Zašto su saveti o računarskoj bezbednosti toliko zbunjujući
Ako smatrate da su smernice za bezbednost računara koje dobijate na poslu zbunjujuće i nisu od velike koristi, niste sami. Nova studija ističe ključni problem u vezi sa načinom na koji su ove smernice kreirane i navodi jednostavne korake koji bi ih poboljšali i verovatno učinili vaš računar bezbednijim.
U pitanju su smernice za računarsku bezbednost koje organizacije poput preduzeća i vladinih agencija daju svojim zaposlenima. Ove smernice su generalno osmišljene da pomognu zaposlenima da zaštite lične podatke i podatke poslodavaca i da minimiziraju rizike povezane sa pretnjama kao što su malver i prevare za „pecanje“.
„Kao istraživač računarske bezbednosti, primetio sam da su neki od saveta o računarskoj bezbednosti koje čitam zbunjujući, obmanjujući ili jednostavno pogrešni“, kaže Brad Reaves, autor nove studije i docent računarskih nauka na North Državni univerzitet Karolina. „U nekim slučajevima, ne znam odakle saveti dolaze niti na čemu se zasnivaju. To je bio podsticaj za ovo istraživanje. Ko piše ove smernice? Na čemu zasnivaju svoje savete? Kakav je njihov proces? Da li postoji neki način za poboljšanje?”
Za ovu studiju, istraživači su sproveli 21 dubinski intervju sa profesionalcima koji su odgovorni za pisanje smernica za kompjutersku bezbednost za organizacije uključujući velike korporacije, univerzitete i vladine agencije.
„Ključni zaključak je da ljudi koji pišu ove smernice pokušavaju da daju što više informacija“, kaže Reaves. „To je u teoriji odlično. Ali autori ne daju prioritet savetima koji su najvažniji. Ili, tačnije, ne umanjuju prioritet stvarima koje su značajno manje važne. I pošto postoji toliko saveta o bezbednosti koje treba uključiti, smernice mogu biti pretrpane – a najvažnije tačke se izgube u mešanju.”
Istraživači su otkrili da jedan od razloga zašto bezbednosne smernice mogu biti tako pretrpane jeste to što autori smernica imaju tendenciju da ugrade svaku moguću stavku iz širokog spektra autoritativnih izvora.
„Drugim rečima, autori smernica sastavljaju bezbednosne informacije, a ne čuvaju bezbednosne informacije za svoje čitaoce“, kaže Reaves.
Oslanjajući se na ono što su naučili iz intervjua, istraživači su razvili dve preporuke za poboljšanje budućih bezbednosnih smernica.
Prvo, autorima smernica je potreban jasan skup najboljih praksi o tome kako da prečiste informacije tako da bezbednosne smernice kažu korisnicima šta treba da znaju i kako da daju prioritet tim informacijama.
Drugo, autorima – i zajednici računarske bezbednosti u celini – su potrebne ključne poruke koje će imati smisla za publiku sa različitim nivoima tehničke kompetencije.
„Vidi, kompjuterska bezbednost je komplikovana“, kaže Rivs. „Ali medicina je još komplikovanija. Ipak, tokom pandemije, stručnjaci za javno zdravlje su bili u stanju da daju javnosti prilično jednostavne, koncizne smernice o tome kako da smanjimo rizik od zaraze COVID-om. Moramo da budemo u mogućnosti da uradimo istu stvar za bezbednost računara .”
Na kraju, istraživači otkrivaju da je tvorcima bezbednosnih saveta potrebna pomoć.
„Potrebna su nam istraživanja, smernice i zajednice prakse koje mogu da podrže ove autore, jer oni igraju ključnu ulogu u pretvaranju otkrića o računarskoj bezbednosti u praktične savete za primenu u stvarnom svetu“, kaže Reaves.
„Takođe želim da naglasim da kada dođe do incidenta u vezi sa računarskom sigurnošću, ne treba kriviti zaposlenog zato što se nije pridržavao jednog od hiljadu bezbednosnih pravila koje smo očekivali da ih poštuju. Moramo da uradimo bolji posao u kreiranju smernica koje je lako razumeti i primeniti“.
Izvor: sciencedaily
