SecureAware Awareness & Education Manual Manualen beskriver bruken av SecureAware versjon 3 Dokumentet oppdatert: November 2010 Om dette dokumentet Dette dokumentet er en veiledning i bruken av Awareness- og Educationmodulene i SecureAware. Dokumentet gir en detaljert beskrivelse av modulene og deres funksjoner, og har som formål å lede deg gjennom arbeidet med å gjennomføre Awareness-kampanjer.
Innholdsfortegnelse Awareness... 3 Forberedelse av quiz-spørsmål... 4 Spørsmål i kunnskapstesten... 4 Spørsmål i regeltesten... 6 Forberedelse av utdannelsesinnhold... 8 Tilpasning av emner... 9 Tilpasning av undervisningsavsnitt... 9 Redigering av innhold...10 Oppretting av Awareness-kampanjer...12 Valg av elementer i Awareness-programmet...14 Hvor mange spørsmål og hvor høy prosentandel for å bestå?...16 Kursbevis...17 Kopier et Awareness-program...18 Anonyme Awareness-quizer...18 Start et Awareness-program...19 Skjermsparer...21 Kontaktinformasjon...24 2
Awareness SecureAware kan benyttes til å utdanne dine sluttbrukere innen informasjonssikkerhet. Til dette formålet benyttes to ulike typer quiz; en kunnskapstest og en regeltest. Du kan velge å benytte én eller begge av disse quiz-mulighetene. En kunnskapstest er en quiz som inneholder generelle IT-sikkerhetsmessige spørsmål, som er tiltenkt sluttbrukere uten dyptgående sikkerhetskunnskaper om IT. Regeltesten tar utgangspunkt i policyen for informasjonssikkerhet ved din bedrift, og er basert på den aktive policyen i SecureAware. Med denne quizen kan du teste hvor godt dine brukere kjenner bedriftens sikkerhetsregler for IT. Du kan velge å stille spørsmål til brukerne innen ulike områder, f.eks. bruk av Internett, skadelige programmer osv. Du kan også dele brukerne inn i forskjellige målgrupper, samt redigere, tilføye og tilpasse spørsmål etter eget valg. 3
Forberedelse av quiz-spørsmål Før du oppretter et Awareness-program, må du tilpasse de spørsmålene du ønsker å benytte i quizen. Det finnes to former for quiz-spørsmål: Spørsmål i en kunnskapstest brukes for å måle brukernes generelle kunnskaper innenfor ulike emner (skadelige programmer, installasjon av programvare osv.). En regeltest (eller policy-test) er bygget opp rundt bedriftens spesifikke sikkerhetspolicy. Brukerne skal her benytte deres kunnskaper om de reglene som er aktuelle for bedriften. Spørsmål i kunnskapstesten Noen av de spørsmålene som omhandler generelle kunnskaper om IT-sikkerhet, er kanskje ikke relevante for dine brukere. I Spørsmål i kunnskapstest kan du velge hvilke spørsmål som skal inngå i quizen for testing av generelle kunnskaper. Her vil du se de emnene som kan inngå i quizen, samt tilhørende spørsmål. Hvis du ikke endrer noe, kan alle spørsmål innen de emnene du har valgt, tas med i quizen. 4
For å se de spørsmålene som er tilknyttet et emne, klikker du på. Emnet vil da vises. Det er her mulig å tilføye spørsmål til et emne, fjerne spørsmål som ikke er relevante, eller tilpasse spørsmål slik at de passer til din målgruppe. For å tilpasse et spørsmål, klikker du på spørsmålet. Deretter får du muligheten til å endre spørsmålene eller svaralternativene (husk å klikke OK når du har skrevet spørsmålet) Du kan også endre vanskelighetsgraden, velge om det skal være mulig å krysse av på ett eller flere svaralternativer av, samt legge til flere svaralternativer Klikker du på Slett, slettes hele spørsmålet. Du får likevel en advarsel først. Klikk på Tilbake for å lukke spørsmålsadministratoren. Ved å trykke på Retur, vender du tilbake til Awareness-administratoren. 5
Spørsmål i regeltesten Regeltesten tar utgangspunkt i bedriftens policy for informasjonssikkerhet. Med denne quizen kan du teste hvor godt dine brukere kjenner bedriftens IT-sikkerhetsregler. For at en regel skal kunne brukes som et quiz-spørsmål, må den være tilknyttet den målgruppen som quizen skal rettes mot, samt ett av de emnene du vil stille spørsmål fra. Dessuten skal regelen være "quizbar", dvs. egnet til quiz-spørsmål. Reglene gjennomgås ved å klikke på ikonet for policy-administrasjon i øverste høyre side av skjermen. Klikk så på "Rediger regler" og deretter på ikonet "Rediger etter innholdskategori/emne:. Brett ut det emnet som du skal stille spørsmål fra: Du må nå gjennomgå alle aktive regler (alle regler som er merket med ). Reglen må først og fremst være quizbar, dvs. være et godt flervalgsspørsmål. Det betyr følgende: Det må være minst to mulige svar. Regler med kun ett svaralternativ vil bli sortert ut, og vil dermed ikke inngå i quizen. Det bør ikke være for mange svaralternativer. Svaralternativenes rekkefølge må ikke være avhengige av hverandre (da rekkefølgen kan endres i en quiz). 6
