كانت النتائج مثيرة للقلق.

بيانات جديدة وغير واعدة حول تدريب الوعي السيبراني للمستخدمين

كانت المجموعة من المشاركين الذين حققوا أفضل النتائج هم أولئك الذين أكملوا التدريب التفاعلي - وقد تم قياس أنهم أقل احتمالًا بنسبة 19% للنقر على روابط التصيد الاحتيالي بعد ذلك. بعبارة أخرى، يمكن أن تتوقع الشركات التي تعتمد أكثر دورات التدريب فعالية المتاحة أن يتحسن حوالي ربع موظفيها بنسبة 20%.

ذات صلة:خطط استجابة الحوادث في المدارس K-12 غير كافية

لم تظهر التدريبات الثابتة أي فائدة على الإطلاق، جزئيًا لأن الموظفين ببساطة لم يكونوا متفاعلين. أكثر من نصف جميع جلسات التدريب التي أجريت كجزء من الدراسة انتهت في غضون 10 ثوانٍ من البدء. فقط 24% من المشاركين أكملوا الدورات التدريبية المخصصة لهم.

ومن المثير للسخرية، أن الموظفين الذين أكملوا عدة جلسات تدريب ثابتة أصبحوا أكثر احتمالًا بنسبة 18.5% للوقوع في رسالة تصيد احتيالي. اعترف الباحثون بوجود خطر من اختيار ذاتي في هذا الرقم - الموظفون الأقل قدرة يفشلون ويتلقون تدريبًا أكثر تكرارًا - لكنهم لم يلاحظوا نفس النمط في المجموعة التفاعلية.

تتزايد البيانات المحبطة من هناك. من المفترض أن يجدد التدريب السنوي قدرة الموظفين على محاربة الرسائل السيئة، لكن الدراسة لم تجد أي علاقة من هذا القبيل - كان الموظفون تقريبًا بنفس الاحتمالية للنقر على رابط سيئ بعد شهر من دورتهم كما كانوا بعد أكثر من عام. وخدعت رسائل التصيد المقنعة حتى أكثر الموظفين تدريبًا وأداءً جيدًا أكثر من 15% من الوقت، مما يعني أن رسالة إلكترونية واحدة مصممة بشكل جيد يمكن أن تلغي تمامًا أي فوائد لأي تدريب في أي شركة بها أكثر من عدد قليل من الموظفين.

بشكل عام، تحسن الموظفون الذين خضعوا لتدريب الوعي بالأمن السيبراني بنسبة 1.7%.

تعترف ميريان بالفجوة بين الدراسات الحديثة وتلك القديمة التي قد تعطي انطباعًا بأن تدريب الوعي كان الطريق الصحيح. "نشتبه أن جزءًا من الشرح هو أن هذه التجربة تمت في العالم الحقيقي،" تفترض. "لم تكن دراسة مختبر، لم تكن محاكاة. يمكن أن تكون الدراسات المخبرية مفيدة جدًا من بعض النواحي، لكنها أيضًا متحيزة بطرق معينة. ونشتبه أن دراستنا ودراسة [زيورخ] تختلف عن هذه المجموعة الأخرى من الدراسات جزئيًا بسبب كيفية تنفيذها."

ماذا الآن لجهود مكافحة التصيد؟

قريباً جداً من فلسفة الوعي أولاً، توجد فكرة أن الموظفين هم المشكلة. إذا حدث خرق، واحترق المنزل، وطرق المحامون الأبواب، فقد لا تقع المسؤولية على عاتق القادة في القمة.

تقول ميران: "هذا ما أفكر فيه كثيرًا، في حياتي اليومية وأبحاثي. السؤال هو: هل نطلب من المستخدم تحمل المزيد من المسؤولية؟ من خلال التدريب نقول: 'مرحبًا، أنت مسؤول، يجب أن تتعلم.' أم نحاول إيجاد طريقة للنظام - المنظمة - لتحمل تلك المسؤولية؟ ورأيي الشخصي هو أنه، بشكل عام، يجب أن تسعى الأمان دائماً لأخذ المسؤولية من المستخدم."

تترك دراستها الباب مفتوحًا لاحتمالية أن أنواعًا معينة من التدريب، التي لم تُستكشف بعد، قد تنجح، مثل التدريب الشخصي الفردي الأكثر تكلفة. قد تفكر الشركات أيضًا في كيفية تحفيز الموظفين لجعل الأمن السيبراني جزءًا من وظائفهم - على سبيل المثال، من خلال منحهم حصة مالية في مستقبل الشركة.

أو، بشكل أبسط، يمكن للمنظمات الاستثمار في الحلول التقنية لحماية نفسها من المواقف الحتمية. "قد تكون هناك طرق أفضل لإنفاق الأموال، مثل التركيز على المصادقة الثنائية عبر الأجهزة (2FA) حتى إذا تعرضت للاختراق، يكون هناك طبقة إضافية من الحماية،" تقول ميران. مهما كانت الحلول لهجمات التصيد، تضيف: "نحن نقول فقط إن الطرق الحالية لا تعمل."

في نهاية المطاف، يبدو أن العديد من المبادرات التدريبية المتعلقة بالاحتيال الإلكتروني لم تحقق النتائج المرجوة. على الرغم من الجهود المبذولة، لا يزال هناك نقص في الوعي الفعلي بين الأفراد حول كيفية التعرف على محاولات الاحتيال.

يجب أن نعيد التفكير في استراتيجياتنا ونبحث عن طرق أكثر فعالية لتعزيز الأمان الرقمي. من المهم أن نكون مستعدين للتكيف مع التهديدات المتطورة وأن نبحث عن حلول مبتكرة.

في الختام، إن تعزيز الوعي والمهارات في مجال الأمن السيبراني يتطلب جهدًا مستمرًا وتعاونًا بين جميع الأطراف المعنية. دعونا نعمل معًا لبناء بيئة رقمية أكثر أمانًا.