המעבר הרחב למודלי עבודה גמישים ומבוזרים בשנים האחרונות העלה באופן משמעותי את יכולות תקיפות הסייבר נגד ארגונים.

כאשר עובדים מתחברים למאגרי הנתונים מביתם, מבתי קפה או מהדרכים, גבולות ההגנה המסורתיים של המשרד הפיזי נעלמים לחלוטין.

תחכום התקפות הסייבר הגיע לרמות חסרות תקדים, במיוחד עם כניסתן של טכנולוגיות בינה מלאכותית המאפשרות להאקרים לייצר הנדסה חברתית מדויקת, הודעות פישינג מותאמות אישית ופתיונות מורכבים.

במציאות זו, מכשיר קצה בודד, לרבות לפטופ, סמארטפון או מחשב ביתי, עלול להפוך לשער כניסה קל ומהיר עבור תוקפים, אל זרם הנתונים הרגיש ביותר של החברה.

המקור המרכזי לתורפת הארגון אינו נובע בהכרח מכשל טכנולוגי, אלא דווקא מטעויות אנוש.

מסקר מקיף של חברת גאלופ עולה, כי עובדים הפועלים בסביבה היברידית ללא הנחיות ברורות ותרגול רציף בנוגע להגנת סייבר, נוטים לגלות ערנות נמוכה בהרבה לאיומי אבטחה.

במקביל, מחקרים של גרטנר מראים, כי יותר מ-60% מאירועי הסייבר והדלפות המידע בארגונים נגרמים ישירות בשל גורמים אנושיים.

החל מסיסמאות חלשות, דרך לחיצה על קישורים זדוניים ועד העברת מידע רגיש לכלי בינה מלאכותית חיצוניים ולא מאושרים.

עבור מנהלי משאבי האנוש, האתגר כפול ומכופל. מעבר לדאגה לרציפות עבודת הצוות, מחלקת משאבי האנוש מנהלת את המאגרים הרגישים ביותר בארגון: פרטים אישיים, מסמכים רפואיים, נתוני שכר, מספרי תעודות זהות ופרטי חשבונות בנק של העובדים.

מחקר של חברת PwC מצביע על כך שגניבת זהויות של עובדים ודליפת מידע אישי פוגעות אנושות באמון העובדים בארגון, מייצרות חשפה משפטית כבדה, ופוגעות קשות במותג המעסיק.

על כן, הגנה על נתונים אלו דורשת תפיסת אבטחה מחמירה הכוללת הצפנה מקצה לקצה, גיבויים תקופתיים ואסטרטגיית התאוששות מאסון, מעודכנת.

כדי לבנות חוסן קיברנטי אמיתי, מחקרים של דלויט ומקינזי מדגישים שלושה עקרונות יסוד שכל מנהל משאבי אנוש חייב ליישם.

להלן 3 העקרונות שמאפשרים לבנות הגנת סייבר איכותית, על פי דלויט ומקינזי:

1 ניהול הרשאות קפדני:

הגבלת הגישה לנתונים רגישים על בסיס צורך מוגדר בלבד. צמצום מספר בעלי ההרשאות מפחית באופן אוטומטי את הסתברות הזליגה.

2 שינוי תפיסתי מטכנולוגיה לתרבות ארגונית:

אבטחת מידע אינה מסתכמת בהתקנת אימות דו-שלבי או חומת אש. השינוי האמיתי דורש העלאת מודעות מתמדת, הטמעת נהלים ברורים ומניעה אקטיבית של טעויות אנוש.

3 הדרכה מתמשכת ובקרה:

הטמעת שיטות עבודה מומלצות כחלק מה-DNA הארגוני, כולל סימולציות פישינג תקופתיות והדרכות ייעודיות לכללי אבטחה בעבודה מרחוק.

בסיכומו של דבר, מידע הוא הנכס היקר ביותר של הארגון המודרני, אבל האנשים המשתמשים בו הם גם החוליה החלשה ביותר וגם קו ההגנה הראשון שלו.

הידוק השיתוף בין מחלקת ה-IT, מנהלי משאבי האנוש וגורמי האבטחה, בצד השקעה בחינוך טכנולוגי ותרבות של ערנות להתקפות, יבטיחו כי הגמישות התעסוקתית בעידן הנוכחי לא תבוא על חשבון הבטיחות והיציבות העסקית.

The post אבטחת מידע בעידן העבודה המבוזרת וה-AI first appeared on HRUS משאבי אנוש.