Eksempel på en ikke-quizbar regel Eksempel på en quizbar regel Når reglen er quizbar, må du klikke på og forsikre deg om at reglen er tilknyttet den/de riktige målgruppen(e). 7
Forberedelse av utdannelsesinnhold Ønsker du å benytte utdannelsestekster i dine Awareness-programmer, kan du opprette dine egne, eller bruke SecureAwares innebygde innhold. Dette innholdet kan benyttes som det er, eller du kan rette, legge til, slette og bytte om på rekkefølgen av de ulike delene. Det kan for eksempel være en fordel å ha bedriftsspesifikke emner i Awareness-programmet. SecureAware leveres med 10 emner som standard: Ødeleggende programvare Passord Bruk av e-post Bruk av Internett Installering av programvare Sikkerhetskopiering av data Tilgang til virksomhetens nettverk Mobilt utstyr Kryptering Sosiale nettverk Håndtering av hendelser Hvert emne er inndelt i et antall underavsnitt. Emnet Ødeleggende programvare kan for eksempel være inndelt i: Virus og ormer Svindel Spyware og adware Trojanske hester og bakdører Dine brukere har adgang til disse emnene fra Min SecureAware under fanen Lær meg!, hvor det også finnes lenker til filmer, regler og prosedyrer innenfor emnene. 8
I det følgende vil du få en innføring i hvordan du tilpasser utdanningstekstene til din bedrifts behov. Tilpasning av emner For å kunne tilpasse emnene i SecureAware, må du benytte Konfigurasjonsstyringen, som du får adgang til ved å klikke på i det øverste høyre hjørnet på skjermbildet. Hvis du så klikker på Emner, vil du se en liste over de eksisterende emnene i SecureAware. Du kan her legge til et emne ved å taste inn navnet på det nye emnet i tekstfeltet, og deretter klikke på Legg til. Du kan utføre rettelser i emnenes navn ved å klikke på, samt endre på rekkefølgen ved bruk av pilene. Vil du fjerne et emne, kan du velge å slette det ved å klikke på å bare deaktivere emnet. Dette gjøres ved å klikke på.. Det vil vanligvis likevel være en bedre idé Når du har foretatt de ønskede endringene, klikker du på Oppdater for å lagre og avslutte. Tilpasning av undervisningsavsnitt I konfigurasjonsstyringen klikker du på 9
Undervisningsavsnitt for å komme til innholdsavsnitt-administrasjonen. Her velger du så det undervisningsavsnittet du ønsker å redigere. Her kan du på samme måte redigere i avsnittene eller endre på rekkefølgen. Ønsker du å legge til et avsnitt, taster du navnet inn i tekstfeltet, og deretter klikker du på Legg til. Du kan slette et avsnitt ved hjelp av, og deaktivere det ved å klikke på. Husk å klikke på Oppdater for å lagre endringene. Redigering av innhold Når du nå har opprettet "strukturen" i ditt Awareness-program, kan du så legge til, slette eller endre innholdet. Ved å klikke på fanen Lær sikkerhet, kan du nå i menyen til venstre velge det emnet du vil redigere. Du vil nå se at emnets undervisningsavsnitt vises. Markerer du et underavsnitt, vil du kunne se den aktuelle teksten i underavsnittet. Hvis du har laget et nytt underavsnitt, vil det naturligvis ennå ikke være noen tekst tilknyttet dette. Klikk på for 10
å redigere og formatere teksten. Når du er ferdig med redigeringen, klikker du på Oppdater for å lagre. Klikker du på Annuller, kommer du tilbake til emnet uten å lagre. 11
Oppretting av Awareness-kampanjer I SecureAwares Awareness-administratoren kan du opprette, tilpasse, slette og på andre måter administrere dine Awareness-programmer. For å få adgang til Awareness-administratoren, klikker du på lyspære-ikonet øverst til høyre i skjermbildet. Det er også en snarvei til administratoren på Min SecureAware, under fanen Snarveier. For å komme i gang med et Awareness-program, må det først opprettes. Klikk på Nytt Awarenessprogram i Awareness-administratoren. Du vil da se følgende skjermbilde: 12
