Осведомлённость в области безопасности

Поведение сотрудников, когнитивные искажения и процессы принятия решений оказывают влияние на эффективность мер обеспечения безопасности. Исследования показывают, что психологические факторы, такие как оптимистическое искажение, избыточная самоуверенность и привычные модели поведения, способны подрывать эффективность инициатив по повышению осведомлённости в области безопасности^[4]. Для преодоления этих проблем организации всё чаще используют поведенческую аналитику и так называемые «подталкивающие» меры — ненавязчивые напоминания, такие как уведомления о необходимости смены пароля или предупреждения о фишинге, — чтобы стимулировать безопасное поведение.

Человеческая ошибка остаётся ведущей причиной инцидентов в кибербезопасности. Согласно отчету IBM Security за 2023 год, 95% утечек обусловлены действиями людей — например, попаданием на фишинговые письма, использованием слабых паролей и неправильным обращением с конфиденциальными данными. Организации выделяют обучение и повышение осведомлённости в области безопасности как ключевую стратегию по снижению этих рисков^[5].

Особое значение имеет создание руководством культуры кибербезопасности и предоставление целевого обучения для повышения уровня осведомлённости среди всех сотрудников организации.

Обучение по вопросам осведомлённости в области безопасности, как правило, включает следующие темы:^[6]

• Сущность конфиденциальных материалов и физических ценностей, с которыми можно столкнуться, включая коммерческие тайны, вопросы конфиденциальности и государственную секретную информацию
• Ответственность сотрудников и подрядчиков за обращение с конфиденциальной информацией, в том числе разъяснение условий соглашений о неразглашении
• Требования к физическому обращению с конфиденциальными носителями: маркировка, передача, хранение, уничтожение
• Методы защиты информации на компьютерных системах, включая политику паролей и использование двухфакторной аутентификации
• Другие вопросы компьютерной безопасности: вредоносное ПО, фишинг, социальная инженерия и т.д.
• Безопасность на рабочем месте: контроль доступа в здания, ношение пропусков, сообщение об инцидентах, запрет на определённые предметы и прочее
• Последствия небрежного обращения с информацией: возможная утрата работы, экономический ущерб для компании, вред гражданам, чьи персональные данные раскрыты, а также возможная гражданская и уголовная ответственность

Осведомлённость в области безопасности означает понимание того, что кто-либо может намеренно или случайно похитить, повредить или злоупотребить данными, хранящимися в компьютерных системах компании и по всей её структуре. Поэтому целесообразно поддерживать защиту активов организации (информационных, физических, кадровых), чтобы предотвращать подобные инциденты.

Европейское агентство по сетевой и информационной безопасности (ENISA) отмечает: «Осведомлённость о рисках и доступных способах защиты — первая линия обороны для безопасности информационных систем и сетей.»^[7]

«Главная задача консалтинга по вопросам осведомлённости в области безопасности — это долговременное изменение отношения сотрудников к вопросам безопасности, а также формирование соответствующих элементов организационной культуры и поведения. Политики по безопасности должны рассматриваться как ключевые инструменты, содействующие деятельности организации, а не как свод правил, сдерживающих её эффективность.»^[8]

Современные программы повышения осведомлённости в области безопасности всё чаще используют геймификацию, симуляции фишинга и интерактивные обучающие модули. Исследования показывают, что вовлечение сотрудников при помощи «серьёзных игр», систем вознаграждений и имитаций реальных атак способствует лучшему усвоению навыков и закреплению безопасных практик. Примером служит обучение на основе рассылки имитированных фишинговых писем для проверки способности сотрудников распознавать угрозы. Исследования показывают, что многократное участие в таких упражнениях в долгосрочной перспективе улучшает уровень осведомлённости в области безопасности.

Во многих отраслях прохождение обучения по вопросам осведомлённости в области безопасности обязательно для соблюдения требований законодательства и стандартов, например:

• Общий регламент по защите данных (GDPR) — требует обеспечения осведомлённости о защите данных среди сотрудников^[9].
• HIPAA — предусматривает обязательные программы по осведомлённости в области безопасности для медицинских учреждений^[10].
• PCI DSS — требует проведения обучения работников организаций, обрабатывающих платёжные карты^[11].

В статье 2016 года исследователи разработали метод оценки уровня осведомлённости в области безопасности^[12]. В частности, они измеряли «уровень понимания способов обхода протоколов безопасности, нарушения работы систем, сбора ценной информации и избегания обнаружения» (с. 38). Созданная методика позволяет различать экспертов и новичков по принципу группировки типовых сценариев: эксперты объединяют их по сущностным признакам безопасности, а новички — по внешним, поверхностным критериям.

Помимо этого, уровень осведомлённости оценивается по оперативным метрикам — например, по частоте переходов по фишинговым ссылкам, склонности к повторному использованию паролей и соблюдению политик безопасности. Организации внедряют системы постоянного мониторинга с обратной связью: сотрудники получают своевременное уведомление о рисковом поведении с рекомендацией корректирующих действий^[13].

По мере эволюции киберугроз программы по повышению осведомлённости должны адаптироваться к новым вектором атак — таким, как атаки с использованием искусственного интеллекта, глубокие подделки и угрозы со стороны инсайдеров. Отчет ENISA Threat Landscape подчёркивает растущую значимость этих угроз и необходимость комплексных мер, учитывающих как классические атаки (вымогатели, вредоносное ПО), так и более сложные техники, например, эксплуатацию доверенных ресурсов (LOTS) и методики уклонения, применяемые киберпреступниками^[14].