The post 5 כללים להגנה על הרשת הארגונית מפריצות דרך מחשבי העובדים מרחוק first appeared on HRUS משאבי אנוש.
]]>להלן 5 כללי זהב להגנה על המידע של הארגון, על הלקוחות ועל הפרטיות של העובדים מכל מקום:
1 הגישה היא רק של העובד ושל העובד בלבד:
אימות דו-שלבי: לעולם אין לכבות או לעקוף את האימות הדו-שלבי. זהו קו ההגנה החשוב ביותר.
הסיסמה היא אישית: אין לשתף סיסמאות באף פלטפורמה.
מחשב העבודה הוא לעבודה בלבד: בני משפחה, ילדים או אורחים, מקסימים ככל שיהיו, אינם מורשים להשתמש במחשב הארגוני. זהו איסור מוחלט. גם לא רק לרגע, ליוטיוב, או לשיעורי בית.
2 רשתות Wi-Fi – היזהרו ממלכודות:
ה-VPN הוא החבר הטוב ביותר של העובד מהבית: בכל התחברות לרשת חיצונית, ה-VPN חייב להיות דלוק. הוא יוצר צינור מאובטח ומוצפן למידע שעובר ברשת למחשב או למכשיר הנייד של העובד.
בלי רשתות ציבוריות פתוחות: כאשר עובדים בבית קפה או ברכבת, אין להתחבר ל-Wi-Fi החינמי ללא הצפנה. יש להעדיף תמיד שימוש בנקודה חמה (Hotspot) מהטלפון הנייד האישי של העובד.
3 עירנות לפישינג (דיוג):
האקרים אוהבים לנצל את העובדה שהעובד עובד לבד בבית ואינו יכול לשאול את הקולגה בשולחן לידו, האם גם הוא קיבל אימייל מוזר מהנהלת חשבונות.
יש לבדוק את השולח: אם קיבלתם לינק דחוף, זה צריך להדליק נורה אדומה. יש לבדוק היטב את כתובת האימייל של השולח. אות אחת שונה יכולה להיות כל ההבדל.
לא להקיש לפני שבודקים: אם האימייל נראה חשוד אפילו קצת, אין ללחוץ על שום קישור ואין להוריד שום קובץ. יש לפנות מייד למחלקת ה-IT.
4 הגנה פיזית על המידע:
לנעול את המסך: בכל פעם שהעובד זז מהמחשב, בין אם זה כדי להכין לעצמו קפה במטבח או כדי ללכת לבית קפה עם המחשב, יש להקיש Windows + L (או Lock ב-Mac). זוהי פעולה שמונעת חשיפת מידע מיותרת.
להימנע מהדפסה: יש להמנע ככל הניתן מהדפסת חומרים מסווגים בבית. אם העובד חייב להדפיס, עליו לוודא שהמסמכים שהודפסו לא נשארים על השולחן לעיני כל, ולהשמיד אותם ברגע שכבר אין בהם צורך.
5 הכלל החשוב ביותר – דיווח על תקלה ללא אשמה:
למרות ההקפדה ביומיום, קורה לפעמים שיש טעויות. אם העובד לחץ בטעות על לינק חשוד, או שהמחשב שלו נגנב או שהטלפון אבד, עליו לדווח מייד בלי לחשוש.
על מנהל משאבי האנוש להבהיר לכל העובדים, כי תפקידו הוא לעזור, לא כדי להעניש.
דיווח מהיר בתוך דקות יכול למנוע נזק עצום לארגון. ככל שהעובד ידווח מהר יותר, מחלקת ה-IT תוכל לפעול מהר יותר וכך ניתן יהיה לבלום את האירוע בקלות רבה יותר.
ולבסוף, על מנהל משאבי האנוש להזכיר לעובדים שוב ושוב, כי אבטחת מידע היא לא אתגר בלעדי של מחלקת המחשוב, אלא היא באחריות כל אחד מהעובדים והמנהלים.
The post 5 כללים להגנה על הרשת הארגונית מפריצות דרך מחשבי העובדים מרחוק first appeared on HRUS משאבי אנוש.
]]>The post 3 צעדים קריטיים כדי לוודא עמידה בכללי אבטחת מידע מחמירים first appeared on HRUS משאבי אנוש.
]]>בעידן שבו העבודה מרחוק מטשטשת את הגבולות הפיזיים בין הארגון לעובד, העובד בביתו הופך להיות קו ההגנה הראשון, או החוליה החלשה ביותר, בכל הנוגע למאבק בתקיפות סייבר.
מנהל משאבי אנוש חדש שזה עתה נכנס לתפקידו, חייב להבין שביטחון המידע הוא חלק בלתי נפרד מניהול האנשים.
להלן 3 צעדים קריטיים שעל מנהל משאבי אנוש חדש ליישם ב-3 החודשים הראשונים לעבודתו בחברה, כדי לוודא עמידה בכללי אבטחת מידע מחמירים, בדגש על סביבת עבודה היברידית ומרוחקת:
צעד 1 – חודש ראשון: יישור קו אסטרטגי ועדכון החוזה הפסיכולוגי:
ב-30 הימים הראשונים לעבודתו בחברה, על מנהל משאבי האנוש החדש לשתף פעולה באופן הדוק עם מנהל אבטחת המידע בחברה ואף עם מנכ"ל החברה.
המטרה היא להבין היכן נמצאות נקודות התורפה האנושיות בעבודה מרחוק: האם מדובר בשימוש ברשתות Wi-Fi ציבוריות, שיתוף סיסמאות, חוסר מודעות לפישינג וכדומה.
לאחר מיפוי נקודות התורפה, יש לעדכן את נספחי העבודה מרחוק בחוזי ההעסקה. זהו לא רק צעד משפטי, אלא הצהרת כוונות: אבטחת מידע היא תנאי להעסקה.
יש להגדיר בבירור את הציפיות, החל בחובת השימוש ב-VPN ובאימות דו-שלבי, ועד לאיסור מוחלט על עבודה ממחשבים אישיים או שיתוף מכשירי קצה עם בני משפחה. זהו הבסיס למחויבות העובד.
צעד 2 – חודש שני: בניית ה'חומה האנושית' דרך למידה חווייתית:
בחודש השני לעבודתו של מנהל משאבי האנוש החדש בחברה, הדגש עובר ממילים למעשים.
