Kibernetička sigurnost u odjelima ljudskih resursa je prioritet. Poslodavac mora zaštititi osjetljive podatke zaposlenika i osigurati stabilno poslovanje u digitalnom okruženju.

Odjeli ljudskih resursa upravljaju velikim količinama povjerljivih informacija. Primijetili ste prikupljaju osobne podatke, ugovore o radu, evidencije plaća i druge dokumente.

Cyber napadi ciljaju te podatke, u njima se krije pravo blago. Definitivno nije odgovorno ponašanje svu krivnju i posao svaliti na IT odjele.

Upravljanje rizicima mora biti dio svakog odjela koji prikuplja podatke. Radi se o ulaganju, financijskom i edukacijskom.

Uz svaku dobrobit koju donosi pravilno čuvanje podataka, dodajemo i povjerenje zaposlenika u tvrtku.

Saznajte više iz nastavka članka!

Tri razine zaštite podataka

Odjel ljudskih resursa funkcionira kao središnji repozitorij najosjetljivijih podataka unutar svake organizacije.

Čuvanje podataka, strategija; Unsplash

Svaki zaposlenik pri zapošljavanju predaje osobnu iskaznicu, OIB, podatke o bankovnom računu, ponekad i zdravstvenu dokumentaciju.

Tijekom radnog vijeka ti se podaci nadopunjuju evaluacijama, informacijama o plaćama, disciplinskim mjerama i drugim povjerljivim zapisima.

U tome smo sabrali tri razine ranjivosti:

• Prva razina odnosi se na same HR sustave i aplikacije.

Moderni HRMS sustavi pohranjuju podatke u oblaku ili na lokalnim poslužiteljima, a svaka ranjivost u tim sustavima može otvoriti vrata neovlaštenom pristupu.

Tada kibernetička zaštita podrazumijeva redovito ažuriranje sustava, enkripciju podataka i stroge kontrole pristupa.

• Druga razina tiče se ljudskog faktora.

HR profesionalci svakodnevno primaju e-poštu od kandidata, vanjskih partnera i zaposlenika.

Phishing napadi koji ciljaju HR odjele su postali poprilično sofisticirani.

Primjećujemo lažne životopise s malicioznim privicima, lažne prijave za posao koje sadrže zlonamjerni softver ili e-poruke koje oponašaju komunikaciju uprave.

Radni uvjeti, posao, zaposlenje, životopis; Pexels

Napišite kvalitetan životopis i izbjegnite pogreške u koracima. Saznajte više iz članka na poveznici!

• Treća razina obuhvaća procese i procedure.

Nedostatci u procesima onboardinga, offboardinga i upravljanja pristupnim pravima mogu stvoriti sigurnosne rupe koje napadači iskorištavaju.

Primjerice, ako bivšem zaposleniku nije pravovremeno ukinut pristup sustavu, stvarate si ozbiljan sigurnosni rizik.

Možete se zaštiti

Educiranost zaposlenika temelj je svake uspješne sigurnosne strategije.

Postoje razne edukacije i treninzi napravljeni baš za ovakve situacije. Zaposlenici moraju znati prepoznati prijetnju i naučiti reagirati.

Edukacija je nužna za rast i napredovanje. Saznajte više!

Dobra ideja su redovite simulacije phishing napada testiraju spremnost zaposlenika da prepoznaju zlonamjerne e-poruke.

Rezultati simulacija služe za identificiranje područja u kojima je potrebna dodatna edukacija.

Tvrtke koje provode redovite simulacije bilježe značajno smanjenje uspješnih phishing napada.

Phishing napad, kibernetička sigurnost; Unsplash

Stopa klikanja na phishing poveznice može se smanjiti za više od sedamdeset posto nakon šest mjeseci redovitih simulacija.

Interaktivne radionice učinkovitije su od pasivnih prezentacija.

Umjesto dugačkih predavanja o cyber prijetnjama, organizirajte praktične vježbe u kojima zaposlenici identificiraju sumnjive e-poruke i prepoznaju znakove socijalnog inženjeringa.

Najbolje se uči kroz vježbu. Tako se jednostavno nauče ispravne reakcije na sigurnosne incidente.

Kultura sigurnosti gradi se od vrha prema dolje. Kada uprava i menadžment demonstriraju predanost kibernetičkoj sigurnosti, zaposlenici to prihvaćaju ozbiljnije.

Praktični koraci

Implementacija konkretnih sigurnosnih mjera ne mora biti komplicirana ni skupa.

Višefaktorska autentifikacija za sve HR sustave trebala bi biti obavezna, a ne opcionalna.

Kada se uz lozinku zahtijeva i drugi faktor identifikacije, poput koda na mobilni telefon ili biometrijskog podatka, dramatično se smanjuje rizik neovlaštenog pristupa.

Smanjuje se rizik čak i ako je lozinka kompromitirana.

