Všichni dokončili školení. Ví firma také, jak budou lidé reagovat na podezřelý e-mail nebo žádost o citlivá data? Human Risk Management propojuje vzdělávání, testování a další práci s riziky spojenými s lidským rozhodováním.
V článku najdete
Co znamená Human Risk Management
Human Risk Management, zkráceně HRM, používáme pro průběžné řízení lidských rizik v bezpečnosti. V tomto kontextu nejde o obecnou správu personalistiky. Zajímá nás, jak lidé pracují s informacemi, reagují na hrozby a používají pravidla organizace.
Program zahrnuje výuku, ověření znalostí, bezpečné praktické testy, vyhodnocení a cílenou podporu. Musí současně zohlednit okolní podmínky: nejasný proces, časový tlak nebo nedostupné schvalování mohou vytvářet riziko stejně jako mezera ve znalostech.
Potřebu vzdělávacího programu s vazbou na role, změnu chování a průběžné vyhodnocování popisuje také NIST v publikaci Building a Cybersecurity and Privacy Learning Program. Následující postup je náš praktický návrh, jak tyto principy využít ve firmě.
Proč dokončený kurz není poslední krok
Absolvování ukazuje, že zaměstnanec prošel určitým obsahem. Test může ověřit znalost. Simulace přidává pohled na reakci v konkrétním scénáři. Tyto údaje se doplňují, ale žádný z nich samostatně nevypovídá o celkovém bezpečnostním riziku člověka.
Stejný kurz navíc nemusí stejně pomáhat všem. Účetní potřebuje ověřovat platby, obchodník zacházet s dokumenty zákazníků a vedení rozhodovat při incidentu. Společný základ je užitečný, navazující obsah má respektovat práci jednotlivých rolí.
Jak pracovat s rizikovými skupinami
Skupina je pomůcka pro plánování podpory. Nemá být trvalou nálepkou schopností zaměstnance. Zařazení musí vycházet z pochopitelných pravidel a dostupných ověřených údajů. Lidé mají dostat příležitost procvičit slabé místo a změnit své výsledky.
| Potřeba skupiny | Doporučená navazující práce |
|---|---|
| Udržování bezpečných návyků | Krátké opakování, nové příklady a potvrzení správného hlášení. |
| Procvičení konkrétního rozhodnutí | Cílené téma, modelová situace a následné ověření. |
| Intenzivnější podpora | Rozbor opakovaných situací, individuální vysvětlení a kontrola souvisejících procesů. |
Tabulka představuje doporučený způsob práce, nikoli výchozí prahy platformy. Při nastavení skupin zvažte množství a stáří výsledků, typ testu i pracovní roli. Nového člověka bez dostatku údajů nelze férově porovnávat se zaměstnancem, který absolvoval mnoho různých kampaní.
Cyklus, který navrhujeme pro firmu
Začněte nejdůležitějšími situacemi, ne snahou změřit vše. Pro finanční oddělení to může být ověření změny účtu. Pro celý tým rozpoznání falešného přihlášení. Určete vlastníka programu a vždy si řekněte, co po výsledku uděláte.
Průběžně se ptejte, zda se lidé naučili správný postup, zda ho dokážou použít a zda jim v tom firma nebrání. Pokud simulace ukáže problémy s hlášením, dalším krokem může být zpřehlednění kontaktu pro hlášení, nikoli další obecný kurz.
Modelový příklad cíleného vzdělávání
První skupině pomůže procvičení kontroly odkazu před kliknutím. Druhá potřebuje navíc vysvětlení falešného přihlašování a jednoduchou cestu k hlášení. Oběma následně nabídněte srovnatelný scénář a ověřte, zda se změnila konkrétní reakce.
Takový postup není slibem předem daného snížení rizika. Je to způsob, jak rozhodovat podle podkladů a poznat, zda má zvolená podpora smysl.
Jaké podklady potřebuje vedení
- Pokrytí vzdělávání podle rolí a týmů.
- Rozdíl mezi absolvováním, znalostmi a reakcemi v simulacích.
- Vývoj výsledků v čase se zohledněním obtížnosti scénářů.
- Navazující opatření, jejich vlastníka a termín vyhodnocení.
- Dohledatelnou evidenci obsahu a dokončení školení.
Detailní osobní výsledky zpřístupňujte podle účelu a pracovních pravomocí. Pro řadu manažerských rozhodnutí stačí souhrn. Zároveň zajistěte možnost opravit nesprávně přiřazenou událost, například automatickou interakci bezpečnostního nástroje.
Jedna platforma pro vzdělávání a řízení rizika
Ve 4Cyber propojujete vzdělávání zaměstnanců a vedení, phishingové simulace, výsledky a práci s rizikovými skupinami. Navazující vlastní obsah můžete připravit ve Studiu. Firma tak nemusí hledat souvislosti mezi odděleným kurzem a tabulkou výsledků.
Lidská rizika se řídí společně s technickými a organizačními opatřeními. Platforma poskytuje podklady a prostředí pro vzdělávání; odpovědnost za rozhodnutí a zavedení procesů zůstává ve firmě.
Časté otázky
Je HRM jen nové označení školení?
Ne. Školení je součást programu, který navazuje vyhodnocením a dalšími kroky podle potřeb a rizik.
Je jeden chybný výsledek důvodem pro vysoké riziko?
Sám o sobě není úplným obrazem. Ověřte událost, pravidla zařazení a kontext práce.
Co je cílem rizikové skupiny?
Vybrat vhodnou podporu a sledovat změnu. Skupina nemá sloužit jako veřejný žebříček nebo trvalá nálepka.
Úvodní obrázek je ilustrační a vytvořený pomocí AI.
