Security awareness — это программа, которая формирует у сотрудников привычку безопасного поведения: распознавать фишинг, беречь пароли, правильно обращаться с данными и сообщать об инцидентах. В русскоязычных текстах её называют повышением осведомлённости по информационной безопасности. Программа состоит из регулярного обучения, проверки знаний и показателей, по которым видно результат.
Люди — одна из главных точек входа для атак. Письмо с поддельной ссылкой, звонок «из банка», флешка, найденная на парковке: технические средства защиты такие сценарии останавливают не всегда, и тогда всё зависит от того, что сделает сотрудник. Осведомлённость не заменяет антивирус, фильтр почты или разграничение доступа, она закрывает ту часть риска, которую эти средства не видят.
Платформа security awareness — это сервис по подписке с готовыми курсами, тестами и рассылками. Свой курс — материалы, записанные под правила и системы конкретной компании. Платформа выигрывает в масштабе и скорости запуска, свой курс — в точности: сотрудник учится на ваших регламентах, ваших примерах и ваших системах.
В статье — чем awareness отличается от инструктажа, из чего собирается программа, как выбрать между платформой и собственным курсом, как измерять результат, какие нормы требуют обучения и как запустить программу за пять шагов.
Что такое security awareness простыми словами
Термин пришёл из английского: security — безопасность, awareness — осведомлённость, понимание. Security awareness — это не разовое мероприятие и не «ещё один курс», а непрерывная работа: сотрудники узнают, какие угрозы существуют, что от них требуется и куда обращаться, когда что-то пошло не так.
Хорошая программа отвечает на четыре вопроса:
- Что может случиться. Фишинг, социальная инженерия, утечка при пересылке файла, заражённое вложение, слабые пароли, потеря устройства. Базовые правила, которые закрывают большую часть этих рисков, собраны в статье глоссария про кибергигиену.
- Что должен делать сотрудник. Не переходить по подозрительным ссылкам, проверять отправителя, не называть коды из СМС, блокировать экран, не выносить данные на личные облака.
- Почему это важно именно здесь. Какие данные и системы есть в компании и что произойдёт, если они попадут не в те руки.
- Куда сообщить. Кому написать или позвонить, если сотрудник заметил подозрительное письмо или уже совершил ошибку.
Последний пункт часто недооценивают. Сотрудник, который боится наказания, скрывает ошибку, а скрытая ошибка превращается в инцидент, который обнаружат слишком поздно. Поэтому программа осведомлённости учит не только «не делать», но и «быстро сказать».
Английское «security awareness training» означает ту же программу, но делает акцент на обучающей части: курсы, тренинги, тесты. В практике компаний слова «awareness» и «training» используют как синонимы, хотя awareness шире: в него входят напоминания, памятки, баннеры, рассылки и разговоры с руководителями, а не только курс.
Если вам нужна именно обучающая часть, мы записываем курс по ИБ под вашу компанию: на ваших правилах, с тестом и журналом обучения. Курс проводят люди, а не автоматическая платформа.
Нужен курс по ИБ для сотрудников? Расскажите, сколько у вас людей и какие системы они используют, и мы предложим программу и сроки: обсудить обучение сотрудников.
Зачем компании программа осведомлённости
Технические меры защищают периметр и системы, а решения на рабочем месте принимает человек. Он открывает письма, вводит пароли, отправляет файлы клиентам, подключает флешки и пускает в офис «курьера». Если сотрудник не знает правил или не видит смысла в них, любая техническая защита начинает обходиться.
Программа осведомлённости даёт компании три вещи:
- Меньше успешных атак через людей. Сотрудник, который видел примеры, замечает фишинг и сообщает о нём, а не переходит по ссылке. Про фишинговые атаки и признаки писем у нас есть отдельная статья.
- Раннее обнаружение. Каждый сотрудник становится датчиком: заметил странное письмо, сообщил в ИБ, и остальные получатели предупреждены раньше, чем кто-то кликнет.
- Подтверждение для проверяющих и заказчиков. Журнал обучения, результаты тестов и протоколы тренировок показывают, что меры не только описаны в политике, но и работают.
Сколько именно инцидентов вы предотвратите, заранее не скажет никто, и любые обещания вида «на 80% меньше атак» стоит проверять: откуда цифра, на какой выборке, за какой период. Надёжнее смотреть на собственные показатели до и после программы.
