Đào tạo nhận thức An toàn thông tin là gì?

Mặc dù việc đào tạo nhân viên về an toàn thông tin có thể không được yêu cầu đối với các Doanh nghiệp Nhỏ và Vừa (SMEs) để tuân thủ các quy định. Tuy nhiên, việc đào tạo nhân viên về bảo mật thông tin sẽ giúp các SMEs nâng cao nhận thức về các mối đe dọa bảo mật và cách phòng tránh chúng, từ đó giảm thiểu rủi ro và tổn thất cho công ty.

Việc đào tạo cũng giúp nhân viên hiểu rõ các chính sách và quy trình bảo mật của công ty, từ đó giúp đảm bảo rằng tất cả nhân viên đều thực hiện các hoạt động của họ trong một môi trường bảo mật  Chẳng hạn như cuộc tấn công lừa đảo qua email (phishing), chiếm quyền kiểm soát tài khoản (account takeover), hoặc các phương thức khác mà các tin tặc thường sử dụng để chiếm đoạt tài sản của công ty.

Tại sao phải đào tạo nâng cao nhận thức bảo mật?

Đào tạo nhận thức an toàn thông tin là gì?

Đào tạo nhận thức về bảo mật là một hình thức nhằm trang bị cho nhân viên của một tổ chức thông tin họ cần để bảo vệ bản thân và tài sản của tổ chức khỏi bị mất mát hoặc tổn hại. Vì mục đích của bất kỳ cuộc thảo luận đào tạo nâng cao nhận thức bảo mật nào, các thành viên của một tổ chức bao gồm nhân viên, nhân viên thử việc, nhà thầu và bất kỳ ai khác thực hiện các chức năng được ủy quyền trực tuyến cho một tổ chức.

Lý do nên đào tạo nhận thức bảo mật

• Đối mặt với thực tế để nâng cao nhận thức

Để nhận thức được các mối đe dọa bảo mật, người dùng cần phải đối mặt trực tiếp với thực tế (confront things as they are). Khi nhân viên đối mặt với thực tế này, họ sẽ trở nên nhận thức hơn và có thể phát hiện ra các email lừa đảo và thực hiện các hành động phù hợp như xóa email đó hoặc không nhấp vào liên kết trong email. Từ đó, họ có thể tránh bị mất thông tin quan trọng hoặc gây thiệt hại cho tổ chức của mình.

• Tăng cường bảo mật thông qua đào tạo

Việc đối mặt với thực tế và nhận thức về các mối đe dọa bảo mật là rất quan trọng trong việc tăng cường bảo mật thông tin và giảm thiểu rủi ro cho tổ chức và các cá nhân liên quan. KnowBe4 là một công ty cung cấp giải pháp đào tạo nhận thức về bảo mật thông tin cho nhân viên, giúp họ đối mặt với việc tin tặc đang cố gắng lừa đảo họ.

• Mối đe dọa ngày càng phức tạp

Tội phạm mạng diễn ra với tốc độ rất nhanh và đang ngày càng phức tạp hơn. Một vài năm trước, các tin tặc thường tập trung vào việc trộm danh tính, nhưng hiện nay họ có thể chiếm quyền kiểm soát mạng của tổ chức bạn, đột nhập vào tài khoản ngân hàng và lấy cắp hàng chục hoặc hàng trăm nghìn đô la. Các tổ chức đều đang đối diện với rủi ro bị tấn công mạng. Bạn có phải là nạn nhân tiếp theo của cuộc tấn công mạng?

• Xây dựng “tường lửa con người”

Để đối phó với các mối đe dọa này, Knowbe4 đề xuất sử dụng một “tường lửa mạnh mẽ – chính là con người” (strong human firewall) như là vệ đệ cuối cùng. Điều này có nghĩa là tổ chức/ doanh nghiệp bạn cần đào tạo nhân viên của mình về bảo mật thông tin để họ có thể phát hiện và ngăn chặn các cuộc tấn công mạng. Bằng cách có một “tường lửa con người mạnh mẽ”, tổ chức của bạn có thể tăng cường bảo mật thông tin và giảm thiểu rủi ro bị tấn công mạng.

Làm thế nào để triển khai một chương trình đào tạo thành công cho nhân viên của bạn?

