حفظ امنیت سازمان با کمک کارکنان

اما اگر عامل انسانی ضعیف ترین حلقه زنجیره امنیت اطلاعات باشد، پس با اجرای راه حل‌های مناسب، می‌توان بیشترین تاثیر را بر بهبود آن داشت.

رویکردهای امنیتی متمرکز بر انسان، ظرفیت قابل توجهی برای ایجاد امنیت اطلاعاتی پایدار دارند. این رویکردها می‌توانند کاری بکنند که هر نیروی کاری دغدغه انتخاب رمز مناسب را داشته باشد، نسبت به تهدیدهای احتمالی ایمیلی با دقت واکنش نشان دهد، کامپیوترش را به حال خود رها نکند و مسائل حساس تجاری را در مکان های عمومی به زبان نیاورد.

شرکت‌ها برای دستیابی به این فرهنگ امنیتی انسان محور باید بر چند چالش اساسی غلبه کنند. اول، آگاهی به تنهایی به رفتار مطلوب منجر نمی‌شود. با اینکه ارتقای آگاهی ضروری است، اما شرکت‌ها باید با ارزیابی سطح حقیقی رفتارهای امنیتی کارکنان، رفتار صحیح را تقویت کرده و آن را به بخشی از فرهنگ جمعی سازمان تبدیل کنند.

دوم، با وجود اینکه مدیران ارشد، نقش مهمی در الگوسازی رفتارهای امنیتی دارند، بسیاری از مدیران امنیت اطلاعات بر این باورند که سایر مدیران ارشد به سختی ارزش امنیت اطلاعات و اهمیت سرمایه‌گذاری در این حوزه را می پذیرند. و سوم، فرهنگ امنیت اطلاعات کارآمد نیازمند بهبود و بازنگری مستمر است و این کار بدون همراهی گسترده تمام سازمان امکان پذیر نخواهد بود.

خبر خوب این است که استراتژی های رفتاری ثابت شده ای برای ترغیب افراد به اتخاذ رفتارهای محتاطانه تر و مسوولانه تر وجود دارد. مطالعات نشان می‌دهند که رفتارهای فردی، فرهنگ سازمانی و عوامل روان‌شناختی بر فرآیندها و تصمیم‌گیری های امنیت سایبری اثر می گذارند. در این نوشتار به مدل «انگیزه های هسته ای نایدرت» (Neiderts Core Motives) می پردازیم که می‌تواند به کمک مدیران بیاید تا با فرآیند تاثیر متقابل، اثر مثبتی بر رفتارهای امنیتی اطلاعاتی در سازمانشان داشته باشند.

این مدل، یک چارچوب روان‌شناختی است که اصول متقاعدسازی دکتر «چالدینی» را در زمینه های مختلفی مانند بازاریابی، فروش و روابط انسانی مورد استفاده قرار می‌دهد تا افراد را به پذیرش یا انجام کاری ترغیب کند و درک بهتر و عمیق تری از چرایی اثربخشی این اصول در هدایت رفتارهای انسانی ارائه می‌دهد. (اصول دکتر چالدینی عبارتند از: جبران، تعهد و ثبات، اجماع، نفوذ، علاقه و کمیابی).

 تاثیرگذاری برای ایجاد فرهنگی ایمن تر

اگر می خواهید افراد را به طور اخلاقی و موثر در مسیری که مطلوب شماست هدایت کنید (یعنی بدون اجبار یا فریب، و با اثرگذاری واقعی)، باید بتوانید اعتمادشان را جلب کنید و آنها را قانع کنید که خواسته یا هدف شما باارزش و معتبر است.

چنین کاری غالبا مستلزم غلبه بر سه مانع رایج است: متقاعدشان کنید که ارزشش را دارد که به حرف شما گوش کنند، که عمل به درخواست شما بهتر از دست روی دست گذاشتن یا پذیرش پیشنهاد افراد دیگر است و در نهایت اینکه زمان اقدام، همین حالاست نه بعدا.

ممکن است استفاده از استراتژی های روان‌شناختی - رفتاری برای واداشتن کارکنان به تبعیت، در نگاه اول یک جور دست کاری روانی به نظر برسد. اما بین تاثیرگذاری اخلاقی و دستکاری روانی تفاوت مهمی وجود دارد: هدایت سازمان به خودی خود به معنای تاثیرگذاری بر افراد (به صورت آگاهانه) برای دستیابی به اهداف مشترک و مقاصد جمعی است.

هدف از این مدل هم دقیقا همین است که افراد به انتخاب و خواست خود وارد عمل شوند. در حوزه امنیت سایبری، هدف این است که فرهنگ سازمانی حول یک رفتار جمعی امنیت محور شکل بگیرد. برای تحقق این هدف، مدیران باید بتوانند رابطه ای پایدار و معنادار با کارکنان خود برقرار کرده و این اطمینان را در آنها ایجاد کنند که این هدف ارزشش را دارد.

