De zwakste schakel: de mens

Transcriptie

1 GviB thema-avond Social Engineering in Computer Security De zwakste schakel: de mens J. Strikwerda Nolan, Norton & Co. - Utrecht Universiteit van Amsterdam j.strikwerda@uva.nl Leusden, 16 november 2004

2 Thema Welke sociaal-psychologische factoren spelen een rol in het gedrag van mensen met betrekking tot het beveiligen van informatie? Wat is bekend uit de vakgebieden psychologie en sociaal-psychologie? Hoe kan de security officer daarvan gebruik maken in termen van praktische maatregelen en adviezen? Nolan, Norton & Co 2

3 Informatie = geld Sheriff: Why do you rob banks? Because that s where the money is De waarde van informatie wordt vaak onderschat: Als Karl Marx nu zou hebben geleefd zou hij niet Das Kapital hebben geschreven, maar Die Information, een werk dat in feite door Bill Gates is gescheven Bijzondere eigenschappen van informatie (Niet-exclusiviteit) Als ik informatie weggeef, dan raak ik zelf niets kwijt, dit is anders dan in het geval van fysieke goederen, daardoor zijn mensen ook gemakkelijker in de omgang met informatie (Asymmetrie in waarde)voor iemand die in informatie handelt is die informatie van grote waarden, terwijl voor diegene die die informatie moet beheren diezelfde informatie vaak op zijn best marginale waarde heeft Nolan, Norton & Co 3

4 It s an Old Story It was the opinion of all the experts that the ciphers generated by the Enigma were impenetrable to hostile crypt analytical attack, if used correctly. [Emphasis in original][1] [1] Ingel West. (1987). G.C.H.Q.: The Secret Wireless War Coronet Books Nolan, Norton & Co 4

5 Drie groepen factoren die gedrag van individuen bepalen Persoonlijkheidskarakteristieken Persoonlijkheid (w.o. de mate waarin iemand gewetensvol is) Motivatie, ambitie, hiërarchie van preferenties voor beloning en waardering Psychologische behoefte aan erkenning, respect, need for belonginess, rechtvaardig behandeld te worden, veiligheid Kennis, inzicht Wetenschap, ervaring, bewust of onbewust, welke handelen welk effect oplevert met betrekking tot beoogde beloning en waardering of voorkomen van pijn en straf Worden individuen geconfronteerd met het effect van hun handelen of niet? Context Waarden en normen, groepscohesie Waardering van voorbeeldgedrag Tolerantie voor afwijkend gedrag Mate van sociabiliteit: als te hoog dan worden geen kritische vragen gesteld Cultuur algemeen: zie literatuur over social enigineering over hoe misbruik wordt gemaakt van fatsoensregels om bij informatie te komen Nolan, Norton & Co 5

6 Waarom de mens de zwakste schakel is en blijft Als biologisch wezen heeft de mens in geval van gevaar steeds de primair neiging om te vluchten in plaats van om te vechten Verhalen over mogelijke inbraak op computer systemen zijn een vorm van gevaar en mensen vluchten daarvoor in de vorm door het te negeren De mens is steeds beperkt rationeel in denken, beslissingen en handelen en vertoont steeds satisfycing behaviour Voor de meeste mensen geldt dat misbruik, vernietiging etc. van informatie hen niet (direct) in hun persoonlijk inkomen of idem vermogen raakt; Only the paranoid survive Ter wille van zijn eigenwaarde verzet de mens zich steeds tegen formele systemen, de mens committeert zich steeds via de informele organisatie aan de formele organisatie Nolan, Norton & Co 6

7 Wat motivatie bepaalt Effort Performance Rewards } } Expectancy X Instrumentality X Motivation Valence of rewards Dit is expectancy theory van Vroom. In dit model wordt erkend dat prestaties van individuen door meer dan enkel motivatie wordt bepaald. Dit model is invariant in de tijd en naar culturele omstandigheden, maar erkent wel de invloed van cultuur J. Greenberg & R.A. Baron, Behavior in Organizations, 2000: Nolan, Norton & Co 7

8 Wat prestatie bepaalt W.o technische maatregelen Effort Performance Rewards } } Expectancy X Instrumentality X Valence of rewards Motivation Skills and abilities Role perceptions and opportunities Job performance Juist ook m.b.t. het realiseren van information secutiry Beloning zowel in positieve als in negatieve zin, let wel: gewenst gedrag wordt het effectiefst gerealiseerd door positieve beloning, ook wanneer het gaat om informatiebeveiliging Values Climate Leadership Culture J. Greenberg & R.A. Baron, Behavior in Organizations, 2000:150 organisatiecultuur i.h.b. Voorbeeldgedrag van de leiding en het openlijk waarderen van goed gedrag Nolan, Norton & Co 8

9 De belangrijkste auditpunten met betrekking tot de gedragwetenschappelijke aspecten van information security (Aangenomen alle mogelijke technische maatregelen) (1/2) 1. Zijn medewerkers geïnformeerd en getrained in het hanteren van de technische maatregelen? Is daarbij ook duidelijk gemaakt welke schade door misbruik van informatie voor de onderneming/instelling, voor derden en voor henzelf kan veroorzaken? Indien niet; vermelden in audit rapport omdat dan een belangrijk motivatie element ontbreekt 2. Staat in de functieomschrijving van elke medewerker dat het zijn persoonlijke taak is (specifieke) informatie te beschermen tegen... door toepassing van...? Zo niet: in het auditrapport vermelden dat dit moet gebeuren, omdat anders geen zaak gemaakt kan worden bij de ontslagrechter 3. Wordt voorbeeld-gedrag met betrekking tot informatiebeveiliging openlijk voor de rest van de medewerkers beloond, bijvoorbeeld in de vorm van een oorkonde? 1. Vermeldt in audit rapporten ook voorbeeldig gedrag met betrekking tot informatiebeveiliging, ook ter opname in personeelsdossiers, evt. Met aanbeveling de betrokken medewerker te belonen 2. Als het positief belonen van goed gedrag geen praktijk is: vermelden in auditrapport omdat er dan geen sprake is van leereffecten in de organisatie als geheel 4. Wordt het zich niet houden aan informatie-beveiligingsvoorschriften door een medewerker vastgelegd in zijn personeelsdossier? Zo niet: in het auditrapport vermelden dat dit moet gebeuren Nolan, Norton & Co 9

10 De belangrijkste auditpunten met betrekking tot de gedragwetenschappelijke aspecten van information security (Aangenomen alle mogelijke technische maatregelen) (2/2) 5. Is er in het personeelsbeoordelingformulier een vraag opgenomen over hoe de beoordeelde zich kwijt van de taak informatie e.d. te beschermen? Zo niet: in het auditrapport vermelden dat dit moet gebeuren 6. Weegt het zich niet houden aan informatie-beveiligingsvoorschriften materieel mee in de vaststelling van de beloning (positief/negatief, evt. ontslag)? Zo niet: in het auditrapport vermelden dat dit moet gebeuren 6. (Door middel van interviews en observaties): wordt het zich houden aan informatiebeveiligingsvoorschriften in de informele organisatie gestimuleerd en draagt het bij aan erkenning van het individu? Zo niet, dan versterken punten 4,5 en 7, rotte appels identificeren en doen verwijderen 7. Waardeert de leiding openlijk goed (voorbeeld) gedrag met betrekking tot informatiebeveiliging? Worden de voorgaande punten ook toegepast op de leiding zelf? Zo niet: in auditrapport rapporteren aan de audit-commissie in RvC Nolan, Norton & Co 10