Обучение осведомлённости в области интернет-безопасности

Для обучения существуют общие темы, однако каждой организации необходимо вырабатывать собственную стратегию охвата на основе специфических потребностей, чтобы обучение было практичным и касалось действительно актуальных проблем безопасности. Поскольку ландшафт угроз быстро меняется, рекомендуется регулярно пересматривать программу обучения, чтобы оставаться в курсе современных угроз^[3].

Стандартные темы, затрагиваемые на обучении ISAT^[4]:

• Методы защиты конфиденциальной информации на персональных компьютерах, включая политику паролей;
• Основные вопросы компьютерной безопасности: спам, вредоносное ПО, фишинг, социальная инженерия и др.;
• Последствия некачественной защиты информации — возможное увольнение, экономический ущерб для предприятия, вред лицам, чьи конфиденциальные данные разглашены, а также гражданско-правовые и уголовные санкции.

Осведомлённость в сфере интернет-безопасности — это понимание того, что существуют злоумышленники, стремящиеся получить доступ или украсть данные организации (особенно логины и пароли, с целью доступа к банковским счетам и ценным IT-ресурсам). Поэтому важна профилактика подобных рисков^[5].

В стандартный охват программы обычно входят такие темы, как безопасность паролей, предупреждение фишинга по электронной почте, основы противодействия социальной инженерии, безопасность мобильных устройств, защита конфиденциальных данных и деловая переписка. Для сотрудников, занятых в технических или специализированных ролях, могут быть предусмотрены углублённые тренинги^[2]. При выборе внешних платформ для обучения организации важно оценивать их возможности и ставить конкретные задачи: формировать у сотрудников понимание рисков, объяснять модели поведения и действия в случае безопасности, использовать понятный язык и учитывать экономическую эффективность^[6].

Содержимое ISAT рекомендуется выстраивать согласно корпоративной политике, чтобы обучение проходили все сотрудники^[7]. В качестве источников применяются:

• Документ Национального института стандартов и технологий (NIST) 800-50: Building an Information Technology Security Awareness and Training Program;
• Стандарт ISO 27002:2013 (практические рекомендации по управлению информационной безопасностью);
• Стандарт ISO 27001:2013 (системы управления информационной безопасностью);
• COBIT 5, Приложение F.2: Подробные рекомендации по управлению IT-сервисами, инфраструктурой и обучению безопасности.

Важно концентрировать обучение на актуальных для организации угрозах и их последствиях, дополняя программу практическими кейсами и примерами. Хорошей практикой выступает также периодическое информирование клиентов компаний о новых сценариях угроз^[8].

Стратегия охвата тем в SAT обычно определяется политикой организации, которая регулирует глубину и масштаб тренингов — локально, глобально или на уровне отдельных подразделений^[2].

Исследования показывают, что хорошо организованное обучение по безопасности позволяет существенно снизить вероятность киберинцидентов, связанных с человеческим фактором. По отчёту Ponemon Institute, регулярные тренинги могут сократить случаи успешных фишинговых атак на 70 %. Аналитический доклад Data Breach Investigations Report (DBIR) компании Verizon за 2023 год отмечает, что 74 % нарушений связаны с человеческим фактором, что подчёркивает важность постоянного обучения сотрудников^[9].

Сотрудники организации играют ключевую роль в возникновении (или предотвращении) инцидентов безопасности; необходимо обучение их новым угрозам, формирование навыков защиты конфиденциальной информации, а также создание культуры активного реагирования на подозрительные действия^[10].

Обновлённая SAT-программа позволяет снизить число успешных атак особенно в части фишинга. Сотрудники, проходившие подобное обучение, лучше идентифицируют мошеннические письма и действуют правильно^[11].

В условиях роста фишинговых атак особое значение приобретает формирование знаний о природе этих угроз и методах противопоставления; SAT способствует значительному снижению успешных атак подобного рода^[12].

