องค์กรส่วนใหญ่เข้าใจดีว่าผู้คนมีบทบาทสำคัญในเรื่องความเสี่ยงทางไซเบอร์ แต่มีองค์กรจำนวนน้อยกว่ามากที่สร้างโปรแกรมการฝึกอบรมสร้างความตระหนักรู้ด้านความปลอดภัย หรือเริ่มใช้งาน โปรแกรมจัดการรหัสผ่านสำหรับธุรกิจ ซึ่งสามารถเปลี่ยนพฤติกรรมได้อย่างแท้จริง
ความเสี่ยงด้านความปลอดภัยที่เกี่ยวข้องกับมนุษย์แทบจะไม่ใช่เหตุการณ์ที่ร้ายแรงเพียงครั้งเดียว ในความเป็นจริง มักจะปรากฏในสถานการณ์ทั่วไป เช่น พนักงานคลิกอีเมล ฟิชชิ่ง ที่ดูน่าเชื่อถือ ใช้รหัสผ่านซ้ำกันในเครื่องมือทางธุรกิจต่างๆ แชร์ข้อมูลการเข้าสู่ระบบในแชท หรือเพิกเฉยต่อคำขอ การยืนยันตัวตนผ่านสองขั้นตอน (2FA) เนื่องจากรู้สึกว่าเป็นการขัดจังหวะมากกว่าขั้นตอนการป้องกัน
เมื่อเวลาผ่านไป การตัดสินใจในแต่ละวันเหล่านั้นจะเป็นตัวกำหนดระดับความเสี่ยงขององค์กร ในสหราชอาณาจักร ภาพรวมภัยคุกคามที่กว้างขึ้นทำให้ไม่สามารถมองว่าเรื่องนี้เป็นเพียงปัญหาเล็กๆ ได้ รายงานของรัฐบาลสหราชอาณาจักร Cyber Security Breaches Survey 2025(หน้าต่างใหม่) พบว่าครึ่งหนึ่งของธุรกิจประสบกับเหตุการณ์ความปลอดภัยทางไซเบอร์หรือการละเมิดข้อมูลในช่วง 12 เดือนที่ผ่านมา และฟิชชิ่งยังคงเป็นประเภทของอาชญากรรมทางไซเบอร์ที่พบบ่อยที่สุดในกลุ่มธุรกิจที่ได้รับผลกระทบ
สำหรับผู้นำฝ่ายทรัพยากรบุคคล, CISO, COO, ผู้จัดการฝ่ายไอที และทีมความปลอดภัย สิ่งนี้ทำให้การฝึกอบรมเพื่อสร้างความตระหนักรู้ด้านความปลอดภัยเป็นมากกว่าแค่การปฏิบัติตามข้อกำหนด แต่นี่คือวิธีที่ธุรกิจต่างๆ จะลดความเสี่ยงที่ป้องกันได้ ความท้าทายคือโปรแกรมจำนวนมากยังคงสร้างขึ้นเพื่อให้ทำแบบฝึกหัดเสร็จสิ้นเท่านั้น แทนที่จะเป็นการเปลี่ยนพฤติกรรมจริง สมาชิกในทีมดูวิดีโอประจำปี ติ๊กเครื่องหมายในช่อง แล้วกลับไปใช้พฤติกรรมเดิมๆ ที่สร้างความเสี่ยงตั้งแต่แรก
แนวทางที่มีประสิทธิภาพมากกว่าจะถือว่าความตระหนักรู้เป็นส่วนหนึ่งของวัฒนธรรมในสถานที่ทำงาน โดยได้รับการส่งเสริมเมื่อเวลาผ่านไป กำหนดรูปแบบตามบทบาท ได้รับการสนับสนุนโดยนโยบายที่ใช้งานได้จริง และมีเครื่องมือคอยช่วยเหลือที่ทำให้ตัวเลือกที่ปลอดภัยนั้นปฏิบัติตามได้ง่ายขึ้น
จะอธิบายว่าโปรแกรมสร้างความตระหนักรู้ด้านความปลอดภัยที่มีประสิทธิภาพนั้นเป็นอย่างไร เหตุใดองค์กรจำนวนมากจึงดำเนินการผิดพลาด และวิธีสร้างโปรแกรมที่ช่วยปรับปรุงพฤติกรรมในแต่ละวันให้ดีขึ้น แทนที่จะเป็นเพียงการบันทึกเอกสารว่าผ่านการฝึกอบรมแล้ว