מתברר שהאיום הגדול ביותר על המידע הרגיש של החברה מגיע לעיתים קרובות דווקא מבפנים. מהעובדים. ולא מתוך כוונת זדון, אלא בשל טעויות אנוש תמימות.

במציאות זו, אבטחת מידע היא כבר לא נחלתה הבלעדית של מחלקת ה-IT, ומנהל משאבי האנוש הופך לשחקן אסטרטגי בקו ההגנה הראשון של הארגון.

השומר שבפנים – מהו תפקידו האסטרטגי של מנהל משאבי האנוש במניעת דליפות מידע בשל טעויות אנוש:

כאשר בוחנים את הגורמים לדליפות נתונים בארגונים, הנתונים של חברות המחקר המובילות מפתיעים מדי שנה.

מדו"ח הגנת המידע השנתי של חברת ווריזון וחברת המחקר גרטנר עולה, כי יותר מ-74% מכלל אירועי אבטחת המידע ודליפות הנתונים בארגונים כוללים רכיב של הגורם האנושי.

מתוכם, כ-50% מוגדרים כטעויות אנוש מובהקות ושלא במתכוון של עובדים ומנהלים (קיימים ולשעבר), בעוד שפריצות האקרים ישירות ושלא נעזרו בטעות אנוש (כמו פישינג שהצליח) מהוות את הנתח הנותר.

כשהטעות הופכת למשבר – להלן 4 דוגמאות לדליפות מידע מתוך החברה שיכולות להתרחש במגוון תרחישים יומיומיים:

1 שיתוף קבצים שגוי:

עובד המשתף קישור לענן (כמו Google Drive או OneDrive) ומגדיר אותו בטעות כפתוח לכל מי שקיבל את הקישור במקום להגבילו לעובדי החברה בלבד.

2 תכתובות דואר אלקטרוני קריטיות:

שליחת דו"ח שכר או מידע עסקי סודי לנמען שגוי בשל מנגנון ההשלמה האוטומטית בתיבת האימייל (למשל, שליחת אימייל ללקוח חיצוני בעל שם דומה לעובד פנימי).

3 שימוש בכלי בינה מלאכותית חיצוניים:

עובדים המזינים קוד מקור סודי, נתונים פיננסיים או מידע אישי של לקוחות לתוך מודלי בינה מלאכותית ציבוריים לצורך ניתוח, בלי לדעת שהמידע הופך לחלק ממאגר האימון של המערכת.

4 עובדים לשעבר (חשבונות רפאים):

עובד שעזב את החברה אבל תהליך הניתוק שלו מהמערכות הארגוניות לא הושלם באופן מלא, מה שמאפשר לו גישה אקראית (בטעות או מתוך הרגל) למידע פנימי רגיש.

תפקידו האסטרטגי של מנהל משאבי האנוש:

כדי למנוע תקלות אלה, למנהל משאבי האנוש יש תפקיד מפתח שחורג מהדרכה שגרתית.

חברת המחקר דלויט מדגישה, כי מנהל משאבי האנוש אחראי על עיצוב תרבות אבטחת המידע בארגון בשלושה צירים מרכזיים:

1 ניהול מחזור חיי העובד וניתוק בעת עזיבה:

מנהל משאבי האנוש הוא הגוף המסנכרן את תהליך העזיבה. עליו לוודא קיומו של פרוטוקול קשיח מול מחלקת ה-IT, המבטיח חסימה מיידית ואוטומטית של כלל הרשאות הגישה של העובד ביום עזיבתו, כולל קבוצות ווטסאפ, תיבות אימייל ומערכות ענן.

2 הדרכות מבוססות התנהגות:

במקום לקיים מבדק אבטחה משעמם פעם בשנה, על מנהל משאבי האנוש להוביל סדנאות חווייתיות המדמות טעויות נפוצות (כמו למשל שימוש לא בטוח בבינה מלאכותית), במטרה להעלות את המודעות הדיגיטלית והאוריינות הדיגיטלית של העובדים ביומיום.

3 יצירת תרבות של שקיפות בלי להאשים את הטועה:

אם עובד ביצע טעות ושלח קובץ שגוי, עליו להרגיש בטוח לדווח על כך מיד למשאבי האנוש ול-IT, בלי לחשוש מפיטורים.

דיווח מהיר מאפשר לטפל באירוע בתוך דקות ולמזער את הנזק, בעוד שהסתרה מחשש לעונש רק מחמירה את הדליפה.

