Кибергигиена — что это и какие правила соблюдать сотрудникам
Что такое кибергигиена
Кибергигиена — это набор простых повседневных правил и привычек, которые помогают пользователям и организациям поддерживать безопасность своих устройств, учётных записей и данных: надёжные пароли, обновления, осторожность с письмами и ссылками, резервные копии. Как личная гигиена снижает риск болезней, так кибергигиена снижает риск взлома.
В организации кибергигиена — это та часть информационной безопасности, которую выполняет каждый сотрудник каждый день. Технические средства защиты не заменяют её: если человек сам отдал пароль, система защиты может ничего не заметить. Значительная часть таких случаев — это социальная инженерия, самый частый её метод — фишинг.
Нужны понятные правила и обучение для сотрудников? Подготовим программу под вашу компанию
Правила кибергигиены для сотрудников
Правила должны быть короткими и однозначными, иначе их не запомнят. Базовый набор для офисного сотрудника — семь областей:
| Область | Правило |
|---|---|
| Пароли | Уникальный длинный пароль для каждого сервиса, менеджер паролей, никому не называть |
| Вход | Многофакторная аутентификация для почты, VPN и рабочих систем |
| Почта и мессенджеры | Не переходить по неожиданным ссылкам, проверять отправителя и домен, пересылать подозрительное в ИБ |
| Устройства | Блокировать экран, ставить обновления, не подключать чужие флешки |
| Данные | Хранить рабочие файлы только в разрешённых системах, не пересылать их на личную почту |
| Удалённая работа | Не работать с важным в открытых Wi-Fi без защищённого подключения, не оставлять устройство без присмотра |
| Сообщение о случае | Сразу сообщать в ИБ, если открыл подозрительное, потерял устройство или передал пароль |
О том, какими должны быть пароли и как их менять, — в материале про парольную политику. Готовый шаблон правил для сотрудников — в статье инструктаж по информационной безопасности.
Зачем кибергигиена компании
Большинство атак на организации не требуют сложных инструментов: хватает украденного пароля, открытого вложения или неустановленного обновления. Кибергигиена закрывает именно эти массовые сценарии и дешевле, чем устранение последствий.
- Снижает число инцидентов, связанных с действиями пользователей
- Уменьшает ущерб, когда инцидент всё же случился: многофакторная аутентификация и сообщение в ИБ ограничивают масштаб
- Делает поведение сотрудников предсказуемым и измеримым, а не зависящим от личной привычки
- Подкрепляет документы: инструкция существует не только на бумаге, но и в практике
Если событие всё же произошло, оно регистрируется как инцидент информационной безопасности, а порядок работы с ним описывает управление инцидентами ИБ. Устаревшее ПО и непоставленные обновления, в свою очередь, образуют уязвимости.
Как внедрить кибергигиену в компании
- Описать правила: одна-две страницы, понятный язык, примеры из работы компании
- Закрепить документом: включить правила в инструкцию и организовать ознакомление под роспись
- Обучить: разобрать реальные случаи и типичные письма; для разных ролей акценты разные — бухгалтерия, кадры, администраторы
- Дать канал сообщения: один адрес или телефон, куда можно переслать подозрительное без страха наказания
- Проверить: тест на знание правил, учебная рассылка на поведение, разбор обращений
- Повторять: обновлять примеры и напоминать регулярно, потому что без практики навык теряется
Обучение сотрудников по ИБ под ваши процессы проводят специалисты, формат и программу мы подбираем с вами: как это устроено.
Проверим, как сотрудники соблюдают правила, учебной фишинговой рассылкой — организуем как интегратор
Как оценить результат
Правила работают, пока их соблюдают, поэтому нужны измерения. Используют три источника: тест на знание правил, учебные рассылки для оценки реального поведения и статистику обращений в ИБ. Учебные рассылки и киберучения мы организуем как интегратор, а выводы по результатам разбираем вместе с вами.
Для операторов государственных информационных систем и иных информационных систем госорганов, государственных унитарных предприятий и госучреждений такие мероприятия описывает приказ ФСТЭК России № 117: памятки, лекции, имитационные рассылки и тренировки (п. 56). Подробности — в разборе приказа. Для остальных это добровольная практика, закрепляемая во внутренних документах.
Состояние процессов ИБ в целом покажет самооценка зрелости ИБ, а знания сотрудников — тест по ИБ для сотрудников. Как строится осведомлённость в целом, разбирает материал про security awareness.
Вопросы о кибергигиене
Превратим правила в привычки сотрудников
Обучение по ИБ проводят специалисты под ваши процессы, а учебные фишинговые рассылки и киберучения мы организуем как интегратор.