Несмотря на значительные достижения в области кибербезопасности, главной проблемой остаётся человеческий фактор, который приводит к большинству успешных кибератак. По последним данным, 68% всех инцидентов происходит по причине ошибок пользователей.

Технологические средства защиты совершенствуются, но человеческий фактор по-прежнему остаётся слабым звеном. Программы повышения осведомленности и новые законы пока не способны решить эту проблему в полной мере.

Типы ошибок

В кибербезопасности выделяются два основных типа человеческих ошибок:

- Ошибки, основанные на навыках. Они происходят при выполнении рутинных задач, когда человек отвлекается. Например, можно забыть сделать резервную копию данных, что увеличивает уязвимость в случае атаки.

- Ошибки, основанные на знаниях. Возникают, когда человеку не хватает опыта или информации. Например, клик по ссылке в подозрительном письме может привести к заражению компьютера вирусом.

Проблемы традиционных подходов

Компании и правительства инвестируют в программы обучения кибербезопасности, но их эффективность остаётся спорной. Это связано с тем, что большинство программ фокусируется на технических аспектах, игнорируя поведенческие и психологические причины.

Чтобы изменить поведение, необходимы долгосрочные усилия и постоянное повышение осведомлённости, как это было успешно реализовано в общественных кампаниях по здравоохранению, например, в инициативе защиты от солнца в Австралии и Новой Зеландии.

Законодательные меры

Новые законы в Австралии направлены на борьбу с программами-вымогателями, защиту критически важных инфраструктур и улучшение стандартов безопасности для умных устройств. Однако они также акцентируются на технических и процедурных аспектах, игнорируя человеческий фактор.

Пример США показывает другой подход: их стратегия в области кибербезопасности ставит акцент на человекоориентированные меры, уделяя внимание мотивам, поведению и способностям людей в работе с информационными системами.

Решения

Для решения проблемы человеческих ошибок в кибербезопасности необходимо следовать трём ключевым правилам:

1. Минимизировать когнитивную нагрузку. Практики кибербезопасности должны быть интуитивными и легко интегрироваться в повседневную деятельность.
2. Формировать позитивное отношение. Вместо устрашения нужно мотивировать людей на позитивные действия, демонстрируя результаты безопасных практик.
3. Придерживаться долгосрочной перспективы. Обучение должно быть непрерывным, с регулярными обновлениями, чтобы соответствовать новым угрозам.

Таким образом, для создания надёжной цифровой среды необходим целостный подход, который сочетает технологические решения, политики и обучение, ориентированное на человеческий фактор. Понимание природы ошибок поможет разработать более эффективные программы, которые будут поддерживать людей, а не идти вразрез с их поведением.

Автор: Джонгкил Джей Джонг, старший научный сотрудник Школы вычислительной техники и информационных систем Мельбурнского университета

Источник: The Conversation