בסיכומו של דבר, אבטחת המידע כיום כבר לא מבוססת רק על חומות אש טכנולוגיות, אלא על החוסן והמודעות של ההון האנושי.

מנהל משאבי אנוש המבין את תפקידו האסטרטגי, פועל לצמצום חסמי המיומנות, יוצר סביבת עבודה אחראית, ומספק לארגון את ההגנה הטובה ביותר מפני הטעויות הבלתי נמנעות של בני האנוש המפעילים אותו.

The post 4 דוגמאות לדליפות מידע מהחברה בגלל טעויות אנוש first appeared on HRUS משאבי אנוש.

להלן 5 כללי זהב להגנה על המידע של הארגון, על הלקוחות ועל הפרטיות של העובדים מכל מקום:

1 הגישה היא רק של העובד ושל העובד בלבד:

אימות דו-שלבי: לעולם אין לכבות או לעקוף את האימות הדו-שלבי. זהו קו ההגנה החשוב ביותר.

הסיסמה היא אישית: אין לשתף סיסמאות באף פלטפורמה.

מחשב העבודה הוא לעבודה בלבד: בני משפחה, ילדים או אורחים, מקסימים ככל שיהיו, אינם מורשים להשתמש במחשב הארגוני. זהו איסור מוחלט. גם לא רק לרגע, ליוטיוב, או לשיעורי בית.

2 רשתות Wi-Fi – היזהרו ממלכודות:

ה-VPN הוא החבר הטוב ביותר של העובד מהבית: בכל התחברות לרשת חיצונית, ה-VPN חייב להיות דלוק. הוא יוצר צינור מאובטח ומוצפן למידע שעובר ברשת למחשב או למכשיר הנייד של העובד.

בלי רשתות ציבוריות פתוחות: כאשר עובדים בבית קפה או ברכבת, אין להתחבר ל-Wi-Fi החינמי ללא הצפנה. יש להעדיף תמיד שימוש בנקודה חמה (Hotspot) מהטלפון הנייד האישי של העובד.

3 עירנות לפישינג (דיוג):

האקרים אוהבים לנצל את העובדה שהעובד עובד לבד בבית ואינו יכול לשאול את הקולגה בשולחן לידו, האם גם הוא קיבל אימייל מוזר מהנהלת חשבונות.

יש לבדוק את השולח: אם קיבלתם לינק דחוף, זה צריך להדליק נורה אדומה. יש לבדוק היטב את כתובת האימייל של השולח. אות אחת שונה יכולה להיות כל ההבדל.

לא להקיש לפני שבודקים: אם האימייל נראה חשוד אפילו קצת, אין ללחוץ על שום קישור ואין להוריד שום קובץ. יש לפנות מייד למחלקת ה-IT.

4 הגנה פיזית על המידע:

לנעול את המסך: בכל פעם שהעובד זז מהמחשב, בין אם זה כדי להכין לעצמו קפה במטבח או כדי ללכת לבית קפה עם המחשב, יש להקיש Windows + L (או Lock ב-Mac). זוהי פעולה שמונעת חשיפת מידע מיותרת.

להימנע מהדפסה: יש להמנע ככל הניתן מהדפסת חומרים מסווגים בבית. אם העובד חייב להדפיס, עליו לוודא שהמסמכים שהודפסו לא נשארים על השולחן לעיני כל, ולהשמיד אותם ברגע שכבר אין בהם צורך.

5 הכלל החשוב ביותר – דיווח על תקלה ללא אשמה:

למרות ההקפדה ביומיום, קורה לפעמים שיש טעויות. אם העובד לחץ בטעות על לינק חשוד, או שהמחשב שלו נגנב או שהטלפון אבד, עליו לדווח מייד בלי לחשוש.

על מנהל משאבי האנוש להבהיר לכל העובדים, כי תפקידו הוא לעזור, לא כדי להעניש.

דיווח מהיר בתוך דקות יכול למנוע נזק עצום לארגון. ככל שהעובד ידווח מהר יותר, מחלקת ה-IT תוכל לפעול מהר יותר וכך ניתן יהיה לבלום את האירוע בקלות רבה יותר.

ולבסוף, על מנהל משאבי האנוש להזכיר לעובדים שוב ושוב, כי אבטחת מידע היא לא אתגר בלעדי של מחלקת המחשוב, אלא היא באחריות כל אחד מהעובדים והמנהלים.

