¿Cuáles son las buenas maneras de educar sobre la seguridad de TI en una empresa?

Lo que me ha funcionado en varias ocasiones es pegar el siguiente cuadro en frente de la administración:

Despliegue la lista de amenazas (columna izquierda) y pregunte si creen que alguna de las personas descritas puede dañar el negocio.

Si es así, entonces puedes haber ganado una batalla. Ahora puede describir lo que se necesita para abordar cada una de esas amenazas.

@atdre hizo un gran comentario sobre esta tabla en una pregunta diferente:

  

No me gusta esto porque no transmite el poder de colusión o conspiración. La comunidad clandestina y la economía clandestina ponen a todos estos tipos en la misma sala juntos y les dan herramientas para comerciar. - atdre '

Por lo tanto, es posible que desee ampliar la lista de amenazas para incluir comunidades.

El lanzamiento de un ataque "simulado" contra la red de su empresa solo debe hacerse con un permiso explícito y por escrito de la alta gerencia, basado en un entendimiento del alcance de su trabajo y las limitaciones acordadas en los resultados de su ataque. De lo contrario, corre el riesgo de ser despedido por sabotaje, espionaje o simplemente por violar las reglas locales.

Pero, ¿cómo se obtiene ese permiso cuando no hay conciencia del problema? Ahí es donde tu idea de "lanzamiento de ascensor" es buena. Recomiendo llevarlo a las personas relevantes en la jerarquía de la empresa en el orden correcto , comenzando con el personal de TI antes de ir a la gerencia / nivel C / directores. La administración ha delegado la responsabilidad de las operaciones diarias a los administradores de sistemas, que son las personas que finalmente tendrán que realizar cambios. Presentar sus sugerencias como un edicto desde lo alto solo servirá para alejar a las personas cuyo trabajo es implementar esas sugerencias.

La conversación sobre seguridad con las personas con dinero es siempre una conversación sobre riesgo. No haga lanzamientos de ascensores demasiado dramatizados, ni corra gritando sobre el fin del mundo. Esta es una forma fácil de desacreditarse fácilmente y, en general, ignorarse. En su lugar, hable con la empresa sobre lo que están tratando de lograr con sus sistemas y luego presente los riesgos actuales que están soportando como resultado de su (falta de) controles de seguridad.

Si puede convencer a la empresa de que están asumiendo un riesgo que les costará £ 10 millones por año en incidentes, que puede eliminar con un control de 100,000 € pa, no hay duda. Aprovecharán la oportunidad de reducir de forma económica su riesgo total.

Todo lo que el negocio gasta debe justificarse en el contexto del negocio. "No tenemos antivirus en nuestro servidor web público basado en Windows" no tiene sentido. "Somos vulnerables a que nuestro servicio se interrumpa una vez al año y cueste 2 millones de libras cada vez" es significativo.

Una vez que hayas construido tu nuevo y elegante conjunto de controles de seguridad, el desafío de mantenerlos en vigencia. La seguridad se trata tanto del proceso como de la tecnología. Una vez que haya convencido a la empresa de gastar algo de dinero para reducir su riesgo, el problema se convierte en una alteración de la percepción de que la seguridad es algo que compra . De hecho, es algo que haces .

Un argumento importante: los desastres de seguridad no son preguntas que comienzan con "si". ¡Comienzan con "cuándo"!

Las políticas de seguridad correctas no eliminarán completamente los riesgos, porque es imposible. Pero reducirá drásticamente los riesgos y, por lo tanto, la tasa de desastres. Es una cuestión de inversión y retorno de la inversión, en realidad. Gasta dinero para que pierdas menos. Pensar debe ser el mismo que para un seguro de calidad.

Debe cuantificar el pago esperado: riesgo de riesgo * probabilidad de riesgo.

Esto supone que la persona con la que está hablando realmente se preocupa por el negocio. Eso puede sonar cínico, pero considere esto: la seguridad tiene un costo en dinero, entrenamiento, frustración. Estos se reflejan inmediatamente en la persona que implementa una mayor seguridad, pero las violaciones de seguridad y los desastres pueden no reflejarse en la persona. Si el jefe de esta persona solo ve los aspectos negativos (costo) para la seguridad y no culpa a las personas por los desastres, entonces no tiene sentido que esta persona aumente la seguridad.

Todo el gerente de Dilbert Pointy Head realmente estereotipa a cierto tipo de gerente. El tipo de gerente que es muy bueno en no ser culpado por nada, sino en dejar que la empresa se incendie.

Básicamente, si te enfrentas a este tipo de disfunción, tu tono debe concentrarse en cómo hace que el gerente se vea mal, y en cómo aumentar la seguridad sin hacer que el gerente se vea mal por perder dinero en seguridad ("¿firewalls? "Me he estado llevando muy bien y él va y desperdicia miles de dólares").