Киберграмотность сотрудников: почему обучение важнее запретов? Опыт Phishman

Зачем обучать сотрудников в принципе?

Можно пойти от обратного и представить, что мы выбрали этого не делать. Например, мы ограничили сотруднику доступ к интернету. Он, конечно, перестанет совершать ошибки, но при этом и не научится их избегать.

Обучение даёт другой результат: вместо "запретов" вы получаете команду, не только устойчивую к кибератакам, но и активно участвующую в их предотвращении.

А ещё - сотрудники начинают лучше относиться к мерам ИБ, понимая их необходимость. Сейчас многие воспринимают специалистов по ИБ как строгих надзирателей.

Мы рекомендуем начинать с оценки текущей киберграмотности сотрудников.

Универсальный подход может вызвать отторжение. Сотрудник может не понимать, зачем ему новые знания об ИБ, считая себя достаточно осведомленным.

‼️ К тому же, если сотрудник действительно компетентен, обучение станет пустой тратой времени и денег компании.

Успешное прохождение теста избавит от необходимости обучения. Неудача же послужит стимулом к обучению. В этом случае у сотрудника появится объективная причина для учебы, и он это поймет. Это снижает сопротивление.

Как реализовать обучение на практике?

Phishman предлагает два варианта: простой и продвинутый.

1️⃣ В простом варианте мы регулярно тестируем сотрудников на устойчивость к фишингу и обучаем только тех, кто не прошел тест. Процесс автоматизирован и адаптируется под нужды компании.

2️⃣ Продвинутый вариант предполагает интеграцию с другими системами, например, DLP. Анализируя ошибки сотрудников, мы предлагаем обучение по соответствующим темам.

Так или иначе, пользователя необходимо вовлечь в процесс, ни в коем случае не навязывая ИБ-обучение. Сделать это можно только через практику. Депремирование и обычное подписание регламентов, увы, не помогут.

Класс решений Security Awareness. Почему важно вовлекать пользователей в вопросы ИБ и как это сделать? Мы спросили у Phishman.

Надо сказать, что индустрия ИБ сейчас все больше осознает свою потребность в обучении сотрудников. И это хорошо! Не очень хорошо, что делают это часто неправильно, выбирая подходы, которые отталкивают пользователей.

Мы не говорим, что с инструментами, которые обычно используют, что-то не так, но скажем, что есть класс решений, который создаёт комплексный подход, дружественный к пользователю, после которого остаются скиллы.

Класс решений Security Awareness – это о том, чтобы:

• Научить сотрудников распознавать угрозы: Отличить фишинговое письмо от настоящего, понять признаки взломанного аккаунта, осознавать риски при работе с конфиденциальной информацией и так далее.
• Сформировать правильные привычки: Создавать надёжные пароли, регулярно обновлять ПО, быть внимательными к подозрительным ссылкам и запросам.
• Создать культуру кибербезопасности: Когда каждый сотрудник понимает свою ответственность и чувствует себя частью команды по защите данных.

И вот последний пункт очень важен, потому что сотрудник становится вовлечённым в процессы ИБ. За счёт чего?

1. Обучение через SA - интерактивно, интересно и персонализировано. Оно не отвлекает сотрудника от работы длинными лекциями, которые, к тому же, ему не нужны.

2. Все проверяется на практике. Сотрудник видя, что его действия (например, клик по фишинговой ссылке) может привести к серьёзным последствиям, становится более внимательным к процессам ИБ.

3. Такое обучение регулярно и непрерывно. Можно запомнить, что сказали в уроке, но это также можно забыть. Важна регулярность.

4. Автоматизация. Если решение автоматизировано, это значительно экономит время служб ИБ.

И это все про Security Awareness - не просто тренинг, а изменение мышления.

Конечно, важны и методы работы отделов ИБ, но об этом в следующий Кибер-Четверг с Phishman.

Крупномасштабный инцидент с утечкой конфиденциальных данных затронул российских пользователей роутеров Keenetic. В результате компрометации были раскрыты чувствительные сведения, включающие пользовательские учетные записи, сетевые конфигурации и системные журналы. Несмотря на то, что злоумышленники получили возможность прямого захвата сетей, производитель счел вероятность мошенничества незначительной.

Об уязвимости стало известно благодаря усилиям независимого эксперта по кибербезопасности, который уведомил разработчиков о проблеме 15 марта 2023 года. Команда Keenetic оперативно устранила уязвимость, и после этого не было зафиксировано новых попыток компрометации.

Подробнее: https://extrim-security.ru/news-ib/tpost/xkjv3kxbr1-dazhe-ispravlennie-uyazvimosti-vliyayut