הדרכת מודעות עובדים לאבטחת מידע: איך הופכים את העובדים לקו ההגנה הראשון

מאת: עידן צברי, CISM, יועץ אבטחת מידע והגנת פרטיות, מלווה כ-50 ארגונים.

מה זה מודעות עובדים לאבטחת מידע ולמה זה חובה ולא המלצה

מודעות עובדים לאבטחת מידע היא היכולת של כל עובד בארגון לזהות ניסיון תקיפה שמגיע אליו, ולדעת מה לעשות איתו. לא מדובר בידע טכני, אלא בהרגלים: לעצור לפני לחיצה על קישור, לאמת בטלפון בקשה להעברת כסף, לא לשתף סיסמה, ולדווח על משהו חשוד גם אם לא בטוחים.

הסיבה שזו חובה ולא המלצה פשוטה. הכלים הטכנולוגיים חוסמים את רוב המיילים הזדוניים, אבל מספיק שאחד יעבור. מתקפות כופר, הונאות “מנכ”ל” שמבקשות העברה דחופה, וגניבת סיסמאות לענן מתחילות כמעט תמיד באותו מקום: עובד שקיבל הודעה אמינה למראה ופעל לפיה. ארגון יכול להשקיע בחומת אש ובגיבויים, ועדיין להיפרץ דרך תיבת הדואר של מנהלת החשבונות.

יש גם צד רגולטורי. תקנות אבטחת המידע מתייחסות להדרכת עובדים כחלק מחובות בעל המאגר, ומבטחי סייבר שואלים על תוכנית מודעות כתנאי לפוליסה. ארגון שאין לו תיעוד של הדרכות נמצא בעמדה חלשה גם מול הרשות להגנת הפרטיות וגם מול חברת הביטוח אחרי אירוע.

מה כוללת תוכנית מודעות: הדרכה, סימולציות פישינג, מדידה חוזרת

תוכנית מודעות שעובדת בנויה משלושה רכיבים שחוזרים על עצמם, ולא מאירוע אחד:

• הדרכה. מפגש קצר בקליטת עובד חדש ורענון שנתי לכל העובדים, בשפה של הארגון ועם דוגמאות מהמיילים שבאמת מגיעים אליו. הדרכה נפרדת וממוקדת למי שמטפל בכסף, במידע רגיש או בהרשאות ניהול.
• סימולציות פישינג. שליחה מתוכננת של מיילים מתחזים לעובדים, בלי אזהרה מראש, ומשוב מיידי למי שלחץ. הסימולציה היא לא מבחן שנכשלים בו אלא תרגול: המטרה היא שהעובד יזכור את הרגע בפעם הבאה שמגיע מייל אמיתי.
• מדידה חוזרת. מעקב אחרי אחוז הלחיצות, אחוז הדיווחים וזמן הדיווח מסימולציה לסימולציה. בלי המספרים האלה אי אפשר לדעת אם ההדרכה שינתה משהו, ואי אפשר להראות לרגולטור או למבטח שהתוכנית קיימת בפועל.

רכיב רביעי שלרוב נשכח הוא ערוץ דיווח פשוט. עובד שמזהה מייל חשוד צריך לדעת למי לפנות בלחיצה אחת, ולקבל תשובה. ארגון שמעניש עובדים על לחיצה מקבל פחות דיווחים, לא פחות לחיצות.

מה דורשות תקנות אבטחת מידע ותיקון 13 בנושא הדרכת עובדים

תקנות הגנת הפרטיות (אבטחת מידע), התשע”ז-2017 (תקנה 7) מחייבות את בעל השליטה במאגר מידע להדריך את בעלי ההרשאה בנושא אבטחת מידע לפני שהם מקבלים גישה למאגר. במאגרים ברמת אבטחה בינונית או גבוהה נדרשת גם הדרכה תקופתית. מומלץ להתאים את ההדרכה לתפקיד ולסוג המידע שהעובד נחשף אליו, ולתעד כל הדרכה: מי השתתף, מתי, ומה היה התוכן. תיקון 13 לחוק הגנת הפרטיות לא שינה את חובת ההדרכה עצמה, אבל הוא הנהיג משטר מלא של עיצומים כספיים על הפרות, ולכן היעדר הדרכות מתועדות הפך מסיכון תיאורטי לסיכון כספי. לקביעה מדויקת של היקף החובה בארגון שלכם מומלץ להתייעץ עם עורך דין.

בפועל, ביקורת של הרשות או של לקוח גדול שואלת שלוש שאלות: מתי הודרכו העובדים בפעם האחרונה, מה היה תוכן ההדרכה, ומי השתתף. תוכנית מודעות מסודרת עונה על שלושתן עם מסמך אחד.

