postih.
Čo merať
| Namiesto | Merajte |
|---|---|
| odsedených hodín | dokončenia kurzu po jednotlivých lekciách |
| prezenčky | certifikát s dátumom, identifikátorom a verziou obsahu |
| „školenie prebehlo“ | pokrytie: kto z aktuálnych zamestnancov ho ešte nemá |
| jednorazovej kampane | opakovania — nové kolegyne a kolegovia po nástupe |
Dôkaz pritom nie je len administratíva. Keď má organizácia menný zoznam absolventov s dátumami a verziou obsahu, vie pri kontrole aj pri incidente povedať, čo presne boli zamestnanci školení robiť. To je rozdiel medzi doloženým procesom a tvrdením.
Ako to postaviť prakticky
- Určite, kto potrebuje čo. Ekonomické oddelenie a prepážka nemajú rovnaké riziko.
- Začnite jedným kurzom, nie programom. Phishing má najvyšší pomer škody k času školenia.
- Naplánujte opakovanie hneď. Ak nie je v kalendári, nebude.
- Zaveďte jednu overovaciu rutinu do postupov. Školenie bez zmeny postupu vyprchá.
- Nezabudnite na nástupy. Školenie raz ročne znamená, že kto nastúpil v marci, čaká rok.
A jedna vec, ktorú netreba
Netreba plašiť. Strach krátkodobo zvýši pozornosť a dlhodobo vedie k tomu, že ľudia bezpečnosť obchádzajú, aby mali pokoj. Cieľom nie je vystrašený zamestnanec, ale zamestnanec, ktorý pri podozrivej správe vie, čo presne urobí — a urobí to bez rozpakov.