Чем security awareness отличается от инструктажа и обучения специалистов
Тему часто путают с двумя соседними: инструктажем по ИБ и профессиональным обучением специалистов. Это три разных инструмента для разных задач.
| Параметр | Инструктаж по ИБ | Security awareness | Обучение специалистов ИБ |
|---|---|---|---|
| Цель | Довести правила до сотрудника и зафиксировать это подписью | Сформировать устойчивое безопасное поведение | Дать профессиональные навыки защиты |
| Аудитория | Все новые и действующие сотрудники | Все сотрудники, с учётом ролей | Администраторы, специалисты ИБ |
| Формат | Беседа, памятка, запись в журнале | Курс, рассылки, тесты, тренировки, напоминания | Профессиональные курсы, практика, сертификация |
| Периодичность | При приёме, повторно, внепланово | Постоянно, по плану на год | По развитию карьеры и требованиям к должности |
| Результат | Подпись в журнале | Изменение поведения, измеримые показатели | Квалификация |
Инструктаж отвечает на вопрос «знает ли сотрудник правила», awareness — «следует ли он им в нужный момент». Подробнее о первом мы писали в статье про инструктаж по информационной безопасности: виды, журнал, памятка, образец. Программа осведомлённости строится после инструктажа и опирается на него.
Обучение специалистов ИБ (курсы по реагированию на инциденты, анализу уязвимостей, сертификации) решает другую задачу: готовит тех, кто эксплуатирует защиту. Для обычного сотрудника оно не нужно. Если вы ищете повышение квалификации ИБ-специалистов, это отдельное направление, и сотрудникам бухгалтерии или отдела продаж оно ничем не поможет.
Из чего состоит программа security awareness
Программа осведомлённости собирается из шести блоков. Не обязательно запускать все сразу: сначала обычно делают первые три, остальные добавляют по мере зрелости.
Темы
Набор тем определяется рисками компании, а не списком из презентации вендора. Базовый набор для всех сотрудников:
- Фишинг и социальная инженерия. Письма, звонки, сообщения в мессенджерах, подмена отправителя, давление срочностью.
- Пароли и доступы. Длина и уникальность паролей, менеджер паролей, многофакторная аутентификация, запрет передавать пароль коллегам. Правила описаны в статье про парольную политику.
- Работа с данными. Что такое конфиденциальная информация и персональные данные в вашей компании, куда их можно отправлять, а куда нельзя.
- Устройства и рабочее место. Блокировка экрана, чистый стол, личные флешки и гаджеты, работа вне офиса, публичный Wi-Fi.
- Инциденты. Что считать инцидентом, как и кому сообщить. Порядок описан в материале про управление инцидентами ИБ.
Для отдельных ролей добавляют свои блоки. Бухгалтерии — подмена реквизитов и поддельные счета. Кадрам — резюме с вредоносными вложениями и работа с персональными данными кандидатов. Руководителям — письма «от имени директора» и целевые атаки на топ-менеджмент. Администраторам — собственные требования к привилегированным учётным записям.
Форматы
Один формат не работает для всех. Короткое видео подойдёт для вводного знакомства, тест — для проверки знаний, а тренировка с разбором — для закрепления навыка. Распространённые форматы:
- Курс — видео или вебинар с примерами из практики компании, завершается тестом.
- Памятки и баннеры — короткие напоминания, которые сотрудник видит в нужный момент: на экране блокировки, в корпоративном портале, на вкладке с входом в почту.
- Лекции и семинары — живой разговор с вопросами, хорошо подходит для руководителей и ключевых ролей.
- Учебные фишинговые рассылки — безопасные письма, которые показывают, кто и на какие приёмы реагирует.
- Тренировки — отработка действий: что делать при обнаружении фишинга, потере ноутбука, подозрении на заражение.
Периодичность
Единого правильного графика нет, но общая логика такая. Вводный материал — при приёме на работу, до выдачи доступа. Основной курс — раз в год для всех. Короткие напоминания — раз в месяц или квартал. Внеплановое обучение — после инцидента, смены правил или появления новой угрозы. Частые длинные курсы вызывают усталость, редкие — забывание, поэтому лучше короткие и регулярные порции, чем один большой курс раз в несколько лет.
