Обучение по вопросам безопасности: ваша первая линия защиты (часть 4)

Введение

В части 1 этой серии мы обсудили важность осведомленности о безопасности на современных строго регулируемых рабочих местах, а в частях 2 и 3, соответственно, мы сосредоточились на том, как разработать собственную программу обучения по вопросам безопасности внутри компании или как нанять стороннюю компанию. чтобы сделать обучение для вас. Независимо от того, какой из этих путей вы решите выбрать, один из самых важных (но часто упускаемых из виду) шагов наступает окончания занятия: оценка его эффективности как в краткосрочной перспективе (посредством тестирования), так и в долгосрочной перспективе (посредством наблюдения и документирования результатов). изменение поведения сотрудников в отношении методов обеспечения безопасности). В этой заключительной части серии мы поговорим о том, почему и как это сделать.

Оценка успеваемости и прогресса учащихся

Традиционная модель обучения включает в себя как этап обучения, так и этап оценки. Фаза обучения занимает большую часть времени и включает в себя передачу содержания курса одним или несколькими методами (лекция, обсуждение, демонстрация, практический опыт и т. д.). Это фаза, во время которой происходит обучение. На этом этапе в традиционной модели поток информации в основном идет от преподавателя к студенту.

Этап оценки намного короче и обычно проходит в конце курса. В традиционной модели он проходит в форме выпускного экзамена, хотя он также может быть перемежается на протяжении всего курса в виде раздельных экзаменов или контрольных опросов.

Оценка может проводиться в виде письменного экзамена, устного экзамена, практической лабораторной оценки (где студент должен продемонстрировать мастерство в реальных условиях), проекта или некоторой комбинации этих методов. Внутри каждой из этих категорий также есть много вариаций; письменный экзамен может быть основан на множественном выборе, заполнении пропусков, правильности/неверности и/или вопросах эссе. Любая из них может быть «открытой книгой», где учащиеся могут свободно использовать свои ресурсы и заметки, или «закрытой книгой», где они должны работать с сохраненной памятью. Любой из этих типов оценки может быть оценен на отдельных лицах или на командах, работающих вместе.

Распространенной проблемой типичного сценария лекции/экзамена является то, что как студенты, так и преподаватель уделяют внимание оценке за тест. Это неизбежно, когда оценка за тест является основной или единственной метрикой, по которой измеряется успеваемость как ученика, так и учителя. Это приводит к практике «обучения тесту», то есть простому обучению студентов тому, как изрыгать «правильный ответ» на конкретные вопросы.

Этот метод может подойти для некоторых предметов, например, когда ребенок изучает таблицу умножения. В этой ситуации работает механическое запоминание. Это не так хорошо работает, когда цель состоит в том, чтобы привить взрослым работникам понимание безопасности. Безопасные вычисления требуют от пользователей способности распознавать огромное количество разнообразных угроз, в том числе совершенно новых, и оценивать риски в различных ситуациях, а затем принимать разумные и обоснованные решения о том, как реагировать (или не реагировать). Это не то, что пользователи могут просто запомнить. Другая проблема с запоминанием для теста заключается в том, что обучение обычно не усваивается полностью (часто из-за отсутствия реального понимания концепций, лежащих в основе «правильных ответов»), поэтому оно забывается вскоре после того, как выполнило свою задачу (прохождение теста). ).

Лучший способ оценить обучение взрослых — это показать им свое понимание и мастерство в достижении целей обучения (помните такие?) с помощью сценариев ролевых игр, лабораторных работ, демонстраций или путем составления презентации того, что они узнали. Однако это требует гораздо больше времени как для учащегося, так и для инструктора, который оценивает успеваемость/прогресс.

Помните, что хотя инструмент оценивания может предоставить ценную информацию об уровне знаний учащегося, на самом деле он не измеряет обучение. Основное внимание в обучении по вопросам безопасности должно быть сосредоточено на совместной работе в команде для защиты компании и ее компьютеров от угроз и атак, а не на получении высоких результатов на тесте.

Оценочная инструкция

Вторая часть итоговой оценки направлена на оценку инструктора и содержания курса. Обычно это делается с помощью анкеты или опроса, заполняемого студентами после окончания курса. Чаще всего это происходит в конце последнего занятия, после того, как ученики завершат свои последние тесты, но это может быть не лучший способ сделать это.