เหตุใดการฝึกอบรมเพื่อสร้างความตระหนักรู้ด้านความปลอดภัยจึงล้มเหลวในองค์กรส่วนใหญ่
การฝึกอบรมเพื่อสร้างความตระหนักรู้ด้านความปลอดภัยมักจะล้มเหลวเนื่องจากถูกมองว่าเป็นเพียง กิจกรรม แทนที่จะมองว่าเป็น ระบบ ในองค์กรหลายแห่ง โปรแกรมประกอบด้วยโมดูลการปฏิบัติตามข้อกำหนดประจำปี แบบทดสอบสั้นๆ และแทบจะไม่มีอย่างอื่นเลย พนักงานถูกคาดหวังให้ซึมซับคำแนะนำทั่วไปปีละครั้ง จากนั้นนำไปใช้อย่างสม่ำเสมอในเวิร์กโฟลว์ เครื่องมือ และการตัดสินใจในโลกแห่งความเป็นจริงหลายร้อยรายการ สิ่งนี้ไม่เพียงพอที่จะเปลี่ยนพฤติกรรมได้อย่างยั่งยืน
ปัญหาไม่ใช่การฝึกอบรมเพื่อสร้างความตระหนักรู้นั้นไม่มีคุณค่า แต่เป็นเพราะโปรแกรมจำนวนมากล้าสมัยหรือแยกส่วนจากวิธีการทำงานจริงของผู้คนมากเกินไป โปรแกรมเหล่านั้นพึ่งพาการเตือนความจำที่เป็นนามธรรม ในขณะที่ความเสี่ยงที่แท้จริงปรากฏในกล่องจดหมาย ไดรฟ์ที่แชร์ การรีเซ็ตรหัสผ่าน คำขอเร่งด่วนจากผู้จัดการ และการตัดสินใจในการเข้าถึงในแต่ละวัน หากการฝึกอบรมจำลองสิ่งที่ผู้คนได้เห็นหรือทำจริงในแต่ละวัน พวกเขาก็ไม่น่าจะจดจำหรือนำไปใช้ได้
โปรแกรมการฝึกอบรมควรประกอบด้วยการปฐมนิเทศและการฝึกอบรมทบทวนความรู้สำหรับพนักงานทุกคนเกี่ยวกับการปกป้องข้อมูลและการกำกับดูแลข้อมูล ในขณะที่การสร้างความตระหนักรู้ควรใช้วิธีการสื่อสารอย่างสม่ำเสมอเพื่อให้การกำกับดูแลข้อมูล การปกป้องข้อมูล และความปลอดภัยของข้อมูลยังคงเป็นที่ตระหนักถึงอย่างต่อเนื่อง สิ่งนี้ชี้ให้เห็นถึงโมเดลแบบต่อเนื่องมากกว่าการแทรกแซงเพียงครั้งเดียวประจำปี
อีกสาเหตุหนึ่งที่โปรแกรมล้มเหลวคือมุ่งเน้นไปที่สิ่งที่ไม่ควรทำแคบเกินไป โดยละเลยสาเหตุที่แท้จริงของพฤติกรรมที่ไม่ดี การบอกพนักงานไม่ให้ใช้รหัสผ่านซ้ำนั้นช่วยได้ในทางทฤษฎี แต่จะมีประโยชน์เพียงเล็กน้อยหากธุรกิจไม่ได้จัดหาแนวทางที่ปลอดภัยและใช้ได้จริงในการสร้าง จัดเก็บ และแชร์ข้อมูลยืนยันตัวตน การบอกวิธีสังเกตฟิชชิ่งนั้นมีประโยชน์ แต่จะมีประสิทธิภาพน้อยลงหากขั้นตอนการรายงานข้อความที่น่าสงสัยนั้นไม่ชัดเจนหรือยุ่งยาก
โปรแกรมสร้างความตระหนักรู้ด้านความปลอดภัยที่แท้จริงเป็นอย่างไร
