Du har garanterat sett statistiken förut. Det är en av de mest citerade sentenserna i IT-säkerhetsbranschen: ”Över 80 % av alla säkerhetsintrång sker på grund av mänskliga misstag.”
Påståendet används ofta som en pekpinne. Som ett bevis på att medarbetarna är den svagaste länken i kedjan.
Men tänk om det påståendet både är sant och grundläggande fel på samma gång?
I den här artikeln tittar vi närmare på just det.
Varför påståendet är sant
Det är osunt att ignorera fakta. Anledningen till att siffran 82 % dyker upp i undersökning efter undersökning (bland annat från Verizon DBIR) är enkel: hackerattacker drabbar sällan koden först. De drabbar människan.
Hackare angriper sällan en ointaglig, teknisk brandvägg, om de i stället kan skicka ett välformulerat phishingmejl, en falsk inloggningslänk eller ringa ett listigt samtal till en stressad medarbetare.
Människor är den primära ingångsvinkeln till företagets data, eftersom vi:
- Reagerar på tidspress, auktoriteter och känslor.
- Fattar snabba beslut i en stressig vardag.
- Återanvänder lösenord eller faller för övertygande phishingförsök.
När ett säkerhetsintrång analyseras i efterhand går det nästan alltid att peka på ett ögonblick i förloppet där en människa klickade, godkände eller angav uppgifter. På så sätt stämmer påståendet.
Del 2: Varför påståendet är "fel" (det är ett designproblem)
Här är hakan: Att peka ut människan som "felet" är detsamma som att skylla på en bilist för att köra av vägen på en sträcka utan skyltar, utan belysning och med en skarp kurva gömd bakom en backkrön.
Om ett system gör det lätt att göra fel, så blir det också gjort fel.
Att kalla 82 % av säkerhetsintrången för "mänskliga fel" är bara sant när vi också tar designen med i beräkningen. Här är tre skäl:
1. Dålig systemdesign tvingar fram fel
Om en medarbetare måste igenom 5 komplicerade inloggningar, byta lösenord var 14:e dag och använda tunga arbetsprocesser, uppstår det genvägar. Medarbetarna skriver ner koder på gula lappar eller skickar dokument till privata mejladresser bara för att överhuvudtaget kunna utföra sitt arbete. Det är inte ett uttryck för slarv. Det är ett system som motarbetar användaren.
2. Tekniska barriärer fallerade först
Innan ett phishingmejl ens når en medarbetares inkorg har det passerat företagets spamfilter, mejlgateways och säkerhetsinställningar. När en medarbetare klickar är det det sista skansverket som ger vika, men det var det tekniska säkerhetslagret som lät hotet slippa igenom. Det är här medarbetaren behöver tillräcklig träning för att kunna upptäcka det.
3. Avsaknad av säkerhetsmässiga "airbags"
Ett väl designat system tar höjd för att människor är människor. Om ett enda klick från en enda medarbetare kan slå ut hela företagets nätverk, är problemet inte uteslutande medarbetarens beteende.
Från "Människan är problemet" till "Säkerhet med människan i centrum"
Om vi bara skyller på medarbetarna bygger vi upp en osund rädslokultur. Medarbetare som är rädda för att göra fel låter bli att säga till när olyckan är framme, och då upptäcks ett intrång först när skadan är oåterkallelig.
Lösningen är varken att ignorera den mänskliga faktorn eller att överlåta allt till tekniken. Lösningen är att bygga en bro mellan god systemdesign och tränat beteende:
- Gör det rätta valet till det enklaste valet: Minska komplexiteten i systemen, så att säkerhet inte upplevs som ett hinder i vardagen.
- Träna beteende i stället för att dela ut skuld: Ge medarbetarna överskådlig, relevant och kontinuerlig träning i att genomskåda hot, så att de blir en aktiv del av försvaret, som en mänsklig brandvägg.
- Bygg förlåtande system: Se till att det finns tekniska säkerhetsnät (t.ex. MFA, korrekt åtkomsthantering och automatisk upptäckt), så att ett enda felbeslut inte leder till en katastrof.
Slutsats
Människor är inte den svagaste länken. Människor är den mest flexibla och uppmärksamma pjäsen i ditt försvar, om de får rätt förutsättningar.
De flesta av felen uppstår i system och processer som är felaktigt designade.
Vill du veta mer om hur du bygger en stark säkerhetskultur, där medarbetarna hjälps i stället för att pekas ut?
Kontakta oss för ett förutsättningslöst samtal >>