Wakati wa safu ya blogi ya wiki hii, tulikaa chini na wataalam wetu wawili wa NIST kutoka Kikundi cha Visualization na Utumiaji huko NIST – Shanée Dawkins na Jody Jacobs – ambao walijadili umuhimu wa kutambua na kuripoti ulaghai. Blogi hii inafunika Mwezi wetu wa Uhamasishaji wa Cybersecurity Mwezi wa 2023… lakini bila shaka tunapanga kuendelea kushiriki, kushirikiana, kujifunza, na kueneza neno mwaka mzima. 1. Mada ya Mwezi wa Uhamasishaji wa Cybersecurity ya wiki hii ni ‘Tambua na Ripoti ulaghai.’ Je! Eneo lako la kazi/utaalam huko NIST hufungaje tabia hii? Tunafanya kazi katika maabara ya teknolojia ya habari, lakini utafiti wetu unazingatia watumiaji wa teknolojia. Kusudi la kikundi chetu ni kushinikiza mwanadamu katika teknolojia ya habari, na pia tunatumia hiyo kwa juhudi zetu za ulaghai. Wakati programu zingine za utafiti zinalenga teknolojia inayohitajika kuchuja barua pepe za ulaghai, tunazingatia watu kama safu ya mwisho ya utetezi ikiwa barua pepe ya ulaghai inapita kupitia vichungi (na uwezo wao au kutoweza kutambua Phish). Tunachunguza hali ambazo zinafanya watu kuwa zaidi au chini ya kubonyeza barua pepe ya ulaghai – ikiwa hiyo ndio sifa ya barua pepe yenyewe au muktadha wa mtumiaji anayepokea barua pepe. Mwishowe, lengo letu ni kuandaa mashirika na metriki wanahitaji kufundisha wafanyikazi wao kutambua na kuripoti barua pepe za ulaghai. Mashirika mengi hutumia mipango ya mafunzo ya uhamasishaji ya ulaghai ili kutathmini hatari zao za usalama zinazohusiana na ulaghai. Katika programu hizi, mashirika hutuma barua pepe za ulaghai kwa wafanyikazi wao ili kupima kiwango ambacho wafanyikazi hubonyeza au kuripoti PHISH. Walakini, matokeo yetu yanaonyesha kuwa viwango vya bonyeza – ikiwa watu wanabofya au hawabonyeza viungo na viambatisho – usitoe picha kamili ya kuelewa tabia za wafanyikazi. Tuliunda metric, kiwango cha Phish cha NIST, kutoa muktadha wa watumiaji katika kubonyeza tabia. Kiwango cha Phish husababisha ugumu wa kugundua ulaghai wa kibinadamu ambao unaruhusu mashirika bora kurekebisha mipango yao ya mafunzo ya uhamasishaji kwa wafanyikazi kutambua na kuripoti ulaghai kwa ufanisi zaidi. 2. Je! Kutambua na kuripoti ulaghai kunasaidiaje watu na/au biashara linapokuja suala la cybersecurity? Kwa nini ni muhimu sana? Vitisho vya ulaghai vinaathiri mashirika ya ukubwa na sekta zote. Hapa kuna takwimu – kulingana na uchunguzi wa hivi karibuni na Proofpoint (chanzo hapa chini), 34% ya watumiaji walifanya kitu mnamo 2022 ambacho kilijiweka wenyewe au shirika lao hatarini kama kubonyeza kiunga kibaya. Katika robo ya nne ya 2022, Kikundi cha Kufanya Kazi cha Kupambana na Phishing (APWG) kiliona mashambulio ya jumla ya ulaghai 1,350,037 (chanzo hapa chini). Hii ilikuwa juu kidogo kutoka robo ya tatu, wakati APWG ilirekodi mashambulio ya jumla ya ulaghai 1,270,883, ambayo ilikuwa rekodi mpya wakati huo na robo mbaya zaidi ya ulaghai ambayo APWG imewahi kuona. Maelewano ya Barua pepe ya Biashara (BEC) bado inachukua asilimia 75 ya mashambulio na akaunti ya $ 2.7 bilioni kwa hasara, kulingana na FBI (chanzo hapa chini). Barua pepe za ulaghai zimeundwa kudanganya watumiaji na kutoa habari nyeti ya kibinafsi au inayohusiana na kazi kutoka kwa mpokeaji wa barua pepe (kwa mfano, habari ya akaunti ya benki au majina ya watumiaji