The post 5 כללים להגנה על הרשת הארגונית מפריצות דרך מחשבי העובדים מרחוק first appeared on HRUS משאבי אנוש.

אלא שבה בעת, מחקרים שבוצעו בנושא צופים יותר פגיעות על ידי איומי סייבר בגלל התגברות השימוש בבינה מלאכותית.

ממחקרי שוק שבוצעו לצורך תחזיות לקראת השנים 2026-2027 עולה תמונה ברורה למדי, אבל פרדוקסלית:

הארגונים מגדילים אמנם דרמטית את השקעותיהם באבטחת הסייבר, אבל עלייה זו בהוצאות אבטחת הסייבר מתקשה להתמודד עם התחכום והנפח המואצים של איומי הסייבר, המונעים בעיקר על ידי בינה מלאכותית.

הארגונים מגיבים להתגברות איומי הסייבר תוך הגברת התחייבויות פיננסיות חזקות להשקעות באמצעי הגנה מפני תקיפות סייבר.

ממחקרים שבוצעו בעולם על היערכות הארגונים לקראת עלייה באיומי הסייבר בשנתיים הקרובות עולה, כי סך ההוצאה הכלל עולמית על מוצרים ושירותי אבטחת סייבר צפויה לעלות ליותר מ-520 מיליארד דולר בשנה, עד סוף השנה הנוכחית או במהלך 2026.

מדובר בעלייה של כ-100 אחוזים לעומת הוצאות בהיקף של כ-260 מיליארד דולר בשנת 2021.

שוק שירותי אבטחת הסייבר הרחב יותר, צפוי להגיע לכ-178 מיליארד דולר עד 2027, עם קצב צמיחה שנתי מצטבר גבוה.

צמיחה זו מונעת על ידי טרנספורמציה דיגיטלית, התפשטות מכשירי IoT (האינטרנט של הדברים) ואימוץ סביבות מרובות עננים, שכולם מרחיבים את משטח התקיפה.

ההוצאות על אבטחת סייבר מתמקדות יותר ויותר בפתרונות מהדור הבא. התחומים בהם ניתן לראות את הצמיחה המהירה ביותר (של הוצאות על אבטחת סייבר), כוללים אבטחת ענן, ניהול אירועי אבטחה מנוהלים (SIEM), ופתרונות הממנפים בינה מלאכותית ולמידת מכונה לגילוי ותגובה אוטומטיים לאיומים.

עוד עולה ממחקרי השוק, כי כ-53% מהארגונים נותנים עדיפות לכלי בינה מלאכותית כדי לסגור פערים קיימים ביכולות.

ארכיטקטורת אפס אמון (ZTA) צפויה לעבור עד סוף השנה הנוכחית משיטות עבודה מומלצות, לדרישה רגולטורית עבור מגזרים רבים, מה שמאלץ שיפוץ מקיף של מערכות ניהול זהויות וגישה.

אלא שלמרות ההשקעה העצומה, העלייה אמיתית בהגנה מפני תקיפות סייבר נותרה חמקמקה, ויוצרת את פרדוקס אבטחת הסייבר.

ההפסדים שנגרמים לארגונים בעולם כתוצאה מפשעי סייבר ממשיכים לזנק, ועד סוף השנה הנוכחית הם צפויים להגיע לכ-10.5 טריליון דולר בכל העולם.

הדבר מצביע על כך שהעלייה בהוצאות על אבטחת סייבר דומה כעת לקצב העלייה של העלויות הנובעות מההתקפות, או מפגרת מעט אחריהן.

האתגר העיקרי שניצב בפני הארגונים הוא הפיכת הבינה המלאכותית לנשק בידי גורמי האיום.

מהירויות ההתקפות צפויות לעלות עד פי 100 כאשר האקרים ימנפו בינה מלאכותית גנרטיבית לצורך זיופים עמוקים משכנעים ביותר וחדירות אוטומטיות למערכות הארגונים, מה שיהפוך הגנות מסורתיות, המפותחות במהירות אך על ידי בני אנוש, למיושנות.

מומחים צופים ששנת 2026 תסומן כשנת פרצת האבטחה הקיברנטית הגדולה הראשונה המונעת על ידי בינה מלאכותית.

פגיעות בולטת נמשכת בניהול הטכנולוגיה החדשה. אימוץ הבינה המלאכותית על ידי הארגונים אמנם הולך ונעשה יותר ויותר נפוץ, אבל מחקרים מצביעים על כך שרק כששה אחוזים מהארגונים מחזיקים באסטרטגיית אבטחה מתקדמת של בינה מלאכותית.