Identifikacija, zaštita identiteta, GDPR; Unsplash

Principi minimalnog pristupa još je jedan korak koji daje rezultate. Taj pristup govori da svaki zaposlenik ima pristup samo onim podacima i sustavima koji su mu potrebni za obavljanje posla.

HR asistent ne treba pristup financijskim izvješćima uprave, a voditelj prodaje ne treba uvid u zdravstvene zapise zaposlenika. Segmentacija pristupa smanjuje potencijalnu štetu u slučaju proboja.

Idemo dalje s praktičnim koracima. Enkripcija podataka u mirovanju i tijekom prijenosa osigurava da čak i ako napadač dođe do podataka, ne može ih pročitati bez odgovarajućeg ključa.

Svi HR dokumenti, baze podataka i komunikacija koja sadrži osobne podatke moraju biti šifrirani.

Možda djeluje očito, ali se sigurnosno kopiranje preskače. Redovito sigurnosno kopiranje podataka s provjerenim postupcima oporavka osigurava kontinuitet poslovanja.

Pomaže čak i u slučaju ransomware napada ili tehničkog kvara. Sigurnosne kopije trebaju biti pohranjene na odvojenim lokacijama i redovito testirane.

Primjeri iz prakse

Proizvodna tvrtka iz kontinentalne Hrvatske

Srednje velika proizvodna tvrtka s dvjesto zaposlenika doživjela je phishing napad usmjeren na HR odjel.

HR tim, ljudski potencijali; Pexels

Napadač je poslao e-poruku koja je izgledala kao komunikacija od direktora, tražeći hitno slanje popisa svih zaposlenika s osobnim podacima i bankovnim računima.

HR asistentica je, zahvaljujući prethodno provedenoj obuci, prepoznala znakove socijalnog inženjeringa.

Vidjela je neobičnu e-adresu, hitnost zahtjeva i nekarakterističan ton poruke.

Umjesto da je postupila prema zahtjevu, kontaktirala je direktora alternativnim kanalom i potvrdila da poruka nije legitimna.

Ovaj incident potaknuo je tvrtku da uloži u sveobuhvatan program kibernetičke sigurnosti.

Pokrenuli su redovite simulacije, podigli zaštitu e-pošte i uveli jasne protokole za verifikaciju osjetljivih zahtjeva.

Ulaganje je iznosilo manje od jednog posto godišnjeg prihoda, dok bi potencijalna šteta od uspješnog napada bila višestruko veća.

Rad od kuće ima mnoge prednosti, ali sa sobom donosi mnoge prijetnje. Saznajte više iz članka!

IT tvrtka iz Zagreba

Zagrebačka IT tvrtka prepoznala je da njezin HRMS sustav sadrži značajne sigurnosne ranjivosti.

IT tvrtka; Pexels

Zaposlenici nisu čekali da dođe do incidenta, već su proaktivno angažirali vanjsku sigurnosnu tvrtku za penetracijski test.

Rezultati su otkrili nekoliko kritičnih ranjivosti, uključujući nedostatnu enkripciju podataka u mirovanju i preširoke pristupne ovlasti za pojedine korisnike.

Na temelju nalaza, tvrtka je implementirala niz poboljšanja. Naime, migrirala je na sigurniji HRMS sustav s naprednom enkripcijom, uvela stroge kontrole pristupa temeljene na ulogama.

Nakon toga, tvrtka je uspostavila redoviti ciklus sigurnosnih testiranja.

Dodatno, HR odjel i IT odjel počeli su održavati zajedničke mjesečne sastanke posvećene sigurnosnim temama.

Izgradili su kulturu suradnje koja je postala model i uzor cijeloj tvrtki.

Uslužna tvrtka u Dalmaciji

Mala uslužna tvrtka s tridesetak zaposlenika suočila se s izazovom usklađivanja sa zahtjevima GDPR-a.

Nisu imali veliki budžet za kibernetičku sigurnost. Vlasnica je odlučila pristupiti problemu pragmatično. Prva mjera bila je provođenje inventure svih osobnih podataka.

GDPR

Provjerila je tko ih prikuplja, gdje su pohranjeni, tko im pristupa i koliko dugo se čuvaju.

Na temelju inventure, eliminirala je nepotrebno prikupljanje podataka, uvela enkripciju za osjetljive dokumente i uspostavila jasne procedure za brisanje podataka bivših zaposlenika.

Za edukaciju zaposlenika koristila je besplatne online resurse i kratke tjedne sigurnosne savjete putem interne komunikacijske platforme.

Rezultat je bio značajno poboljšanje sigurnosnog stanja uz minimalne troškove, što dokazuje da kibernetička sigurnost ne mora biti skupa da bi bila učinkovita.

Inflacija utječe na odluke poslodavaca. Pravila se mijenjaju. Pročitajte članak na poveznici i saznajte više!

Novi posao

Kada tražite novi posao, uvijek birajte tvrtku koja vodi računa o svojim zaposlenicima. Vaši podaci moraju biti zaštićeni i sigurni.

Nađite natječaj za posao koji pokriva sve elemente navedene u članku! Krenite već danas!