В момент на бурно развитие на технологиите вниманието на мениджърите и служителите се оказва насочено основно в две посоки:
- към потенциалните възможности за развитие на бизнеса, които иновациите предлагат;
- към страха, че много работни места и цели бизнеси могат да бъдат закрити вследствие на внедряването на AI.
Всъщност в подобен момент обаче една от най-важните теми, които е добре да бъдат засегнати, е тази за ролята на HR-ите в грижата за киберсигурността на служителите и компанията. Затова екипът на HR Manager потърси за коментар експертът Ясен Танев – преподавател в областта на информационната и киберсигурност в Пловдивски университет „Паисий Хилендарски“ и УНИБИт.
Здравейте, г-н Танев! Защо е от съществено значение да се оценяват знанията и компетенциите на служителите в областта на киберсигурността?
Здравейте! Нека се върнем малко по-назад и да видим какво се случи с компаниите не само в България, но и по света, включително и държавната администрация и доставчиците на услуги. Ако след 2000 година нови технологии започнаха да навлизат в областта на интернет, на обмяната на файлове, на съобщения и на комуникацията на хора в цифрова среда, то в последните няколко години осъзнахме, че не можем да постигнем конкурентна способност, ако останем независими от онлайн комуникацията.
Да вършим работа само на хартия сега означава, че в компаниите се зараждат редица предизвикателства. Затова ние трябва да въведем информационни системи, да започнем да се трансформираме цифрово час по-скоро, ако все още не сме го направили.
Фокусът на бизнеса и държавата през 2000-та година беше в това да започнем да внедряваме информационни системи, да закупуваме оборудване, да започнем да вкарваме данните си в бази данни да преминем на работа със системи, а не толкова на хартия.
Но при целия този бум на дигитална трансформация, забравихме, че системите се правят от хора и трябва да се ползват от хора. Чрез създаване на този дефицит на правилно планиране за въвеждане на системите в частта на тяхната защита и обучение на потребителите за това как да работят с данните и как да ги използват, се отвори една огромна ниша. В нея имаше пропуски за проектирането на системите и друга огромна ниша в това как се ползват тези системи.
Сега е моментът, в който да забавим за малко и да помислим дали можем да правим дигитализация, имаме ли хора, които да участват в нея и които да се грижат данните да бъдат на сигурно място. Тук е именно мястото на HR-ите, които трябва да започнат да се грижат за това дали потребителите са достатъчно сигурни при предоставения им достъп в цифрова и дигитална среда.
Търсят ли българските компании таланти, които имат познания в областта на киберсигурността?
Според данни от Индекса за дигитална грамотност на ЕС, в България само 15% от хората притежават базови компютърни умения. Което означава, че сме в огромен дефицит на знания, свързани с компютърните технологии.
Въпросите, свързани с киберсигурността, са силно подценени, дефицитни и почти ги няма. Дори ако тръгнете да търсите специалисти по киберсигурност, ще ги откриете дори още по-трудно от дефицитните програмисти.
Жалко е, че все още няма професия, свързана с киберсигурността. Няма професия за отговорник по киберсигурността, няма такава за анализатор на киберсигурността, няма и оператор в Security Operations. Създава се усещане, че такива професии не съществуват, което доказва тезата, че в България доста изоставаме в тази посока.
Има няколко университета, които започнаха да обучават магистри, но все още няма достатъчно сериозни бакалавърски програми, а да не говорим за средното образование, където изцяло липсва подобна подготовка. Тук интересен се явява въпросът как да си набавим сериозни хора, които да защитават дигиталните ни активи, и кога ще можем да започнем да „отглеждаме“ тези хора сами.
Когато наемате хора, е хубаво да проверите дали те нямат някаква история, свързана с киберпрестъпления, и да ги проучите добре в социалните мрежи.
А хората, които вече сте наели, е добре да започнете да изпращате на различни курсове:
- обикновените потребители – на обучение по базови знания по киберсигурност;
- служителите, които се занимават с програмиране и високоинформационни технологии – на курсове по киберсигурност;
- мениджърите, свързани с управление на хора и управление на киберсигурността в организациите – на специални обучения.
Начинът да наваксаме е да започнем малко по малко да си обучаваме хората.
Тъй като споменахте, че при наемане е добре да се провери дали кандидатът не довежда със себе си „киберриск“, бихте ли разяснили как може да се случи това?
Това е доста специфичен момент, свързан с правилата за защитата на личните данни. Защото тези данни трябва много внимателно да бъдат обработени от юридическа гледна точка.
Това, което правят компаниите, занимаващи се с продукти на интелектуалната собственост, обработка на данни на други компании или доставяне на поддръжка, е да изискват от служителите да се съгласят предварително, че могат да им бъдат задавани въпроси или да бъде проучвана тяхната репутация в областта на въпроса дали са носители на киберриск или други рискови фактори.
Ако не минавате през такава процедура за скрийнинг, за която кандидатът предварително се е съгласил, можете да използвате публично достъпната информация в социалните мрежи, така че да разберете съответния човек какви интереси има. Ако възнамерявате да предложите ключова позиция, препоръчително е да поискате разрешение от човека за по-дълбоко проучване.
Какви са методите за оценка на знанията в областта на киберсигурността?
Ако говорим за масови служители, първото, което е хубаво да направим, е тест за познание на базовите киберзаплахи и вътрешните правила на организацията в контекста на киберсигурността. Тези тестове е добре да се правят и регулярно след назначаване – в период от 2-3 месеца, например.
Друго, което е препоръчително, е да се организират кампании за т.н. „добронамерени фишинг атаки“. Това са съобщения, които симулират фишинг атаки. Ако служителят кликне върху тях и ги отвори, това би означавало, че той няма необходимата подготовка и познания. Тогава е добре да бъде обучен допълнително.
Що се отнася до служителите от ИТ сектора, то те е хубаво да участват в конференции, да бъдат абонирани за канали, които предоставят информация за нови заплахи и поне веднъж в годината да участват в тренировки на киберполигони.
Ако говорим за мениджърите, то трябва да обърнем внимание на още нещо – те трябва да имат познания за психологията на хакването и да познават стандартите по киберсигурност. Тази информация е необходима, защото един мениджър винаги ще може след това да я предаде и на екипа си.
