พฤติกรรมที่ขาดความมั่นคงปลอดภัยเป็นเหมือนโรคร้ายต่อองค์กร

ผลสำรวจจาก Preempt ผู้ให้บริการด้านความมั่นคงปลอดภัยและผู้เชี่ยวชาญระบบเครือข่ายที่เข้าไปสำรวจพนักงานระดับบริหารกว่า 200 คนในองค์กรที่มีลูกจ้างมากกว่า 1 พันคน พบว่าลูกจ้างมีสิทธิ์ในการเข้าถึงมากกว่าที่ควรจะเป็น โดยประมาณ 25% มีความพยายามที่จะเข้าถึงข้อมูลมากกว่าสิทธิ์ที่สมควรได้ในที่ทำงานและ 60% ในจำนวนนี้สามารถทำได้สำเร็จ

นี่เป็นเรื่องที่น่าตกใจเป็นอย่างยิ่งโดยเฉพาะทีม IT Security ควรจะให้ความสนใจเรื่องการเข้าถึงข้อมูลและทรัพยากรเกินขอบเขตเป็นเรื่องหลัก รายงานยังได้ระบุว่า “ข้อมูลที่ถูกเปิดเผยนั้นสามารถทำให้บริษัทและพนักงานมีความเสี่ยงที่อาจจะทำให้การดำเนินงานของธุรกิจและความน่าเชื่อถือขององค์กรเสียหายได้ ดังนั้นในธุรกิจควรจะประเมินปัจจัยความเสี่ยงจากลูกจ้างที่สามารถเปลี่ยนแปลงได้ตลอดช่วงเวลาการจ้างงาน เช่นกันสำหรับ IT Security ผลสำรวจนี้ชี้ไปถึงว่าทีมควรทำความเข้าใจให้มากขึ้นถึงวิธีการประเมินความเสี่ยงและความน่าเชื่อถือต่อพนักงาน”

สถิติที่น่าสนใจของพฤติกรรมที่มีความมั่นคงปลอดภัยต่ำมีดังนี้

• 1 ใน 3 ของลูกจ้างยอมรับว่าทำผิดกฎหรือทำงานบางอย่างให้เสร็จโดยไม่ได้แก้ปัญหาอย่างถาวรและในจำนวนนี้มากกว่า 10% ปฏิบัติเป็นประจำหรือเป็นครั้งคราว
• 41% ของลูกจ้างใช้รหัสผ่านของที่ทำงานเหมือนกับรหัสผ่านของบัญชีส่วนตัว
• 20% ของลูกจ้างตระหนักถึงรหัสผ่านว่าอาจจะถูกแทรกแทรงได้จากภาวะการรั่วไหลของข้อมูล
• 56% บอกว่าพวกเขาจะเปลี่ยนรหัสผ่านบัญชีที่มีการรั่วไหลเท่านั้น
• มากกว่า 1 ใน 3 จะไม่รู้เรื่องอะไรเลยหากชื่อหรือรหัสผ่านบัญชีรั่วไหนสู่สาธรณะ
• เมื่อถามถึงการให้คะแนนตัวเองถึงเรื่อง IT Security เทียบกับคนอื่นๆ ในองค์กรว่าเป็นอย่างไร พบว่า 41% บอกว่าพวกเขาอยู่ในกลุ่ม 25% แรก อีก 50% ให้คะแนนตัวเองว่าอยู่ในกลุ่ม 25 – 75% มีเพียง 9% เท่านั้นที่ยอมรับว่าตัวเองมีพฤติกรรมต่ำกว่าค่าเฉลี่ย

ผลลัพธ์ที่เกิดขึ้นสะท้อนให้เห็นว่าผู้คนไม่สนใจและไม่มีวิธีการที่จะทราบได้เลยว่าชื่อและรหัสผ่านถูกแทรกแซงแล้วจากเหตุการณ์การข้อมูลรั่วไหล ถ้าลูกจ้างเอาชื่อและรหัสที่รั่วไหลไปใช้ องค์กรก็จะตกอยู่ในความเสี่ยงโดยทันทีจากแฮ็กเกอร์ที่ได้รหัสนี้ไปและรหัสผ่านที่อ่อนแอก็ยังทำให้องค์กรตกอยู่บนความเสี่ยงเช่นเดียวกัน Preemt ยังกล่าวอีกว่า “ผลลัพธ์ที่สำรวจมานั้นแสดงอย่างชัดเจนว่าลูกจ้างไม่เข้าใจพฤติกรรมในที่ทำงานและทำให้องค์กรตัวเองตกอยู่ในความเสี่ยง” นอกจากนี้การที่มีความมั่นใจมากเกินไปอาจนำไปสู่ความเสี่ยงอย่างมหาศาล เมื่อลูกจ้างไม่เข้าใจว่าพฤติกรรมหรือนิสัยนั้นเป็นความเสี่ยงพวกเขาย่อมไม่เปลี่ยนแปลง การสร้างความเข้าใจเกี่ยวกับการระบุตัวตน พฤติกรรม และความเสี่ยง จะช่วยให้ IT สามารถควบคุมและป้องกันภัยคุกคาม เช่น บังคับใช้นโยบาย ทำการเข้าถึงให้มีความมั่นคงปลอดภัย และหาช่องทางที่จะลดความเสี่ยงได้

ที่มา : https://www.infosecurity-magazine.com/news/poor-security-habits-plague-large/