Nowa rzeczywistość pracy zdalnej
Nagłe i masowe przejście na pracę zdalną oraz hybrydową, co było wynikiem pandemii, zmusiło firmy do szybkiej adaptacji nowych technologii. Ta zmiana miała jednak swoje konsekwencje w kontekście cyberbezpieczeństwa. Coraz więcej pracowników zaczęło działać zdalnie, a liczba cyberataków gwałtownie wzrosła. Praca w domowym zaciszu, z dala od firmowych zabezpieczeń, spowodowała, że wielu pracowników łamie podstawowe zasady bezpieczeństwa.
Naukowcy z Akademii Leona Koźmińskiego: Krzysztof Przybyszewski, Karolina Małagocka oraz Zofia Przymus przeprowadzili badania “Identifying cyberrisk factors in hybrid workforce environments”, aby zrozumieć, jakie zachowania i czynniki najczęściej przyczyniają się do wzrostu cyberzagrożeń w nowej rzeczywistości pracy zdalnej.
Wyniki tych badań pokazują, że choć technologia odgrywa ważną rolę w ochronie danych, to ludzkie błędy i świadome ryzykowne zachowania mogą zniweczyć wysiłki włożone w zabezpieczenie firmowych systemów. Co więcej, badanie pokazało, że nowe realia pracy zdalnej stwarzają dodatkowe wyzwania związane z cyberbezpieczeństwem. Praca w domu, w miejscach często mniej bezpiecznych niż biura, zmienia percepcję zagrożeń i powoduje, że niektóre ryzykowne zachowania są trudniejsze do zauważenia i kontrolowania.
Na szczególną uwagę zasługuje fakt, że przejście na pracę zdalną zmniejszyło bezpośrednią kontrolę pracodawców nad pracownikami i ich środowiskiem pracy, co skutkuje wzrostem liczby niebezpiecznych zachowań.
Pracownicy, pracując w domach, są bardziej skłonni do korzystania z prywatnych urządzeń do celów służbowych, ignorowania polityk bezpieczeństwa oraz zaniedbywania aktualizacji oprogramowania. Wszystko to stwarza doskonałe warunki do potencjalnych naruszeń bezpieczeństwa.
Typy pracowników i ich podejście do cyberzagrożeń
Badacze wyróżnili cztery profile pracowników, różniące się podejściem do kwestii cyberbezpieczeństwa:
- poszukiwaczy ryzyka,
- nieostrożnych,
- ostrożnych
- oraz rozsądnych.
Najbardziej niebezpieczna grupa, poszukiwacze ryzyka, stanowi niemal 20% wszystkich pracowników. To osoby świadomie podejmujące działania, które mogą narazić firmę na cyberataki. Przykłady ich ryzykownych działań to używanie tych samych haseł do różnych serwisów, ignorowanie aktualizacji oprogramowania oraz korzystanie z publicznych sieci Wi-Fi do celów służbowych.
Nieostrożni pracownicy, stanowiący 33% badanych, nie zdają sobie sprawy z zagrożeń związanych z ich działaniami. Z powodu braku świadomości lub niewiedzy, mogą nieumyślnie narażać organizację na ryzyko.
Kolejna grupa to pracownicy ostrożni (16%), którzy choć starają się unikać zagrożeń, nie zawsze są świadomi wszystkich niebezpieczeństw.
Najbardziej odpowiedzialna grupa – pracownicy rozsądni (32%) – charakteryzuje się świadomością zagrożeń i umiejętnością stosowania zasad bezpieczeństwa w praktyce.
Wyniki badań pokazują, że poszczególne grupy pracowników wymagają różnego podejścia w zakresie edukacji i zarządzania ryzykiem. Poszukiwacze ryzyka, świadomie łamiący zasady bezpieczeństwa, mogą wymagać bardziej surowych środków, takich jak regularne audyty i monitorowanie ich działań.
Z kolei pracownicy nieostrożni powinni być objęci intensywnymi szkoleniami, które zwiększą ich świadomość zagrożeń i nauczyły właściwych zachowań.
Pracownicy ostrożni i rozsądni mogą natomiast skorzystać z bardziej zindywidualizowanego podejścia, które wspiera ich proaktywność w zakresie bezpieczeństwa.
Kategorie zagrożeń i ich skutki
Z badania wynikają trzy główne kategorie ryzykownych zachowań w środowisku cyfrowym:
- zagrożenia środowiskowe,
- związane z danymi uwierzytelniającymi
- oraz behawioralne.
Każda z tych kategorii obejmuje szereg działań, które mogą zwiększyć ryzyko cyberataków.
Zagrożenia środowiskowe dotyczą sytuacji, w których pracownicy pracują w miejscach publicznych, takich jak kawiarnie czy lotniska. Przeglądanie poufnych dokumentów w takich miejscach lub prowadzenie wideokonferencji bez odpowiednich zabezpieczeń może prowadzić do wycieku informacji.