مدل انگیزه های هسته ای نایدرت متشکل از سه مرحله است که افراد را تحریک می‌کند تا به نقطه مطلوب برسند:

1- برقراری ارتباط

برای اینکه بتوانید مدیر تاثیرگذاری باشید، باید اول با نیروهایتان ارتباط برقرار کنید. به طور کلی، زمانی احتمال تبعیت افراد از خواسته های شما بیشتر می‌شود که: احساس کنند دوستشان دارید و متقابلا دوستتان داشته باشند، شما را حقیقتا عضوی از خود بدانند، و در گذشته لطف و حمایتی از شما دریافت کرده باشند که احساس تعلق را در آنها ایجاد کرده باشد. برای این کار:

فضای مناسبی ایجاد کنید

مردم زمانی «بله» می گویند که شما را دوست داشته باشند و باور کنند که شما هم به آنها علاقه دارید. رویکرد باز و پذیرای شما اغلب به خودتان برمی گردد. برای مثال، پژوهش ها نشان داده اند مدیران فروش خوش برخوردی که روی ایجاد رابطه سرمایه‌گذاری می‌کنند، تیم هایشان عملکرد بهتری دارند و‌درصد تحقق اهدافشان بیشتر است. در حوزه امنیت سایبری هم، برای تقویت همکاری و اجرای موثر ابتکارات امنیتی، ایجاد رابطه مبتنی بر صمیمیت و درک متقابل با کارکنان تمام واحدهای سازمان حیاتی است.

در یک نمونه آزمایشی، دو مدیر مسوول دو بخش مختلف تلاش می کردند برنامه مشخصی را در حوزه امنیت سایبری در بخش خود پیاده‌سازی کنند. یکی از آنها بسیار گرم و صمیمی بود و هنگام ارائه این طرح، فضای دوستانه ای ایجاد کرد که کارکنان فرصت طرح پرسش داشتند. دیگری رفتار سردی داشت و برنامه را به گونه ای مطرح کرد که انگار اجتناب ناپذیر است. میزان پذیرش برنامه در بخش اول، به مراتب بیشتر از بخش دوم بود.

وحدت و یکپارچگی را تشویق کنید

ما معمولا برای افرادی که آنها را «از خودمان» می دانیم، از جان و دل مایه می گذاریم و این مساله درباره رفتارهای امنیت اطلاعاتی هم صدق می‌کند. البته، ساختن فرهنگ امنیتی یک تلاش جمعی است، اما این وظیفه مدیران است که حس «یکی بودن» را در میان اعضا ایجاد کنند.

حس بده بستان ایجاد کنید

یک هنجار اجتماعی رایج وجود دارد که وقتی کسی چیزی به ما می‌دهد، احساس می کنیم موظفیم جبران کنیم. این هنجار که به «اصل بده بستان» معروف است، نقش مهمی در ایجاد اعتماد و ارتباط ایفا می‌کند و زمانی بیشترین تاثیر را دارد که «لطف انجام شده» معنادار، غیرمنتظره، مختص فرد و بی ارتباط با درخواست آتی باشد.

این اصل جدا از لطف و هدیه، درباره ارتباطاتی که حس بدهکاری به وجود می آورند هم موثر است. یعنی اگر اول خواسته سنگینی داشته باشید و بعد با تعدیلش به درخواست آسان تری برسید، احتمال همراهی افراد بیشتر خواهد بود. برای مثال، اگر اول از کارکنان خود بخواهید که در تست ایمیل های فیشینگ (یکی از رایج ترین فرم های حملات سایبری است و اغلب سازمان‌ها به صورت دوره ای آزمونی برگزار می‌کنند تا با ارسال ایمیل های سالم و ناسالم‌درصد هوشیاری کارکنان را تشخیص دهند)، 100‌درصد موارد را درست شناسایی کنند و بعد هر دوره کمی عقب نشینی کنید و به نرخ خطای پایین تری رضایت دهید، احتمال اینکه در مجموع نرخ شناسایی بهتری حاصل شود، بیشتر از حالتی است که از همان ابتدا نرخ پایین تری را مطالبه کنید.

2- کاهش عدم‌قطعیت

برقراری ارتباط بین فردی موثر می‌تواند خیلی ها را متقاعد کند، اما نه همه را. برخی همچنان مردد می مانند، چون نسبت به آنچه از آنها خواسته شده تردید دارند. این افراد معمولا به دنبال اطمینان خاطر هستند. می خواهند بدانند این درخواست معقول است یا نه. گاهی با مشاهده رفتار افراد قدرتمند و ذی صلاح به این اطمینان می رسند و گاهی با پیروی از همتایان خود. مدیران می‌توانند برای کاهش این عدم‌قطعیت دو اقدام کلیدی را به کار بگیرند:

از اعتبار و جایگاه حرفه ای خود استفاده کنید

شاید در حوزه امنیت سایبری متخصص نباشید، اما همچنان می‌توانید از اعتبار خود به عنوان یک مدیر بهره ببرید. زمانی که خود شما به عنوان رهبر سازمان، شخصا کارکنان را به رعایت سیاست های حفاظت از اطلاعات تشویق کنید، یا حتی بهتر از آن، خودتان وارد گود شوید، احتمال همراهی دیگران به طور چشمگیری افزایش می یابد. در یک پژوهش سازمانی، رئیس هیات مدیره شخصا در یک شبیه سازی بحران سایبری شرکت کرد و این گونه نشان داد که موضوع تا چه اندازه جدی و مهم است. حضور او باعث شد کارکنان این تمرین را جدی تر بگیرند و تمرکز بیشتری از خود نشان دهند و این رفتار حرفه ای پس از تمرین هم ادامه دار شد.