פער משמעותי זה פירושו שעצם הטכנולוגיה שנועדה להגביר את ההגנות, מציגה בו זמנית סיכונים חדשים ומורכבים.

בסיכומו של דבר, התחזיות לשנים 2026-2027 היא של עימות מחריף בין ההאקרים לארגונים המתגוננים.

הארגונים מחזקים את הגנותיהם עם השקעות שיא בבינה מלאכותית ואבטחת ענן.

עם זאת, גל הגנתי זה נתקל בשימוש עוין בבינה המלאכותית ובצורך ארגוני דחוף לסגור את פער המיומנויות, מה שגורם לרמת ההגנה התאגידית נטו להיות חסרת יציבות באופן מסוכן.

The post התגברות איומי הסייבר על הארגונים לקראת 2026-2027 first appeared on HRUS משאבי אנוש.

ככל שיותר אנשים קונים אונליין, כך גוברת המוטיבציה של ההאקרים לפרוץ למחשבים האישיים ולמכשירים האחרים של העובדים ומשם קצרה הדרך לפריצה למערכות הארגונים, של עובדים שעובדים מהבית, אפילו באופן חלקי.

האקרים מנצלים את הנפחים הענקיים של הקניות אונליין על ידי הגברת מתקפות הנדסה חברתית.

הם שולחים כמויות אדירות של אימיילים מתוחכמים עם אמצעי פישינג במסווה של אישורי משלוח, מבצעי בלאק-פריידי או הודעות דחופות על משלוחים כושלים מקמעונאים פופולריים.

עובדים, המוסחים על ידי קניות אישיות תוך כדי לחץ בעבודה, נוטים יותר ללחוץ על קישורים או קבצים מצורפים זדוניים במכשירים אישיים ובמכשירי העבודה כאחד.

לינקים אלה יכולים להוביל לדפי איסוף אישורים, המאפשרים להאקרים לגנוב פרטי כניסה של החברה, או להוריד תוכנות זדוניות או תוכנות כופר לרשת הארגונית.

יתר על כן, עונת החגים פירושה לעיתים קרובות שצוות ה-IT דליל יותר משום שחלק מהאנשים בחופשה.

מצב זה מאפשר לתוקפים לנצל פגיעויות או להפעיל מתקפות כופר בידיעה שזמני התגובה יהיו איטיים.

ההתמקדות בנפח מכירות גבוה יכולה גם להוביל חברות להוריד זמנית את סדרי העדיפויות של אבטחה לטובת מהירות, וליצור פתח קריטי לפריצה.

לאור כל זאת, כל מי שעובד מהבית, גם חצי שעה ביום לאחר החזרה מהעבודה במשרד, חייב להקפיד על כל כללי הגנת הסייבר, כאילו המחשב בביתו הוא מחשב העבודה שלו.

אחרי הכול, כל תקשורת בין מחשב שנפרץ למחשבי החברה, יכולה לשמש כאמצעי תיווך לפריצה למערכות החברה.

תקופת הקניות בחודשים נובמבר דצמבר, היא עונת השיא עבור האקרים. זו תקופה שבה אתרים מתחזים, דיוג (פישינג) וגניבת פרטים אישיים, לרבות ססמאות ושמות משתמשים, הופכים לנפוצים מאוד.

להלן 9 כללי ברזל לקנייה בטוחה באונליין, שפירסם מערך הסייבר הלאומי, כדי להגן מפני פריצות סייבר:

1 יש לקנות רק באתרים מוכרים, שיש עליהם חוות דעת טובות ברשתות החברתיות.

2 כשמקבלים הודעה בווטסאפ או באימייל או נתקלים במודעה ברשתות החברתיות, לא נכנסים ללינק אלא מחפשים את האתר המקורי ונכנסים רק דרכו.

וגם באתר המוכר, אם מקבלים הודעה שנאמר בה שיש למלא פרטים אישיים באופן מיידי, ושאם הפרטים לא ימולאו באופן מיידי יגרם נזק, לא ממלאים שום פרט.

מבררים עם שירות הלקוחות של האתר אם זה אכן לגיטימי. בדרך כלל, הודעות שמאיצות במשתמש למלא פרטים וכוללות איום לגבי נזקים שיקרו אם הפרטים לא ימולאו, הן הודעות של תקיפת סייבר.