Проверка знаний
Без проверки программа превращается в «галочку». Простейший вариант — тест после курса с проходным порогом и повторным прохождением для не сдавших. Более сильный — проверка в действии: учебная рассылка показывает, как сотрудник ведёт себя в реальной ситуации, а не как отвечает на вопросы. Для самопроверки сотрудников подойдёт тест по информационной безопасности.
Метрики
Метрики выбирают заранее, до запуска, иначе потом не с чем сравнивать. О них — ниже, в разделе про культуру ИБ.
Документы
Программа должна быть оформлена: кто отвечает, какие темы и сроки, как фиксируется результат. Базовые документы — политика ИБ, план обучения, журнал обучения и инструктажей, листы ознакомления. Образцы можно собрать в разделе платформы с документами по ИБ, а общие правила закрепить в политике информационной безопасности.
Культура информационной безопасности — это общие для сотрудников компании представления о том, что безопасность входит в каждую рабочую задачу, а не только в обязанности ИБ-отдела. О зрелой культуре говорят, когда сотрудники соблюдают правила без контроля, не скрывают ошибки и сами сообщают о подозрительном. Измеряют её не лозунгами, а поведением: долей прошедших обучение, результатами проверок и обращениями об инцидентах.
Платформа по подписке или свой курс
Главный вопрос при запуске: купить доступ к платформе security awareness или записать курс под себя. Честный ответ — зависит от компании. Ниже сравнение по критериям, которые реально влияют на выбор.
| Критерий | Платформа по подписке | Свой курс под компанию |
|---|---|---|
| Содержание | Типовой контент для всех отраслей | Ваши правила, системы, названия, примеры и роли |
| Скорость запуска | Быстро: курсы уже готовы | Дольше: нужно согласовать материалы и записать курс |
| Стоимость в динамике | Регулярная подписка, цена обычно растёт с числом сотрудников | Разовая работа, затем обновление по необходимости |
| Кому принадлежит материал | Доступ действует, пока идёт подписка | Материалы остаются у компании |
| Учебные фишинговые рассылки | Обычно встроены в платформу | Проводятся отдельно, через партнёров или своими силами |
| Автоматизация | Автоназначение курсов, отчёты, напоминания | Зависит от того, куда вы загрузите курс: своя система обучения или ручной учёт |
| Нагрузка на ИБ | Ниже: платформа ведёт часть работы сама | Выше на этапе запуска, ниже в эксплуатации, если курс загружен в систему обучения |
| Соответствие правилам компании | Нужно подгонять правила под курс | Курс подгоняется под правила |
Когда подходит платформа
Платформа выигрывает, если у компании много сотрудников в разных филиалах, нужна автоматика (назначение курсов, напоминания, дашборды), типовых правил хватает, а готового ИБ-специалиста для сопровождения программы нет. Платформу также выбирают, когда нужен постоянный поток учебных рассылок с большим числом сценариев.
Когда лучше свой курс
Свой курс выигрывает, когда у компании своя специфика: особые системы, корпоративные регламенты, отраслевые требования, работа с персональными данными и государственными системами. Сотруднику проще запомнить правило, если оно названо так же, как в его рабочих документах, а пример взят из его рабочего дня. Курс остаётся у компании, его можно загрузить в уже существующую систему обучения и обновлять, не меняя поставщика.
Что делаем мы
Мы не продаём собственную платформу осведомлённости и не ведём автоматическое назначение курсов. Мы делаем две вещи.
Первая — обучение сотрудников по ИБ и ПДн. Курс записывается под вашу компанию, его проводят люди: специалисты разбирают ваши правила, показывают примеры, принимают тест, выдают журнал обучения и сертификаты.
Вторая — киберучения и учебные фишинговые рассылки. Это услуга интегратора: рассылки проводятся на платформах партнёров, мы согласуем сценарии, запускаем, собираем результаты и разбираем их с вами.
Если вам нужна именно подписочная платформа с автоматикой, ориентируйтесь на таблицу выше: это другой класс продукта, и у нас его нет. Если нужен курс под вашу компанию, это к нам.