W takim środowisku zagrożenia związane z brakiem prywatności oraz potencjalnym podsłuchem stają się bardziej realne. Brak odpowiednich zabezpieczeń w miejscach publicznych, jak niezabezpieczone sieci Wi-Fi, może umożliwić cyberprzestępcom dostęp do poufnych danych firmy.
Zagrożenia związane z danymi uwierzytelniającymi to głównie nieodpowiednie zarządzanie hasłami – na przykład używanie tych samych haseł do różnych kont, brak dwuskładnikowego uwierzytelniania czy przechowywanie haseł w przeglądarkach. To właśnie ta kategoria okazała się najbardziej niebezpieczna dla firm, gdyż tego typu działania znacząco zwiększają ryzyko włamania do systemów informatycznych. Pracownicy, którzy nie dbają o silne hasła i ich regularną zmianę, stają się łatwym celem dla hakerów, co może prowadzić do poważnych naruszeń bezpieczeństwa.
Zagrożenia behawioralne obejmują nawyki pracowników, takie jak ignorowanie aktualizacji oprogramowania antywirusowego czy klikanie w podejrzane linki. Te pozornie niewinne działania mogą prowadzić do poważnych konsekwencji, jeśli pracownicy nie są świadomi ryzyka, jakie niosą. W kontekście pracy zdalnej, gdzie nadzór nad pracownikami jest ograniczony, takie zachowania mogą być trudniejsze do wykrycia.
Praktyczne zastosowania i rekomendacje
Wyniki badań naukowców z Akademii Leona Koźmińskiego wskazują, że firmy muszą dostosować swoje polityki bezpieczeństwa do specyfiki swojego zespołu. Pracownicy, którzy świadomie narażają firmę na zagrożenia, mogą wymagać bardziej rygorystycznych środków, takich jak regularne audyty czy indywidualne szkolenia.
Z kolei osoby ostrożne i rozsądne mogą bardziej skorzystać z edukacyjnych podejść, takich jak testy phishingowe i programy nagradzające za właściwe zachowania. Ważne jest, aby polityki bezpieczeństwa były elastyczne i dostosowane do dynamicznie zmieniających się warunków pracy, w tym pracy zdalnej.
Jednym z praktycznych zastosowań wyników tego badania jest możliwość tworzenia spersonalizowanych strategii bezpieczeństwa, które mogą pomóc firmom zwiększyć ich odporność na cyberzagrożenia. Dzięki zrozumieniu, jakie konkretne zachowania niosą ze sobą największe ryzyko, organizacje mogą skuteczniej planować swoje działania prewencyjne, co w dłuższej perspektywie pozwoli im nie tylko na zwiększenie bezpieczeństwa, ale także na optymalizację kosztów związanych z ochroną danych.
Firmy mogą również rozważyć wprowadzenie regularnych testów bezpieczeństwa, które pozwolą na identyfikację słabych punktów w systemach i procedurach.
Badanie zwraca także uwagę na potrzebę ciągłego edukowania pracowników na temat cyberbezpieczeństwa. Regularne szkolenia, kampanie informacyjne oraz testy penetracyjne mogą znacząco poprawić poziom bezpieczeństwa w organizacji. Firmy powinny również inwestować w technologie, które wspierają pracowników w przestrzeganiu zasad bezpieczeństwa, takie jak filtry prywatności czy zaawansowane narzędzia do zarządzania hasłami.
Na szczególną uwagę zasługuje również potrzeba dopasowania środków prewencyjnych do rzeczywistych zagrożeń, z jakimi mogą się spotkać pracownicy. Przykładowo, jeśli firma wie, że jej pracownicy często pracują w miejscach publicznych, warto zainwestować w szkolenia z zakresu bezpiecznego korzystania z Wi-Fi oraz wprowadzenie filtrów prywatności.
Badanie przeprowadzone przez Akademię Leona Koźmińskiego wykazało, że istnieje pilna potrzeba rozwijania i wdrażania spersonalizowanych strategii cyberbezpieczeństwa, które uwzględniają indywidualne zachowania i postawy pracowników wobec zagrożeń. To badanie pokazuje, że cyberbezpieczeństwo to nie tylko kwestia technologii, ale również odpowiedniej kultury organizacyjnej i zaangażowania wszystkich pracowników.
Wnioski? Praca zdalna i hybrydowa przyniosła ze sobą nowe wyzwania związane z cyberbezpieczeństwem. Aby skutecznie zarządzać ryzykiem, organizacje muszą zrozumieć profil swoich pracowników i dostosować polityki bezpieczeństwa do ich specyficznych potrzeb i zachowań. W obliczu rosnącej liczby cyberataków, pytanie brzmi: czy Twoja firma jest gotowa na to wyzwanie?
Artykuł powstał na podstawie badania “Identifying cyberrisk factors in hybrid workforce environments” — Krzysztof Przybyszewski, Karolina Małagocka oraz Zofia Przymus. Pełna jego treść w języku angielskim znajduje się TUTAJ.