שליחת קובץ PDF עם נהלי אבטחה לא תסייע כאן, שכן זו הדרך הבטוחה לכך שאף אחד לא יקרא אותם.
במקום זאת, על מנהל משאבי האנוש ליצור תוכנית הכשרה אקטיבית המותאמת לעבודה מרחוק.
יש לבצע סימולציות של פישינג המדמות סיטואציות יומיומיות של עובד מהבית, כמו למשל הודעה מזויפת משירות המשלוחים או מהנהלת החשבונות.
המפתח הוא להפוך את אבטחת המידע לערך תרבותי ולא לנטל בירוקרטי.
לאחר מכן, במקום להעניש את העובדים שנכשלו בסימולציה, יש להשתמש בזה כהזדמנות למידה.
יש למנות 'שגרירי אבטחה' בכל צוות שיעזרו להטמיע את הכללים בצורה אורגנית בשיחות הווידאו השבועיות.
צעד 3 – חודש שלישי: הטמעת אחריות אישית ומנגנוני דיווח:
בחודש השלישי לעבודתו של מנהל משאבי האנוש החדש עליו לוודא שהכללים הופכים להרגל.
הדרך לעשות זאת היא באמצעות קישור ישיר בין עמידה בנהלי אבטחה לבין הערכת הביצועים של העובד.
מנהל משאבי אנוש מוצלח יטמיע מדדי אבטחה, כמו לדוגמה השלמת הדרכות בזמן, או אפס אירועי אבטחה רשלניים, כחלק מהמדדים לבונוס או לקידום.
בו זמנית, על מנהל משאבי האנוש החדש ליצור תרבות של דיווח ללא אשמה.
בעבודה מרחוק, עובד עלול לחשוש לדווח על אובדן מחשב או על לחיצה על לינק חשוד מחשש לפיטורים.
תפקידו של מנהל משאבי האנוש החדש הוא לוודא שהעובדים מרגישים בטוחים לדווח מייד על כל תקלה.
דיווח מהיר הוא ההבדל בין תקרית קטנה לאסון ארגוני. בסוף שלושה החודשים הראשונים לעבודתו של מנהל משאבי האנוש החדש בחברה, אבטחת המידע צריכה להיות חלק מה-DNA של הארגון, בדיוק כמו עמידה ביעדי המכירות.
The post 3 צעדים קריטיים כדי לוודא עמידה בכללי אבטחת מידע מחמירים first appeared on HRUS משאבי אנוש.
]]>The post התגברות איומי הסייבר על הארגונים לקראת 2026-2027 first appeared on HRUS משאבי אנוש.
]]>אלא שבה בעת, מחקרים שבוצעו בנושא צופים יותר פגיעות על ידי איומי סייבר בגלל התגברות השימוש בבינה מלאכותית.
ממחקרי שוק שבוצעו לצורך תחזיות לקראת השנים 2026-2027 עולה תמונה ברורה למדי, אבל פרדוקסלית:
הארגונים מגדילים אמנם דרמטית את השקעותיהם באבטחת הסייבר, אבל עלייה זו בהוצאות אבטחת הסייבר מתקשה להתמודד עם התחכום והנפח המואצים של איומי הסייבר, המונעים בעיקר על ידי בינה מלאכותית.
הארגונים מגיבים להתגברות איומי הסייבר תוך הגברת התחייבויות פיננסיות חזקות להשקעות באמצעי הגנה מפני תקיפות סייבר.
ממחקרים שבוצעו בעולם על היערכות הארגונים לקראת עלייה באיומי הסייבר בשנתיים הקרובות עולה, כי סך ההוצאה הכלל עולמית על מוצרים ושירותי אבטחת סייבר צפויה לעלות ליותר מ-520 מיליארד דולר בשנה, עד סוף השנה הנוכחית או במהלך 2026.
מדובר בעלייה של כ-100 אחוזים לעומת הוצאות בהיקף של כ-260 מיליארד דולר בשנת 2021.
שוק שירותי אבטחת הסייבר הרחב יותר, צפוי להגיע לכ-178 מיליארד דולר עד 2027, עם קצב צמיחה שנתי מצטבר גבוה.
צמיחה זו מונעת על ידי טרנספורמציה דיגיטלית, התפשטות מכשירי IoT (האינטרנט של הדברים) ואימוץ סביבות מרובות עננים, שכולם מרחיבים את משטח התקיפה.
ההוצאות על אבטחת סייבר מתמקדות יותר ויותר בפתרונות מהדור הבא. התחומים בהם ניתן לראות את הצמיחה המהירה ביותר (של הוצאות על אבטחת סייבר), כוללים אבטחת ענן, ניהול אירועי אבטחה מנוהלים (SIEM), ופתרונות הממנפים בינה מלאכותית ולמידת מכונה לגילוי ותגובה אוטומטיים לאיומים.
עוד עולה ממחקרי השוק, כי כ-53% מהארגונים נותנים עדיפות לכלי בינה מלאכותית כדי לסגור פערים קיימים ביכולות.
ארכיטקטורת אפס אמון (ZTA) צפויה לעבור עד סוף השנה הנוכחית משיטות עבודה מומלצות, לדרישה רגולטורית עבור מגזרים רבים, מה שמאלץ שיפוץ מקיף של מערכות ניהול זהויות וגישה.
אלא שלמרות ההשקעה העצומה, העלייה אמיתית בהגנה מפני תקיפות סייבר נותרה חמקמקה, ויוצרת את פרדוקס אבטחת הסייבר.
ההפסדים שנגרמים לארגונים בעולם כתוצאה מפשעי סייבר ממשיכים לזנק, ועד סוף השנה הנוכחית הם צפויים להגיע לכ-10.5 טריליון דולר בכל העולם.
הדבר מצביע על כך שהעלייה בהוצאות על אבטחת סייבר דומה כעת לקצב העלייה של העלויות הנובעות מההתקפות, או מפגרת מעט אחריהן.
האתגר העיקרי שניצב בפני הארגונים הוא הפיכת הבינה המלאכותית לנשק בידי גורמי האיום.
מהירויות ההתקפות צפויות לעלות עד פי 100 כאשר האקרים ימנפו בינה מלאכותית גנרטיבית לצורך זיופים עמוקים משכנעים ביותר וחדירות אוטומטיות למערכות הארגונים, מה שיהפוך הגנות מסורתיות, המפותחות במהירות אך על ידי בני אנוש, למיושנות.
