Обучението е необходимо, но не е достатъчно
Периодичното обучение по информационна сигурност е важна мярка, но еднократно представяне или ежегоден онлайн курс не гарантират, че служителите ще разпознаят реална атака.
Ефективната осведоменост изисква последователен подход, съобразен с конкретните рискове и роли в организацията.

Това може да включва:

• въвеждащо и периодично обучение;
• кратки тематични обучения при появата на нови заплахи;
• практически примери и симулации;
• ясни правила за работа с информация и информационни системи;
• лесен механизъм за докладване на подозрителни събития;
• анализ на възникнали инциденти и извлечените от тях поуки;
• периодична оценка на ефективността на предприетите мерки.

Целта не е просто служителите да са преминали обучение, а знанията да се превърнат в поведение, което намалява риска.
 
Практическото тестване показва какво се случва в реална ситуация
Един от начините организацията да оцени доколко служителите разпознават опити за манипулация е чрез контролирани тестове за социално инженерство.
Те могат да покажат например дали служителите разпознават подозрителни съобщения, дали следват установените процедури и дали докладват своевременно за потенциален инцидент.
Резултатите не трябва да се използват единствено за установяване на грешки. Те могат да бъдат основа за определяне на области, в които са необходими допълнително обучение, промяна на процесите или технически механизми за контрол.
Практическите проверки могат да бъдат част от по-широко тестване на информационни системи – тестове за уязвимости, пенетрейшън тестове и социално инженерство, чрез което организацията получава по-реалистична представа за ефективността на прилаганите мерки за защита.
 
Служителят като част от защитата
Добре подготвеният служител може да забележи нещо, което техническите средства не са идентифицирали.
Той може да разпознае необичайно искане, да провери самоличността на подателя по друг канал, да откаже предоставяне на информация или да докладва подозрителна активност, преди тя да доведе до инцидент.
За това е необходима организационна среда, в която хората знаят:

• какво се очаква от тях;
• какви са основните рискове;
• към кого да се обърнат при съмнение;
• как и кога да докладват инцидент или подозрително събитие.

Особено важна е ролята на ръководството. Когато информационната сигурност се възприема като управленски приоритет, а не само като задача на IT отдела, правилата и обученията имат много по-добра основа за практическо прилагане.
 
Как организацията разбира дали мерките действително работят?
Наличието на политики, процедури и технически средства не означава автоматично, че те са ефективни.
Организацията трябва периодично да оценява дали установените механизми за контрол се прилагат на практика, дали предоставените права за достъп са подходящи, дали служителите познават своите отговорности и дали съществуващите мерки отговарят на реалните рискове.
Такава оценка може да бъде част от одит на информационните системи (IT одит), при който се анализират не само технологичните решения, но и политики, управление на достъпа, компетентност на персонала, непрекъснатост на дейността и други организационни аспекти на информационната сигурност.
 
Хора, процеси и технологии – системният подход
Ефективната информационна сигурност изисква баланс между хора, процеси и технологии.
Именно такъв системен подход стои в основата на ISO/IEC 27001. Стандартът определя изискванията към система за управление на сигурността на информацията (СУСИ), чрез която организацията управлява рисковете за конфиденциалността, интегритета и наличността на информацията.
В този контекст осведомеността не е изолирана дейност. Тя е свързана с компетентността, комуникацията, управлението на риска, механизмите за контрол и непрекъснатото подобряване на системата за управление.
Това означава, че организацията не трябва просто да „обучи служителите“, а да създаде среда, в която сигурното поведение е част от ежедневните процеси.
 
Информационната сигурност е споделена отговорност
Технологиите остават незаменима част от защитата, но не могат да компенсират напълно липсата на ясни правила, подходящи процеси и осведомени хора.
Ефективната защита изисква организацията да разбира своите рискове, да прилага подходящи технически и организационни мерки, да развива компетентността на служителите и да проверява дали предприетите действия действително работят.
Човешкият фактор не е просто риск, който трябва да бъде ограничен. Когато хората разбират заплахите, знаят как да реагират и участват активно в защитата на информацията, те се превръщат в една от най-важните линии на защита на организацията.