Обучение кибербезопасности: что включать, чтобы оно работало

Ежегодный инструктаж под роспись выполняет требование и не меняет поведение. При этом основная часть инцидентов начинается с действия человека, а не с уязвимости в системе.

Что определяет результат

Не объём материала, а его привязка к реальным сценариям организации. Люди узнают в разборе свою почту, свои системы и своих контрагентов, и это работает. Абстрактный рассказ про виды угроз не работает, потому что не превращается в узнавание в момент атаки.

Минимальный рабочий состав

• Разбор реальных писем и сообщений, приходивших в организацию, с объяснением признаков.
• Порядок действий при подозрении: куда сообщать, что не делать, что произойдёт дальше.
• Правила работы с паролями и подтверждением входа, объяснённые через последствия, а не через требования.
• Отдельно: что можно и нельзя вводить во внешние сервисы, включая сервисы с искусственным интеллектом.

Почему важно не наказывать за сообщение

Организация, в которой сотрудник, кликнувший по ссылке, получает выговор, узнаёт об инцидентах последней. Правило о том, что своевременное сообщение снимает ответственность, влияет на скорость реагирования сильнее, чем любое обучение.

Руководители отдельно

Верхний уровень управления это отдельная цель для атак и отдельная программа. Ему нужны не приёмы, а понимание сценариев, которые применяются именно против него, и порядок действий при обращении якобы от подчинённого или от партнёра. Эта часть ведётся через киберграмотность для руководителей, а базовая программа для сотрудников через курсы кибербезопасности для сотрудников.

Школьная аудитория

Отдельное направление это работа с детьми и подростками, где содержание и подача принципиально другие: речь идёт о поведении в сети, о распознавании давления и о безопасности личных данных. Такие программы мы ведём через безопасность в интернете для школьников и цифровую грамотность для школьников.

Учебные атаки

Рассылка учебного письма даёт понимание реального состояния лучше любого опроса. Важно, как обрабатывается результат: если по итогам называются фамилии, следующая рассылка покажет улучшение показателя и ухудшение доверия. Работающий порядок это разбор в обезличенном виде и адресная работа с подразделениями, а не с людьми.

Подрядчики и внешние участники

Периметр обучения обычно заканчивается на штатных сотрудниках, а доступ к системам есть и у подрядчиков. Требование о прохождении базовой программы полезно закладывать в договор, особенно для тех, кто работает с учётными записями внутри контура. Стоит это немного, а закрывает заметную часть сценариев.

Периодичность

Раз в год недостаточно, каждый месяц избыточно. Рабочий ритм это короткий разбор раз в квартал плюс рассылка при появлении новой схемы, которая уже приходила в организацию. Второе даёт больше эффекта, чем первое, и стоит дешевле.