โปรแกรมสร้างความตระหนักรู้ด้านความปลอดภัยที่แท้จริงไม่ใช่สิ่งที่พนักงานทำเสร็จเพียงครั้งเดียวแล้วลืมไป แต่เป็นชุดของพฤติกรรม ความคาดหวัง และมาตรการป้องกันอย่างต่อเนื่องที่ช่วยให้ผู้คนตัดสินใจด้านความปลอดภัยได้ดีขึ้นเมื่อเวลาผ่านไป
สิ่งนี้เริ่มต้นด้วยความต่อเนื่อง การใช้แหล่งข้อมูลการฝึกอบรมที่ออกแบบมาเพื่อเสริมกับนโยบายและขั้นตอนการปฏิบัติงานที่มีอยู่เดิม โดยครอบคลุมด้านการปฏิบัติจริง เช่น รหัสผ่านที่คาดเดายาก, แนวปฏิบัติที่ดีที่สุดของ BYOD, ฟิชชิ่ง และ การรายงานเหตุการณ์ที่เกิดขึ้น การผสมผสานนี้มีประโยชน์เนื่องจากความตระหนักรู้ที่มีประสิทธิภาพไม่ได้หยุดอยู่เพียงหัวข้อเดียว แต่ควรสะท้อนถึงชุดการดำเนินการตามปกติทั้งหมดที่กำหนดรูปแบบความปลอดภัยในสถานที่ทำงานจริง
แต่ความต่อเนื่องเพียงอย่างเดียวไม่เพียงพอ โปรแกรมจำเป็นต้องสะท้อนถึงความแตกต่างที่แท้จริงในการเผชิญความเสี่ยงของแต่ละทีมด้วย
โปรแกรมที่มีประสิทธิภาพยังต้องมีความเฉพาะเจาะจงกับแต่ละบทบาทด้วย สมาชิกทีมการเงินที่จัดการคำขอชำระเงินไม่ได้เผชิญความเสี่ยงในแต่ละวันแบบเดียวกับผู้จัดการฝ่ายการตลาดที่แชร์บัญชีโซเชียล หรือหัวหน้าฝ่ายทรัพยากรบุคคลที่จัดการประวัติพนักงาน คำแนะนำทั่วไปนั้นมีประโยชน์ แต่จะได้ผลดีกว่าเมื่อตามด้วยการฝึกอบรมที่เกี่ยวข้องกับระบบ ข้อมูล และรูปแบบการโจมตีที่เกี่ยวข้องมากที่สุดกับแต่ละกลุ่ม
ส่วนประกอบถัดไปคือการฝึกปฏิบัติ พนักงานไม่ได้พัฒนาวิจารณญาณที่ดีขึ้นเพียงแค่จากการอ่านกฎเกณฑ์เท่านั้น แต่จะพัฒนาผ่านการเผชิญกับสถานการณ์จริงซ้ำๆ เช่น การจำลองสถานการณ์ฟิชชิ่ง แบบฝึกหัดการรายงาน การตรวจสอบการเข้าถึง และการเตือนความจำสั้นๆ ที่เชื่อมโยงกับเครื่องมือหรือเวิร์กโฟลว์จริง การโจมตีจำลองมีประโยชน์อย่างยิ่งเนื่องจากเป็นการทดสอบว่าโปรแกรมส่งผลต่อพฤติกรรมในเวลาที่สำคัญจริงหรือไม่ แทนที่จะทดสอบเฉพาะในสภาพแวดล้อมที่เป็นแบบทดสอบ
นโยบายความปลอดภัยและรหัสผ่านที่ชัดเจนก็มีความสำคัญไม่แพ้กัน พนักงานจำเป็นต้องทราบวิธีการสร้าง จัดเก็บ แชร์ และลบข้อมูลยืนยันตัวตนออกเมื่อไม่จำเป็นต้องใช้อีกต่อไป วิธีการรายงานข้อความที่น่าสงสัย เวลาที่ต้องใช้ 2FA และสิ่งที่ต้องทำหากคิดว่าทำผิดพลาด
