Ob poslovnem dogodku Upravljanje s človeškimi tveganji v kibernetski varnosti (Managing Human Risk in Cybersecurity), ki sta ga organizirala CREAplus in SANS Institute, smo s Harmom van Koppenom, ki vodi partnerski kanal organizacije SANS Institute za usposabljanja SANS Security Awareness, pogovarjali o posebnostih teh svetovno najbolj razširjenih usposabljanj za kibernetsko ozaveščanje. Usposabljanja SANS Security Awareness so sicer slovenskim organizacijam že na voljo preko podjetja CREAplus.
Kaj pomeni imeti certifikat SANS, biti usposobljen s strani SAN-a?
Vedno govorimo o naši obljubi. In ta je, da lahko v trenutku, ko se vrnete na svoje redno delovno mesto, uporabite svoje pridobljeno strokovno znanje. To pomeni, če ste pridobili certifikat SANS, ste izkazali, da razumete, kaj smo vam povedali, in da lahko to znanje uporabite v resničnem življenju.
Po drugi strani imate zelo globoke in široke korenine, kakšno vlogo imajo izkušnje?
Da, res je, na tem delamo že več kot 30 let. Menim, da je ena od dobrih sestavin naših tečajev to, da ne uporabljamo učiteljev, ampak inštruktorje. Razlika med učiteljem in inštruktorjem, kar se mene tiče, je v tem, da učitelji v teoriji vedo vse in vas učijo o različnih stvareh, ki so v knjigah. Inštruktorji pa ljudem ne povedo le teorije, ampak tudi praktično uporabnost teorije, ki jo učijo. Naši inštruktorji imajo poleg sodelovanja s SANS-om vedno še svojo službo, tako da niso pri nas polno zaposleni. Imajo svoja podjetja, delajo v svoji strokovni domeni, zato lahko veliko znanja in primerov prinesejo v naša usposabljanja. In prav to je večini slušateljev zelo všeč, saj lahko ti učitelji med usposabljanjem v razredu navedejo primere iz resničnega življenja, stvari, ki so se zgodile pred dvema, tremi tedni. Tako je vse skupaj res natančno, podrobno in je res od zdaj in ne nekaj, kar je v knjigi in je zastarelo, ker je staro že dve ali tri leta.
Kakšne trende opažate pri uporabi usposabljanja in certificiranja iz varnostne ozaveščenosti?
Vedno več je povpraševanja po specializiranih usposabljanjih za določen segment uporabnikov, na primer za razvijalce programske opreme ali upravljavce industrijskih nadzornih sistemov. Naša strategija je zagotavljanje splošnih usposabljanj za uporabnike, vendar bomo poskrbeli tudi za to, da bodo na voljo različni stebri oziroma specializirana usposabljanja za posebne skupine slušateljev.
Naši inštruktorji imajo poleg sodelovanja s SANS-om vedno še svojo službo, tako da niso pri nas polno zaposleni. Imajo svoja podjetja, delajo v svoji strokovni domeni, zato lahko veliko znanja in primerov prinesejo v naša usposabljanja.
Ali s svojo ponudbo pomagate tudi podjetjem pri razvoju njihovih programov usposabljanja?
Ne. Vendar naše znanje o varnostnem ozaveščanju vgrajujemo v metrike, s pomočjo katerih podjetja ugotovijo, kako bi morala varnostno usposabljati svoje ljudi oziroma kakšen progam usposabljanj potrebujejo. Pomoč ponujamo na dva različna načina. Prvi je, da učimo naše partnerje in skupnost preprodajalcev, kako izvajati program varnostnega ozaveščanja. To je naša posebnost. Tu gre za psihologijo in usposabljanje. Če to počnete večkrat, postanete vedno boljši v tem. Zato preprodajalce učimo, kako to narediti. Če pa preprodajalci nimajo lastnih virov ali niso prepričani, da lahko to zagotovijo sami, imamo globalno ekipo Customer Success Management Team, ki lahko preprodajalcu ali stranki prinese to strokovno znanje in mu pomaga pri izpolnjevanju njegovih potreb. Običajno se začne s tem, kaj je vaš izziv, kaj želite rešiti in kako vam lahko pomagamo z znanjem, ki ga imamo pri reševanju tega posebnega poslovnega primera.
Kaj pa testiranje znanja? Ali uporabniki dobijo kakšna potrdila?
Da. V programu varnostnih vsebin smo vnaprej pripravili različna ocenjevanja. Če imate na primer modul o mobilnih napravah ali geslih, boste na koncu vsake vsebine za e-učenje imeli tri, štiri, pet vprašanj, odvisno od tega, kaj želi stranka. Če recimo uporabnik uspešno opravi deset modulov v letu, mu lahko izdate potrdilo, da je usposobljen za varnostno ozaveščanje. Kakšna je veljavnost teh potrdil? Odvisno od tega, kaj želi stranka.
Običajno se začne s tem, kaj je vaš izziv, kaj želite rešiti in kako vam lahko pomagamo z znanjem, ki ga imamo pri reševanju tega posebnega poslovnega primera.
V svojem predavanju ste omenili, da organizacija potrebuje od dve do tri leta, da spremeni kulturo glede kibernetske varnosti. Kako to obravnavate pri vaših strankah?
To je res težko, saj je kultura v vsakem podjetju drugačna. Zato ne rečemo, kako bi morali delati, ampak poskušamo razumeti in tu pride na vrsto ocenjevanje. Poskušamo razumeti, kakšna je trenutna kultura, kako je videti? Na podlagi tega skupaj s stranko oblikujemo celovit program, s katerim v njihovo trenutno kulturo vnesemo varnostno ozaveščenost, namesto da bi poskušali spremeniti kulturo podjetja. To bi bilo namreč težje. Poskušamo ugotoviti, kateri so gradniki, ki jih že imamo in kako so skladni s trenutno kulturo. Program vedno zgradimo na osnovi kulture, ki je že v podjetju.
Katere države v Evropi več vlagajo v ozaveščanje uporabnikov?
Vidim, da veliko povpraševanja prihaja iz južnoevropskih držav. Ne vem točno, zakaj, vendar se trg v Španiji in Italiji precej hitro povečuje. Nekaj vzponov opažamo tudi v severnih državah. V Nemčiji je to že prisotno, saj gre za zakonodajo. V Nemčiji recimo obstajajo nekatere kibernetske zavarovalnice, ki dajejo popust, če imate vpeljan SANS-ov program varnostnega ozaveščanja.
Vidimo, da je v Evropi vse več pobud na temo kibernetske varnosti. Vem, da Evropski svet vlaga veliko truda v trženje in komuniciranje, zakaj je tako pomembno imeti program ozaveščanja o varnosti. Zato upam, da bodo evropske države članice uporabile te informacije in jih poskušale uvesti v svoje lokalne vladne organe in zakonodajo.
Ali obstaja verjetnost, da bodo SANS-ove vsebine na voljo tudi v slovenskem jeziku?
Da. Glede na velik razvoj, ki se dogaja v dejavnosti usposabljanja ter glede na uporabo umetne inteligence, ki poenostavlja prevajanje, že preučujemo možnost, da bi v naša usposabljanja dodali slovenski jezik. Trenutno omogočamo, da v primeru pojava potrebe po prilagojeni vsebini zagotovimo po meri izdelano usposabljanje v slovenščini. Vendar je to vedno povezano z investicijo.
