Можно ли защититься от хакеров, и почему люди на рабочем месте должны быть довольны и счастливы

По данным аналитиков, в 2024 году человечество потратит на защиту от кибератак десятки миллиардов долларов. Точные цифры назвать крайне сложно, поскольку инфраструктура многих стран закрыта, а данные чаще всего доступны только по частным компаниям. Технологические гиганты создают непробиваемые файерволы, защита которых ставит хакеров в тупик, но в последнее время даже обычные онлайн-издания вынуждены думать о безопасности. Мошенники ищут наиболее слабые звенья в цепи, а последствия взлома могут оказать на работу системы критическое влияние. Вирусы способны уничтожить или зашифровать данные, ну а часто хакеры ещё и требуют за решение всех проблем значительный выкуп. После начала СВО Вашингтон отдал приказ всем подконтрольным хакерам ударить по российской цифровой системе, что привело к сбоям в работе многочисленных компаний. Даже спустя почти три года активность хакеров остаётся на высоком уровне, а значит потребуется и дальше инвестировать средства в защитные системы. 

Аналитики Verizon признают масштабы проблемы, но приводят любопытные данные, свидетельствующие о том, что очень часто уровень защищённости той или иной компании не играет никакой роли. Воображение тут же рисует всемогущих хакеров, пробивающих самую прочную защиту, но на самом деле всё обстоит с точностью до наоборот. Хакеры предпочитают не тратить время на взлом слишком прочных файерволов, если им за это не платит заказчик. Даже в этом случае попытка может обернуться полным провалом, ведь намного проще найти в цепи слабое звено. Как оказалось, в качестве слабого звена выступает не техника, а человек, который сидит за компьютером. В ходе масштабного исследования эксперты Verizon пришли к выводу, что почти 70% успешных кибератак связаны с ошибками пользователей. Аналитики пишут, что проблема заключается в природе человеческих ошибок. Людям свойственно терять самообладание, уставать, расстраиваться и переживать личные трагедии. Иногда человек бывает рассеян, он мог плохо выспаться или не успеть позавтракать перед уходом на работу. 

В метро он мог неудобно стоять, а после встать в грязь или попасть под дождь. Вариантов множество, но всё это выбивает нас из колеи, вынуждая терять самообладание и совершать досадные ошибки. Кроме того, многие люди чрезвычайно доверчивы, а некоторые ещё и рассеяны от природы. Аналитики Verizon тщательно проанализировали тысячи случаев и структурировали все человеческие ошибки на два типа. Первый касается случайных факторов и не имеет отношения к навыкам того или иного сотрудника. Такие ошибки происходят во время выполнения рутинных задач, особенно если внимание пользователя отвлечено. Например, можно забыть сделать резервную копию данных. Человек точно знал, что это нужно было сделать, то куда-то спешил, отвлёкся на разговор с коллегой или начальников, а в результате дела принимают необратимый характер. В случае атаки отсутствие резервной копии значительно повысит риски и создаст серьёзные проблемы с восстановлением данных. Второй тип ошибок вязан с нехваткой знаний. Такие ошибки происходят, когда пользователи, недостаточно знакомые с основами кибербезопасности, допускают ошибки, не подозревая о рисках. Например, кликнув по ссылке из письма от неизвестного отправителя, можно загрузить вредоносное ПО, подвергая риску данные и финансовое благополучие компании. Аналитики пишут, что государственные и частные структуры инвестируют значительные средства в программы кибербезопасности, пытаясь снизить риск человеческой ошибки. Эти программы часто сосредоточены на технических аспектах, таких как усиление защиты паролей и внедрение многофакторной аутентификации, и нацелены на быстрое улучшение цифровой гигиены. Вот только очень часто сложные знания не учитывают психологических особенностей нашего вида. 

А вот хакеры прекрасно осведомлены, что люди подвержены стрессу, поэтому проводят комплексные атаки. Так, если хакеры получают заказ о необходимости взлома той или иной компании, то начинают подходить к делу издалека. Для начала берётся под контроль смартфон одного из родственников или знакомых потенциальной жертвы. Через социальные сети или мессенджеры публикуется ссылка на заражённый сайт или предлагается закачать вредоносный файл. Жертва ничего не подозревает, а в результате становится тем самым слабым звеном, о котором пишут аналитики. Сценарии обмана и введения в заблуждения бывают самые разные, но суть всегда сводится к тому, что необходимо вынудить жертву скачать файл или перейти по ссылке. Аналитики полагают, что избежать человеческого фактора почти невозможно, поэтому предлагают не давать доступ к корпоративным сетям на личных смартфонах сотрудников. Покупка отдельных аппаратов может стоить дорого, но обслуживание сотен и даже тысяч устройств в любом случае выгоднее, чем платить мошенникам десятки миллионов долларов или терять годами создаваемую инфраструктуру. 

На основании наиболее эффективных средств защиты аналитики предлагают компаниям использовать несколько ключевых стратегий. Прежде всего нужно позаботиться об упрощении программных комплексов. Чем проще и интуитивнее для пользователей правила и процедуры, тем выше шанс их соблюдения. Уменьшение когнитивной нагрузки позволяет сотрудникам легче интегрировать безопасные практики в свои повседневные рабочие процессы. Запомнить все сложные действия – это не проблема, но соблюдать их без сбоев удаётся не всегда. Руководителям предлагается отказаться от агрессивных способов поддержания дисциплины. Вместо того чтобы запугивать пользователей последствиями, программы должны демонстрировать положительные аспекты. Например, обучение тому, как надёжная защита паролей и другие меры безопасности повышают продуктивность и снижают стресс. Это стимулирует людей к соблюдению правил безопасности и снижает сопротивление. Аналитики выяснили, что одноразового курса обучения недостаточно. Хакеры постоянно усложняют способы взлома, а значит угрозы постоянно меняются. В этом случае программы обучения тоже должны адаптироваться под актуальные грозы, а обучение специалистов в любом случае окупится. 

Эксперты отмечают, что в разных странах решение проблем кибербезопасности идёт по особому сценарию. В Австралии разрабатываются законы, нацеленные на защиту данных и борьбу с атаками, в том числе программами-вымогателями. США сделали акцент на кибербезопасности, ориентированной на человека, уделяя внимание мотивации, потребностям и поведению пользователей, что позволяет создавать более гибкие и устойчивые системы. Европейские политики и общественные деятели предлагают перейти на четырёхдневную рабочую неделю. Недавно прошли масштабные эксперименты, позволившие сделать важные выводы. Как выяснилось, имея три выходных в неделю сотрудники чувствуют себя более счастливыми. Повышается производительность труда, что позволяет снизить уровень стресса и контролировать своё поведение на рабочем месте. Идеальных решений не существует, но при правильном подходе можно снизить шансы взлома благодаря мотивации сотрудников. Аналитики пишут, что люди должны прежде всего получать достаточно денег и иметь возможность карьерного роста, а иначе никакие инициативы и психологические практики не сработают.