สุดท้ายนี้ โปรแกรมที่แท้จริงจะถือว่าความปลอดภัยเป็นบรรทัดฐานในสถานที่ทำงานร่วมกัน มากกว่าที่จะเป็นเพียงความกังวลเฉพาะทางของฝ่ายไอที นั่นหมายความว่าผู้จัดการต้องคอยส่งเสริม ผู้นำต้องทำเป็นแบบอย่าง และทีมต้องพูดคุยเกี่ยวกับเรื่องนี้โดยเป็นส่วนหนึ่งของวิธีการทำงานขององค์กรในแต่ละวัน การสร้างวัฒนธรรมประเภทนี้ต้องใช้มากกว่าแค่นโยบายที่เป็นเอกสาร แต่เป็นวิธีที่แข็งแกร่งที่สุดวิธีหนึ่งในการลดข้อผิดพลาดซ้ำๆ ของมนุษย์เมื่อเวลาผ่านไป
คู่มือของ Proton เกี่ยวกับ วัฒนธรรมความปลอดภัยทางไซเบอร์สำหรับธุรกิจขนาดเล็กในสถานที่ทำงาน มีประโยชน์ในเรื่องนี้ เนื่องจากตีกรอบความตระหนักรู้ไม่ใช่แคมเปญที่สร้างจากความกลัว แต่เป็นส่วนหนึ่งของวิธีการทำงานของธุรกิจในทุกๆ วัน
เหตุใดฟิชชิ่งและการละเมิดข้อมูลยืนยันตัวตนจึงควรเป็นศูนย์กลางของโปรแกรม
หากโปรแกรมสร้างความตระหนักรู้ด้านความปลอดภัยพยายามครอบคลุมทุกเรื่องเท่าๆ กัน ก็อาจสูญเสียการโฟกัสได้ องค์กรส่วนใหญ่จะได้รับประโยชน์มากกว่าหากเริ่มต้นด้วยความเสี่ยงที่มีแนวโน้มจะสร้างความเสียหายจริงมากที่สุด
ฟิชชิ่งจัดอยู่ในอันดับต้นๆ ของรายการนั้น รายงานของรัฐบาลสหราชอาณาจักร Cyber Security Breaches Survey 2025 พบว่าฟิชชิ่งยังคงเป็นเวกเตอร์การโจมตีประเภทที่แพร่หลายที่สุดในบรรดาธุรกิจที่ประสบกับอาชญากรรมทางไซเบอร์ โดยส่งผลกระทบต่อธุรกิจเหล่านั้นถึง 93% ซึ่งสะท้อนให้เห็นถึงความเป็นจริงในวงกว้างของธุรกิจต่างๆ ในสหราชอาณาจักร ซึ่งฟิชชิ่งยังคงเป็นหนึ่งในวิธีการโจมตีที่พบบ่อยที่สุด
ฟิชชิ่งแทบจะไม่จบลงเพียงแค่ตัวข้อความเท่านั้น ในองค์กรหลายแห่ง ความเสียหายที่แท้จริงจะเริ่มต้นขึ้นเมื่อข้อมูลยืนยันตัวตนที่ถูกขโมยไปนั้นถูกนำไปใช้เพื่อเข้าถึงบัญชีต่างๆ เอาเปรียบจากการใช้รหัสผ่านซ้ำ เจาะเข้าสู่ระบบอื่นๆ หรือฉวยโอกาสจากข้อมูลการเข้าสู่ระบบร่วมกันที่ไม่เคยได้รับการควบคุมอย่างเข้มงวด
ธุรกิจจำเป็นต้องใช้แนวทางแบบเป็นลำดับขั้น โดยต้องทำให้ผู้โจมตีเข้าถึงผู้ใช้ได้ยากขึ้น และทำให้ผู้ใช้สามารถระบุตัวตนและรายงานข้อความฟิชชิ่งที่ต้องสงสัยได้ง่ายขึ้น วิธีนี้จะช่วยปกป้ององค์กรจากผลกระทบของอีเมลฟิชชิ่งที่ตรวจจับไม่ได้ และช่วยให้ตอบสนองต่อเหตุการณ์ได้อย่างรวดเร็ว
