To paraphrase Sun Tzu in The Art of War, 犯尽可能少的错误会增加征服已经被打败的敌人的几率, 甚至在战斗开始之前.
在设计系统和界面时考虑人因工程意味着人们犯的错误更少. 在当今这个过度工作的世界里, overextended cybersecurity teams, fewer mistakes made by employees, 客户和合作伙伴可能会决定是抵挡住敌人还是屈服于持续的攻击. Consider some examples.
Document Intake Processes
我参与了一个3分的评估,在几个月的时间里，组织网络上的恶意软件警报增加了0000%. 原来，该公司已经重新设计了从客户那里获取文件的流程，在公司网站上列出了一个电子邮件地址，而不是要求他们登录客户门户网站上传文件.
由于降低了将文档发送到公司网络深处的门槛，自动机器人和不良行为者提交的带有恶意软件的文档呈指数级增长. 大多数恶意软件运营商都是投机取巧的, 他们也不编写门户注册和随后的批准验证的脚本, 澳门赌场官方下载网站上邀请客户发送文件的电子邮件地址对于寻找容易的互联网目标的自动机器人来说是一个诱人的目标.
Data Sanitization
我工作过的一个组织正在调查几个组织网络位置定期出现的敏感客户数据丢失警报. 调查很快确定了一个可能的嫌疑人:该组织庞大的开发团队, 质量保证人员和业务分析人员，他们都有合法的理由为测试目的获取生产数据库的副本. 针对客户敏感数据和个人数据的文档化消毒方法是不可靠的，因为大型团队没有充分或根本没有应用这些方法. 该公司改用自动清理框架，在此框架下，原始生产备份在静态状态下是安全的/隔离的/加密的，而每个人都可以使用的备份已经经过了消毒和匿名处理.
Phishing Alerts
一个拥有复杂网络意识程序的组织注意到他们的4,000多名员工点击了明显的网络钓鱼邮件，这些邮件声称来自该组织的帮助台. 一位负责追踪根本原因的年轻工程师注意到，邮件顶部的黄色横幅声明这是一封外部邮件，但却被忽略了. 怀疑人们已经习惯了横幅，不再把它看作是一个警告, 工程师开始定期更改横幅的颜色，从而成功地降低了点击百分比.
Credentialing
在最近一次升级后，一家组织的核心客户系统受到了大量不良凭证错误的困扰，负责监控来自异常位置的危险登录和密码喷洒攻击的安全运营团队感到困惑和不知所措. 该组织已经分配了两组凭证:一组用于新系统，另一组用于它最终应该取代的系统. 两个系统的链接将用户带到一个看起来相同的单点登录页面, no matter the system. 研究小组发现，在相同的登录页面上，点击链接的用户会暂时感到困惑，不知道在哪个系统上使用哪组凭据. 对登录页面进行微小的调整，以显示与用户所遵循的链接和他们试图登录的系统类型相关的额外上下文，从而减少了60%的凭据错误, 为安全监视和事件团队释放宝贵的带宽.
Logging
六个不同的应用程序开发团队一起工作, 每天在生产环境中生成千兆字节的应用程序日志. 问题在于日志的持续增长以及保留大量潜在敏感处理数据的固有风险. 该组织对是否强制保留日志犹豫不决，因为出于监管原因，有些日志需要保留更长时间. Best practices for logging, 同行评审和质量保证清单/自动化在一定程度上有所帮助, 但是组织发现，日志记录实践中的不一致是由于开发实践中复杂的日志记录规则. 该组织简化了规则，让开发人员在他们的集中式日志平台中选择两个顶级日志类别:一个是30天的临时处理日志文件夹，另一个是5年的日志文件夹，符合组织政策中概述的保留监管标准. 然后，组织将保留机器人附加到两个文件夹中. 其结果是大大降低了硬盘空间利用率和数据暴露, as well as cost savings.
Onboarding
调查组织中容易出错的入职/离职流程, 我了解到他们有不少于26个不同的用户库用于不同的应用程序. 帮助台和用户管理员人员已经学会了无论经过多少培训, 自动化或他们放置的检查清单, 从组织中解雇人员是有漏洞的，因为他们是人, 而且正确地从26个不同的用户库中解雇人员太麻烦了，无法始终如一地做到无误.
该组织决定将用户存储库的数量减少到两个:一个用于内部用户的活动目录系统和一个用于外部用户的轻量级目录访问协议(LDAP). 然后将所有应用程序置于具有单点登录功能的基于安全断言标记语言(SAML)的身份提供程序之后. 终端用户喜欢不需要记住26个证书, 但主要的好处是减少或消除了卸载用户时的错误，因为管理员只需要处理两个用户存储库，而不是26个.
让员工和客户休息一下
是时候让陷入困境的客户和员工休息一下了. 组织必须在设计系统和流程时考虑到人为因素工程，这样人们就不太可能犯错误并导致网络安全事件. 理解人类犯错的心理原因并将其融入到最普通的界面中是非常重要的. Other industries, especially aviation, 通过简单地改变控制杠杆的形状和相对位置来防止人类依靠肌肉记忆犯错误，是否取得了相当大的成功. 而不是事后反应，或者仅仅依靠训练来防止人类犯错, 组织应该首先研究他们的界面的哪些组件导致他们犯错误.
Editor’s note: 想要进一步了解这个话题，请阅读Ranjit Bhaskar最近在《澳门赌场官方软件》上发表的文章， “人因工程在网络安全中的作用”， ISACA Journal, volume 4, 2023.
