Du har garantert sett statistikken før. Det er en av de mest siterte setningene i IT-sikkerhetsbransjen: «Over 80 % av alle sikkerhetsbrudd skjer på grunn av menneskelige feil.»
Setningen brukes ofte som en løftet pekefinger. Som et bevis på at medarbeiderne er det svakeste leddet i kjeden.
Men hva om påstanden er både sann og grunnleggende feil på samme tid?
I denne artikkelen ser vi nærmere på nettopp det.
Hvorfor påstanden er sann
Det er usunt å ignorere fakta. Grunnen til at tallet 82 % dukker opp i undersøkelse etter undersøkelse (blant annet fra Verizon DBIR), er enkel: Hackerangrep treffer sjelden koden først. De treffer mennesket.
Hackerne angriper sjelden en ugjennomtrengelig teknisk brannmur hvis de i stedet kan sende en velformulert phishing-e-post, en falsk innloggingslenke eller ringe en travel medarbeider med et lurt påskudd.
Mennesker er den primære inngangsporten til virksomhetens data, fordi vi:
- Reagerer på hastverk, autoritet og følelser.
- Tar raske beslutninger i en travel hverdag.
- Gjenbruker passord eller går på overbevisende phishing-forsøk.
Når et sikkerhetsbrudd analyseres i etterkant, kan man nesten alltid peke på et punkt i forløpet der et menneske klikket, godkjente eller tastet inn opplysninger. Slik sett er utsagnet korrekt.
Del 2: Hvorfor påstanden er «feil» (det er et designproblem)
Her er haken: Å peke ut mennesket som «feilen» er det samme som å skylde på en bilist som kjører av veien på en strekning uten skilt, uten lys og med en skarp sving skjult bak en bakketopp.
Hvis et system gjør det lett å gjøre ting feil, så blir det gjort feil.
Å kalle 82 % av sikkerhetsbruddene «menneskelige feil» stemmer bare når vi også tar designet med i betraktningen. Her er tre grunner:
1. Dårlig systemdesign tvinger folk til å gjøre feil
Hvis en medarbeider må gjennom fem kompliserte innlogginger, bytte passord hver 14. dag og følge tunge arbeidsprosesser, oppstår det omveier. Medarbeiderne skriver passord på gule lapper eller sender dokumenter til private e-postadresser for i det hele tatt å kunne gjøre jobben sin. Det er ikke uttrykk for uaktsomhet. Det er et system som motarbeider brukeren.
2. De tekniske barrierene sviktet først
Før en phishing-e-post i det hele tatt havner i en medarbeiders innboks, har den passert virksomhetens spamfiltre, e-postgatewayer og sikkerhetsoppsett. Når en medarbeider klikker, er det riktignok siste skanse som svikter – men det var det tekniske sikkerhetslaget som slapp trusselen gjennom. Det er her medarbeideren må ha nok trening til å oppdage den.
3. Fravær av sikkerhetsmessige «kollisjonsputer»
Et godt designet system tar høyde for at mennesker er mennesker. Hvis ett enkelt klikk fra én enkelt medarbeider kan ta ned hele virksomhetens nettverk, er problemet ikke utelukkende medarbeiderens adferd.
Fra «Mennesket er problemet» til «Sikkerhet med mennesket i sentrum»
Hvis vi bare legger skylden på medarbeiderne, bygger vi opp en usunn fryktkultur. Medarbeidere som er redde for å gjøre feil, lar være å si ifra når uhellet er ute – og da oppdages et innbrudd først når skaden er uopprettelig.
Løsningen er verken å ignorere den menneskelige faktoren eller å overlate alt til teknologien. Løsningen er å bygge bro mellom godt systemdesign og trent adferd:
- Gjør det riktige valget til det enkleste valget: Reduser kompleksiteten i systemene, slik at sikkerhet ikke oppleves som en bremsekloss i hverdagen.
- Tren adferd i stedet for å dele ut skyld: Gi medarbeiderne oversiktlig, relevant og kontinuerlig trening i å gjennomskue trusler, slik at de blir en aktiv del av forsvaret – en menneskelig brannmur.
- Bygg tilgivende systemer: Sørg for tekniske sikkerhetsnett (for eksempel MFA, riktig tilgangsstyring og automatisk oppsamling), slik at én feil beslutning ikke fører til en katastrofe.
Konklusjon
Mennesker er ikke det svakeste leddet. Mennesker er den mest fleksible og oppmerksomme brikken i forsvaret ditt, hvis de får de rette forutsetningene.
De fleste av disse feilene oppstår i systemer og prosesser som er designet feil.
Vil du vite mer om hvordan du bygger en sterk sikkerhetskultur, der medarbeiderne får hjelp i stedet for å bli pekt på?
Kontakt oss for en uforpliktende prat >>