מומחים צופים ששנת 2026 תסומן כשנת פרצת האבטחה הקיברנטית הגדולה הראשונה המונעת על ידי בינה מלאכותית.
פגיעות בולטת נמשכת בניהול הטכנולוגיה החדשה. אימוץ הבינה המלאכותית על ידי הארגונים אמנם הולך ונעשה יותר ויותר נפוץ, אבל מחקרים מצביעים על כך שרק כששה אחוזים מהארגונים מחזיקים באסטרטגיית אבטחה מתקדמת של בינה מלאכותית.
פער משמעותי זה פירושו שעצם הטכנולוגיה שנועדה להגביר את ההגנות, מציגה בו זמנית סיכונים חדשים ומורכבים.
בסיכומו של דבר, התחזיות לשנים 2026-2027 היא של עימות מחריף בין ההאקרים לארגונים המתגוננים.
הארגונים מחזקים את הגנותיהם עם השקעות שיא בבינה מלאכותית ואבטחת ענן.
עם זאת, גל הגנתי זה נתקל בשימוש עוין בבינה המלאכותית ובצורך ארגוני דחוף לסגור את פער המיומנויות, מה שגורם לרמת ההגנה התאגידית נטו להיות חסרת יציבות באופן מסוכן.
The post התגברות איומי הסייבר על הארגונים לקראת 2026-2027 first appeared on HRUS משאבי אנוש.
]]>The post איך צריך להגביר את ההגנה מתקיפות סייבר בעונת קניות האונליין first appeared on HRUS משאבי אנוש.
]]>ככל שיותר אנשים קונים אונליין, כך גוברת המוטיבציה של ההאקרים לפרוץ למחשבים האישיים ולמכשירים האחרים של העובדים ומשם קצרה הדרך לפריצה למערכות הארגונים, של עובדים שעובדים מהבית, אפילו באופן חלקי.
האקרים מנצלים את הנפחים הענקיים של הקניות אונליין על ידי הגברת מתקפות הנדסה חברתית.
הם שולחים כמויות אדירות של אימיילים מתוחכמים עם אמצעי פישינג במסווה של אישורי משלוח, מבצעי בלאק-פריידי או הודעות דחופות על משלוחים כושלים מקמעונאים פופולריים.
עובדים, המוסחים על ידי קניות אישיות תוך כדי לחץ בעבודה, נוטים יותר ללחוץ על קישורים או קבצים מצורפים זדוניים במכשירים אישיים ובמכשירי העבודה כאחד.
לינקים אלה יכולים להוביל לדפי איסוף אישורים, המאפשרים להאקרים לגנוב פרטי כניסה של החברה, או להוריד תוכנות זדוניות או תוכנות כופר לרשת הארגונית.
יתר על כן, עונת החגים פירושה לעיתים קרובות שצוות ה-IT דליל יותר משום שחלק מהאנשים בחופשה.
מצב זה מאפשר לתוקפים לנצל פגיעויות או להפעיל מתקפות כופר בידיעה שזמני התגובה יהיו איטיים.
ההתמקדות בנפח מכירות גבוה יכולה גם להוביל חברות להוריד זמנית את סדרי העדיפויות של אבטחה לטובת מהירות, וליצור פתח קריטי לפריצה.
לאור כל זאת, כל מי שעובד מהבית, גם חצי שעה ביום לאחר החזרה מהעבודה במשרד, חייב להקפיד על כל כללי הגנת הסייבר, כאילו המחשב בביתו הוא מחשב העבודה שלו.
אחרי הכול, כל תקשורת בין מחשב שנפרץ למחשבי החברה, יכולה לשמש כאמצעי תיווך לפריצה למערכות החברה.
תקופת הקניות בחודשים נובמבר דצמבר, היא עונת השיא עבור האקרים. זו תקופה שבה אתרים מתחזים, דיוג (פישינג) וגניבת פרטים אישיים, לרבות ססמאות ושמות משתמשים, הופכים לנפוצים מאוד.
להלן 9 כללי ברזל לקנייה בטוחה באונליין, שפירסם מערך הסייבר הלאומי, כדי להגן מפני פריצות סייבר:
1 יש לקנות רק באתרים מוכרים, שיש עליהם חוות דעת טובות ברשתות החברתיות.
2 כשמקבלים הודעה בווטסאפ או באימייל או נתקלים במודעה ברשתות החברתיות, לא נכנסים ללינק אלא מחפשים את האתר המקורי ונכנסים רק דרכו.
וגם באתר המוכר, אם מקבלים הודעה שנאמר בה שיש למלא פרטים אישיים באופן מיידי, ושאם הפרטים לא ימולאו באופן מיידי יגרם נזק, לא ממלאים שום פרט.
מבררים עם שירות הלקוחות של האתר אם זה אכן לגיטימי. בדרך כלל, הודעות שמאיצות במשתמש למלא פרטים וכוללות איום לגבי נזקים שיקרו אם הפרטים לא ימולאו, הן הודעות של תקיפת סייבר.
3 בכל אתר שנכנסים אליו, גם באופן ישיר ולא דרך לינק, רצוי לחפש את פרטי העסק ושירות הלקוחות.
4 בכל אתר יש לבדוק שיש HTTPS.
5 אם מקבלים אזהרת דפדפן, יש לצאת מייד מהאתר.
6 נקודה חשובה מאוד: יש לבדוק כמה זמן האתר קיים. אם הוא אתר חדש שהוקם בסמוך לעונת המבצעים, זו צריכה להוות נורה אדומה מהבהבת עם קולות של סירנה.
7 יש לקרוא את מדיניות ההחזרות, משלוחים, פרטי התקשרות וכדומה. אין לתת אמון באתר שאין בו שקיפות.
8 בשום פנים ואופן אין לשלוח פרטי כרטיס אשראי או פרטי גישה בהודעות. התשלום צריך להתבצע רק באתר מאובטח. לא בווטסאפ, לא בטלפון.
9 רצוי לבדוק את הביקורות. אם הן נראות מועתקות או זהות באתרים שונים, הן כנראה מזויפות.
בכל מקרה, כמו תמיד, חשוב מאוד לבחור סיסמה חזקה ולהוסיף אימות דו-שלבי.
The post איך צריך להגביר את ההגנה מתקיפות סייבר בעונת קניות האונליין first appeared on HRUS משאבי אנוש.
