Политики безопасности нужно адаптировать к субкультурам внутри предприятий

Частота, масштаб утечек данных и наносимый ими ущерб резко возросли в последние годы, причем большинство таких инцидентов происходит потому, что люди являются самым слабым звеном в цепи безопасности. Несоблюдение политики информационной безопасности (ISP) со стороны сотрудников — один из важных факторов риска.

Почему одни сотрудники организации с большей вероятностью соблюдают требования ISP, чем другие? Такими вопросом задались исследователи из Бингемптонского университета (штат Нью-Йорк). Результаты их анализа, опубликованные журналом Information Systems Research, указывают на существование субкультур внутри организации, которые влияют на степень ответственности служащих при соблюдении предписаний безопасности.

«В каждой организации есть культура, которая обычно устанавливается высшим руководством. Но внутри неё существуют субкультуры среди различных профессиональных групп, которые проходят разное обучение и отвечают за разные задачи», — рассказывает Сумантра Саркар (Sumantra Sarkar), доцент кафедры информационных систем управления в Школе менеджмента Бингемтонского университета.

Политики информационной безопасности, при выработке которых не учитывается специфика субкультур, подвергают организации повышенному риску утечки данных. Рекомендации по пересмотру подходов к формулированию и применению ISP авторы основывают на многолетних наблюдениях за тремя субкультурами, выявленными в больницах: за врачами, медсёстрами и персоналом поддержки.

«Врачи, которые постоянно имеют дело с неотложными ситуациями, чаще оставляли рабочую станцию разблокированной. Их больше беспокоила немедленная помощь пациенту, чем возможный риск утечки данных, — отмечает Саркар. — С другой стороны, сотрудники службы поддержки уходя, редко оставляли рабочие станции разблокированными, поскольку считали, что в случае утечки данных они с большей вероятностью будут наказаны или уволены».

Было также установлено, что большинство сотрудников осознают ценность соблюдения ISP и потенциальную опасность утечки данных. Однако устаревшие требования ISP могут ввергать персонал в конфликт приоритетов. Например, врачам может потребоваться смириться с возможностью утечки данных если они имеют дело с пациентом, которому требуется неотложная помощь

Саркар настаивает на необходимости поиска путей согласования ISP со всеми аспектами каждодневной работы разных сотрудников организации.

Стратегія охолодження ЦОД для епохи AI