3.4 C
Узбекистан
Пятница, 1 марта, 2024

Культура кибербезопасности вместо нудных лекций

Топ статей за 7 дней

Подпишитесь на нас

51,905ФанатыМне нравится
22,961ЧитателиЧитать
6,120ПодписчикиПодписаться

Когда в каком-нибудь блог-посте заходит речь о практических советах для бизнеса, мы почти гарантированно пишем: «Необходимо повышать осведомленность сотрудников о киберугрозах». И это, несомненно, правильно. Вот только разные люди понимают под этим выражением разные вещи. Хотелось бы как-то объяснить, что под этим подразумеваем мы.

«Повышение осведомленности» — это ни в коем случае не нудные лекции о том, как страшно жить в кибермире. Мы тщательно изучали разные подходы и можем авторитетно сказать: этот — не работает. В первую очередь нужно привить культуру кибербезопасности.

Культура кибербезопасности вместо нудных лекций

Как мы себе это представляем

Во-первых, тренинг будет работать, только если он:

  • не абстрактный, а жизненный, привязанный к конкретным рабочим ситуациям;


  • не мешает выполнению основных задач;


  • использует наглядные примеры из реальной жизни;


  • дает советы, которые реально исполнимы.


Применимость

На самом деле последний пункт крайне важен. Мы можем дать совет: каждый ваш пароль всегда должен быть сгенерирован из набора случайных символов, иметь длину не менее 18 знаков, да еще и менять его нужно каждую неделю. И, разумеется, никогда не записывайте его на бумажке. В теории это прекрасный совет. Применим он на практике? Нет. Будет кто-нибудь ему следовать? Да никогда. Как записывали «Passworddd123» на бумажке, так и будут. Только бумажку будут прятать чуть дальше — на случай санкций от начальства.

Поэтому среди советов, которые даем мы, есть такой: придумайте несколько сложных «корней», отсутствующих в словаре (например, meow!72!meow); каждый раз создавая новый пароль, приписывайте к нему ключевое слово (например, oxygen), а на бумажке пишите кот-акваланг (то есть что-то, что лично для вас ассоциируется с корнем и ключевым словом).

С точки зрения классической кибербезопасности этот совет далеко не идеален. Любой опытный безопасник возмутится — как же можно записывать хоть какую-то часть пароля?! Но вся штука в том, что этот совет вполне себе применим на практике. И пусть уж лучше люди будут следовать хорошему совету, чем игнорировать идеальный.

Совместимость

Совместимость с повседневной работой — это тоже достаточно важная тема. Когда у кого-то из начальства возникает идея «повысить уровень осведомленности» (а, скажем прямо, в 95% случаев такая идея возникает не на пустом месте, а после инцидента), они назначают ответственного и ждут, что все сотрудники отложат свои дела и пойдут учиться.

На практике это выливается в какие-нибудь большие лекции на целый день типа «расскажем всем обо всем» или в «неделю кибербезопасности». В результате часть сотрудников воспримет это как законный повод поменьше работать, другая часть будет нервничать из-за горящих сроков, а третья просто ничего не запомнит из-за обилия информации за короткое время.

Да, можно будет поставить галочку: «Сотрудники тренинг прошли». Но какой с этого всего будет реальный выхлоп? Может быть, это встряхнет кого-то из сотрудников. Может быть, пару недель после этого они внимательно будут читать каждое письмо и бояться фишинга. А что останется у них в голове?

Поэтому мы стараемся (в частности, при помощи нашей платформы Automated Security Awareness Platform) не перегружать людей информацией. Пара мини-активностей в неделю как раз и позволит не швырнуть в человека неперерабатываемый объем информации, а аккуратно вплести ее в рабочий график, заложив фундамент для культуры кибербезопасности. Мини-уроки, мини-тесты, мини-симуляции атак. Причем благодаря платформе такое обучение даже не требует особых усилий по управлению. Подробнее — вот тут.

Жизненность и наглядность

По этому вопросу наша позиция такова: мы работаем с людьми, а не с аккаунтами. Обучение должно быть интересным, иначе в голове ничего не останется. И обучение должно быть релевантным. Мы используем систему уровней, каждый из которых рекомендован для групп сотрудников с разной зоной ответственности.

Зачем мы будем учить противостоять киберугрозам для платежных систем сотрудника, у которого никогда не будет доступа к этим системам? Ему достаточно базовых знаний. А вот бухгалтер имеет дело и с финансовыми инструментами, и с письмами извне, так что ему имеет смысл изучить вопросы безопасности поглубже. Причем первым делом мы наглядно показываем, зачем что-то нужно знать, а уже потом даем практические советы.

Еще один способ сделать так, чтобы сотрудники не просто «узнали об угрозах», а получили практические навыки, — организовать интерактивную симуляцию. Зачастую это единственный способ работы с топ-менеджментом, который не так просто заставить проходить обычные тренинги.

Elena Molchanova

ОСТАВЬТЕ ОТВЕТ

Пожалуйста, введите ваш комментарий!
пожалуйста, введите ваше имя здесь

Последние новости

Весна опаздывает: синоптики рассказали о холодных и пасмурных выходных

Узгидромет поделился прогнозом погоды на 1-3 марта. К сожалению, весенней погоду этих дней не назовешь — по большинству регионов...

Больше похожих статей