Ряд отраслевых стандартов и законов обязывает организации формально проводить обучение по вопросам безопасности — например, Gramm-Leach-Bliley Act (GLBA) в сфере финансовых услуг, Федеральный закон США о модернизации информационной безопасности (Federal Information Security Modernization Act of 2014) для госорганов, а также Общий регламент ЕС по защите данных (GDPR)^[13].

Сотрудники и подрядчики государственных учреждений США обязаны ежегодно проходить обучение по информационной безопасности, при этом программа должна учитывать особенности их профессиональных рисков^[14].

Закон требует от медицинских организаций внедрения программ по обучению правилам безопасности и приватности данных; сотрудники должны быть ознакомлены и обучены соответствующим образом^[15].

Payment Card Industry Security Standards Council, образованный крупнейшими платёжными системами, разработал стандарт DSS, предусматривающий формальное обучение сотрудников по вопросам безопасности (требование 12.6)^[16].

Некоторые штаты США вводят обязательное обучение сотрудников по вопросам безопасности, другие рекомендуют его на добровольной основе. Примеры штатов с обязательными программами:

• Колорадо (The Colorado Information Security Act, Colorado Revised Statutes 24-37.5-401 et seq.)^[17];
• Коннектикут (13 FAM 301.1-1 Cyber Security Awareness Training (PS800)^[18];
• Флорида (Florida Statutes Chapter 282)^[19];
• Джорджия (распоряжение губернатора GA E.O.182)^[20];
• Иллинойс (округ Кук)^[21];
• Индиана (IN H 1240)^[22];
• Луизиана (LA H 633, Административный департамент штата)^[23];
• Мэриленд (20-07 IT Security Policy)^[24];
• Монтана (обязательное обучение сотрудников исполнительной власти)^[25];
• Небраска^[26];
• Невада (стандарт 123 — IT Security)^[27];
• Нью-Джерси (NJ A 1654)^[28];
• Огайо (IT-15 — Security Awareness and Training)^[29];
• Пенсильвания^[30];
• Техас^[31];
• Юта^[32];
• Виргиния^[33];
• Другие штаты также внедряют подобные меры.

Рассмотрим наиболее распространённые техники обучения (могут сочетаться в зависимости от особенностей организации)^[3]:

• Интерактивное видеотренинговое обучение — использование двухсторонней аудио- и видеосвязи для доведения информации.
• Веб-обучение — самостоятельное освоение сотрудниками курса через интернет, обычно с тестированием для проверки усвоения материала.
• Локальное, компьютерное обучение — для офисов без доступа к интернету: курсы устанавливаются на ПК и проходятся в автономном режиме.
• Очное обучение с инструктором — популярный вариант для первичного обучения новых сотрудников; редко применяется в крупных компаниях как основной формат.
• Обучение с элементами геймификации — внедрение игровых механик, баллов, рейтингов, наград, что повышает вовлечённость и мотивацию сотрудников^[34].

Обучение рекомендуется проводить при приёме на работу и не реже одного раза в год — для всех лиц, имеющих доступ к информационным системам организации. Основной акцент делается на выявлении признаков атак и защите данных (пароли, шифрование, защищённые сессии)^[35].

ISAT также информирует о новейших угрозах, способах атак, корпоративных политиках в области безопасности и базовых принципах кибергигиены^[35].

При выборе средств обучения исследования показали, что высокоинтерактивные форматы необязательно повышают уровень усвоения: решающее значение имеет качество содержания программы^[36].

Сервисы SAT нередко интегрируются с другими инструментами для сотрудников компании:

• Мониторинг утечек в даркнете — отслеживание появления корпоративных email-адресов или доменов в базах утечек, оповещение администраторов;
• Управление соответствием политикам — создание, распространение и контроль прочтения корпоративных киберполитик внутри организации;
• Оценка рисков — анализ и выявление слабых мест инфраструктуры компании^[37].