Zachowania pracowników nie sprzyjają bezpieczeństwu IT

Przeczytaj także: Symantec: nowe pakiety zabezpieczające

Kultura samozadowolenia i ignorancji

Z badania wynika, że 29% pracowników spodziewa się, iż firmowy system zabezpieczeń ochroni ich przed każdym zagrożeniem, zaś 56% uważa, że są dobrze odizolowani od potencjalnych zewnętrznych zagrożeń, a ich zachowania mają mały lub co najwyżej umiarkowany wpływ na bezpieczeństwo firmowego systemu IT.

55% ankietowanych sądzi, że firma w której pracują ma wdrożoną politykę bezpieczeństwa, z kolei 30% tego nie wie. Blisko jedna trzecia (32%) mówi, że firmowa polityka bezpieczeństwa nigdy nie wywołała problemu, który miałby wpływ na ich pracę, a 49% zauważa jej istnienie tylko wtedy, gdy jakieś ich działanie zostanie zablokowane przez mechanizmy chroniące system.

Aż 57% ankietowanych przyznaje, że przestrzega zasad firmowej polityki zaledwie w stopniu małym lub umiarkowanym. Jednocześnie warto zauważyć, iż więcej pracowników deklaruje bardziej rygorystyczne podejście do reguł bezpieczeństwa w domu (25%) niż w pracy (19%). Co więcej, zaskakująca liczba ankietowanych, bo aż 83%, nie zdaje sobie sprawy z istnienia takich poważnych, nowych zagrożeń jak Heartbleed. W efekcie 27% respondentów w ogóle nie zmieniło swoich zachowań dotyczących bezpieczeństwa, a 60% wciąż nie wprowadziło zasady definiowania różnych haseł dla każdego z wykorzystywanych serwisów lub aplikacji.

Efektywna strategia bezpieczeństwa to taka, która pozwala chronić firmowy system przed, w trakcie i po ataku. Niestety, wyniki badania pokazują, że większość pracowników czuje się tak odporna na zagrożenia, że nie zmienia swoich zachowań i przyzwyczajeń niezależnie od bieżącej sytuacji – mówi Gaweł Mikołajczyk z Cisco.

Przestarzałe podejście do bezpieczeństwa hamuje efektywną współpracę i krępuje innowacyjność

Znaczna część pracowników polskich firm postrzega mechanizmy bezpieczeństwa IT jako barierę hamującą działania biznesowe. 34% uważa, że system bezpieczeństwa IT w ich firmie hamuje innowacyjność, przeszkadza we współpracy i powoduje, iż wykonywanie pracy jest trudniejsze. Natomiast 22% jest przekonanych, iż wartość utraconych zysków powodowana przez rygorystyczny system zabezpieczeń przewyższa koszty związane z potencjalnymi skutkami udanego ataku na firmowy system IT.

Cztery profile pracowników

Analitycy Cisco określili też cztery główne profile zachowań polskich pracowników w kontekście bezpieczeństwa IT. Każdy profil prezentuje inny poziom zagrożenia dla bezpieczeństwa firmowych danych i wymaga innego rozwiązania.

• Pracownicy „świadomi zagrożeń” – wiedzą jakie jest ryzyko i starają się ściśle przestrzegać zasad bezpieczeństwa IT podczas pracy.
• Pracownicy „mający dobre intencje” – starają się przestrzegać reguł polityki bezpieczeństwa, ale w rzeczywistości stosują je na zasadzie „chybił – trafił”.
• Pracownicy „zadowoleni z siebie” – są przekonani, że firmowy system bezpieczeństwa zrobi wszystko za nich. Uważają, że nie są indywidualnie odpowiedzialni za bezpieczeństwo firmowych danych, a jego zapewnienie nie wymaga od nich żadnej aktywności.
• Pracownicy „znudzeni i cyniczni” – uważają, że opinie o wysokim poziomie zagrożeń są przesadzone, a firmowy system zabezpieczeń ogranicza ich wydajność, więc są gotowi do omijania reguł firmowej polityki bezpieczeństwa.

Rozwój nowej generacji polityk bezpieczeństwa skoncentrowanych na użytkownikach spowoduje, że w przyszłości CISO (Chief Information Security Officers – dyrektorzy ds. bezpieczeństwa informacji) będą korzystali z centralnie zarządzanej aplikacji umożliwiającej automatyczne monitorowanie i wymuszanie przestrzegania zasad polityki bezpieczeństwa. Nastąpi więc odejście od tradycyjnych rozwiązań, które zapewniają kontrolę różnych pojedynczych elementów systemu.

W przyszłości menedżerowie IT będą mieli możliwość określenia protokołów specyficznych dla indywidualnych pracowników. Będą one obsługiwały wszystkie wykorzystywane przez nich urządzenia niezależnie od ich bieżącej lokalizacji. Tego typu polityki bezpieczeństwa pozwolą firmom na jednoczesne obniżenie podatności na zagrożenia i zwiększenie elastyczności biznesu.

Jak mówi Gaweł Mikołajczyk: Choć edukacja i lepsza komunikacja mogą pomóc, to z pewnością nie rozwiążą problemu z postawą „samozadowolenia” prezentowaną przez wielu pracowników, którą ujawnia najnowszy raport Cisco. Liderzy IT będą zmuszeni do opracowywania bardziej przyjaznych użytkownikom polityk bezpieczeństwa, które będą wykorzystywały indywidualne wzorce zachowań, aby zmniejszyć ryzyko jego naruszenia w skali całej firmy. Jeśli pracownicy będą w dalszym ciągu przekonani, że system bezpieczeństwa IT utrudnia im pracę lub też nie będą zdawać sobie sprawy z tego jakie zagrożenia dla biznesu mogą wynikać z ich niewłaściwego zachowania, firmy będą kontynuowały ryzykowną grę, która może doprowadzić do bardzo kosztownych przypadków naruszenia bezpieczeństwa danych.