В конце урока, и особенно сразу после стресса (для некоторых) от сдачи теста, ученики, скорее всего, устанут и захотят уйти из класса. Они могут спешить с оценкой инструктора. Они могут быть настолько счастливы, что все закончилось, что автоматически ставят высокие баллы. Они могут быть настолько напряжены и пессимистичны в отношении результатов своих тестов, что автоматически ставят низкие баллы. Им может показаться, что они не могут быть честными в отношении каких-либо негативных моментов, если инструктор находится в комнате, пока они завершают оценку, и является тем, кто собирает их, даже если они не обязаны ставить свои подписи.

Вы можете получить более честные и вдумчивые оценки, если учащиеся заберут формы домой для заполнения и вернут их через день или два, а затем сдадут их кому-то другому, а не преподавателю. Это дает студентам некоторое время, чтобы снять стресс, подумать о курсе в целом (вместо того, чтобы писать оценку, основанную на опыте «в данный момент» сразу после теста), и потратить все время, которое им нужно, чтобы расширить его. причины оценок, которые они дают.

Есть две точки зрения на то, должны ли оценки быть анонимными. Студенты, особенно робкие, с большей вероятностью откроются и выразят свои истинные чувства по поводу курса, если будут знать, что их не узнают. С другой стороны, некоторые учащиеся могут преувеличивать негативность или высказываться исходя из собственных предубеждений, если им не нужно «владеть» тем, что они говорят. Если вы требуете, чтобы оценки были подписаны, эта информация должна быть конфиденциальной и удалена из отзывов, предоставляемых преподавателю.

В оценке должны быть отдельные вопросы или разделы для оценки инструктора и содержания курса, поскольку это два разных вопроса. Вы можете иметь отличного инструктора, который застрял в реализации паршивой учебной программы, составленной кем-то другим. Точно так же учебный материал может быть блестящим, но преподаватель, который его преподносит, может стоять и монотонно читать его классу.

Оценка долгосрочной эффективности программы

Что вас действительно интересует, так это долгосрочная эффективность тренировочной программы. Как вы оцениваете влияние обучения на реальную безопасность вашей сети? Журналы безопасности, записи инцидентов службы поддержки, связанных с безопасностью, отчеты супервайзеров и ИТ-специалистов и сотрудников службы безопасности о поведенческих данных пользователей могут дать вам показатели для анализа того, как обучение повлияло на изменение поведения.

Опросы сотрудников до и после могут помочь вам определить, знают ли они больше о политике компании, связанной с ИТ-безопасностью, и о том, как они воспринимают свою роль в общих усилиях по обеспечению безопасности. Дополнительную информацию о метриках для оценки эффективной культуры безопасности можно найти в этом техническом документе Cisco.

Конечно, окончательной проверкой эффективности вашего обучения по вопросам безопасности является то, как сотрудники реагируют на реальную атаку или действия социальной инженерии. Как отмечает Ира Винклер в статье под названием важно, чтобы ваши ожидания были реалистичными. Как и любая другая мера безопасности, обучение по повышению осведомленности риск, но не устраняет его полностью. Истинная мера того, была ли ваша программа обучения эффективной, заключается в том, превышают ли «убытки, предотвращенные в результате обучения, затраты на программу повышения осведомленности».

Резюме

Процесс оценки не существует в вакууме. Цель оценки прогресса в обучении, обучения и долгосрочных эффектов обучения состоит в том, чтобы иметь возможность дополнять и улучшать его. Осведомленность о безопасности — это не событие «установил и забыл». Вы не можете относиться к этому так, как будто это пожизненная вакцина, которая навсегда защищает от нарушений безопасности. Пользователям компьютеров потребуются повторные инъекции на регулярной основе. Новые технологии приносят новые методы вторжений и атак.

Представьте, как выглядела бы программа повышения осведомленности о безопасности десять лет назад. Он не уделял бы особого внимания таким вещам, как мобильная безопасность и безопасность облачных вычислений (если вообще делал это), однако сегодня они находятся в верхней части списка приоритетов. ИТ постоянно развиваются, и обучение по вопросам безопасности должно идти в ногу со временем. Оценивайте уровень информированности ваших пользователей о безопасности как минимум ежегодно. Помните, что безопасность — это постоянное обязательство со стороны руководства, ИТ-отдела и пользователей. И это один из основополагающих ключевых моментов, который необходимо разъяснить в ходе обучения по вопросам безопасности.