Những thành phần quan trọng của một chương trình nhận thức về an toàn thông tin

Các thành phần bao gồm:

1. Nội dung: Nội dung được xem như yếu tố hàng đầu góp phần vào sự thành công của chương trình đào tạo (Content is King). Việc lựa chọn nội dung phù hợp với từng vai trò trong tổ chức, không nên đơn điệu và phù hợp với nhiều loại người dùng.
2. Lên kế hoạch và hỗ trợ nhà quản lý: đưa ra các tài liệu để chứng minh giá trị của chương trình đến ban lãnh đạo và giám sát viên / cơ quan quản lý, đồng thời đưa ra kế hoạch để triển khai chương trình.
3. Tài liệu hỗ trợ chiến dịch: chương trình thành công không chỉ là một lần duy nhất, nên tiếp cận với đối tượng nhân viên bằng nhiều hình thức và trong nhiều ngữ cảnh khác nhau để thay đổi hành vi người dùng.
4. Kiểm thử: đưa người dùng vào tình huống thực tế để đánh giá hành vi của họ, đồng thời cung cấp cơ hội để người dùng báo cáo các cuộc tấn công giả mạo và giúp tổ chức tăng cường độ bền vững. Nếu họ mắc lỗi, đưa ra đào tạo để tạo ra cơ hội học hỏi.
5. Đo lường và báo cáo: đo lường hiệu quả của chương trình và báo cáo để tối ưu hóa chiến dịch dựa trên kết quả quá khứ.
6. Khảo sát / đánh giá: các công cụ này giúp bạn hiểu được thái độ của tổ chức và đánh giá hiệu quả của chương trình để bạn có thể thích nghi. Nó giống như một kiểm tra mạch của những sự khác biệt tinh tế mà không có trong 

Tìm hiểu thêm: Phishing là gì? Làm thế nào để phòng chống tấn công Phishing hiệu quả?

Phát triển chương trình đào tạo nhận thức an toàn thông tin

Việc tiếp nhận kiến thức không chỉ nên diễn ra ở một khía cạnh đơn lẻ, chúng ta cần phải suy nghĩ về nguyên bối cảm nhận của người dùng. Một mô hình học tập và phát triển được đưa ra theo tỷ lệ 70:20:10:

Mô hình học tập và phát triển theo tỷ lệ 70:20:10

• 10% Học theo tài liệu: Học tập có cấu trúc, khóa học LMS, các ngày đào tạo, v.v. Đây là khoảng thời gian tối đa mà bạn có thể dành cho mỗi người dùng cho hình thức đào tạo chính thức. Bạn cần suy nghĩ về cách giải quyết 90% còn lại của trải nghiệm của một người trong tổ chức.
• 20% Học hỏi thêm xung quanh: Bao gồm việc hỏi người khác, hợp tác, xem webinars, xem video, đọc tài liệu, v.v. Hãy nghĩ về cách xây dựng một cộng đồng không chính thức cho người dùng biết nơi để tìm thông tin mà họ cần khi họ thực sự cần.
• 70% Trải nghiệm thực tế: Trong công việc, mối quan hệ xã hội, trong quy trình làm việc, văn hoá doanh nghiệp và phòng ban. Về mặt bảo mật, nếu chúng ta bỏ qua phần xã hội/văn hoá 70%, chúng ta sẽ đặt mình vào thế bất lợi. Hãy nghĩ về cách giải quyết toàn bộ 100%. Hệ thống hỗ trợ của nhà cung cấp có thể giúp ích.

Năm thời điểm cần thiết 

1. Lần đầu tiên 
2. Muốn tìm hiểu thêm 
3. Cố gắng áp dụng kiến thực và/hoặc ghi nhớ
4. Khi có sự cố xảy ra 
5. Khi có một điều gì đó thay đổi 

Tìm hiểu kỹ về nhu cầu hoặc phân khúc người học nếu có thể 

Thông tin và văn hóa của các phòng ban là khác nhau rất nhiều. Bạn cần có cách để chia nhỏ thành các nhóm. Điều đó giúp bạn có thể đo lường và đào tạo họ theo cách phù hợp nhất với nhu cầu và phong cách học tập của từng cá nhân. 

Trích dẫn này của BJ Fogg, một nhà nghiên cứu về hành vi: “3 truths about human nature. We’re lazy, social,  and creatures of habit. Design products for this reality” cho thấy rằng trong thiết kế sản phẩm và trải nghiệm người dùng, chúng ta cần phải lưu ý đến ba sự thật cơ bản về con người: chúng ta lười biếng, thích giao tiếp xã hội và có xu hướng tuân thủ theo thói quen. Vì vậy, khi thiết kế các khóa học hay trải nghiệm học tập, chúng ta cần phải xem xét các yếu tố này để đáp ứng tốt hơn nhu cầu và phong cách học tập của người dùng.

