Кибербезопасность: всего 10% сотрудников генерируют 73% рисков

Living Security опубликовала отчет о кибербезопасности, связанной с HR-рисками. Кибербезопасность в компании можно существенно улучшить, используя решения для управления рисками со стороны персонала, считают авторы исследования.

Компания Living Security, один из ведущих разработчиков решений для управления человеческими рисками (Human Risk Management, HRM), опубликовала отчет о состоянии киберрисков со стороны персонала. Это исследование было проведено крупной исследовательской компанией Cyentia Institute. В отчете представлен взгляд на поведенческие риски в организациях и показано, как стратегические программы HRM помогают снижать эти риски на 60% быстрее по сравнению с традиционными методами.

Исследование опирается на поведенческие данные из более чем 100 компаний и сотни миллионов пользовательских событий. На основе этого массива данных составлена карта рисков, показывающая, где в рабочей среде могут быть риски с точки зрения ИБ и как ведущие организации их сокращают.

Отчет позволил на основе реальных фактов доказать давно выдвинутую гипотезу о том, что за львиную часть рисков, как правило, ответственна небольшая группа сотрудников. Согласно выводам исследования Living Security, более 73% рисков генерируют всего 10% сотрудников. Очевидно, что информационная безопасность предприятия в 2025 году должна включать не только управление системами, но и управление сотрудниками, отмечают исследователи.

Таким образом, аналитики пришли к выводу, что риски в компании сосредоточены в отдельных точках, а не распространены повсеместно. При этом уровень видимости имеющихся рисков «тревожно низок»: организации, полагающиеся исключительно на обучение по повышению осведомленности в области информационной безопасности (SAT), способны отслеживать лишь 12% случаев рискованного поведения, в то время как при использовании развитых программ управления персоналом этот показатель в 5 раз выше.

«Специалисты по ИБ всегда знали, что человеческий фактор играет решающую роль в нарушениях, но им не хватало прозрачности, чтобы принять меры, — заявила Эшли Роуз (Ashley Rose), генеральный директор и соучредитель Living Security. — До сих пор большинство аналитических отчетов основывалось на отрывочных данных или узких индикаторах, таких как клики по фишинговым ссылкам. Наш отчет меняет это представление, основываясь на достоверных данных, которые точно показывают точки, где именно находятся риски и как эти риски снизить».

Риск часто определяется неверно: вопреки распространенному мнению, сотрудники, работающие удаленно, а также персонал на условиях неполной занятости, создают меньше рисков, чем их коллеги, работающие в офисе.

В Living Security утверждают, что использование HRM-платформы Unify позволяет на 50% сократить количество сотрудников, подверженных рискам, а продолжительность действий с высокими рисками уменьшить на 60%.

В отчёте представлены:

• Подробный анализ факторов человеческого риска в разрезе поведения, событий и характеристик;
• Анализ распределения риска по ролям, отраслям и уровням доступа;
• Аналитика на основе персон с использованием моделей согласования поведения;
• Доказательство того, что инициативы HRM, особенно планы действий, основанные на поведенческих характеристиках, значительно снижают подверженность организации рискам;
• Обращение к руководителям в области кибербезопасности.

В условиях сокращения бюджетов и развития угроз ставки очевидны: кибербезопасность больше не может полагаться только на осведомленность о рисках. Руководители должны отдавать приоритет поведенческому анализу, целенаправленным действиям и результатам, ориентированным на рентабельность инвестиций.

«Кибербезопасность — это уже не только технологии, это поведение, — заявляет Роуз. — Если мы не поймём, какие пользователи несут наибольшие риски, почему они подвержены риску и как помочь им улучшить свою работу, мы продолжим гоняться за симптомами, а не решать корень проблемы».

Результаты исследования получены в то время, когда на предприятиях все чаще внедряют агентов на основе ИИ и цифровых коллег, а поверхность атак стремительно меняется. В этой связи Living Security отмечает, что будущее киберустойчивости — это не только управление человеческими рисками, но и управление поведенческими рисками, где бы они ни возникали. Поэтому авторы исследования убеждены, что оно позволяет не только продемонстрировать прогресс в области управления человеческими рисками, но и указать на перспективы: в будущем предприятия будут широко управлять как людьми, так и цифровыми агентами на основе принципов общей прозрачности, стандартизации и подотчетности.

Источник: Living Security