]]>The post 3 טיעונים שיש להציג בפני העובדים לטובת הקפדה על VPN דולק כל הזמן first appeared on HRUS משאבי אנוש.
]]>זו הסיבה שרשת פרטית וירטואלית (VPN) אינה רק כלי מומלץ, אלא מהווה שכבת הגנה חובה לכל עובד המתחבר למשאבי החברה.
ה-VPN יוצר מעין מנהרה וירטואלית מוצפנת בין מכשיר העובד לרשת הפנימית של החברה.
קישור מאובטח זה מבטיח שכל הנתונים, לרבות אימיילים, העברות קבצים, מסמכים רגישים ופרטי כניסה, יעברו "ערבוב" לפני שהם עוזבים את המחשב ויהיו בלתי קריאים לכל מי שעשוי ליירט אותם.
ללא VPN, העובד חושף למעשה נתונים ארגוניים רגישים לסיכונים הטבועים בחיבורי אינטרנט ציבוריים וביתיים.
נתבים ביתיים הם לרוב פחות מאובטחים ממערכות ברמה ארגונית, ופועלים על הגדרות ברירת מחדל או חומרה מיושנת, מה שהופך אותם למטרות קלות להאקרים.
יתרה מכך, עובדים שעובדים מרחוק, מתחברים לעיתים קרובות לנתונים ארגוניים באמצעות רשתות Wi-Fi ציבוריות בבתי קפה, שדות תעופה או בתי מלון.
רשתות אלו ידועות לשמצה כלא מאובטחות, מה שמותיר נתונים פגיעים להתקפות מצד תווך אמצעי ('האדם שבאמצע'), שבהן גורם זדוני מיירט וקורא תקשורת שעוברת דרך נקודת הגישה הציבורית של ה-Wi-Fi.
על ידי אכיפת חיבור VPN על העובדים, ארגונים יכולים לוודא שכל הפעלה מרוחקת עומדת באותו סטנדרט גבוה של אבטחה ברמת הארגון, ומגנה לא רק על העובד, אלא על כל הארגון מפני פרצת נתונים יקרה.
עובדים עשויים לפעמים להשבית את ה-VPN שלהם בגלל מהירות או תחושה של אי נוחות.
חשוב להסביר להם שההשלכות האבטחתיות עולות בהרבה על היתרונות הקטנים של מהירות.
מנהל משאבי אנוש, בשיתוף עם מחלקת ה-IT, יכולים להדגיש בפני העובדים את הסיבות הקריטיות להשארת ה-VPN פועל כל הזמן.
כל פיסת מידע שאתם שולחים, לרבות סיסמאות החברה, רשימות הלקוחות וכו, מוצפנת על ידי ה-VPN.
השבתתו דומה לשליחת מכתב סודי בדואר הציבורי ללא מעטפה. שמירה על ה-VPN דולק כל הזמן, מבטיחה שכל העבודה שלכם תישאר בלתי קריאה להאקרים, לספק שירותי האינטרנט שלכם (ISP) או לכל אחד אחר המנטר את תעבורת הרשת שלכם.
יישומים רגישים רבים של החברה, שרתי קבצים ומסדי נתונים, מוגדרים לדחות חיבורים שאינם מגיעים מכתובת IP מוכרת ומאובטחת, שהיא כתובת ה-IP המסופקת על ידי שרת ה-VPN.
כיבוי ה-VPN פירושו שהעובד לא יוכל לגשת לכלים שהוא זקוק להם כדי לבצע את עבודתו. זהו המפתח המאובטח היחיד למשרד הדיגיטלי.
המכשיר האישי או הנתב הביתי של העובד עלולים להכיל תוכנות זדוניות בלי שהעובד יודע על כך.
ניתוב כל התעבורה דרך ה-VPN מאפשר לחברה לפרוס חומות אש מתקדמות ומערכות זיהוי איומים, כדי לסנן את התעבורה לפני שהיא נכנסת לרשת הליבה של החברה.
ה-VPN של העובד משמש כנקודת ביקורת אבטחה הכרחית, ומונע ממערכת ביתית נפגעת אחת, להפוך לנקודת כניסה להתקפת כופר רחבה יותר או גניבת נתונים נגד העסק כולו.
The post 3 טיעונים שיש להציג בפני העובדים לטובת הקפדה על VPN דולק כל הזמן first appeared on HRUS משאבי אנוש.
]]>The post 3 אתגרים ופתרונות אבטחת מידע לארגונים שמעסיקים עובדים מעבר לים first appeared on HRUS משאבי אנוש.
]]>עם זאת, מודל מבוזר זה, מציב גם אתגרי אבטחת מידע משמעותיים, וכתוצאה מכך מציב את מנהלי משאבי אנוש בחזית ההגנה על נתוני הארגון.
למעורבותם המכרעת של מנהלי משאבי האנוש במדיניות, בהכשרה ובפריסה אסטרטגית של טכנולוגיות מתקדמות יש חשיבות רבה ביותר.
להלן 3 אתגרים ופתרונות בנושא אבטחת מידע בארגונים שמעסיקים עובדים מהבית במדינות שונות:
1 הגורם האנושי ומודעות סייבר משתנה:
האתגר: עבודה מרחוק, במיוחד בתרבויות מגוונות, מגבירה את הסיכון לטעויות אנוש. עובדים הפועלים מסביבות בית שונות, ומשתמשים באופן פוטנציאלי במכשירים אישיים וברשתות פחות מאובטחות, הופכים למטרות עיקריות להתקפות פישינג, ריגול ותוכנות זדוניות אחרות.
גם הבדלים תרבותיים יכולים להשפיע על האופן שבו נתפסות או פועלות על פיהן אזהרות אבטחת המידע.
הפתרון: הכשרה יסודית ומעמיקה המותאמת תרבותית לעובדים, בנושא מודעות לחשיבותה של אבטחת המידע.
על מנהלי משאבי אנוש, בשיתוף פעולה עם מחלקת ה-IT, להתקדם מעבר למודולים שנתיים גנריים.
ההכשרה צריכה להיות רציפה, מעניינת ומותאמת במידת האפשר לתרבות במדינה בה מתגורר העובד.
כל זאת, תוך התייחסות לאיומים ספציפיים הרלוונטיים לאזורים שונים.
יש לבצע קמפיינים מדומים של פישינג, כולל תחקירים סדירים, כדי לבנות את הזיכרון של העובדים בכל הנוגע לזיהוי תקשורת חשודה.