โปรแกรมสร้างความตระหนักรู้ด้านความปลอดภัยที่แข็งแกร่งควรสะท้อนถึงตรรกะเดียวกัน พนักงานจำเป็นต้องสามารถรับรู้ถึงพฤติกรรมที่น่าสงสัยได้ แต่ก็ต้องมีมาตรการควบคุมโดยรอบที่ช่วยลดผลกระทบจากข้อผิดพลาดเพียงครั้งเดียวด้วยเช่นกัน
นั่นคือจุดที่สุขอนามัยของข้อมูลยืนยันตัวตนมีความสำคัญเป็นหลัก การฝึกอบรมพนักงานให้หลีกเลี่ยงการใช้รหัสผ่านที่คาดเดายากหรือใช้ซ้ำนั้นมีประโยชน์ แต่จะมีประสิทธิภาพมากยิ่งขึ้นเมื่อได้รับการสนับสนุนโดยเครื่องมือที่ลดการพึ่งพาความจำ และทำให้การใช้ข้อมูลยืนยันตัวตนที่ปลอดภัยนั้นง่ายขึ้นในทางปฏิบัติ นอกจากนี้ยังได้ครอบคลุมถึงแนวคิดการป้องกันในวงกว้างนี้ในคู่มือ การป้องกันการละเมิดข้อมูลสำหรับธุรกิจ ซึ่งเน้นย้ำถึงบทบาทของการควบคุมในทางปฏิบัติในการลดความเสี่ยงที่หลีกเลี่ยงได้
บทบาทของเครื่องมือในการลดความเสี่ยงจากมนุษย์
ความตระหนักรู้ด้านความปลอดภัยเป็นเพียงส่วนหนึ่งของภาพรวม ผู้คนมีแนวโน้มที่จะปฏิบัติตามแนวทางด้านความปลอดภัยมากขึ้นเมื่อแนวทางเหล่านั้นสอดคล้องกับวิธีการทำงานตามธรรมชาติ หากตัวเลือกที่ปลอดภัยที่สุดเป็นตัวเลือกที่ใช้งานง่ายที่สุดด้วย การนำไปใช้ก็จะมีความสม่ำเสมอมากขึ้น แต่หากรู้สึกว่าช้า ยุ่งยาก หรือใช้งานยาก แม้แต่พนักงานที่มีความตั้งใจดีก็เริ่มที่จะมองหาทางลัด
การจัดการรหัสผ่าน การจัดการรหัสผ่าน เป็นหนึ่งในตัวอย่างที่ชัดเจนที่สุด องค์กรมักจะบอกให้พนักงานสร้างรหัสผ่านที่คาดเดายากและไม่ซ้ำกัน ใช้ 2FA และหลีกเลี่ยงการแชร์ แต่หากพนักงานไม่ได้รับแนวทางปฏิบัติจริงในการดำเนินการ คำสั่งนั้นก็เป็นเพียงเป้าหมายลอยๆ พนักงานจะกลับไปใช้รหัสผ่านที่จำง่ายและง่ายเกินไป พื้นที่จัดเก็บข้อมูลของเบราว์เซอร์ ตารางคำนวณ แอปบันทึกย่อ หรือเครื่องมือส่งข้อความ เนื่องจากตัวเลือกเหล่านั้นรู้สึกว่ารวดเร็วกว่าในขณะนั้น
โปรแกรมจัดการรหัสผ่านสำหรับธุรกิจ โปรแกรมจัดการรหัสผ่านสำหรับธุรกิจ ช่วยปิดช่องว่างนั้น Proton Pass for Business ได้รับการออกแบบมาเพื่อให้สร้าง จัดเก็บ และแชร์รหัสผ่านที่ปลอดภัยทำได้ง่ายขึ้นทั่วทั้งทีม พร้อมทั้งช่วยให้องค์กรควบคุมพฤติกรรมการจัดการข้อมูลยืนยันตัวตนได้แข็งแกร่งยิ่งขึ้น ขีดความสามารถเหล่านี้ช่วยให้พนักงานสามารถสร้างและป้อนอัตโนมัติรหัสผ่านที่คาดเดายากและไม่ซ้ำกัน ใช้ 2FA ในบัญชีต่างๆ และปกป้องข้อมูลยืนยันตัวตนที่จัดเก็บไว้ด้วย การเข้ารหัสลับจากต้นทางถึงปลายทาง