الگوهای اطرافشان را نشانشان دهید

افراد وقتی مردد هستند، به دنبال الگو به اطراف خود نگاه می‌کنند. مدیران می‌توانند با نمایش رفتارهای درست امنیتی در عمل و نشان دادن اینکه افراد «مشابه» چگونه این رفتارها را پذیرفته اند، از این واکنش طبیعی به نفع خود استفاده کنند. به عنوان نمونه، به جای اینکه نتایج سنجش های مستمر فیشینگ را فقط به مدیران ارشد گزارش دهید، می‌توانید با انتشار عمومی آنها در سطح سازمان، رفتار مسوولانه را رواج دهید. تمرکز باید بر جنبه های مثبت و مطلوب رفتار دیگران باشد؛ اینکه چه تعدادی از کارکنان رفتار خاصی را رعایت کرده اند، چگونه به آن رسیده اند و این اتفاق چه نتایج مثبتی دربرداشته است. تکیه بر «نمونه مثبت» همواره اثربخش تر از تمرکز بر «نمونه منفی» است.

3- تشویق به عمل

حتی موقعی که ارتباطی مستحکم شکل گرفته و عدم قطعیت کاهش یافته، باز هم افراد برای اقدام کردن نیاز به محرک دارند. برای اینکه بتوانید کارکنانتان را از حریم امن ذهنی شان خارج کنید، باید یادشان بیاورید که قبلا هم زیر بار رفتارهای امنیتی اطلاعاتی رفته اند. پس، رهبران سازمان باید به عنوان راهی برای دستیابی به رفتارهای امنیتی پایدار در آینده، از قدرت تعهدات پیشین کارکنان - مثل پذیرش و امضای سیاست های امنیت اطلاعاتی سازمان - بهره بگیرند. در عین حال، محرک هایی که بر خطرات ناشی از بی تفاوتی یا هزینه های سنگین دیر عمل کردن تمرکز دارند هم بسیار اثربخش هستند.

بر چیزهایی که می‌تواند از دست برود (یا به دست بیاید) تاکید کنید

فرصت ها زمانی ارزشمند می شوند که نادر یا محدود باشند. این فرآیند زمانی تشدید می‌شود که: افراد خود را در رقابت با دیگران ببینند، بدانند ممکن است چه چیزهایی را از دست بدهند، یا این فرصت را مزیتی خاص بدانند.

به عنوان نمونه، شرکت بیمه سلامت سوئیسی Helsana قرارداد کارکنانی را که سه بار پیاپی در تست های فیشینگ فصلی مردود شدند، لغو کرد. نتیجه؟ نرخ خطای کارکنان ظرف پنج ماه از 15‌درصد به 3‌درصد کاهش یافت. البته که این رویکرد بیش از حد سختگیرانه است و می‌توان شیوه ملایم تر و برانگیزاننده تری را به کار گرفت. می‌توانید برنامه «قهرمانان امنیت» را برپا کنید. به این ترتیب که کارکنانی که در امنیت اطلاعات امتیاز مشخصی کسب کنند، واجد دریافت پاداش های خاص مالی یا غیرمالی می شوند و آنهایی که به امتیاز نرسند، فرصت بهره مندی از این مزایا را از دست می‌دهند.

تعهد علنی بگیرید

انسان ذاتا می خواهد ثابت قدم باشد و وقتی موضعی می‌گیرد یا خود را به رفتاری متعهد می‌کند، حس الزامی درونی برای پایبندی به آن دارد. و اگر این الزام علنی و داوطلبانه باشد، بسیار قوی تر عمل می‌کند.

رویه های امنیت اطلاعاتی نه تنها برای سازمان، بلکه برای همه کارکنان سودمند هستند. فرهنگ های سازمانی اثربخش یک نقطه اشتراک دارند: بر ارزش های مشترکی تکیه دارند که حس تعلق جمعی را تقویت می‌کنند. این ارزش ها به سازمان و کارکنانش یک جهان بینی واحد می‌دهند و امنیت اطلاعات نیز باید بخشی از این جهان بینی باشد.

فرهنگ امنیت اطلاعات زمانی اثربخش خواهد بود که قابلیت سرایت داشته باشد، یعنی با ورود کارکنان جدید یا خروج اعضای کلیدی، انسجام خود را حفظ کند. برای رسیدن به این نقطه، سازمان‌ها باید با استفاده از رویکرد سیستماتیک نسبت به تاثیرگذاری اجتماعی، رفتارهای منطبق با امنیت اطلاعات را ترویج داده و فرهنگ امنیت اطلاعاتی را در سازمان پرورش دهد که به نفع همه عمل کند.

منبع: HBR