זאת ועוד, יש לפתח תרבות ארגונית שבה העובדים מרגישים בנוח לדווח על פעילות חשודה ללא חשש מכעס מצד הממונים עליהם.
למנהלי משאבי אנוש יש תפקיד מפתח בלתקשר את הסיבות מאחורי מדיניות אבטחת המידע, ולהעביר מסר ברור ובהיר שאבטחת מידע היא אחריות משותפת של כל העובדים והמנהלים, לא רק עניין של מחלקת ה- IT.
2 התמודדות עם מבוך של חוקי פרטיות נתונים במישור הבינלאומי:
האתגר: העסקת עובדים במספר מדינות פירושה עמידה במערך מורכב, ולעיתים סותר, של תקנות פרטיות נתונים, כגון GDPR באירופה, CCPA בקליפורניה וחוקים לאומיים אחרים.
ניהול לקוי של נתונים אישיים ונתונים של החברה מעבר לגבולות המדינה, עלול להוביל לעונשים חמורים, נזק למוניטין ואובדן אמון.
הפתרון: למנהלי משאבי אנוש יש תפקיד מרכזי בפיתוח ואכיפה של מדיניות אבטחת מידע מקיפה התואמת את החוק בכל התחומים הרלוונטיים.
זה כרוך בשיתוף פעולה הדוק עם צוות משפטי וצוותי IT כדי להבין את דרישות הטיפול בנתונים, אחסונם, העברתם והגישה אליהם, באופן ספציפי עבור כל מדינה.
המדיניות חייבת להגדיר בבירור לאילו נתונים ניתן לגשת, על ידי מי, מאיפה ואיך יש להגן עליהם.
מנהלי משאבי אנוש אחראים לתקשר ביעילות את המדיניות הזו לכל העובדים המרוחקים, תוך הבטחה שהם מבינים את חובותיהם בנוגע לפרטיות ואבטחת נתונים.
ביקורות וסקירות סדירות של מדיניות זו הן קריטיות כדי להסתגל לחוקים משפטיים מתפתחים ולאיומים המתעוררים.
3 אבטחת נקודות קצה ורשתות מגוונות:
האתגר: עובדים מרוחקים משתמשים לעתים קרובות בשילוב של מכשירים אישיים ומכשירים שקיבלו מהחברה, ומתחברים לסביבות רשת שונות, החל ברשת Wi-Fi ביתית מאובטחת ועד לרשתות וויפי ציבוריות שעלולות להיות פגיעות.
זה מרחיב באופן דרמטי את סיכון התקפת הסייבר על הרשת של הארגון, מה שמקשה על שמירה על פרוטוקולי אבטחה עקביים ומעקב אחר איומים.
הפתרון: מחלקת ה-IT אמנם מטמיעה את כלי האבטחה, אבל תפקידו של מנהל משאבי האנוש טמון באכיפת מדיניות ואימוץ על ידי המשתמשים, של טכנולוגיות אבטחה מתקדמות.
זה כולל חובת שימוש ברשתות פרטיות וירטואליות (VPN) עבור כל הפעילויות הקשורות לחברה, כדי להצפין נתונים שעוברים ברשת.
מדיניות משאבי אנוש צריכה להתייחס גם לניהול המכשירים, ולדרוש מהעובדים להתקין מערכות הפעלה עדכניות, תוכנת אנטי-וירוס ואימות רב-שלבי עבור כל הגישה הקשורה לעבודה.
במקרים של שילוב מכשירים פרטיים ומכשירים של החברה, מנהלי משאבי אנוש יכולים להנחות מדיניות מחמירה המתווה שימוש מקובל ודרישות אבטחת מידע, במכשירים אישיים, לרבות יכולתה של מחלקת ה-IT למחוק מרחוק נתוני חברה במקרה של אובדן או גניבה.
על מנהלי משאבי אנוש גם לוודא שהעובדים מבינים את החשיבות של דיווח מיידי במקרה של אובדן או פגיעה במכשיר.
דיווח מיידי מאפשר פעולה מהירה באמצעות טכנולוגיות, לרבות טכנולוגיות של זיהוי ותגובה לנקודות קצה, ומערכות ניהול מידע ואירועי אבטחה המנוהלות על ידי מחלקת ה-IT.
בסיכומו של דבר, נקיטת גישה פרואקטיבית ומשולבת לפיתוח מדיניות אבטחת מידע, הכשרה מתמשכת וקידום אימוץ טכנולוגיות אבטחה מתקדמות, מאפשרת למנהלי משאבי אנוש לפעול לבניית מדיניות אבטחת מידע עמידה עבור כוח אדם מרוחק המפוזר ברחבי העולם.
The post 3 אתגרים ופתרונות אבטחת מידע לארגונים שמעסיקים עובדים מעבר לים first appeared on HRUS משאבי אנוש.
]]>The post 5 מרכיבים לזיהוי התקפות סייבר בדמות מסמכים לגיטימיים first appeared on HRUS משאבי אנוש.
]]>ככל שגובר תחכומם של תוקפי הסייבר כך מנהלי משאבי אנוש נאלצים להתמודד עם יותר ויותר איומים של סוסים טרויאנים, פישינג ועוד.
אחת המתקפות היותר מסוכנות הן מתקפות בהן עובדים מקבלים באימייל מסמכים ש"מתחפשים" למסמכים לגיטימיים של חברות שהעובדים עובדים מולן באופן שוטף, וכדי להכנס אליהם יש להקליד שם משתמש וסיסמה.
במילים אחרות, ניסיונות פישינג אלה מחקים לעתים קרובות ישויות מהימנות, ומניעים את העובדים להקליד את שמות המשתמש והסיסמאות שלהם כדי 'לגשת' למה שנראה כמסמך חיוני.
האתגר הקריטי מבחינת מנהלי משאבי האנוש הוא ללמד את העובדים להבחין בין בקשה אמיתית לאישורים לבין מלכודת זדונית.
קו ההגנה הראשון הוא הכשרה מקיפה ומתמשכת לעובדים. לא מדובר בהרצאה חד פעמית אלא בתהליך מתמשך.
על מנהלי משאבי אנוש לשתף פעולה עם צוות ה-IT כדי לבצע סימולציות פישינג מדומים באופן קבוע.
סימולציות אלה, המשתמשות בדואר אלקטרוני, מדמות פישינג מציאותיים אך הן א מזיקות.