สิ่งนั้นไม่ได้เข้ามาแทนที่การฝึกอบรมเพื่อสร้างความตระหนักรู้ด้านความปลอดภัย แต่เป็นการส่งเสริมโดยทำให้พฤติกรรมที่ปลอดภัยนั้นปฏิบัติตามได้ง่ายขึ้น แทนที่จะขอให้พนักงานจำกฎรหัสผ่านที่ซับซ้อนหลายสิบข้อ แต่เป็นการจัดหาระบบที่ช่วยสนับสนุนพฤติกรรมที่ต้องการ ซึ่งทำให้การปฏิบัติตามแนวทางความปลอดภัยที่ดีนั้นยั่งยืนได้ง่ายขึ้น และการบังคับใช้นโยบายก็เป็นจริงได้มากขึ้น
เช่นเดียวกันกับการรายงานเหตุการณ์ การควบคุมการเข้าถึง และการเตรียมความพร้อมพนักงานใหม่ ในด้านเหล่านี้ เครื่องมือมักมีความจำเป็นเพื่อให้พนักงานมีกระบวนการที่ชัดเจนในการปฏิบัติตาม และเพื่อให้องค์กรมีการกำกับดูแลและควบคุมที่สม่ำเสมอ เครื่องมือไม่สามารถแทนที่วิจารณญาณได้ แต่สามารถช่วยให้การดำเนินการที่ปลอดภัยนั้นทำได้ง่ายขึ้น รวดเร็วขึ้น และสม่ำเสมอมากขึ้นในการทำงานในแต่ละวัน
กรอบการทำงาน 6 ขั้นตอนที่ใช้ได้จริงสำหรับการเปิดตัวหรือปรับปรุงโปรแกรมสร้างความตระหนักรู้ด้านความปลอดภัย
โปรแกรมสร้างความตระหนักรู้ด้านความปลอดภัยจะทำงานได้ดีที่สุดเมื่อได้รับการออกแบบเป็นจังหวะการดำเนินงานที่ต่อเนื่อง แทนที่จะเป็นเพียงแคมเปญเดียว กรอบการทำงานด้านล่างนี้สามารถช่วยในการเริ่มต้นได้
ขั้นตอนที่ 1: กำหนดพฤติกรรมเฉพาะที่ต้องการเปลี่ยนแปลง
เริ่มต้นด้วยความเสี่ยง ระบุพฤติกรรมที่มีแนวโน้มว่าจะทำให้องค์กรเกิดความเสี่ยงมากที่สุด ซึ่งอาจรวมถึงการคลิกลิงก์ที่น่าสงสัย การใช้รหัสผ่านซ้ำ การแชร์ข้อมูลยืนยันตัวตนอย่างไม่เป็นทางการ การละเลยการรายงานเหตุการณ์ เวิร์กโฟลว์การสิ้นสุดการจ้างงานที่หละหลวม หรือการจัดการข้อมูลส่วนบุคคลที่ผิดพลาด เช่น ข้อมูลลูกค้าหรือพนักงาน
ขั้นตอนที่ 2: จัดลำดับความสำคัญของสถานการณ์ที่มีความเสี่ยงสูงสุด
หัวข้อการฝึกอบรมไม่จำเป็นต้องมีน้ำหนักเท่ากันทั้งหมด ควรเน้นไปที่สถานการณ์ที่เกี่ยวข้องกับรูปแบบภัยคุกคามและโมเดลการดำเนินงานขององค์กรมากที่สุดก่อนเป็นอันดับแรก
สำหรับธุรกิจจำนวนมาก นั่นหมายถึงฟิชชิ่ง การจัดการข้อมูลยืนยันตัวตน การควบคุมการเข้าถึง และการรายงานเหตุการณ์ เป้าหมายในขั้นตอนนี้คือการมุ่งเน้นการฝึกอบรมพนักงานในพฤติกรรมและสถานการณ์ที่มีแนวโน้มว่าจะช่วยลดความเสี่ยงในแต่ละวันได้มากที่สุด
ขั้นตอนที่ 3: แบ่งกลุ่มการฝึกอบรมตามบทบาท