Хотите проверить сотрудников на практике? Согласуем сценарий учебной рассылки, проведём её на платформе партнёра и разберём результаты: обсудить киберучения.
Культура информационной безопасности: как понять, что правила работают
Культуру ИБ невозможно купить или объявить приказом. Её признаки видны в повседневном поведении: сотрудник пересылает подозрительное письмо в ИБ вместо того, чтобы удалить его; руководитель не просит «временно» передать пароль; коллеги останавливают человека без пропуска в серверной. Чтобы понимать, куда движется компания, нужны метрики.
Какие метрики брать
- Доля прошедших обучение. Сколько сотрудников от общего числа прошли курс в срок. Показывает охват, но не качество.
- Результаты теста. Средний балл и доля сдавших с первой попытки. Тема, на которой ошибаются чаще всего, подсказывает, что объяснять заново.
- Результаты учебных рассылок. Доля сотрудников, которые перешли по ссылке, ввели данные или открыли вложение. Смотрите динамику между рассылками, а не абсолютное значение: цифры зависят от сценария и сложности письма.
- Доля сообщивших о подозрительном. Сколько сотрудников переслали учебное или настоящее подозрительное письмо в ИБ. Рост этого показателя важнее снижения кликов.
- Время от события до сообщения. Как быстро сотрудник сообщает об ошибке или подозрении.
- Обращения об инцидентах. Рост числа обращений в первые месяцы программы нормален: люди начали замечать и сообщать.
Чего не делать
Не наказывайте за результаты учебной рассылки: сотрудник, которого публично отчитали, перестанет сообщать о настоящих ошибках. Не сравнивайте отделы по числу кликов без объяснений: это превращает обучение в соревнование за красивые цифры. Не обещайте руководству конкретный процент снижения рисков: честнее показать динамику собственных показателей за полгода и год.
Оценить зрелость процессов ИБ целиком, включая обучение, можно по самооценке зрелости ИБ: инструмент покажет, где обучение стоит среди других мер, и поможет расставить приоритеты.
Что требуют нормативные акты
Прямое требование обучать сотрудников есть не во всех нормативных актах и не для всех организаций. Поэтому важно различать, к кому и что относится.
Статья 18.1 152-ФЗ относится к операторам персональных данных и называет среди мер, которые оператор принимает для выполнения закона, ознакомление работников, обрабатывающих персональные данные, с законодательством о ПДн и требованиями к их защите, и (или) обучение этих работников. Закон не задаёт форму и периодичность: их оператор определяет сам и закрепляет во внутренних документах.
152-ФЗ, статья 18.1
Пункт 6 части 1 статьи 18.1 называет среди мер, которые принимает оператор, «ознакомление работников оператора, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных, в том числе требованиями к защите персональных данных, документами, определяющими политику оператора в отношении обработки персональных данных, локальными актами по вопросам обработки персональных данных, и (или) обучение указанных работников».
Что из этого следует на практике:
- норма касается работников, которые непосредственно обрабатывают ПДн, а не всех сотрудников;
- допустимы ознакомление или обучение: закон ставит между ними «и (или)», то есть оператор может выбрать формат;
- состав мер оператор определяет самостоятельно, поэтому периодичность и форму надо закрепить во внутренних документах и вести подтверждение: листы ознакомления, журнал обучения, результаты теста.
Приказ ФСТЭК № 117
Приказ ФСТЭК России № 117 содержит более конкретные требования, но применяется в ограниченной сфере. По пункту 1 приказа его Требования применяются для защиты информации в государственных информационных системах и иных информационных системах государственных органов, государственных унитарных предприятий и государственных учреждений. Для коммерческой компании, которая не работает с такими системами, приказ не обязателен, но его можно использовать как ориентир при выстраивании программы.
Пункт 56 перечисляет, что должны включать мероприятия по повышению уровня знаний и информированности пользователей:
- доведение информационных материалов, «в том числе в форме памяток, баннеров, буклетов»;
- «проведение лекций, семинаров, обучающих игр»;
- «проведение имитационных рассылок электронных писем на служебные адреса электронной почты, иные служебные средства коммуникаций с целью оценки устойчивости пользователей к методам социальной инженерии»;
- проведение тренировок с пользователями по практической отработке мероприятий по защите информации.