ארבעת התרחישים שעובדים נופלים בהם שוב ושוב

אחרי עשרות סימולציות בארגונים ישראליים, אותם ארבעה תרחישים חוזרים בראש הרשימה. תוכנית מודעות שלא מתרגלת אותם ספציפית מפספסת את רוב הסיכון:

• הודעה “מהמנכ”ל” או מספק: בקשה דחופה לשנות פרטי חשבון בנק או לאשר העברה, לרוב ביום חמישי אחר הצהריים. ההגנה היחידה היא אימות טלפוני במספר ידוע מראש, לא במספר שמופיע במייל.
• התחברות מחדש לשירות ענן: “הסיסמה שלך פגה”, “יש לך קובץ משותף חדש”, “המנוי יבוטל”. הקישור מוביל לדף התחברות מזויף שגונב את הסיסמה, ולפעמים גם את קוד האימות הדו-שלבי.
• קובץ מצורף “חשבונית” או “קורות חיים”: מסמך עם מאקרו או קובץ דחוס שמתקין תוכנה זדונית. במיוחד מסוכן במחלקות כספים ומשאבי אנוש, שפותחות קבצים מגורמים לא מוכרים כחלק מהעבודה.
• הודעות ווטסאפ ו-SMS: חבילה שממתינה, קנס שלא שולם, או מנהל שמבקש “לקנות כרטיסי מתנה דחוף”. הפישינג עבר מזמן מהמייל לטלפון, ורוב ההדרכות עדיין לא.

מה שונה בעסק קטן. בארגון של 10 עד 50 עובדים אין מערכת שמסננת את רוב המיילים המסוכנים, אין מי שמחליף את הסיסמאות אחרי אירוע, ולרוב אותו אדם גם מאשר תשלומים וגם קורא את המייל. ההדרכה בעסק כזה צריכה להיות קצרה ומעשית, להתמקד בשני או שלושה תרחישים שרלוונטיים באמת, ולהגיע לכל העובדים, כולל הבעלים.

הדרכה חד פעמית מול תוכנית מתמשכת

איך נראית תוכנית של SEC-IT ב-90 הימים הראשונים

1. שבועיים ראשונים, בסיס: סימולציית פישינג ראשונה בלי הדרכה מקדימה, כדי למדוד את נקודת הפתיחה. מיפוי קבוצות הסיכון בארגון: כספים, משאבי אנוש, מנהלים, ומי שמחזיק הרשאות ניהול.
2. חודש ראשון, הדרכה: מפגש של 45 דקות לכל העובדים, מותאם לארגון, עם המיילים שהגיעו אליו בפועל. מפגש ממוקד נוסף לקבוצות הסיכון. הגדרת ערוץ דיווח ונוהל תגובה למי שלחץ.
3. חודש שני, תרגול: סימולציה שנייה עם תרחיש אחר, משוב אישי קצר למי שלחץ, ותזכורת חודשית ראשונה. התאמת ההדרכה למה שהסימולציה גילתה.
4. חודש שלישי, מדידה ודיווח: סימולציה שלישית, השוואה לנקודת הפתיחה, ודוח להנהלה: אחוז לחיצות, אחוז דיווחים, קבוצות שדורשות חיזוק, ותוכנית לשאר השנה.

אחרי 90 הימים התוכנית עוברת לקצב קבוע: סימולציה רבעונית, תזכורת חודשית, רענון שנתי והדרכה לכל עובד חדש בקליטה. את כל זה אפשר לנהל במסגרת CISO כשירות, או כתוכנית עצמאית לארגון שיש לו כבר מי שמנהל את האבטחה.

ארגון שעדיין לא יודע איפה הוא עומד מתחיל לרוב בייעוץ אבטחת מידע או בהיערכות לתיקון 13, ותוכנית המודעות נכנסת כחלק מתוכנית העבודה.

שאלות נפוצות

כמה פעמים בשנה צריך להדריך עובדים?

הדרכה אחת בשנה היא הרף המינימלי שרוב הארגונים מאמצים, בנוסף להדרכה בקליטת עובד חדש. בפועל מה שמשנה את ההתנהגות הוא רצף: תזכורת קצרה כל חודש או חודשיים וסימולציית פישינג רבעונית, לא מצגת ארוכה פעם בשנה.

האם הדרכה מקוונת מספיקה?

כן, כל עוד היא מותאמת לארגון ונמדדת. לומדה גנרית שהעובד מריץ ברקע לא משנה התנהגות. הדרכה מקוונת קצרה שמשתמשת בדוגמאות מהארגון, ואחריה סימולציה שבודקת מה נקלט, נותנת תוצאות טובות לא פחות מהדרכה פרונטלית.

מה ההבדל בין הדרכה לסימולציית פישינג?

הדרכה מלמדת מה לחפש. סימולציית פישינג בודקת מה העובדים עושים בפועל כשמגיע מייל מתחזה, בלי אזהרה מראש. השילוב של שניהם, עם משוב מיידי למי שלחץ, הוא מה שמוריד את אחוז הלחיצות לאורך זמן.

האם זה נדרש גם לעסק של 10 עובדים?

כן. חובת ההדרכה בתקנות אבטחת המידע חלה על בעל שליטה במאגר מידע לפי סוג המאגר ורמת האבטחה שלו, לא לפי מספר העובדים. ובפועל, בעסק קטן אין מחלקת IT שתעצור מייל מתחזה, ולכן העובד הוא קו ההגנה היחיד.

איך מודדים אם ההדרכה עבדה?

בשלושה מדדים: אחוז הלחיצות בסימולציות פישינג לאורך זמן, אחוז העובדים שמדווחים על מייל חשוד במקום להתעלם ממנו, וזמן הדיווח. ירידה בלחיצות ועלייה בדיווחים הן ההוכחה שהתוכנית עובדת, והן גם התיעוד שמציגים בביקורת.