культуру информационной безопасности в компании

— В основе любой культуры лежит некий устоявшийся свод привычек и правил, это полностью применимо и к обсуждаемой теме. В контексте ИБ сформированные соответствующие привычки и правила позволяют защититься от угроз, которые есть в цифровом мире.

Обладающий культурой ИБ человек разбирается в таких угрозах и знает, как правильно себя вести и что делать в случае, если он столкнется с ними. Главная задача мошенников – вывести жертву из уравновешенного психического состояния, вынудив ее совершить ошибку. Подготовленный человек с выработанным критическим мышлением сможет действовать в опасной ситуации по правильному алгоритму.

В рамках кибербезопасности компании используют технические системы защиты и компетенции специалистов соответствующего профиля, все это помогает эффективно отражать прямые атаки, вирусы и т.д. Но конечный пользователь, в данном случае сотрудник, не защищен ничем, кроме собственных знаний и навыка критического мышления. Именно он, с точки зрения противостояния злоумышленникам, является самым слабым звеном.

— Оптимально, если этим будет заниматься отвечающий за ИБ специалист. Иногда в рамках онбординга или обучения персонала это частично делают сотрудники HR или IT, но только непосредственно носитель соответствующих компетенций сможет выстроить процесс системно. Он оценит, какие есть работники, чем они занимаются, определит наиболее вероятные типы атак с учетом отрасли, в которой работает компания.

Мошенники часто пытаются «зайти» в компанию под видом работающих в ее сфере надзорных или контрольных органов. Для финансового сектора это будет Центробанк, для машиностроения – ФСТЭК или Министерство транспорта, и т.д.
В результате работы специалиста ИБ должна быть создана модель потенциальных угроз для сотрудника каждого подразделения, направленных на конечного пользователя.

— Cтатья посвящена культуре ИБ в корпоративной среде, но мы не случайно говорим прежде всего о защите непосредственно людей, а не компании. В вопросе внедрения и развития данной культуры очень важным является акцент на ее необходимости прежде всего не работодателю, а лично сотруднику в его повседневной жизни.

Одно дело – сухо и нейтрально информировать персонал об угрозах, а другое дело – подходить с позиции того, что эта информация имеет ценность и пользу не только в рамках рабочих задач, но и в целом в жизни. Нужно апеллировать к негативным последствиям, с которыми может столкнуться не компания-работодатель, а непосредственно сам человек. И дополнительно указать на возможность защитить родственников и близких, включая родителей и детей.

— Нередко ответственные за ИБ сотрудники сталкиваются с неготовностью собственников бизнеса полноценно выделять внимание и ресурсы соответствующим вопросам. В большей степени это характерно для небольших компаний. Аргументы «против» обычно звучат в духе, что «мы злоумышленникам неинтересны, у нас небольшой бизнес». Здесь важно понимать, что никогда не стоит недооценивать свою значимость для них. Более крупные компании как раз потому и выжили на этапе становления, что выделяли ресурсы на решение и профилактику проблем по линии ИБ, сумев обойти хищения, взломы и подобное.

Здесь может быть много сценариев. Надо дать понять руководству, что компания является для мошенников интересным объектом и обрисовать круг недопустимых событий, при наступлении которых бизнес будет под угрозой полной остановки.

Вышесказанное касается и дополнительных активностей по линии ИБ, и выполнения базовых регуляторных требований, которые в той или иной степени будут присутствовать всегда, независимо от сферы деятельности компании. Невыполнение требований регулятора также влечет за собой риск полного закрытия бизнеса.

— По нашему опыту одним из эффективных форматов являются написанные простым языком шортриды, распространяемые через рассылки в корпоративном чате. В этих текстах мы описываем те или иные способы мошенничества и даем рекомендации, как себя вести. Способы разные, их много, но алгоритм действий сильно не меняется. Люди, регулярно получая эту информацию, постепенно запомнят этот алгоритм, повысив для себя тем самым вероятность быстро сориентироваться при столкновении с мошенничеством.

Еще один эффективный, но требующий дополнительных ресурсов вариант - комиксы с той или иной мошеннической ситуацией, описанной в виде ролевого общения и дополненной визуалом. Если у компании есть маскот, то удачным решением будет задействовать его в качестве персонажа комиксов. Создавать такие материалы можно силами штатного творческого блока компании или сторонних подрядчиков.

Также можно провести внутренний вебинар, но сначала рекомендуем оценить интерес работников к нему. Если аудитория наберется, можно предложить проголосовать за интересующие темы. Важно, чтобы в качестве лектора выступал специалист, умеющий интересно преподносить информацию.

Материал для вебинара собирается с учетом возраста слушателей, их опыта работы в сфере компании и принадлежности к тем или иным департаментам, отделам и пр. Все это можно организовать силами штатных сотрудников или с привлечением внешних лекторов с бэкграундом и компетенциями в ИБ, которые разбираются в материале и могут ответить на вопросы.

И, наконец, можно пойти по пути геймификации образовательной деятельности, что само по себе сейчас является трендом. В рамках этого подхода можно обучать сотрудников культуре ИБ при помощи настольных игр, например, «Кибермонополии» или «КиберМЕМО», последняя разработана российскими учеными и экспертами в области образования из Института цифрового образования ГАОУ ВО МГПУ.

Также актуален формат выездных профильных тренингов. Они проходят в режиме квестов или в формате «вопрос-ответ». Темы можно согласовать заранее или не оговаривать их, поставив целью в целом вызвать общий интерес аудитории к киберсреде, с какими угрозами в ней можно столкнуться, как им противостоять. В целом же обучение кибербезопасности сегодня полезно начинать еще на уровне школьного образования, в том числе при помощи геймификации.