Når du har tastet inn navnet på ditt Awareness-program, må du skrive inn en introduksjonstekst. Dette er den første siden i Awareness-programmet, som eventuelt beskriver hvilke emner det spørres fra, hvor mange spørsmål quizen inneholder eller om det er premier til den eller de som består med høyest score. Deretter må du velge hvilke emner du vil teste brukerne i. Dette gjør du ved å velge det ønskede emnet i nedtrekksmenyen ved siden av Kategori, og deretter klikke Legg til. Du kan da legge til flere emner. For å velge hvilken målgruppe programmet skal rettes mot, velger du fra nedtrekksmenyen ved siden av Målgruppe og klikker deretter på Legg til. Her kan du også velge flere målgrupper. Til slutt velger du hvor mange forsøk brukerne kan ha for å bestå testen, og klikker igjen på Legg til. Du kan slette valgte emner igjen ved å klikke på. Deretter klikker du på Opprett for å lagre Awareness-programmet, eller på Annuller for å gå tilbake til Awareness-administratoren uten å lagre. Awareness-programmet er nå i prinsippet klart til bruk. 13
Det vil imidlertid vanligvis være en god idé å tilpasse programmene først. Hvis de forskjellige målgruppene skal testes i forskjellige emner eller ha forskjellige antall forsøk for å bestå, må du opprette et Awareness-program for hver målgruppe. Har du opprettet flere Awareness-programmer, må du klikke på programmet for å kunne redigere det. Det programmet du er i gang med å redigere, vil være markert med grønt, hvilket indikerer at programmet er i redigeringsmodus. Du kan nå gå videre med å tilpasse programmet ditt. Valg av elementer i Awareness-programmet For å velge hvilke elementer som skal tas med i Awareness-programmet, klikker du på Rediger oppsettet til Awareness-programmet. Deretter kan du se standardoppsettet for Awarenessprogrammet vist som et flytskjema. 14
Det finnes ingen formelle regler for hvordan et Awareness-program må eller bør bygges opp. Imidlertid kan det være en god idé å starte med "et fullt program" for å danne seg et overblikk over brukernes kunnskap og for å gjøre brukerne fortrolige med å svare på en quiz på denne måten. Når du så på et senere tidspunkt igjen skal kjøre en Awareness-kampanje, kan du ta stilling til hvilke moduler som er viktige å ta med, og hvilke som kan velges bort. Du kan få forklart formålet med hvert delelement i programmet ved å klikke på modulene. Her kan du også velge bort en modul. De eneste modulene som ikke kan velges bort, er Introduction og Result. Velger du bort en modul ved å klikke på Ikke aktiv, vil det deretter vises som lysegrått i flytskjemaet. Husk deretter å klikke på Oppdater. Knowledge Test er en liten innledende test som benyttes for å måle brukernes generelle kunnskaper innen de ulike emnene (ødeleggende programvare, installering av programvare osv.) før Awarenessprogrammet starter. 15
Quick Knowledge er en rekke små filmer som vises for brukeren dersom Knowledge-testen ikke ble bestått. Detailed Knowledge gir utdypende informasjon om de ulike emnene og fungerer som et supplement til filmene. Knowledge Test tester igjen brukerne i de emnene som ikke ble bestått i den første testen, og måler den kunnskapen brukerne har tilegnet seg gjennom utdanningsforløpet. Policy Test er bygget opp rundt bedriftens spesifikke sikkerhetspolicy. Brukerne skal her benytte deres kunnskaper om de reglene som er aktuelle for bedriften. Når du har valgt hvilke moduler som skal tas med i ditt Awareness-program, klikker du på Retur, hvor du da deretter vender tilbake til Awareness-administratoren. Hvor mange spørsmål og hvor høy prosentandel for å bestå? For å tilpasse quizene til dine målgrupper, klikker du på blyanten ved siden av den ønskede quizen. Du kan her tilpasse hvor mange spørsmål quizene skal inneholde (Testens størrelse), naturligvis med det maksimale antall spørsmål som gjelder for hvert emne (Antall spørsmål i alt). Velger du for eksempel 5 spørsmål fra emnet Ødeleggende programvare, vil hver bruker i målgruppen bli presentert 5 tilfeldige valgte spørsmål fra dette emnet. Den enkelte brukeren vil ikke (nødvendigvis) måtte besvare de samme spørsmålene som andre brukere i målgruppen. Du kan også velge hvor mange prosent av spørsmålene som må besvares korrekt for å bestå quizen (Bestått %). Du kan på samme måte redigere quizen for din bedrifts sikkerhetspolicy. Husk å klikke på Oppdater for å lagre dine endringer. 16