ความตระหนักรู้ด้านความปลอดภัยมีแนวโน้มที่จะเปลี่ยนพฤติกรรมได้มากขึ้น เมื่อพนักงานสามารถเชื่อมโยงความเป็นจริงในการทำงานของตนเองเข้ากับการฝึกอบรมได้ บทบาทที่แตกต่างกันทำให้เกิดความเสี่ยงในรูปแบบที่แตกต่างกัน ไม่ว่าจะเป็นการจัดการข้อมูลที่ละเอียดอ่อน การอนุมัติคำขอที่มีความเสี่ยงสูง การจัดการการเข้าถึงที่มีสิทธิ์พิเศษ หรือการแชร์ข้อมูลกับผู้ติดต่อภายนอก
โปรแกรมที่มีประสิทธิภาพมากขึ้นจะสะท้อนถึงความแตกต่างเหล่านั้น แทนที่จะให้คำแนะนำที่เป็นนามธรรมแบบเดียวกันกับทุกคน ยิ่งการฝึกอบรมใกล้เคียงกับการตัดสินใจที่ต้องเผชิญจริงมากเท่าใด การนำไปใช้ในทางปฏิบัติก็ยิ่งง่ายขึ้นเท่านั้น
ขั้นตอนที่ 4: สร้างจังหวะของการส่งเสริมความตระหนักรู้
การฝึกอบรมประจำปีเพียงครั้งเดียวไม่เพียงพอที่จะเปลี่ยนพฤติกรรมได้ ควรใช้การปฐมนิเทศ การฝึกอบรมทบทวนความรู้ การเตือนความจำสั้นๆ แบบฝึกหัดการจำลองสถานการณ์ และการสื่อสารอย่างสม่ำเสมอเพื่อให้ข้อความสำคัญยังคงได้รับการตระหนักถึงอย่างต่อเนื่อง การส่งเสริมอาจไม่ได้ซับซ้อนแต่จำเป็นต้องทำอย่างต่อเนื่อง
ขั้นตอนที่ 5: สนับสนุนการฝึกอบรมด้วยนโยบายและเครื่องมือ
การฝึกอบรมจะมีความน่าเชื่อถือมากขึ้นเมื่อพนักงานสามารถมองเห็นวิธีการนำไปใช้ในทางปฏิบัติ ดังนั้น ตรวจสอบให้แน่ใจว่านโยบายมีความชัดเจน ค้นหาได้ง่าย และเขียนด้วยภาษาที่พนักงานสามารถทำความเข้าใจได้จริง จากนั้นสนับสนุนด้วยคุณสมบัติต่างๆ ที่ทำให้พฤติกรรมที่ปลอดภัยนั้นปฏิบัติตามได้ง่ายขึ้นในทางปฏิบัติ
หากนโยบายระบุว่าพนักงานต้องใช้รหัสผ่านที่คาดเดายาก ไม่ซ้ำกัน และหลีกเลี่ยงการแชร์อย่างไม่เป็นทางการ ก็ควรจัดหา โปรแกรมจัดการรหัสผ่านที่ปลอดภัย ที่ช่วยให้ดำเนินการเรื่องนี้ได้ง่ายขึ้น หากนโยบายระบุว่าควรรายงานอีเมลที่น่าสงสัยทันที ก็ควรทำให้เส้นทางการรายงานนั้นชัดเจนและไม่มีอุปสรรคยุ่งยาก
ขั้นตอนที่ 6: ทบทวน วัดผล และปรับปรุง
โปรแกรมสร้างความตระหนักรู้ด้านความปลอดภัยควรพัฒนาไปพร้อมกับธุรกิจ เครื่องมือใหม่ๆ การเปลี่ยนแปลงบทบาท เหตุการณ์ที่เกิดขึ้น และประเภทของการโจมตีล้วนสร้างแรงกดดันใหม่ๆ
ทบทวนผลลัพธ์อย่างสม่ำเสมอ อัปเดตการฝึกอบรมตามเหตุการณ์ที่เกิดขึ้นและเหตุการณ์ที่เกือบจะเกิดขึ้น และปรับปรุงโปรแกรมเมื่อพบจุดอ่อนที่เกิดขึ้นซ้ำๆ เป้าหมายไม่ใช่การทำโปรแกรมให้เสร็จสิ้น แต่คือการทำให้โปรแกรมมีประสิทธิภาพมากขึ้นเมื่อเวลาผ่านไป