3 בכל אתר שנכנסים אליו, גם באופן ישיר ולא דרך לינק, רצוי לחפש את פרטי העסק ושירות הלקוחות.

4 בכל אתר יש לבדוק שיש HTTPS.

5 אם מקבלים אזהרת דפדפן, יש לצאת מייד מהאתר.

6 נקודה חשובה מאוד: יש לבדוק כמה זמן האתר קיים. אם הוא אתר חדש שהוקם בסמוך לעונת המבצעים, זו צריכה להוות נורה אדומה מהבהבת עם קולות של סירנה.

7 יש לקרוא את מדיניות ההחזרות, משלוחים, פרטי התקשרות וכדומה. אין לתת אמון באתר שאין בו שקיפות.

8 בשום פנים ואופן אין לשלוח פרטי כרטיס אשראי או פרטי גישה בהודעות. התשלום צריך להתבצע רק באתר מאובטח. לא בווטסאפ, לא בטלפון.

9 רצוי לבדוק את הביקורות. אם הן נראות מועתקות או זהות באתרים שונים, הן כנראה מזויפות.

בכל מקרה, כמו תמיד, חשוב מאוד לבחור סיסמה חזקה ולהוסיף אימות דו-שלבי.

The post איך צריך להגביר את ההגנה מתקיפות סייבר בעונת קניות האונליין first appeared on HRUS משאבי אנוש.

תפקידו של מנהל משאבי אנוש פרואקטיבי הוא קריטי בגישור הפער בין דרישות ה-IT הטכניות לבין הבנת העובדים את אחריותם להגנת הרשת הארגונית, תוך הבטחת תרבות אבטחה איתנה.

הדרכת אבטחה מקיפה שתועבר בצורה מרתקת:

האחריות העיקרית של מנהל משאבי אנוש היא להקים ולאכוף תוכנית הדרכה חובה ורציפה, למודעות לאבטחה המותאמת לכוח העבודה המודרני והמבוזר.

מדובר בתוכנית שהיא הרבה מעבר למצגות שנתיות. ההדרכה חייבת להיות חוזרת, בתדירות גבוהה, ורלוונטית לזרימת העבודה היומיומית מרחוק.

יש להשתמש בדוגמאות אנונימיות מהעולם האמיתי של התקפות מוצלחות נגד חברות דומות, כדי להמחיש את ההשפעה הפיננסית והתדמיתית ואת השפעתה של הפריצה על הביטחון התעסוקתי.

מיקרו-למידה:

יש לפרק נושאים מורכבים למודולים קצרים וקלים ללמידה, כגון סרטונים בני חמש דקות או חידונים אינטראקטיביים, שהעובדים יכולים להשלים אותם באופן קבוע ושטף. זה עוזר לחזק את הידע בלי לגרום לעייפות הדרכה ויציאה מריכוז.

התמקדות בקשר מרחוק:

מודולי הדרכה ספציפיים חייבים להתייחס לנקודות תורפה שהן ייחודיות לעבודה מהבית, כגון אבטחת רשתות Wi-Fi ביתיות, שימוש במכשירים שהונפקו על ידי החברה אך ורק לעבודה, הסיכונים של Wi-Fi ציבורי ואבטחה פיזית של מכשירים במרחב מגורים משותף.

הסבר הסכנות – פענוח סוגי פריצות:

כדי להבין באמת את חומרת האיום, העובדים חייבים להבין כיצד האקרים פועלים ואת הסכנה הספציפית הנשקפת מכל וקטור התקפה.

על מנהלי משאבי האנוש לשתף פעולה עם מחלקת ה-IT כדי לתרגם את השפה הטכנית והמונחים, למונחים ברורים וניתנים ליישום:

פישינג:

דואר אלקטרוני או הודעה מטעה שנועדו להיראות לגיטימיים (למשל, כאלה שנראים כאילו הגיעו מ-IT, ממשאבי אנוש או מספק) שמנסים להערים על העובדים כדי שילחצו על קישור זדוני או כדי שימסרו פרטי כניסה למערכת.

הפישינג מאפשר גניבת אישורים מיידית, דבר שמעניק להאקר מפתח תקף לרשת החברה, מה שמוביל לגניבת נתונים או להתקפות נוספות.

סוס טרויאני:

תוכנה מזיקה במסווה של יישום שימושי או תמים (למשל, משחק חינמי, קורא מסמכים, תיקון שנראה לגיטימי, אגרת ברכה דיגיטלית) שהמשתמש (העובד) מוריד למחשב מרצונו.