הן מלמדות את העובדים לזהות נורות אדומות בסביבה בטוחה. לאחר הסימולציה יש לבצע תחקירים לגבי התנהלות העובדים, ולהסביר להם למה אלמנטים מסוימים היו חשודים. נוהל זה מחזק התנהגויות נכונות.
להלן 5 מרכיבים מרכזיים של הכשרת עובדים לזיהוי התקפות סייבר בדמות מסמכים לגיטימיים:
1 בדיקת פרטי השולח:
יש ללמד את העובדים להסתכל מעבר לשם שמופיע באימייל. לכתובת הדואר האלקטרוני של השולח בפועל יש חשיבות עליונה.
על העובדים לבדוק האם האימייל הגיע מדומיין שכל פרטיו תואמים את כתובת החברה שממנה הוא הגיע, או שיש לו תוספות וסיומות שונים. גם שגיאת כתיב אחת באות אחת יכולה להצביע על שולח זדוני.
2 להעביר את הסמן מעל קישורים בלי ללחוץ עליהם:
לפני לחיצה על קישור כלשהו, יש להציב את סמן העכבר מעליו בלי ללחוץ עליו, כדי לראות מהי כתובת האתר בפועל, בפינה השמאלית התחתונה של תוכנת האימייל.
אם כתובת האתר המוצגת אינה תואמת את הדומיין הלגיטימי הצפוי, זהו אינדיקציה חזקה לניסיון פישינג.
3 בחינת בקשת המסמך:
מסמכים לגיטימיים הדורשים כניסה עם שם משתמש וסיסמה, מכוונים בדרך כלל את העובדים לפורטל חברה מאובטח וממותג.
מנגד, מסמכים זדוניים מציגים לעתים קרובות בקשת כניסה מיידית בתוך הודעת הדואר האלקטרוני, או בדף שאינו דומה במאה אחוזים לדף הכניסה הרשמי של החברה.
כלומר, הוא יכול להיות דומה מאוד לדף הכניסה לאתר של החברה, אבל מבט מקרוב יכול לחשוף הבדלים קטנים.
יש לאמן עובדים להיות חשדניים בכל בקשה לאישורים שאינה מובילה לפורטל כניסה מוכר ומאובטח.
4 מודעות לטקטיקות של איום ודחיפות:
הודעות אימייל שהן פישינג, יוצרות לעתים קרובות תחושה כוזבת של דחיפות או איום, כמו לדוגמה, 'החשבון שלך יושעה אם לא תפעל עכשיו!'.
יש ללמד את העובדים שעליהם לחשוד בניסוחים כאלה, שכן תקשורת לגיטימית כמעט אף פעם לא משתמשת בטקטיקות לחץ אלו.
5 בכל מקרה של ספק יש לאמת:
הצורך לאמת עם השולח בכל מקרה של ספק צריך להיות כלל זהב. אם עובד מקבל אימייל עם בקשת מסמך שנראית אפילו מעט מאוד שונה או לא מדויקת, עליו לאמת באופן עצמאי את אמיתותה.
המשמעות היא ליצור קשר עם השולח דרך ערוץ ידוע ולגיטימי, כמו למשל מספר טלפון מאומת או דואר אלקטרוני נפרד, ולא על ידי מענה לדואר האלקטרוני החשוד, כדי לאשר את הבקשה.
למנהלי משאבי אנוש יש גם תפקיד חיוני בטיפוח תרבות ארגונית של מודעות לתקיפות אבטחת סייבר.
המשמעות היא לעודד את העובדים לדווח על הודעות דואר אלקטרוני חשודות ללא חשש מזלזול מצד המנהלים או אף נזיפה.
חשוב מאוד ליצור מנגנון דיווח ברור וקל לשימוש, כמו למשל, כפתור ייעודי לדיווח פישינג בתוכנת הדואר האלקטרוני.
חינוך מתמיד של עובדים להיות ערים להבחנות קריטיות אלו, וטיפוח תרבות ארגונית של אבטחה פרואקטיבית, מאפשרים למנהלי משאבי אנוש לחזק משמעותית את הגנות הסייבר מפני התקפות פישינג מתוחכמות, להגן על נתונים רגישים ולשמור על תפעול הארגון.
The post 5 מרכיבים לזיהוי התקפות סייבר בדמות מסמכים לגיטימיים first appeared on HRUS משאבי אנוש.
]]>The post 3 יתרונות מרכזיים של הדרכת העובדים להגברת המודעות לאבטחת מידע first appeared on HRUS משאבי אנוש.
]]>היא מציידת את העובדים בידע ובכישורים הדרושים כדי לזהות ולהגיב לאיומים פוטנציאליים, ובכך מחזקת את מצב אבטחת המידע הכולל של הארגון.
במילים אחרות, הדרכה למודעות לאבטחת סייבר היא השקעה חיונית עבור כל ארגון המבקש להגן על עצמו מפני איומי סייבר.
צמצום טעויות אנוש, שיפור זיהוי ותגובה לאירועים תוך טיפוח תרבות ארגונית של שמירה את אבטחת מידע חזקה, מספקים יתרונות מיידיים וארוכי טווח כאחד.
בעידן של התקפות סייבר מתוחכמות יותר ויותר, העצמת העובדים עם הידע והכלים לפעול כקו ההגנה הראשון היא צעד קריטי לקראת הבטחת ביטחון וחוסן ארגוני.
להלן 3 יתרונות מרכזיים של הדרכת העובדים להגברת המודעות לאבטחת מידע:
1 הפחתת טעויות אנוש:
טעויות אנוש הן אחד הגורמים המובילים לפרצות מידע ואירועי אבטחת סייבר.
עובדים עלולים ללחוץ בטעות על קישורי פישינג, להוריד קבצים מצורפים זדוניים או להשתמש בסיסמאות חלשות, ולחשוף את הארגון לסיכונים משמעותיים.
הדרכת מודעות לאבטחת מידע מחנכת את העובדים לגבי איומי סייבר נפוצים ומלמדת אותם כיצד לזהות ולהימנע מפעילויות חשודות.
על ידי טיפוח תרבות ארגונית של ערנות, ההכשרה עוזרת להפחית את הסבירות לטעויות שעלולות לסכן מידע רגיש.
לאורך זמן, הדרכות אלה מובילות לפחות תקריות ועלויות נמוכות יותר הקשורות לתיקון.
