Навчання кібербезпеки

Що це означає

Навчання з кібербезпеки - регулярне навчання працівників того, як розпізнавати й відбивати кіберзагрози. Воно спрямоване на поведінку людей, а не на техніку: як виглядає фішинговий лист, як перевірити зміну банківського рахунку постачальника, чому не можна використовувати однакові паролі й що робити, якщо щось здається підозрілим.

Причина в тому, що більшість успішних атак починається не зі злому технічного захисту, а з помилки людини. Зловмисники використовують соціальну інженерію: видають себе за колегу, директора, банк чи постачальника й тиснуть на терміновість. Навіть найкращий міжмережевий екран не допоможе, якщо працівник сам відкриє вкладення чи надішле платіж шахраєві.

Директива NIS2 і словацький закон про кібербезпеку вимагають від суб'єктів, яких вони стосуються, регулярного навчання не лише працівників, а й членів керівництва, які несуть відповідальність за кібербезпеку. Фірмам поза NIS2 навчання часто потрібне через вимоги страховиків, клієнтів чи сертифікацій.

Як це працює на практиці

Ефективне навчання коротке, практичне й повторюване. Замість однієї довгої лекції на рік краще працюють короткі модулі протягом року, доповнені імітацією фішингових кампаній. Працівники отримують навчальний шахрайський лист, і ті, хто за ним клікнув, проходять коротке додаткове навчання. Результати показують слабкі місця.

Зміст треба адаптувати до ролей. Бухгалтерам і тим, хто затверджує платежі, потрібно знати про BEC-шахрайство й підроблені рахунки, керівництву - про цільові атаки на менеджерів, усім працівникам - про вішинг і смішинг та правила роботи з паролями, зокрема менеджер паролів і двофакторну автентифікацію.

Ключова частина - зрозумілий порядок повідомлення. Працівник має знати, кому і як повідомити про підозрілий лист чи помилку, наприклад перехід за посиланням, і не боятися покарання. Швидке повідомлення дає змогу зупинити атаку до її поширення. Фірма, яка карає за повідомлення, дізнається про інциденти пізно.

На що звернути увагу

Найчастіша помилка - навчання як формальність: разова презентація без перевірки, яку працівники проклікують. Таке навчання виконує паперовий обов'язок, але поведінки не змінює. Ефективність треба вимірювати, наприклад часткою працівників, які повідомляють про підозрілий лист, і відстежувати її динаміку.

Навчання не замінює технічних заходів. Навіть добре навчена людина в стресі помиляється. Тому його треба поєднувати з фільтруванням пошти, двофакторною автентифікацією, розподілом обов'язків під час платежів і резервним копіюванням. Лише разом вони утворюють захист, що витримує окремий збій.