Kursbevis Ønsker du at dine brukere skal ha muligheten til å få utskrevet et bevis når de har bestått quizen, må du klikke på "Bevis" under quizens navn. Du kan her designe beviset. Du kan også velge bevis ved å klikke på blyanten ved siden av "Bruk bevis". Hvis din bedrift har sitt eget brevpapir, kan dette lastes opp som bakgrunn på beviset. Brevpapiret må være en pdf på én side, og du må klikke på blyanten ved siden av "Bakgrunn" for å laste opp bakgrunnen. 17
Kopier et Awareness-program Har du allerede laget et Awareness-program, kan du bruke det om igjen ved å rette det mot en ny målgruppe. Det gjør du ved å klikke på Start med ny målgruppe i Awareness-administratoren. Dette vil altså ikke endre et allerede opprettet Awarenessprogram, men kun den nye (eller samme) målgruppen. Anonyme Awareness-quizer Det er mulig å anonymisere quizene i SecureAware. Dette krever at du får en lisensnøkkel slik at brukerne skjules. På denne måten kan du kun se resultatene av quizen, men du vet ikke hvem resultatene tilhører. Kontakt Neupart (kontaktinformasjon på siste side) hvis du ønsker dette. 18
Start et Awareness-program Når du har opprettet ditt Awareness-program, startes det ved å klikke på i Awarenessadministratoren. De brukerne som inngår i målgruppen, vil nå bli presentert for quizen. Du kan hele tiden følge med på hvem som har besvart quizene og hvordan de har klart seg, ved å klikke på. Med denne funksjonen kan du også se det endelige resultatet når alle brukerne har besvart quizene. På Min SecureAwares (startsiden) kan du følge med på hvor mange av dine brukere som har gjennomført quizen. Klikk på brev-ikonet for å sende e-post til brukerne. Du kan velge om du vil skrive til alle brukerne (i quizens målgruppe) eller kun sende en påminnelse til de som ennå ikke har tatt quizen. Du kan også velge å sende en melding til de som har tatt quizen for eventuelt å gi beskjed om resultatet. Når brukerne har gjennomgått Awareness-programmet (eller når du måtte ønske det for øvrig), kan quizen stoppes ved å klikke på. Det endelige resultatet vises deretter når du klikker på resultater, samt det samlede resultatet for alle brukerne.. Her kan du både se brukernes individuelle 19
Du kan skrive ut en rapport over Awareness-programmets resultater ved å klikke på i Awarenessadministratoren. Rapporten vil imidlertid vise statusen for alle dine opprettede programmer. Her kan du også slette programmer ved å klikke på. 20
Skjermsparer Som et supplement til Awareness-kampanjer, kan du velge å aktivere skjermsparer-programmet. Med dette programmet vil dine brukere bli vist utdrag av bedriftens IT-sikkerhetspolicy når skjermen går i pausemodus. For å velge hvilke emner brukerne skal vises, klikker du på Aktiver skjermsparerprogrami Awareness-administratoren. I nedtrekksmenyen velger du så et emne og klikker på Legg til. Du kan velge flere emner i samme skjermsparer-program. Når du er ferdig, klikker du på Opprett. På samme måte som med Awareness-programmet, kan skjermspareren nå aktiveres ved å klikke på i Awareness-administratoren. Startdato vil da vises. Mellom to sekvenser med regler vil skjermspareren vise SecureAware-logoen, mens den bygger opp en ny sekvens av regler ut ifra de siste dataene som er mottatt fra serveren. Hvis skjermspareren med logoen fortsetter å vises, vil det være fordi det ikke kan opprettes forbindelse med serveren. Det er da nødvendig å kontrollere oppsettet for forbindelsen. 21