2 שיפור זיהוי ותגובה של אירועים:
כוח עבודה מיומן היטב יכול לשמש כמערכת התרעה מוקדמת לאיומים פוטנציאליים.
עובדים שמבינים את הסימנים של ניסיונות דיוג וערים להם, כמו גם לנושא הדבקה בתוכנות זדוניות או סיכוני סייבר אחרים נוטים יותר לדווח על פעילויות חשודות באופן מיידי.
זה מאפשר למחלקת ה-IT או לצוות אבטחת הסייבר לטפל בבעיות לפני שהן מסלימות לאירועים גדולים.
הכשרה להגברת מודעות לאבטחת מידע מספקת לעובדים גם הדרכה מה לעשות במקרה של פרצת אבטחה, מה שמבטיח מענה מהיר ומתואם יותר.
זה ממזער את זמן ההשבתה ומפחית את הנזק הפוטנציאלי למערכות, לנתונים ולמוניטין של הארגון.
3 תרבות ארגונית של אבטחת מידע ארגונית משופרת:
אחד היתרונות המשמעותיים ביותר של הדרכה למודעות לאבטחת מידע הוא פיתוח של תרבות ארגונית חזקה ממוקדת אבטחת סייבר בארגון.
כאשר העובדים מבינים את החשיבות של אבטחת סייבר ואת תפקידם בהגנה על הארגון, הם הופכים למשתתפים פעילים בשמירה על סביבה מאובטחת.
מפגשי הכשרה קבועים, עדכונים על איומים מתעוררים, ותקשורת מתמשכת, מחזקים את המסר שאבטחת סייבר היא באחריות כולם.
תרבות ארגונית שמקדמת מודעות גבוהה לאבטחת מידע מפחיתה את הסיכון לאיומים פנימיים והופכת את הארגון לעמיד יותר בפני התקפות חיצוניות.
The post 3 יתרונות מרכזיים של הדרכת העובדים להגברת המודעות לאבטחת מידע first appeared on HRUS משאבי אנוש.
]]>The post 3 דרכים להערכת ההשפעה של הדרכת העובדים על מודעות לסכנות סייבר first appeared on HRUS משאבי אנוש.
]]>לכן הכשרת העובדים למודעות לגבי תקיפות סייבר הולכת והופכת למרכיב חיוני ביותר בהגנה על נתונים ומערכות רגישות של הארגון.
עם זאת, מנהלי משאבי אנוש חייבים להעריך את האפקטיביות של הכשרה כזו כדי לוודא שהיא מספקת ערך מוחשי.
הערכת הערך של הדרכת העובדים למודעות לסכנות הנובעות מהתקפות סייבר, הינה חיונית כדי לוודא שההשקעה של הארגון מניבה תוצאות חיוביות.
ניתוח תוצאות הערכה, מעקב אחר מדדי אירועים ואיסוף משוב, מאפשרים למנהלי משאבי אנוש לקבל הבנה מקיפה של השפעת ההדרכה.
הערכה יעילה עוזרת לשפר יוזמות הכשרה עתידיות ומחזקת את עמדת אבטחת הסייבר הכוללת של הארגון.
ככל שאיומי הסייבר מתפתחים, כך הערכה מתמשכת ושיפור הדרכה למודעות הם קריטיים כדי להקדים את הסיכונים הפוטנציאליים.
להלן 3 דרכים מרכזיות שמאפשרות למנהלי משאבי אנוש להעריך את ההשפעה של הדרכה למודעות לסכנות התקפות הסייבר:
1 לנתח הערכות לפני ואחרי ההדרכה:
דרך פשוטה למדוד את האפקטיביות של ההדרכה למודעות סייבר היא באמצעות הערכות לפני ואחרי ההדרכה.
הערכות אלו עוזרות לאמוד את הידע של העובדים לפני ההכשרה ואת הבנתם לאחר מכן.
השאלות יכולות להתמקד בזיהוי ניסיונות דיוג (פישינג), זיהוי נוהלי סיסמאות מאובטחות והבנת מדיניות אבטחת הסייבר של הארגון.
על ידי השוואת התוצאות, מנהלי משאבי אנוש יכולים לקבוע האם ההדרכה הצליחה להגביר את המודעות לאבטחת הסייבר של העובדים.
שיעורי שיפור נמוכים באופן עקבי עשויים להצביע על הצורך לשנות את תוכן ההדרכה או שיטות ההגשה.
2 מעקב אחר מדדי אירוע ושינויים התנהגותיים:
שיטה נוספת להערכת הערך של אימון למודעות סייבר היא על ידי ניטור מדדי אירועי אבטחת סייבר.
מדדי מפתח עשויים לכלול את מספר ניסיונות הדיוג שדווחו, תדירות התקפות מוצלחות או הזמן שלוקח להגיב לאיומי האבטחה.
ירידה ניכרת בתקריות בעקבות יישום ההדרכה מעידה על כך שהעובדים מיישמים את מה שלמדו.
בנוסף, מנהלי משאבי אנוש יכולים לצפות בשינויים התנהגותיים, כמו למשל האם העובדים מעדכנים סיסמאות באופן יזום, שימוש באימות רב-גורמי או חיפוש הדרכה לגבי אימיילים חשודים.
שינויים התנהגותיים כאלה הם אינדיקטורים חזקים לכך שההדרכה הצליחה.
3 איסוף נתוני משוב ומעורבות של עובדים:
משוב עובדים חשוב לאין ערוך בהערכת הרלוונטיות והיעילות של אימון למודעות סייבר.
מנהלי משאבי אנוש יכולים להשתמש בסקרים או בקבוצות מיקוד כדי להבין את תפיסות העובדים לגבי הבהירות, הרלוונטיות והישימות של ההדרכה לתרחישים בעולם האמיתי.
נתוני המעורבות, כגון שיעורי השתתפות, יכולים לספק תובנות לגבי מידת ההפנמה של ההכשרה בקרב העובדים.
אם ההכשרה מרתקת ומעשית, סביר יותר שהעובדים יקפידו ליישם את הלקחים שנלמדו.
The post 3 דרכים להערכת ההשפעה של הדרכת העובדים על מודעות לסכנות סייבר first appeared on HRUS משאבי אנוש.
]]>The post 7 סיכוני סייבר פוטנציאלים מחיבור התקני בלוטות' פרטיים של עובדים first appeared on HRUS משאבי אנוש.
