Tréninková platforma pro rozvoj kompetencí v kyberbezpečnosti

Proč jsem se pustil do vývoje produktu?

Reagujeme na problematiku nedostatečné přípravy pracovníků zajišťujících kybernetickou bezpečnost ve firmách a institucích. Zúročili jsme know-how vývojového týmu na FEL ČVUT a vyvinuli jsme tréninkovou platformu, která pomůže s rozvojem kompetencí v kyberbezpečnosti.

Jaké problémy svým zákazníkům řeší?

Platforma je v současné době cílená hlavně na státní či neziskovou sféru, která spadá pod zákon o kybernetické bezpečnosti. Je to univerzální platforma, tudíž umožňuje testovat jak specialisty, tak i koncové uživatele/ běžné zaměstnance dané organizace.

Umožňuje přípravu scénáře na procvičovanou oblast (tzn. program „tělo“), protože se v rámci platformy dá flexibilně upravovat obsah.

Klíčovou výhodou platformy je způsob tréningu (zapojení) „obyčejných“ zaměstnanců firem a institucí společně s jejich kyberspecialisty a to formou moderních metod střednědobého či dlouhodobého vzdělávání dospělých, které na trhu zcela chybí.

Platforma implementuje aktuální poznatky z efektivního vzdělávání dospělých, adaptuje herní přístupy do neherního prostředí. Trénink je zaměřený nejen na prohloubení profesních kompetencí (technické znalosti), důraz je kladen na prohloubení osobnostních kompetencí - zodpovědnost, tvořivost, schopnost řešit problémy a týmová spolupráce.

Fáze vývoje produktu

Tréninková platforma se může nasadit v praxi. Základní tréninkové scénáře jsou připraveny. Platforma umožňuje vytvářet věrné kopie prostředí zákazníka. Míra komplexity scénářů závisí pouze na dostupnosti zdrojů.

Způsob komercializace

Platformu nabízí k využití přímo ČVUT. Platforma sama o sobě je postavena na otevřeném kódu a  v případě, že se řešitelský tým bude podílet na tvorbě školících scénářů je nabízeno její využití zdarma. Jak je uvedeno níže největší hodnotu pro následnou spolupráci přináší řešitelský tým v oblasti návrhu obsahu a způsobu jednotlivých provedení tréninku.

Nebráníme se ani spolupráce s licenčním partnerem, který bude zajišťovat propagaci platformy, tvorbu scénářů i školení účastníků za podpory ČVUT.

Technická specifikace

Tréninková platforma je zcela postavena na virtualizaci a využívá cloudového řešení. Na straně zákazníka nebude třeba pořízení žádného HW. Pokud zákazník vyžaduje vytvoření tréninkové arény, která maximálně věrně odráží prostředí firmy, je nutné, aby zákazník zajistit odpovídající licence či obrazy sw, který používá.

Při praktické implementaci systému vzdělávání do nabízené platformy pak v oblasti informační bezpečnosti  vycházíme z US doporučení NIST SP 800-16[1], které definuje tzv. „vzdělávací kontinuum“ (Learning Continuum) pro jednotlivé role, které zaměstnanci zastávají  v rámci organizace.

Je zřejmé, že aby mohli zaměstnanci úspěšně plnit své role v rámci organizace, musí mít k dispozici správné nástroje a výcvik. Tzn. mimo nástrojů používaných ke své práci i vhodnou kombinaci bezpečnostního povědomí (security awareness), dovedností, praktických znalostí a schopností, které jsou pro každou roli potřebné.

Pro náš systém nabízíme tvorbu obsahu dle  jednotlivých úrovní modelu na obrázku níže.

Cybersecurity Learning Continuum dle NIST[2]

Pro jednotlivé úrovně pak jsme schopni na míru připravit tréninkové scénáře a zajistit jejich proškolení. Zaměření scénářů dle jednotlivých úrovní navrhujeme takto:

Úroveň "Security awareness" doporučujeme realizovat pro všechny zaměstnance v rámci organizace. Tréning je zde zaměřen na běžný pokusy o kybernetickou kriminalitu se kterými se v rámci provozu organizace může běžný zaměstnanec e potkat.

"Cybersecurity Essentials" je navržena pro ty zaměstnance, včetně zaměstnanců dodavatelů, kteří jakýmkoli způsobem interagují s informačními systémy. Tento typ vzdělávání poskytuje základy k zvládnutí důležitých bezpečnostních termínů, pojmů a principů atp.

„Role Based Training“ se zaměřuje na osvojení si specifických znalostí a dovedností, které zaměstnanec potřebuje, v rámci své role,  k výkonu své činnosti. Na této úrovni vzdělávání respektuje rovněž rozdíly mezi kompetencemi kladenými na jednotlivé účastníky.

Nejvyšší úroveň „Education" se pak zaměřuje na rozvoj schopností pracovat v multidisciplinárním prostředí, řešit problémy v týmové spolupráci a prohlubování dovedností ve své specializaci. Na této úrovni naše platforma slouží jako vhodný doplněk pro praktické tréning při studiu dlouhodobých vzdělávacích programů v rámci mezinárodně uznávaných certifikací.

[1] NIST, Information technology security training requirements: A Role -Based Model for Federal Information Technology/Cybersecurity  Training SP 800-16, USA [online]. Dostupné z: https://csrc.nist.gov/CSRC/media/Publications/sp/800-16/rev-1/draft/documents/sp800_16_rev1_3rd-draft.pdf

[2] ZAHRI YUNOS, People factors in cyber resilience: creating the need for cybersecurity experts, [online]. Dostupné z:  https://slideplayer.com/slide/13731024/