ALLENA I DIPENDENTI

STEP 1

Valutare le tue necessità

La valutazione è un primo step essenziale nello svilupoo del tuo programma di sicurezza, e si applica anche al training di sensibilizzazione alla sicurezza. Valuta i principali rischi che vuoi affrontare. Se sei in un industria regolata, dovrai includere i requisiti di conformità. Esamina precisamente che training è necessario per rispettare questi requisiti.

STEP 2

Valuta la tua cultura della sicurezza

Una forte cultura della sicurezza inizia in alto, promuovendo il concetto che la sicurezza è un problema e responsabilità di tutti. Quando la cultura dice che la sicurezza appartiene a tutti, il dipartimento IT non combatte più da solo. Per lanciare un programma, iniziamo a valutare le necessità, e solo allora iniziamo a creare il contenuto.

STEP 3

Valuta le tue politiche

Tutte le politiche, line guida e standard relative ai dipendenti (utenti) devono essere analizzate. Queste politiche devono essere incorporate nel training di sensibilizzazione più tardi.

STEP 4

Identifica il gruppo coinvolto

La simulazione phishing può essere combinata con servizi. Questi servizi aiutano la compagnia a valutare meglio i rischi. Ecco alcuni esempi:

• Consiglio di amministrazione: Il consiglio di amministrazione può essere invitato a sedere a un corso di formazione e sensibilizzazione come mezzo per educare i membri all’importanza della sicurezza delle informazioni (come il tipo di training che sarà fornito all’utente finale).
• Management: Il training deve valutare il team di management nell’esecuzione di alcuni compiti (autorizzazioni di accesso, classificazione dati, ecc).
• Staff tecnico: Dato che lo staff tecnico è strumentale sia nella valutazione della sicurezza delle informazioni, sia nel rafforzamento delle politiche, è imperative che un programma di formazione sia sviluppato per sensibilizzare il personale tecnico alle procedure appropriate, politiche, strumenti, standard e linee guida che devono seguire. Un training annuale deve essere accompagnato con test di comprensione e training costante. Le migliori pratiche includono:
  • Un “test di diligenza” che documenta che l’utente non ha solo ricevuto il training, ma ha anche capito i punti chiave della policy.
  • Un promemoria di sensibilizzazione mensile: Una volta al mese sarà inviata una email realtiva a un argomento di attualità.
  • Informazioni periodiche: Ad ogni nuovo problema, vulnerabilità o politica, invieremo con il metodo più appropriato, ulteriori promemoria o annunci di vulnerabilità.
  • Esercizi di sensibilizzazione costanti: durante l’anno, oltre al training annuale, possono essere condotti diversi esercizi di sensibilizzazione, come simulazioni di phishing.
• Training sensibilizzazione cliente: Possiamo anche lavorare con il personale marketing e svilupoo web per assicurare un mix di consigli per prevenire il furto di identità e distribuirlo ai clienti sotto forma di volantini, elementi di pagine web e annunci pubblici.

STEP 5

Sviluppa collaborazioni multi dipartimento

Il programma di sensibilizzazione è sviluppato dal dipartimento IT, o fose da quelllo di valutazione del rischio, ma l’implementazione ha bisogno di partner negli altri dipartimenti. I partner possono aiutare in un paio di bisogni chiave: consegna (nel caso di sessioni dal vivo di persona), e diffusione.
Il dipartimento risorse umane può aiutare creando politiche che rendano obbligatorio il training, e tracciando la partecipazione. Il direttore della comunicazione, o uno speaker professionista può essere reclutato per consegnare il contenuto del training. Se il dipartimento ha una newsletter, collabora con loro per distribuire i contenuti.

STEP 6

Sviluppa il contenuto

Il contenuto deve essere personalizzato al singolo caso di ogni organizzazione, così come al settore dove opera l’azienda. Il programma ha bisogno di essere focalizzato sugli argomenti che aiuteranno gli utenti a cambiare i loro comportamenti. Alcuni possono essrre applicati a ogni settore, come l’ingegneria sociale, phishing e sicurezza dei dispositivi mobile. Quando si sviluppa il contenuto, accertiamoci di proporre alcuni esempi realistici e mostrare all’utente come è l’attacco.

STEP 7

Trova gli strumenti Giusti

Le lunghe presentazioni PowerPoint sono un reperto del passato, almeno quando si parla di formazione e sensibilizzazione. Avere dipendenti bloccati sulle sedie per 45 minuti, ad ascoltare qualcuno che parla tutto il tempo, non coinvolge il pubblico e non fa imparare la lezione. I migliori programmi evitano questo problema usando una varietà di metodi, come video o moduli interattivi, ludicizzazione e attacchi phishing simulate. È una buona idea presentare il corso con diversi metodi. Le liste email sono un modo facile per inviare il contenuto. Forniamo anche contenuti su siti esterni o Intranet.

STEP 8

Programma e invia il contenuto

Molte compagnie iniziano con un training annuale, e un training specific per i nuovi assunti, che è il requisito minimo. Un programma di sensibilizzazione di successo non è un’attività di un solo giorno, non è annuale. Richiede una pianificazione regolare e costante, che include diversi tipi di attività a intervalli appropriati, alcune mensili, altre trimestrali, altre annuali. Il contenuto deve essere mescolato e adattato alle minacce stagionali, dove possibile. Per esempio, i biglietti elettronici possono esere un rischio a San Valentino, quindi accertati che il tuo staff sappia fare attenzione ai segnali sospetti.

STEP 9

Testare l’efficacia del training

Quanto installi un nuovo sistema di sicurezza vuoi sempre testarlo per accertarti che lavori bene. Devi pensare al training per la sensibilizzazione alla sicurezza nel solito modo. Puoi includere domande rilevanti come parti del contenuto. Finire ogni sezione con un test è un buon modo per determinare se il tuo staff ha raccolto le informazioni chiave. Per esempio, puoi considerare di inviare una finta email di phishing poche settimane dopo il training per vedere chi ci casca.

STEP 10

Tracciare e comportarsi di conseguenza

Testare l’impatto del tuo training è importante, ma vuoi anche tracciare chi ha completato il training e quanto tempo gli ha dedicato, poi misurare l’impatto che ha avuto sugli attuali incidenti di sicurezza.
Se le persone non completano il training, o sbagliano i test, hanno bisogno di ulteriore formazione, e ulteriori errori necessitano di un meeting faccia a faccia. Se il tuo programma è efficace, dovresti vedere un calo nel numero di incidenti. Se non vedi una correlazione, allora dovrai esaminare il materiale didattico e cambiare il tuo approccio. Quando emergono nuove minacce, devi essere pronto a modificare e aggiornare il tuo training continuamente. Forma il tuo staff adeguatamente, e dagli la conoscenza che gli serve, sono allora tu vedrai un miglioramento significativo nella tua sicurezza informatica generale.