]]>בשנים האחרונות, ובפרט עם העלייה המטאורית בהיקפי העבודה מהבית, הפך תחום זה לאחד התחומים שנמצאים גם תחת אחריות מנהל משאבי האנוש.
הסיבה לכך היא שנושא הגנת הסייבר חייב להיות חלק בלתי נפרד מהנהלים שהעובדים מונחים ליישם ואף להיות חלק בלתי נפרד מערכי החברה והתרבות הארגונית שלה.
בעוד תפקידה של מחלקת ה-IT הוא לעסוק בהגנה בהיבט התוכנה, תפקידו של מנהל משאבי האנוש הוא לוודא שהעובדים מודעים לסכנות ומקפידים על כל תג ותו בהנחיות להגנת הארגון מתקיפות סייבר.
במקומון החיפאי "כלבו" פורסם לאחרונה, כי ממחשב השייך לעיריית חיפה בוצעו כ-200 פניות ביום אחד לכתובת IP באינדונזיה.
מחקירה של אגף טכנולוגיות ומערכות מידע בעירייה עלה, כי עובד שזוהה על ידי כתובת ה-IP של מחשבו, גלש לאתרי העברת מדיה דיגיטלית ברוסיה, ובניגוד גמור לנהלים חיבר התקן פרטי לצורך חיבור בלוטות'.
כאשר עובדים מבצעים פעולות מסוכנות כמו גלישה באתרי העברת מדיה דיגיטלית בחו"ל או חיבור התקנים פרטיים באמצעות בלוטות' למחשבי החברה ולרשת שלה, הם חושפים את הארגון למגוון סכנות אבטחה ותפעוליות.
להלן 7 סיכונים למערכות החברה כתוצאה מחיבור התקנים פרטיים באמצעות בלוטות' וגלישה לאתרי העברת מדיה לא מוכרים:
1 איומי אבטחת סייבר:
גישה לאתרי העברת מדיה דיגיטלית – במיוחד מאתרים בינלאומיים – עלולה להכניס למערכת תוכנות רוגלה, תוכנות כופר וצורות אחרות של תוכנות זדוניות.
אתרים אלו הם בדרך כלל לא מספיק מאובטחים ועשויים שלא לציית לאותן תקנות פרטיות ואבטחה שהארגון מקפיד עליהן, מה שמגביר את הסיכון לפריצת מידע.
כאשר עובדים ניגשים לאתרים כאלה באמצעות מחשבי החברה, זה יכול להוביל לפגיעה בנתונים, לפריצה ולגישה לא מורשית למידע רגיש.
2 אובדן נתונים ודליפת מידע:
העברת קבצים דרך פלטפורמות מדיה לא מוסדרות עלולה לגרום לכך שנתוני חברה סודיים יאוחסנו בשרתים זרים או ייחשפו לצדדים שלישיים ללא ידיעת החברה.
זה יכול להוביל לגניבת קניין רוחני והפרות חוקי פרטיות הנתונים. מידע עסקי רגיש עלול להיגנב או לדלוף בשוגג, ולהשפיע על הפעילות העסקית, על אמון הלקוחות ועל היתרון התחרותי.
3 פגיעויות ברשת:
חיבור מכשירים אישיים, כמו סמרטפונים או טבלטים, למחשב החברה באמצעות בלוטות' עלול ליצור פרצות אבטחה משמעותיות.
במכשירים אישיים בדרך כלל אין אותה רמת אמצעי אבטחה שהחברה אוכפת, כמו הצפנה או עדכוני תוכנה רגילים.
אם התקנים אלה נפגעים על ידי תוכנות זדוניות או איומים אחרים, חיבור ה-Bluetooth יכול לשמש כשער לתוקפים לחדור לרשת החברה.
לאחר שנכנסו, פורצי הסייבר יכולים לנצל את הפגיעויות הללו כדי לגשת למכשירים אחרים, להפיץ תוכנות זדוניות, ואף להשתלט על הרשת כולה.
4 פגיעה בציות לתקנות הגנת מידע:
מדינות ותעשיות רבות כפופות לחוקי הגנה מחמירים על מידע ומסגרות אבטחת סייבר.
עובדים המשתמשים במכשירים או פלטפורמות לא מאובטחים או לא מורשים כדי לגשת או להעביר את נתוני החברה עלולים להפר בשוגג את התקנות הללו, ולגרום לקנסות כבדים, תביעות משפטיות ופגיעה במוניטין.
אם מידע רגיש של לקוחות או נתונים עסקיים נפגעים עקב פעולות אלה, החברה עלולה לשאת באחריות משפטית לאי הגנת נכסיה ונתוניה.
5 פוטנציאל לאיומי פנים:
חיבור מכשירים אישיים של עובדים וגישה לאתרים לא מפוקחים יכול להגביר את הסבירות לאיומים פנימיים, מכוונים ולא מכוונים.
גם עובדים מהימנים יכולים להוריד ללא כוונה קבצים מזיקים או לחשוף נתונים רגישים.
על אחת כמה וכמה כאשר מדובר בעובדים ממורמרים, שיכולים לקבל גישה לפלטפורמות הללו כדי לחבל בנתונים, לחבל בפעילות החברה או לשתף פעולה עם תוקפים חיצוניים.
6 שיבושים תפעוליים:
אם תוכנה זדונית או מתקפת סייבר חודרת לרשת החברה באמצעים אלו, הארגון עלול לחוות השבתת מערכת, אובדן נתונים או חוסר יעילות תפעולית.
שחזור מערכות ונתונים שנפגעו עלול לקחת ימים או שבועות, לעצור את הפעילות העסקית ולגרום לאובדן הכנסות, החמצת מועדי דדליין ומוניטין מוכתם.
7 חוסר אחריות ומעקב:
כאשר עובדים ניגשים לאתרים לא מאושרים או משתמשים במכשירים אישיים ברשתות החברה, קשה לצוותי IT ואבטחה לפקח על פעילותם.
חוסר היכולת לפקח מקשה על זיהוי התנהגות חשודה ברשת או זיהוי פרצות אבטחה בזמן אמת.
ללא פיקוח וניטור, ארגונים נותרים פגיעים לאיומים שאחרת היו יכולים להתגלות בשלב מוקדם.
The post 7 סיכוני סייבר פוטנציאלים מחיבור התקני בלוטות' פרטיים של עובדים first appeared on HRUS משאבי אנוש.
]]>