Veiledning for installering SecureAwares skjermsparer-program består av én fil med navnet sasaver.scr. Dette er et Windowsprogram spesielt for skjermsparere. For å installere skjermspareren må denne filen kopieres til Windows-mappen. Deretter kan den velges ved skjermoppsettet (Display properties), hvor du også kan konfigurere nettverksforbindelsen til SecureAware-serveren. Innstillinger for skjermspareren I Windows kan du finne innstillingene for skjermspareren via kontrollpanelet. Når SecureAware-skjermspareren er valgt, klikker du på tasten for innstillinger (settings). Kommunikasjonen med SecureAware-serveren og TCP/IP-porten serveren benytter kan da konfigureres. Brukernavnet brukes for filtrering av målgruppe og valg av språk, og vil normalt være det brukernavnet som benyttes for Windows. Du kan også velge om du vil se statusinformasjon om kommunikasjonen mellom klienten og serveren (Show webaccess status). Konfigurasjon og utsending Oppsettet for skjermspareren lagres i en standard Windows.ini-fil i Windows-mappen. Hvis den ikke finnes, vil den automatisk bli opprettet med standardinnstillinger når skjermspareren aktiveres. Filen kan redigeres etter behov med et enkelt tekstredigeringsverktøy, for eksempel notisblokken i Windows. Ini-filen inneholder to deler: en server- og en cache-del. Cache-delen benyttes til å lagre de dataene som sist ble hentet fra SecureAware-serveren. Dette gjør det mulig å se skjermspareren når brukeren er offline og ikke er tilkoblet bedriftens nettverk. Server-delen inneholder delvis oppsettet for skjermsparerinnstillingen, delvis spesielle oppsett for avansert bruk. Dette er et eksempel: [server] address=secureaware.company.sample showstatus=0 port=80 user=xxx 22
secondsdelay=25 address: Dette feltet inneholder vertsnavnet på SecureAware-serveren. Navnet kan være et gyldig DNS-navn eller en IP-adresse. showstatus: Dette er en debug-funksjon som viser kommunikasjonsinformasjon i det øverste høyre hjørnet på skjermen (0 = deaktivert, 1 = aktivert). port: Den anvendte TCP-porten. Som standard er dette port 8080. Hvis Internet Information Server benyttes, er det port 80. user: Brukernavnet som sendes til SecureAware for at informasjon kan vises på korrekt språk. secondsdelay: Angir hvor mange sekunder en regel vises på skjermen. Når de nødvendige oppsettene er konfigurert og øvrige opplysninger fjernet fra filen, vil skjermspareren selv fylle ut det som mangler. La oss ta et eksempel hvor en fil inneholder følgende: [server] address=secureaware.company.sample port=80 secondsdelay=25 Da vil skjermsparer-programmet benytte dette oppsettet og automatisk sette inn de manglende feltene, f.eks. brukernavn eller bedriftsspesifikke opplysninger. For å sende ut skjermspareren, skal den tilpassede ini-filen samt skjermsparerfilen kopieres til klientens Windows-mappe. Skjermspareren lagrer ikke data eller konfigurasjon utenfor ini-filen, noe som gjør det enklere å sende ut og konfigurere skjermspareren med Windows' administrasjonsprogrammer. Da det som standard benyttes http-forbindelse, er det mulig å benytte skjermspareren eksternt via Internett eller over VPN. 23
Kontaktinformasjon - For mer informasjon, kontakt Neuparts kontorer: Europa Neupart A/S Hollandsvej 12 2800 Lyngby Danmark Tlf. +45 7025 8030 Faks +45 7025 8031 Nord-Amerika United States Neupart Inc. 2553 Crescent St Ferndale, WA 98248 Tlf. 360-820-2545 Faks 360-392-6078 Neupart GmbH Kaiserwerther Strasse 115 40880 Ratingen/Düsseldorf Tyskland: Tlf. +49 (0) 2102/4209-26 Faks +49 (0) 2102/42062 Copyright 2006 Neupart A/S. Alle rettigheter forbeholdt. Dette dokumentets forfatter er Neupart A/S. Alt innhold, inkludert tekst og grafikk tilhører, med mindre annet er angitt, Neupart A/S og er beskyttet av opphavsretten i henhold til dansk og internasjonal lovgivning. Gjengivelse av dokumentet eller deler av dette er kun tillatt i den grad det skjer i uendret form, og ved at Neupart A/S uttrykkelig angis som kilde på samtlige kopier. Kopiering og distribuering må ikke foregå uten en på forhånd innhentet tillatelse, med uttrykkelig samtykke fra Neupart A/S. Neupart A/S forbeholder seg retten til på ethvert tidspunkt og uten forvarsel å kunne foreta endringer og/eller forbedringer av nevnte produkter. Produktene fra andre virksomheter, samt disses varemerker, kan være registrerte eller opphavsrettslig beskyttet. Logoene for Neupart, SecureAware samt navnet SecureAware er varemerker som tilhører Neupart A/S. Dokumentet leveres slik det foreligger", uten noen form for garanti. Dokumentet samt tilhørende grafiske fremstillinger kan inneholde feil eller mangler. Det gis ingen garanti for at resultater oppnås ved bruk av denne dokumentasjonen. Neupart A/S forbeholder seg også alle, ikke uttrykkelig nevnte rettigheter. 24