Обучение кибербезопасности

Что это значит

Обучение кибербезопасности - регулярное обучение сотрудников тому, как распознавать и отражать киберугрозы. Оно направлено на поведение людей, а не на технику: как выглядит фишинговое письмо, как проверить смену банковского счёта поставщика, почему нельзя использовать одинаковые пароли и что делать, если что-то кажется подозрительным.

Причина в том, что большинство успешных атак начинается не со взлома технической защиты, а с ошибки человека. Злоумышленники используют социальную инженерию: выдают себя за коллегу, директора, банк или поставщика и давят на срочность. Даже лучший межсетевой экран не поможет, если сотрудник сам откроет вложение или отправит платёж мошеннику.

Директива NIS2 и словацкий закон о кибербезопасности требуют от затронутых субъектов регулярного обучения не только сотрудников, но и членов руководства, которые несут ответственность за кибербезопасность. Фирмам вне NIS2 обучение часто нужно из-за требований страховщиков, клиентов или сертификаций.

Как это работает на практике

Эффективное обучение - короткое, практичное и повторяющееся. Вместо одной длинной лекции в год лучше работают короткие модули в течение года, дополненные имитацией фишинговых кампаний. Сотрудники получают учебное мошенническое письмо, и те, кто по нему кликнул, проходят короткое дополнительное обучение. Результаты показывают слабые места.

Содержание нужно адаптировать к ролям. Бухгалтерам и тем, кто утверждает платежи, нужно знать о BEC-мошенничестве и поддельных счетах, руководству - о целевых атаках на менеджеров, всем сотрудникам - о вишинге и смишинге и правилах работы с паролями, включая менеджер паролей и двухфакторную аутентификацию.

Ключевая часть - понятный порядок сообщения. Сотрудник должен знать, кому и как сообщить о подозрительном письме или ошибке, например о переходе по ссылке, и не бояться наказания. Быстрое сообщение позволяет остановить атаку до её распространения. Фирма, которая наказывает за сообщения, узнаёт об инцидентах поздно.

На что обратить внимание

Самая частая ошибка - обучение как формальность: разовая презентация без проверки, которую сотрудники пролистывают. Такое обучение выполняет бумажную обязанность, но поведение не меняет. Эффективность нужно измерять, например долей сотрудников, сообщающих о подозрительном письме, и отслеживать её динамику.

Обучение не заменяет технических мер. Даже хорошо обученный человек в стрессе ошибается. Поэтому его нужно сочетать с фильтрацией почты, двухфакторной аутентификацией, разделением обязанностей при платежах и резервным копированием. Только вместе они образуют защиту, выдерживающую отдельный сбой.