na nywila). Mashirika hutumia mazoezi ya mafunzo ya ulaghai kusaidia wafanyikazi kutetea dhidi ya aina hizi za vitisho vya ulaghai katika mazingira salama na yaliyodhibitiwa. Matarajio ni kwamba wafanyikazi wataweza kutambua na kuripoti ujumbe wa ulaghai porini – kupunguza maelewano ya usalama na faragha kwa mtu binafsi na shirika lao. 3. Je! Nist anafanya nini katika eneo hili (au mipango ya siku zijazo)? Timu yetu ya cybersecurity inayozingatia kibinadamu inaendelea kutafiti usumbufu wa ulaghai wa kibinadamu na kiwango cha Phish cha NIST. Tunafanya masomo katika sifa za barua pepe ambazo zinamlazimisha mtu kubonyeza au kuripoti barua pepe ya ulaghai, pamoja na sifa za kibinafsi za mpokeaji wa barua pepe ambayo huathiri na kubonyeza maamuzi. Malengo yetu ni kuwa na uelewa mzuri wa jinsi wanadamu hutathmini na kutenda kwa barua pepe za ulaghai, na kuandaa mashirika na zana wanazohitaji kupambana na ulaghai kulingana na uelewa huu. Ili kupata maelezo zaidi juu ya utafiti wetu, unaweza kuangalia machapisho yetu kwenye wavuti ya CSRC, na utazame maonyesho yetu ya hivi karibuni kwenye Waalimu wa Usalama wa Habari wa Shirikisho (FISSEA) 2023 Summer Forum na Mkutano wa RSA 2023. 4. Kwa nini cybersecurity ni muhimu kwako kibinafsi? Zaidi ya cybersecurity, ni watu ambao ni muhimu kwetu kibinafsi – ni muhimu kwamba tuchukue hatua za kuwalinda na kuwapa vifaa na maarifa, ujuzi, na vifaa vya kujilinda. Sote tuna watoto ambao hutumia teknolojia zaidi na zaidi shuleni na kijamii. Pia tunayo jamaa za kuzeeka ambao wanazidi kuwa hatari katika ulimwengu wa dijiti (kwa mfano, ulaghai, IoT, na hatari za faragha). Tunajaribu kusisitiza kwamba wakati mtandao ni rasilimali ya kushangaza kwa ujamaa na utafiti, ni muhimu sana kutekeleza usafi mzuri wa cyber. Watoto wanahitaji kuhakikisha kuwa hawashiriki majina yao ya watumiaji na nywila kwa akaunti zao tofauti za shule. Wazee wazee wanahitaji mwongozo ambao barua pepe ni halali na ni barua pepe gani zinahitaji uchunguzi zaidi. Tumekuwa na jamaa karibu kuanguka kwa majaribio ya ulaghai kama barua pepe zinazouliza kadi za zawadi au kuuliza habari ya akaunti ya benki. Mwishowe, kazi tunayofanya inahamasishwa na hamu yetu ya watu kulindwa kutokana na vitisho vya cybersecurity. Kwa vitisho vya ulaghai, watu wanaweza kuwa lengo kupitia barua pepe yetu ya kazi, barua pepe ya kibinafsi, ujumbe wa maandishi, hata simu. Tunataka kusaidia watu kutambua vitisho vya ulaghai ili waendelee kuwa macho na teknolojia zao. 5. Je! Ni kitu gani unachopenda (au kumbukumbu bora) juu ya kufanya kazi katika NIST? Jody: Kumbukumbu yangu bora ya kufanya kazi huko NIST ilikuwa ikiangalia moto wa Siku ya Uhuru wa Kata ya Montgomery na lango kuu la NIST miaka mingi iliyopita. Kabla ya kazi za moto kuhamishwa kwenda Bohrer Park, moto wa Siku ya Uhuru wa Kata ya Montgomery ulizinduliwa kutoka Fairgrounds ya Kaunti ya Montgomery. Mume wangu na mimi tungeenda kambini alfajiri, kuliwa hai na mosquitos, na kukusanyika na karibu 50 au hivyo ni wachezaji wengine kutazama kazi za moto. Natamani kazi za moto bado zingezinduliwa kutoka kwa viwanja. Shanée: Ninapenda kufanya kazi na watu huko NIST! Sisi sote tunatoka kwenye asili tofauti na tuna uzoefu tofauti, lakini sote tunakusanyika kusaidia watu na tunapenda kazi tunayofanya. Vyanzo: