Het trainen van gebruikers om bijlagen en links in verdachte e-mails niet te openen is weggegooid geld, aldus een bekende beveiligingsexpert. Volgens Dave Aitel van beveiligingsbedrijf Immunity is het een "hardnekkige mythe" dat bedrijven hun veiligheid kunnen verbeteren door het personeel te leren hoe ze kunnen voorkomen om de organisatie met malware te infecteren.

In het verleden zijn verschillende grote ondernemingen zoals RSA en Google via spear phishing-aanvallen gehackt. Een gebruiker opent een bijlage of link waar een exploit of malware in verstopt zit waardoor de aanvallers toegang tot het netwerk krijgen.

Aitel stelt dat er altijd gebruikers zijn die op linkjes blijven klikken en bijlagen zullen openen. Daarvoor verwijst hij naar één onderzoek uit 2004. Kadetten aan de militaire academie West Point werden vier uur getraind in computerbeveiliging. Toch klikte 90% van de kadetten op een link in een phishingmail die de trainers vervolgens stuurden.

Verantwoordelijkheid
"Wat IT-professionals eigenlijk zeggen als ze voor een trainingsprogramma voor hun gebruikers vragen is dat het niet hun fout is, maar dit is niet waar. Een gebruiker heeft geen verantwoordelijkheid voor het netwerk en is niet in staat om moderne veiligheidsdreigingen te herkennen of zich hier tegen te beschermen", gaat Aitel verder.

Hij vindt het onterecht om eindgebruikers de schuld van computerinfecties te geven. Zeker gezien het niveau en complexiteit van veel aanvallen. De beveiligingsexpert erkent dat hij geen hard bewijs heeft om zijn punt te maken, maar komt het zelf regelmatig in de praktijk tegen. Bij bedrijven die 'security awareness' trainingen doen blijkt nog steeds tussen de 5% en 10% van de werknemers te klikken.

Segmenteren
"In plaats van tijd, geld en mankracht te spenderen aan het trainen van werknemers om veilig te zijn, moeten bedrijven zich richten op het beveiligen van de omgeving en het segmenteren van het netwerk. Het is een betere zakelijke IT-filosofie dat werknemers op een willekeurige link kunnen klikken of bijlage openen, zonder dat dit schade aan het bedrijf berokkent", merkt Aitel op.

"Aangezien ze het toch doen, kun je er beter rekening mee houden. Het is de taak van de CSO, CISO of IT-security manager om ervoor te zorgen dat dreigingen worden gestopt voordat ze een werknemer bereiken, en als deze maatregelen falen, het netwerk voldoende is gesegmenteerd om de infectie-uitbraak te beperken."