网络安全的重点通常是技术。具体来说，是网络罪犯如何利用它进行攻击，以及组织可以使用哪些工具来保证系统和数据的安全。然而，这忽略了网络安全风险中最重要的因素:人为错误。
网络安全中的人为风险
根据Proofpoint公司发布的《2024年首席信息安全官之声》报告，四分之三(74%)的首席信息安全官(CISO)表示，人为错误是他们最大的网络安全风险。这表明，与去年相比，有60%的首席信息安全官表达了这种观点，这一比例有了显著增长。该研究还发现，首席信息安全官与董事会之间存在一个关键差距。董事会成员(63%)指出人为错误的可能性低于首席信息安全官(CISO)，这表明首席信息安全官应该把重点放在培养领导力和员工上。
在调查中，数据丢失事件的几个主要原因与员工直接相关。排在第一位的回答(42%)是内部人员或员工的疏忽，例如员工滥用数据。其他原因包括恶意或犯罪内部人员(36%)、员工凭证被盗(33%)和设备丢失或被盗(28%)。
IBM2024威胁指数支持这一发现，表明30%的攻击始于网络钓鱼。然而，网络钓鱼攻击的数量和初始攻击向量都比2022年有所下降。报告指出，继续采用和重新评估网络钓鱼缓解技术和策略是减少的原因之一。
虽然一个人可能确实犯了导致数据泄露的错误，但这并不一定是个人的错——除非是内部犯罪分子。组织必须采取积极主动的网络安全方法，包括提供培训，使员工能够学习安全实践，同时建立降低风险的流程。
减少员工在网络安全方面的失误
降低人类网络安全风险并不简单。你不能启动一个单一的项目或培训来解决这个问题。相反，企业必须采取一种全面的方法，创造一种网络安全文化，并授权每位员工将网络安全视为自己的工作。
以下是解决网络安全中的人为风险的三种方法:
1.使用人工智能工具来克服人为错误
因为人工智能工具可以预测人类可能会做什么，所以它们在防范网络安全中的人为风险方面特别有效。Proofpoint报告发现，全球87%的首席信息安全官正在寻求部署人工智能功能，以帮助防范人为错误和以人为中心的高级网络威胁。
2.提供全面和持续的员工培训
尽管许多公司提供培训，但这通常是打勾式的培训，并不能真正改变行为或将网络安全放在首位。在设计培训计划时，要采取全面的方法，考虑哪些员工需要哪种类型的培训。
首先回顾过去的事件，以确定哪些主题是最重要的，例如员工在最近的过去多次点击网络钓鱼尝试。公司应该考虑每月定期的迷你模块，而不是每年一次的培训，让员工牢记这些话题。此外，将网络安全培训作为新员工入职的一部分，以确保每个员工在进入公司时都掌握相同的信息。
3.创建网络安全文化
员工很容易觉得网络安全是别人的工作。但降低人类风险首先要改变这种印象，让每个员工都觉得自己对网络安全负有责任。虽然培训是这一转变的关键组成部分，但它还涉及在整个公司中保持网络安全的首要地位。网络安全文化从高层开始，每个领导者都在谈论网络安全并强调其重要性。
优先考虑网络安全中的人为风险
网络安全始于人，也终结于人:制造攻击的人和有能力阻止攻击的人。通过关注网络安全中的人为因素，组织可以显著降低风险。然而，改变不是一次训练或几个月就能发生的。组织必须将这一战略视为一种长期的方法，其目标是让每个员工都意识到他们有能力在组织的网络安全中发挥作用。