Пункт 57 требует определить способы повышения уровня знаний, периодичность и формы оценки во внутренних регламентах и устанавливает: «Оценка уровня знаний должна проводиться не реже одного раза в три года или после компьютерного инцидента, произошедшего у оператора (обладателя информации)». Кроме того, для пользователей, у которых отсутствуют знания, должно быть организовано повторное прохождение обучающих курсов.
Мы подробно разбирали приказ в статье про требования приказа ФСТЭК № 117. Для программы осведомлённости из пунктов 56 и 57 вытекает удобный каркас: материалы, лекции, учебные рассылки, тренировки, оценка знаний по графику и после инцидента.
Если вы не относитесь к сфере приказа № 117, это не значит, что обучение не нужно: для оператора ПДн действует ст. 18.1 152-ФЗ, а политика ИБ и внутренние регламенты обычно сами требуют ознакомления сотрудников с правилами.
Как запустить программу осведомлённости за пять шагов
Пошаговый план для компании, которая начинает с нуля.
Шаг 1. Зафиксируйте цели и ответственного
Определите, зачем вам программа: снизить риск фишинга, подтвердить обучение для заказчика, выполнить требования для ПДн или ГИС. Назначьте ответственного: это может быть специалист по ИБ, ИТ-директор или внешний консультант. Согласуйте бюджет и время сотрудников: если руководитель не выделил часы на обучение, его не пройдут.
Шаг 2. Оцените исходный уровень
Прежде чем обучать, посмотрите, где вы сейчас. Какие инциденты были за последний год, что говорит служба поддержки о частых ошибках, есть ли политика ИБ и инструктаж. Для измерения базовой точки можно провести учебную рассылку или тест до начала программы: полученные цифры станут точкой отсчёта для сравнения.
Шаг 3. Определите темы, роли и формат
Составьте список тем для всех и для отдельных ролей. Решите, платформа это или свой курс, живое занятие или запись. Для небольших компаний и для компаний со специфическими правилами обычно подходит курс под компанию, для распределённых структур с тысячами пользователей — платформа с автоматикой. Подробнее о выборе — в разделе выше.
Шаг 4. Проведите обучение и первую проверку
Обучите сотрудников в согласованные сроки, проведите тест и зафиксируйте результаты в журнале. После курса проведите первую учебную рассылку или тренировку, чтобы увидеть, как знания работают на практике. Заранее предупредите руководителей и службу поддержки, чтобы учебное письмо не вызвало лишней паники.
Шаг 5. Измеряйте, повторяйте и улучшайте
Через месяц и через квартал сравните показатели с исходной точкой. Что улучшилось, что нет, какие темы вызывают ошибки. Обновите материалы, добавьте короткие напоминания по слабым темам и запланируйте повторное обучение на год вперёд. После любого инцидента проведите внеплановое занятие: тема свежая, внимание максимальное.
Типичные ошибки при внедрении security awareness
- Курс «для галочки». Одна презентация в год без теста и обратной связи не меняет поведение.
- Обучение без правил. Если в компании нет политики ИБ, сотрудникам нечему следовать. Начните с документов.
- Один формат для всех. Бухгалтерию и разработчиков нужно учить разным вещам.
- Наказания вместо обучения. Страх заставляет скрывать ошибки.
- Метрики без смысла. Доля прошедших курс показывает охват, но не поведение. Добавляйте показатели действий.
- Разовая акция. Через полгода после курса знания заметно слабеют, поэтому программе нужны напоминания.
- Отсутствие канала для сообщений. Если сотруднику непонятно, куда писать о подозрительном письме, он напишет коллеге или проигнорирует.
Итог
Security awareness — это постоянная работа с людьми, а не разовая лекция. Начните с правил и инструктажа, добавьте курс и проверку знаний, выберите между платформой и собственным курсом по своим условиям, измеряйте динамику и повторяйте программу не реже раза в год. Для операторов ПДн ориентир — ст. 18.1 152-ФЗ, для государственных систем — пункты 56 и 57 приказа ФСТЭК № 117.
Если вам нужен курс, записанный под вашу компанию, начните со страницы обучения сотрудников по ИБ и ПДн. Если хотите проверить сотрудников на практике, посмотрите киберучения и учебные фишинговые рассылки.
