1. Simulované útoky (napríklad phishing)
Najlepšia previerka je prax. Simulované phishingové testy ukážu, ako by sa vaši kolegovia správali v reálnej situácii.
Sledujte koľko ľudí kliklo na podvodný odkaz, koľko z nich nahlásilo podozrenie a ako sa výsledky menia v čase.
👉 Dôležité: výstupy neslúžia na obviňovanie, ale ako spätná väzba pre školenia.
2. Nahlasovanie podozrivých e-mailov alebo incidentov
Aktívne nahlasovanie je známkou toho, že ľudia vedia, čo majú robiť a neboja sa ozvať.
Sledujte počet a kvalitu hlásení, reakčný čas od doručenia podozrivého e-mailu po nahlásenie, plus úroveň zapojenia jednotlivých oddelení.
Sledujte aj správanie dotknutých osôb (hlásenie, adekvátna/neadekvátna reakcia, kategorizácia mailu, eskalácia podozrenia, vnímavosť na neobvyklé správanie osôb/systémov...).
👉 Cieľ nie je mať nulový počet incidentov, ale čo najviac včasných upozornení.
3. Výsledky kvízov a školení
Základné, ale užitočné ukazovatele môžu byť skóre zo školení a testov či percento absolvovania. Netreba ignorovať mieru dokončenia a čas strávený na školení.
Pozor: vysoké skóre nemusí vždy znamenať pochopenie. Skúste občas zaradiť otázky z reálneho života alebo formu „čo by ste urobili, keby...“.
4. Interné audity a bezpečnostné „overenia“
Môžete vykonať jednoduchý interný prieskum či niekto z kolegov má heslo na monitore. Aj keď znie neuveriteľné, stáva sa.
Preverte tiež, či sú dvere do serverovne zamknuté ...
Mobilné zariadenia by mali byť zabezpečené, ale či je to aj v skutočnosti tak, to vie iba poverený IT administrátor. Ten nesie aj zodpovednosť za toto bezpečnostné optarenie.
👉 Tieto „rýchle prechádzky“ po kancelárii (fyzickej aj virtuálnej) môžu veľa napovedať o reálnom správaní.
5. Trendy a zmeny v čase
Jeden test nestačí. Dôležité je sledovať vývoj v čase.
Znížil sa počet kliknutí na falošný e-mail?
Zvýšila sa miera nahlasovania?
Znížil sa výskyt iných porušení?
👉 Ide o progres, nie o momentálny stav.
6. Spätná väzba od zamestnancov
Pýtajte sa kolegov ktoré školenia pre nich boli užitočné. Zistite čo im na školeniach chýbalo. Požiadajte ich aby sa vyjadrili či sa cítia dostatočne informovaní.
Bezpečnostná kultúra sa nevytvára prikazovaním, ale spoluprácou.
A spätná väzba je kľúčová.
Zhrnutie
Meranie bezpečnostného povedomia nie je o tom, koľko ľudí si prečítalo smernicu. Je to o tom, ako sa ľudia správajú v praxi a či sa to správanie v čase zlepšuje. Merať sa dá jednoducho simuláciou, testami, spätnou väzbou a pozorovaním reality.
Ako reagovať na bezpečnostný incident bez obviňovania (a so zameraním na učenie) >
Ako zapojiť manažérov a vedenie do budovania bezpečnostnej kultúry >
