พนักงานกดลิงก์แปลก รู้ตัวใน 10 วินาที แล้วเงียบ
ไม่ใช่เพราะเขาไม่รู้ว่าต้องบอก แต่เพราะเขารู้ว่าบอกแล้วจะโดนอะไร
งานความปลอดภัยรู้เรื่องนี้มาก่อนใคร: เหตุเกือบเกิดคือเหตุที่ยังไม่มีใครเจ็บ แต่บอกล่วงหน้าว่าจะเจ็บตรงไหนถ้าปล่อยไว้ และมีเงื่อนไขข้อเดียวที่ทำให้ระบบนี้ทำงาน — คนรายงานต้องไม่ถูกลงโทษ
พอเป็นเรื่องไซเบอร์ เงื่อนไขข้อนี้หลายที่ยังไม่มี พนักงานกดลิงก์แปลก รู้ตัวใน 10 วินาที แล้วคิดต่อทันทีว่า ถ้าบอกไปจะโดนอะไร — ถ้าคำตอบคือหักคะแนน เรียกคุย ประกาศชื่อในกลุ่ม เขาจะปิดหน้าจอแล้วเงียบ
3 อย่างที่ทำได้เลย ไม่ต้องซื้ออะไร
1. ประกาศให้ชัดว่ารายงานภายในกี่นาที ถือว่าทำถูก ไม่ใช่ทำผิด
2. มีช่องทางเดียวที่ทุกคนจำได้
3. สรุปเหตุที่ระบบ ไม่ใช่ที่ชื่อคน — เหมือนรายงานสอบสวนอุบัติเหตุ
ภาพและเสียงในคลิปสังเคราะห์จากตัวผมเอง เนื้อหาทุกตอนผมเขียนและตรวจเอง
#TheCyberTalk #จป #ความปลอดภัยไซเบอร์ #ความปลอดภัยในการทำงาน #CISSP
ที่ทำงานคุณมีระบบรายงานเหตุเกือบเกิด ที่รายงานแล้วไม่โดนลงโทษ แล้วเรื่องกดลิงก์แปลกล่ะ มีระบบแบบนั้นไหม
เรื่องนี้ใช้ได้จริง TheCyberTalk ถอดบทเรียนให้ฟัง
งานความปลอดภัยรู้เรื่องนี้มาก่อนใคร เหตุเกือบเกิดคือเหตุที่ยังไม่มีใครเจ็บ แต่มันบอกล่วงหน้าว่าจะเจ็บตรงไหน ถ้าปล่อยไว้
และมีเงื่อนไขข้อเดียวที่ทำให้ระบบนี้ทำงาน คนรายงานต้องไม่ถูกลงโทษ
พอเป็นเรื่องไซเบอร์ เงื่อนไขข้อนี้หลายที่ยังไม่มี ลองนึกดูครับ ว่ากติกาข้อนี้ ที่ทำงานคุณเขียนไว้ตรงไหน หรือยังไม่เคยเขียน
พนักงานกดลิงก์แปลก รู้ตัวใน 10 วินาที แล้วคิดต่อทันทีว่า ถ้าบอกไปจะโดนอะไร
ถ้าคำตอบคือโดนหักคะแนน โดนเรียกคุย โดนประกาศชื่อในกลุ่ม เขาจะไม่บอก
เขาจะปิดหน้าจอ แล้วหวังว่าจะไม่มีอะไรเกิดขึ้น ซึ่งเป็นสิ่งเดียวที่เขาทำได้ในสถานการณ์นั้น
ยิ่งรู้เร็ว ยิ่งแก้ง่าย พอเงียบไปหลายวัน มันไม่ใช่เรื่องกดลิงก์อีกแล้ว
นี่คือเหตุผลเดียวกับที่คุณไม่ลงโทษคนรายงานเหตุเกือบเกิด ไม่ใช่เพราะใจดี แต่เพราะอยากได้ข้อมูล
ที่ที่ลงโทษ ไม่ได้มีปัญหาน้อยลง แค่มองไม่เห็นปัญหาที่มีอยู่
ผมทำงานสายความปลอดภัยไซเบอร์มาหลายปี ถือ CISSP แต่วัฒนธรรมรายงานโดยไม่ต้องกลัว งานความปลอดภัยทำมาก่อนสายผมนาน
สิ่งที่เอาไปใช้ได้เลยมี 3 อย่าง และไม่ต้องซื้ออะไรเพิ่ม
หนึ่ง ประกาศให้ชัดว่ารายงานภายในกี่นาที ถือว่าทำถูก ไม่ใช่ทำผิด
สอง มีช่องทางเดียวที่ทุกคนจำได้ เบอร์เดียวหรือกลุ่มเดียว ไม่ต้องคิดว่าจะบอกใคร
สาม เวลาสรุปเหตุ ให้พูดถึงระบบ ไม่ต้องพูดถึงชื่อคน เหมือนที่คุณทำในรายงานสอบสวนอุบัติเหตุอยู่แล้ว
ถ้าทำ 3 ข้อนี้ คุณจะเริ่มเห็นเหตุเกือบเกิดฝั่งไซเบอร์ ที่มีอยู่ตลอดแต่ไม่เคยมีใครรายงาน
พรุ่งนี้ ลองถามทีมประโยคเดียวครับ ถ้าพนักงานกดลิงก์แปลกแล้วมาบอกเราภายใน 5 นาที เขาจะโดนอะไร
ตอนหน้า เรื่องของที่ต่อเน็ตอยู่ในที่ทำงาน แต่ไม่มีชื่ออยู่ในทะเบียนของใครเลย
ติดตาม TheCyberTalk ไว้นะครับ จะได้รู้เท่าทันภัยไซเบอร์ ก่อนที่มันจะมาถึงคุณ