НОВИНИ ТА ТРЕНДИ

9 упереджень, що вбивають вашу програму кібербезпеки

Cyber security ISO27001/ISMS
Я бачу те, що хочу бачити
Ми не завжди настільки раціональні у прийнятті рішень, як вважаємо. Це часто трапляється коли ми приймаємо повсякденні рішення: від дуже простого, що хочемо з'їсти на обід, до більш важливих, наприклад, яку машину купити, де ми будемо жити. Ці когнітивні упередження чи відхилення від раціонального судження можуть впливати на кожен аспект нашого прийняття рішень. Нерозумно було б думати, що таке ірраціональне мислення не призводить до неправильної оцінки ризиків кібербезпеки, або помилковим судженням щодо захисту корпоративних систем. Ось список з дев'яти основних когнітивних відхилень, про які спеціалісти із безпеки повинні пам'ятати.

Евристика доступності
Це коли ми занадто сильно покладаємось на те, що першим спадає на думку. Хтось, сприйнятливий до евристики доступності, зосередив би свої зусилля на останніх подіях, будь то атаки хробаків (worm attack - наприклад, які відбувалися на початку 2000-х років), програмах-шантажистах (ransomware – які дуже популярні зараз), ботнетах, атаках на відмову в обслуговуванні dos/ddos, або будь-яких останніх тенденціях. Це прекрасний спосіб гасити пожежі, але поганий спосіб створити стійкий процес управління ризиками.

Підтверджувальне упередження
Прикладом цього упередження є ситуації, коли ми шукаємо і інтерпретуємо нову інформацію як спосіб підтвердження наших поточних поглядів, а також знецінюємо дані або точки зору, які суперечать або є альтернативою нашим уявленням. Ми бачимо це в інформаційній безпеці, коли керівники вважають, що технології можуть забезпечити більшу частину їх захисту, і вони дивляться на успіхи, які мають ці пристрої чи рішення, але, можливо, ігнорують їх недоліки і тому завищують реальну ефективність.

Інформаційне упередження
Інформаційне упередження сприяє тому, що фахівці безпеки роблять помилки у вимірюваннях показників систем або при оцінюванні наданої інформації. Це може статися, коли буде проводитись дослідження загроз, організаційних процесів чи ефективності нових контролів безпеки. Можливо, керівник думає, що чим більше інформації - тим краще, але не знає, яка інформація є більш цінною. Ще гірше, коли вагомі рішення приймаються на основі неповної інформації. Це також називається упередженням спостерігача.

Ефект страуса
Ми часто зустрічаємося з цим у повсякденному житті. Ми всі знаємо приклади - людина, що не може витримати болю, розмовляючи про своє погане фінансове становище, або батьки, які не хочуть чути про недоліки поведінки у їхньої дитини. У кібербезпеці ми бачимо подібні речі, коли розробники програмного забезпечення не хочуть чути про існуючі вразливості, виявлені спеціалістами з безпеки, або керівники підприємств, які не хочуть мати справу з результатами сканування на вразливості. Деяким легше уникати проблем ніж докласти зусиль для їх вирішення.

Проінноваційне упередження
Це упереджена думка про те, що нова технологія або інновація повинні використовуватися всіма в тому вигляді, в якому вона є. Відбувається так, що на ринку з'являється нове рішення або технологія, які рекламуються на виставках та в змі і швидко стають “хайповими”. У галузі безпеки зрозуміло, що такі технології, як біг дата, аналіз загроз (threat intelligence), хмарна безпека або будь-яка інша, можуть стати новим трендом. Остерігайтеся тих, хто просуває останні інновації, так як вони можуть бути настільки засліплені упередженим ставленням до них, що не бачать обмежень, які їх очікують попереду.

Упередження щодо виживання
Упередження щодо виживання – впливає на наш вибір. Ми бачимо його у деяких аспектах життя, наприклад, коли дивимося на успішні стартапи та приходимо до висновку, що стати успішним досить просто, тому що ми бачимо лише успіхи, а не наслідки невдалих зусиль. Це може вплинути на ваші рішення щодо управління ризиками. Наприклад, якщо дивитися на інші компанії, які не постраждали від руйнівного інциденту або їх порушення не стали публічними, ви можете не звертати увагу на вірогідність того, що це може статися з вами.

Упередження щодо абсолютної ліквідації ризиків
Суспільству властиво упереджене ставлення щодо ризиків пов'язаних з тероризмом, злочинністю, правоохоронною діяльністю, а також питаннями громадської безпеки. Ми витрачаємо безліч часу на обговорення проблем пов'язаних з ліквідацією усіляких негативних проявів. Але, це явно абсурдно. Злочинність і ризики не можливо повністю усунути їх можна контролювати і мінімізувати. Це упередження стосується й кібербезпеки. Люди сприймають це не як прийнятне зниження ризиків, а як їх абсолютну ліквідацію.

Ефект приєднання до більшості
Цей ефект ми можемо спостерігати як серед постачальників, так і серед керівників служб безпеки. Один рік на великих конференціях всі в захваті від біг дата, за рік до того від систем менеджменту, оцінки ризиків та дашбордів відповідності. Не звертайте уваги на більшість, майте свою думку і зосередьтеся на тому, що дійсно потрібно вашій організації.

Упередження щодо автоматизації
Ми завалені комп'ютерними панелями і консолями. І тенденція полягає в тому, що в більшій мірі ми сліпо довіряємо інформації, яка відображається в цих системах і можемо скидати з рахунків інші можливості на користь того, що пропонує машина.
Упередженість щодо автоматизації приймає форму помилок виключення і включення. Помилка виключення має місце, коли люди покладаються на автоматизовану систему, яка не повідомляє їм про проблему. В той же час, помилка включення виникає, коли люди роблять вибір , ґрунтуючись на невірних варіантах рішення, які пропонує автоматизована система.
Made on
Tilda