Đọc thêm: 3 bước phân tích để xác định 1 email lừa đảo

Bốn giai đoạn của năng lực 

Giai đoạn thiếu nhận thức – Không tự ý thức được hay “Tôi không biết mình không biết điều gì đó”. Họ không nhận thức được và hành vi của họ sẽ phản ánh điều đó.

Giai đoạn nhận thức – Tự ý thức không đủ năng lực hoặc “Tôi biết mình không đủ năng lực điều gì đó”. Bây giờ họ nhận ra rằng họ không có đủ kiến thức và công cụ cần thiết. Chúng ta có thể hy vọng rằng họ sẽ tiến tới giai đoạn tiếp theo.

Giai đoạn Step-by-step “Từng bước một” – Tự ý thức đủ năng lực hoặc “Tôi biết một điều gì đó, nhưng tôi phải suy nghĩ về nó khi tôi làm”. Họ cần truy cập thông tin đã lưu trữ hoặc đánh giá tất cả các tùy chọn một cách cẩn thận để đưa ra kết luận đúng.

Giai đoạn Kỹ năng – Vô thức đủ năng lực hoặc “Tôi biết điều đó quá tốt đến nỗi tôi không cần suy nghĩ về nó nữa”. Đây là giai đoạn mà phần lớn chúng ta đạt được đối với các hành vi thường ngày như lái xe, đánh răng, vv. Tại một thời điểm nào đó, những điều này là khó khăn, và chúng ta có thể thực sự đạt được đến. Ở giai đoạn này, kỹ năng được thực hiện tự động mà không cần suy nghĩ quá nhiều, và chúng ta có thể thực hiện chúng một cách hiệu quả và một cách tự động.

Bốn giai đoạn của năng lực

So sánh hiệu quả đào tạo an toàn thông tin truyền thống và hiện đại

Các chương trình đào tạo truyền thống thường thất bại trong việc giúp nhân viên vượt qua giai đoạn 1 và 2 của quá trình đào tạo. Giai đoạn 1 là giai đoạn “Thiếu nhận thức” và giai đoạn 2 là giai đoạn “Nhận thức”. Nếu không có sự hỗ trợ và đào tạo đầy đủ, người học sẽ không thể tiến đến giai đoạn 3 và 4.

Chương trình đào tạo cần được thiết kế sao cho đưa người học từ giai đoạn 1 đến giai đoạn 4. Giai đoạn 4 được gọi là “Giai đoạn kỹ năng – khả năng trong vô thức” và là giai đoạn cuối cùng của quá trình đào tạo. Đây là giai đoạn mà người học đã phát triển kỹ năng đến mức có thể thực hiện một cách tự động mà không cần suy nghĩ quá nhiều. Với đào tạo và mô phỏng liên tục, đưa người học đến giai đoạn 4 là lý tưởng và giúp tạo ra những hành vi bảo vệ tốt nhất khỏi các cuộc tấn công an ninh.

Lập kế hoạch như  một “Marketer”, kiểm thử như một “Attacker”

Chiến dịch đa kênh – sử dụng nhiều loại nội dung khác nhau vào các thời điểm khác nhau, nhắm đến các đối tượng khác nhau thông qua các kênh khác nhau để bạn có thể liên tục cung cấp thông tin và làm việc trong bối cảnh khác nhau. Bạn cần liên tục xây dựng khả năng phản xạ và rèn luyện khả năng ghi nhớ cho nhân viên của mình, và đó là lý do tại sao phần kiểm thử rất quan trọng.

Bất kể bạn sử dụng công cụ gì, thậm chí nếu bạn sử dụng một chương trình tự tạo, bạn cũng cần gửi một thử nghiệm cuộc tấn công lừa đảo cho người dùng ít nhất mỗi 30 ngày. Bằng cách đào tạo và kiểm thử, bạn đang chạy một chiến dịch dựa trên con tim và lý trí như một nhà tiếp thị. Trong một khoảng thời gian qua các kênh/phương tiện truyền thông khác nhau, bạn có thể bắt đầu xây dựng sự ảnh hưởng trong tâm trí của người dùng. Bổ sung thêm với các cuộc tấn công lừa đảo thường xuyên, bạn đang rèn luyện khả năng phản xạ  để người dùng tự động phản ứng theo cách đúng.

Lập kế hoạch đào tạo và kiểm thử 

Mi2 tin rằng với những chia sẻ bên trên sẽ giúp cho tổ chức/doanh nghiệp bạn hiểu thêm đào tạo nhận thức an toàn thông tin cho nhân viên và trả lời được câu hỏi Đào tạo nhận thức An toàn thông tin là gì!