วิธีการวัดผลกระทบ
หนึ่งในข้อผิดพลาดที่ง่ายที่สุดในการฝึกอบรมเพื่อสร้างความตระหนักรู้ด้านความปลอดภัยคือการวัดผลในสิ่งที่สะดวกแทนที่จะวัดผลในสิ่งที่มีความหมาย อัตราการฝึกอบรมเสร็จสิ้นอาจบอกได้ว่าใครบ้างที่ดูการฝึกอบรมหรือคลิกผ่านโมดูล แต่แทบจะไม่ได้บอกเลยว่าโปรแกรมนั้นมีอิทธิพลต่อพฤติกรรมในสถานการณ์ที่มีความเสี่ยงจริงหรือไม่
แนวทางที่มีประโยชน์มากกว่าคือการมองหาการเปลี่ยนแปลงในวิธีที่ผู้คนตอบสนองต่อสถานการณ์จริงเมื่อเวลาผ่านไป ผลลัพธ์จากการจำลองสถานการณ์ฟิชชิ่งสามารถช่วยให้เข้าใจได้ว่าพนักงานมีความระมัดระวังมากขึ้น ช่างสังเกตมากขึ้น และมีแนวโน้มที่จะตั้งคำถามและรายงานข้อความที่น่าสงสัยมากขึ้นหรือไม่
เหตุการณ์ที่เกี่ยวข้องกับข้อมูลยืนยันตัวตนสามารถแสดงให้เห็นได้ว่า พฤติกรรมที่เสี่ยง เช่น การใช้รหัสผ่านซ้ำ การแชร์ที่ไม่ปลอดภัย หรือการจัดการบัญชีที่ไม่ได้มาตรฐานนั้นลดลงหรือไม่ การปฏิบัติตามนโยบายยังสามารถเผยให้เห็นได้ว่าพนักงานนำความคาดหวังที่กำหนดโดยโปรแกรมไปใช้จริงหรือไม่ แทนที่จะเป็นเพียงแค่ผ่านหูผ่านตาเท่านั้น
สิ่งที่สำคัญไม่แพ้กันคือการเฝ้าสังเกตสัญญาณการดำเนินงาน มีการรายงานอีเมลที่น่าสงสัยหรือคำขอที่ผิดปกติรวดเร็วเพียงใด? MFA ถูกเปิดใช้งานอย่างสม่ำเสมอในจุดที่ควรจะเปิดใช้งานหรือไม่? สิทธิ์การเข้าถึงถูกยกเลิกทันทีในระหว่างการสิ้นสุดการจ้างงานหรือไม่? ทีมที่มีความเสี่ยงสูงกว่าแสดงออกถึงวิจารณญาณที่แข็งแกร่งขึ้นในสถานการณ์จริงเมื่อโปรแกรมได้รับการพัฒนาหรือไม่?
สิ่งเหล่านี้มักเป็นตัวชี้วัดที่แสดงให้เห็นว่าความตระหนักรู้ได้กลายเป็นส่วนหนึ่งของวิธีการทำงานขององค์กรแล้ว แทนที่จะถูกจำกัดอยู่เพียงแค่ในสภาพแวดล้อมการฝึกอบรมเท่านั้น
ในท้ายที่สุด บททดสอบที่แท้จริงไม่ใช่การที่พนักงานเข้าร่วมโปรแกรมจนเสร็จสิ้น แต่เป็นเรื่องที่ว่าองค์กรเห็นข้อผิดพลาดที่หลีกเลี่ยงได้ลดลง มีพฤติกรรมการรายงานที่ดีขึ้น และมีพฤติกรรมความปลอดภัยในแต่ละวันที่มีประสิทธิภาพมากขึ้นอันเป็นผลลัพธ์จากโปรแกรมหรือไม่
Proton Pass สามารถช่วยบังคับใช้นโยบายความปลอดภัยขององค์กรและตรวจสอบผลลัพธ์ได้ ทดลองใช้งานฟรีหรือ ติดต่อทีมงาน