סוס טרויאני יוצר גישה סמויה למערכת. כלומר הוא יוצר 'דלת אחורית' במחשב של העובד, דרכה הההאקר יכול לגנוב נתונים, לנטר פעילות או להתקין תוכנת כופר (שנועלת קבצים לצורך דרישת כופר).

הנדסה חברתית:

מניפולציה של עובדים שישברו את פרוטוקולי האבטחה. לעיתים קרובות זה מתבצע על ידי משחק על אמון, פחד או תחושת דחיפות (למשל, שיחה ממישהו שמתחזה למנכ"ל הדורש העברה בנקאית מיידית).

האקרים שמשתמשים בהנדסה החברתית עוקפים בכך את האבטחה הטכנית. שיטה זו מנצלת את הגורם האנושי, מה שמוביל לעיתים קרובות להפסד כספי משמעותי או לחשיפת מידע רגיש ביותר.

טיפוח תרבות ארגונית של דיווח ללא אשמה:

חשוב לציין, שמנהל משאבי אנוש חייב לפעול כדי לחסל את הפחד של העובדים מפני מעונש, כאשר עובד לוחץ בטעות על משהו חשוד.

תרבות ארגונית של "אי אשמה" הינה חיונית לדיווח בזמן אמת, שכן ככל שמחלקת ה-IT תדע מהר יותר על בעיה, כך היא תוכל לבלום את האיום מהר יותר.

על משאבי אנוש להעביר בבירור את נוהל דיווח האירועים המפרט את הדברים הללו: למי לפנות אם התרחשה טעות שגרמה לפריצה, כיצד ליצור איתו קשר (לא דרך הדואר האלקטרוני שעלול להיות פרוץ), ואילו צעדים יש לנקוט באופן מיידי (למשל, ניתוק מהרשת).

קידום עקבי של גישה פרואקטיבית זו מאפשר למנהל משאבי האנוש להפוך עובדים מרוחקים הפגיעים לפריצות, לצוות אבטחה עירני, ולהפוך טעויות אנוש להזדמנות לחינוך ולא לכישלון קטסטרופלי.

The post מה צריך לעשות מנהל משאבי אנוש כדי לוודא שמירה על אבטחת המידע בארגון first appeared on HRUS משאבי אנוש.

השיטות הנדרשות לאבטחת מידע בחברות שיותר ממחצית עובדיהן עובדים מהבית שונות באופן משמעותי ממצב שבו יותר מ-75 אחוזים מהעובדים, עובדים במשרד (או באתר החברה).

ההבדלים מתמקדים בעיקר בנושא אבטחת הרשת הארגונית, ניהול נקודות קצה (מחשבים וטלפונים חכמים) ומודעות והכשרת עובדים.

להלן 3 הבדלים בין דרישות אבטחת הסייבר בחברה שלפחות 50% מעובדיה עובדים מהבית, לבין דרישות אבטחת הסייבר בחברה שכ-75% או יותר מעובדיה, עובדים במשרד:

1 אבטחת רשת – הגנות היקפיות לעומת הגנות מבוזרות:

בסביבת משרד מסורתית, שבה רוב העובדים עובדים במשרד, אבטחת המידע של חברה מסתמכת במידה רבה על אבטחת רשת חזקה.

זה בדרך כלל כרוך בחומות אש חזקות, מערכות זיהוי פריצות לרשת ומניעתן, ורשתות פנימיות מאובטחות.

המוקד הוא על הגנה על גבול מוגדר, כאשר תעבורת המידע זורמת ברובה דרך ערוצים מבוקרים.

העובדים מתחברים לרשת הארגונית באמצעות חיבורים קוויים או Wi-Fi מאובטח, והנתונים נמצאים בעיקר בשרתים מקומיים או בסביבות ענן מבוקרות היטב.

מנגד, במצב בו יותר מ-50% מהעובדים עובדים מהבית, אבטחת המידע חייבת להיות שונה לחלוטין.

הרשת הביתית של כל עובד מרוחק הופכת לנקודת כניסה פוטנציאלית לתוקפים. במקרים אלה, הדגש עובר לאמצעי אבטחה מבוזרים.

חברות מסוג זה חייבות ליישם רשתות פרטיות וירטואליות (VPN) או, ליתר דיוק, גישה לרשת אפס אמון (ZTNA).

זאת, כדי להצפין את כל התעבורה ולאמת כל משתמש ומכשיר לפני מתן גישה למשאבי החברה, ללא קשר למיקומם.

