ไม่ว่าองค์กรจะลงทุนกับเทคโนโลยีป้องกันภัยมากแค่ไหน เหตุการณ์ละเมิดความปลอดภัยส่วนใหญ่ก็ยังเริ่มต้นจากจุดเดียวกัน คือมีใครสักคนคลิกลิงก์ที่ไม่ควรคลิก เปิดไฟล์แนบที่ไม่ควรเปิด หรือถูกหลอกทางโทรศัพท์ให้เปิดเผยข้อมูลที่ไม่ควรให้ พูดง่ายๆ คือพนักงานคือด่านสุดท้ายที่ตัดสินว่าการโจมตีจะสำเร็จหรือไม่ องค์กรที่จริงจังเรื่องความปลอดภัยจึงต้องให้น้ำหนักกับ "คน" พอๆ กับที่ให้น้ำหนักกับมาตรการทางเทคนิค
ทำไมมีแค่เครื่องมือด้านความปลอดภัยไม่พอ
ระบบกรองอีเมลและซอฟต์แวร์ป้องกัน endpoint ดักจับภัยคุกคามได้จำนวนมาก แต่อีเมลฟิชชิงที่เขียนมาอย่างแนบเนียน หรือสายโทรศัพท์ที่พูดด้วยความมั่นใจราวกับเป็นคนในองค์กร สามารถเล็ดลอดเครื่องมือเหล่านี้ไปได้ทั้งหมด เพราะมันไม่ได้โจมตีระบบ แต่โจมตีคน ผู้ไม่หวังดีรู้ดีว่าจุดอ่อนนี้มีอยู่ จึงหันมาเล็งเป้าที่ชั้นของมนุษย์มากขึ้นเรื่อยๆ แทนที่จะพยายามเจาะระบบโดยตรง
Phishing Simulation ทำงานอย่างไร
วิธีหนึ่งที่องค์กรใช้วัดและยกระดับความพร้อมของพนักงานคือการทำ phishing simulation คือการส่งอีเมลฟิชชิงจำลองที่ดูสมจริงแต่ไม่มีอันตรายจริงไปยังพนักงาน แล้วติดตามว่าใครคลิก ใครกรอกข้อมูล และใครที่แจ้งเตือนทีมความปลอดภัยอย่างถูกต้อง ผลลัพธ์ที่ได้ไม่ได้มีไว้เพื่อลงโทษใคร แต่ใช้เพื่อระบุว่าใครยังต้องการการโค้ชเพิ่มเติม และองค์กรควรเน้นเนื้อหาการอบรมไปที่จุดไหน เมื่อทำต่อเนื่องอย่างสม่ำเสมอ อัตราการคลิกลิงก์อันตรายควรลดลงตามลำดับ ซึ่งเป็นตัวชี้วัดที่จับต้องได้ว่าโปรแกรมได้ผลจริง
สร้างวัฒนธรรม ไม่ใช่แค่จัดอบรมปีละครั้ง
การจัดบรรยายยาวๆ ปีละครั้งแทบไม่เปลี่ยนพฤติกรรมของใครเลย เพราะคนจะจำได้ไม่กี่วันแล้วก็ลืม โปรแกรมที่ได้ผลจริงมักใช้การสื่อสารสั้นๆ แต่บ่อยครั้ง เช่น เคล็ดลับรายเดือนหรือกรณีตัวอย่างที่เกิดขึ้นจริง ทำให้พนักงานสามารถแจ้งเตือนข้อความหรืออีเมลที่น่าสงสัยได้ง่าย โดยไม่ต้องกลัวว่าจะถูกตำหนิหากแจ้งผิด และที่สำคัญไม่แพ้กันคือผู้บริหารระดับสูงต้องแสดงออกให้เห็นว่าให้ความสำคัญกับเรื่องนี้อย่างจริงจัง เพื่อให้ความปลอดภัยกลายเป็นส่วนหนึ่งของวิธีทำงานตามปกติ ไม่ใช่ภาระงานเพิ่มที่ถูกมองข้าม
เป้าหมายไม่ใช่การทำให้พนักงานทุกคนกลายเป็นผู้เชี่ยวชาญด้านความปลอดภัย แต่คือการทำให้พฤติกรรมที่ปลอดภัยกลายเป็นทางเลือกที่ง่ายและเป็นธรรมชาติที่สุดสำหรับทุกคน
ข้อคิดสำคัญ
Security awareness training ไม่ใช่แค่เรื่องที่ทำเพื่อให้ผ่านการตรวจสอบตามข้อกำหนด หากออกแบบให้ดี คือทำบ่อย ไม่ตำหนิผู้ที่พลาด และมีผู้บริหารสนับสนุนอย่างจริงจัง โปรแกรมเหล่านี้จะช่วยลดโอกาสที่ชั้นของมนุษย์จะกลายเป็นจุดอ่อนที่สุดขององค์กรได้อย่างวัดผลได้จริง
