Устранить такие последствия непросто, тем более что хлопот доставляют и некоторые пользователи. Стремясь обеспечить себе комфортные условия для бесшовной удаленной работы, они пытаются обойти критически важные корпоративные политики кибербезопасности. В результате ИБ-подразделения компаний ощущают себя так, словно ведут заведомо проигрышный бой.
Почему так происходит и как добиться того, чтобы меры информационной безопасности максимально соответствовали и текущему потоку рабочих задач, и характеру деятельности сотрудников?
От недовольства до открытого бунта
Кибербезопасность – это в первую очередь инструмент, который помогает нам уверенно чувствовать себя в цифровом мире: от онлайн-банкинга до зашифрованных чатов. Но в корпоративной среде наше отношение к информационной безопасности зачастую другое: мы воспринимаем ее не как столь необходимую преграду для киберугроз, а как помеху продуктивности. Согласно исследованию HP Wolf Security, чуть больше трети (34%) сотрудников по всему миру заявили, что меры, которые необходимо соблюдать для обеспечения кибербезопасности, только усложняют им жизнь. При этом среди молодых людей в возрасте от 18 до 24 лет количество таких ответов составляет почти половину (48%).
Одной из главных причин подобного отношения является недостаточная осведомленность пользователей и в целом их отстраненность от любых вопросов, связанных с безопасностью. Более трети (39%) участников исследования в возрасте от 18 до 24 лет заявили, что не уверены в политиках безопасности, которые предлагает их работодатель. 54% опрошенных утверждают, что больше беспокоятся о дедлайнах, чем о потенциальных утечках данных. К тому же почти две трети (64%) офисных работников сообщили, что не проходили тренинги по защите домашней сети.
Больше всего беспокоит то, что такая апатия и безразличие пользователей влекут за собой огромные риски для организаций, а иногда и реальный вред. Около 37% сотрудников считают, что правила и технологии безопасности часто излишне строгие. Почти пятая часть (16%) признает, что обходит их, чтобы облегчить выполнение поставленных перед ними задач. Среди молодых сотрудников данный показатель составляет 31%.
В России, на первый взгляд, статистика более обнадеживающая. По результатам исследования Global CIO, большая часть опрошенных сотрудников (66%) считает, что прошедший год показал важность обеспечения защиты устройств от киберугроз вне стен офиса. Почти половина (49%) сотрудников тратят на обеспечение безопасности конечных устройств гораздо больше времени, чем два года назад. Более половины из них (58%) уверены, что безопасность устройств так же важна, как и безопасность сети, так как число работающих в гибридном режиме возрастает. Однако при этом менее трети (27%) рядовых сотрудников отмечают, что безопасность устройств является приоритетом для них.
ИТ-специалисты под перекрестным огнем
Профессионалы в области кибербезопасности прекрасно понимают все тенденции, ведь они ежедневно находятся на передовой, защищая корпоративную сеть и данные. Они видят, что над их организациями нависла огромная угроза безопасности, но когда поднимают тревогу – чувствуют себя недооцененными и неуслышанными. На самом деле – подавляющее большинство ИТ-специалистов (91%), респондентов исследования HP Wolf Security, согласились, что вынуждены ставить под угрозу кибербезопасность, чтобы не прерывать рабочие процессы.
В результате ИБ-подразделения оказываются между двух огней: им необходимо защитить организацию от угроз и в то же время учесть требования руководства и даже рядовых сотрудников – обеспечить им удобство работы. Хотя 91% ИТ-команд обновили свои политики безопасности с учетом нового гибридного режима работы, 80% из них столкнулись с противодействием со стороны пользователей. Аналогичное количество респондентов теперь заявляет, что обеспечение информационной безопасности стало в последнее время «неблагодарной задачей».
Понятно, что большинство ИБ-специалистов устали от того, что с ними обращаются как с «врагами народа», несмотря на очевидно растущий уровень киберрисков. А ведь угроза атак программ-вымогателей сегодня встала особенно остро. Это связано с огромным количеством подключенных к корпоративной ИТ-инфраструктуре незащищенных удаленных устройств, с неопытностью пользователей, а также с безнаказанностью киберпреступных групп, действующих по всему миру.
Исследования показывают, что, к сожалению, специалисты по информационной безопасности каждой третьей компании по всему миру испытывали сильный стресс во время пандемии. Более четверти считают, что это повлияло на их работоспособность.
Инструменты, которые реально работают
Сегодня сотрудники хотели бы работать с более удобными, интуитивно понятными инструментами безопасности, а также в условиях более мягких ограничений. Поэтому ИБ-специалистам необходимо найти способ упростить процессы обеспечения безопасности и отслеживания угроз. Если эту проблему оставить без внимания, она может усугубиться. Так как же организациям найти ту приемлемую золотую середину между продуктивностью и безопасностью? Секрет в том, чтобы работа с учетом политик и инструментов безопасности была такой же легкой и удобной, как и без них.
Эта концепция означает, что команды, отвечающие за информационную безопасность, должны адаптироваться к гибридному графику работы и найти новые механизмы защиты конечных устройств, основанные на принципах нулевого доверия (Zero Trust). При этом подразумевается, что эти новые механизмы будут максимально ненавязчивыми, чтобы у пользователей не возникало желания искать обходные пути. Внедрение таких ненавязчивых технологий безопасности на уровне конечных устройств будет иметь большое значение для повышения безопасности пользователей и защиты бизнеса.
Если бы ноутбуки, ПК и принтеры изначально разрабатывались с учетом требований безопасности, а не дополнялись соответствующими решениями позднее, это помогло бы обеспечить более органичный и менее негативный пользовательский опыт. Организации могут применять дополнительные верхнеуровневые средства защиты – например, для сдерживания и изоляции критических угроз до того, как они смогут нанести ущерб. Кроме того, существуют инструменты удаленного управления ИТ-подразделением, а также инструменты автоматизированного контроля и восстановления системы без вмешательства пользователя.
Таким образом, важно оптимизировать процессы обеспечения информационной безопасности, не вызывая при этом недовольства пользователей. В новую эру гибридных рабочих мест только такой подход поможет сохранить удовлетворенность и продуктивность как ИТ-подразделений, так и рядовых сотрудников.