זה כולל הצפנה חזקה לנתונים בעת שהם עוברים וגם בעת שאין מעבר נתונים, כמו גם אבטחת יישומי ענן ושירותים שעובדים מרוחקים מסתמכים עליהם במידה רבה.

שימוש ב-Wi-Fi ציבורי, הנפוץ בקרב עובדים מרוחקים, מחייב אכיפה קפדנית של VPN כדי למנוע התקפות דרך "מתווך".

2 ניהול נקודות קצה – שליטה מרכזית לעומת מכשירים מגוונים:

במקרים בהם 75 אחוז מהעובדים (או יותר) עובדים במשרד, ניתן ליישם שליטה מרכזית על מכשירים בבעלות החברה.

מחלקות ה-IT של החברה יכולות לפרוס, לתקן ולנטר בקלות את כל נקודות הקצה, לרבות מחשבים ניידים, מחשבים שולחניים, ומכשירים ניידים אחרים, בעזרת תוכנת אבטחה אחידה, אנטי-וירוס וכלי מניעת אובדן נתונים (DLP).

במקרים אלה, גם אמצעי אבטחה פיזיים עבור מכשירים אלה הינם קלים יותר ליישום.

מנגד, בחברות בהן יותר מ-50 אחוזים מהעובדים הם עובדים מרוחקים, נדרשת התמודדות עם מגוון רחב של אתגרים בנקודות הקצה.

עובדים משתמשים לעתים קרובות במכשירים האישיים שלהם, או במכשירים שסופקו להם על ידי החברה והם מתחברים לרשתות ביתיות לא מאובטחות.

עובדה זו מחייבת מעבר לפתרונות מתקדמים לזיהוי ותגובה של נקודות קצה (EDR) ומדיניות ניהול מכשירים ניידים (MDM).

כלים אלה מאפשרים למחלקת ה-IT לנהל, לנטר ולאכוף מרחוק מדיניות אבטחה על מכשירים מגוונים, ללא קשר לבעליהם או למיקומם.

ניהול עדכוני אבטחה הופך קריטי ומורכב יותר, ודורש פתרונות אוטומטיים כדי להבטיח שכל המכשירים מעודכנים בעדכוני האבטחה העדכניים ביותר.

יתר על כן, במקרים אלה, הסיכון לגניבה או אובדן של מכשירים פיזיים עולה, מה שהופך את יכולות הצפנת דיסק מלאה ומחיקה מרחוק לחיוניות.

3 מודעות והדרכת עובדים – סביבה מבוקרת לעומת אחריות אישית:

במקרים בהם 75 אחוזים או יותר מהעובדים עובדים במשרד, הדרכתם להגברת מודעות לאבטחה יכולה להיות ישירה יותר ומחוזקת באמצעות נוכחות פיזית ותמיכת IT מיידית.

במקרים אלה, עובדים נוטים פחות ליפול קורבן להתקפות סייבר כאשר עמיתים או אנשי IT זמינים בקלות לאימות.

מנגד, כאשר יותר מ-50 אחוזים מהעובדים עובדים מרחוק, 'חומת האש האנושית' הופכת קריטית עוד יותר.

עובדים מרוחקים הם לעיתים קרובות מבודדים מעמיתיהם ולכן רגישים יותר להתקפות פישינג, תוכנות כופר והתקפות מתוחכמות של הנדסה חברתית, המנצלות את היעדר אימות עמיתים או סיוע IT מיידי.

לכן, במקרים אלה, יש חשיבות עליונה להכשרה מתמשכת ומותאמת אישית בתחום אבטחת הסייבר.

הכשרה זו לעובדים המרוחקים חייבת להיות הרבה מעבר למודעות בסיסית. עליה לכסות נושאים כמו תצורות רשת ביתית מאובטחות, זיהוי טכניקות פישינג מתקדמות, שימוש בטוח בכלי שיתוף פעולה וחשיבות הדיווח על פעילות חשודה.

תרגילי פישינג מדומים ותקשורת קבועה לגבי איומים מתעוררים, הינם קריטיים לבניית עמידות בפני התקפות סייבר, של כוח העבודה שמבין את תפקידו בשמירה על רמת האבטחה הכוללת של החברה.

The post 3 הבדלים באבטחת סייבר בין עבודה שרובה במשרד לעבודה שרובה מהבית first appeared on HRUS משאבי אנוש.