ГК Softline о Security Awareness: сотрудник сдал тест, но готов ли он к атаке?
Мы больше 10 лет создаем электронные курсы по информационной безопасности и более трех лет развиваем повышение осведомленности как сервис. За это время мы регулярно слышим один и тот же вопрос: почему после обучения сотрудники все равно ошибаются?
Вопрос закономерный. В программах Security Awareness действительно есть слабые места. Но, по опыту Softline, главная проблема находится чуть глубже. Компании часто измеряют сам процесс обучения: назначили курс, человек его прошел, ответил на вопросы, получил нужный процент. При этом остается без ответа главный вопрос: изменилось ли поведение сотрудника и стал ли он лучше распознавать реальные угрозы?
Если этого не измерять, легко принять активность за результат.
Разберем пять типичных проблем, которые мы видим в программах повышения осведомленности.
1. Сотрудники игнорируют курсы. Почему это происходит
Первый провал может случиться еще до того, как сотрудник откроет первый урок.
Представим обычную ситуацию: человек получает письмо со ссылкой на образовательную платформу. Отправитель ему неизвестен, домен выглядит непривычно. С точки зрения информационной безопасности он делает правильный вывод: похоже на фишинг. Письмо удаляется.
В Softline мы считаем, что запуск обучения начинается не с назначения курса, а с нормальной коммуникации с сотрудниками. Люди должны понимать, откуда придет письмо, зачем проходить обучение и как оно связано с их работой.
Важна и поддержка руководства. Одного короткого обращения от генерального директора иногда достаточно, чтобы обучение перестало восприниматься как очередная задача от ИТ или службы информационной безопасности.
Но даже хорошо организованный запуск не спасет слабый контент.
Что происходит с самими курсами
Первая проблема возникает, когда сотруднику дают набор правил без объяснения их смысла. Формально организация может требовать соблюдения правил ИБ. Но на практике внутренняя мотивация работает лучше, чем постоянное административное давление.
По опыту Softline, сотруднику нужно объяснять не только «что запрещено», но и зачем это ограничение существует. Особенно если правило влияет на привычный рабочий процесс.
Вторая проблема связана с содержанием. Сотруднику финансового отдела и разработчику не обязательно проходить один и тот же набор материалов в одинаковом объеме. Чем ближе содержание к реальным задачам человека, тем проще увидеть связь между обучением и рабочей ситуацией.
Третья проблема очевидна: слишком длинные курсы никто не любит. Если обучение занимает десятки минут, его начинают откладывать до последнего. Поэтому мы в Softline используем принцип дробления материала на короткие блоки продолжительностью 5-10 минут.
Есть и еще один фактор: подача. Сотрудники и так сталкиваются с регламентами, инструкциями и обязательными документами. Если превратить электронный курс в очередную презентацию с плотным текстом, внимание будет потеряно еще до самого важного раздела.
И наконец, обучение должно быть встроено в рабочий процесс. Час на курс, который нужно пройти «когда-нибудь на этой неделе», почти всегда проигрывает задачам с непосредственным влиянием на KPI.
Отдельный вопрос: не заставляем ли мы человека проходить то, что он уже проходил раньше?
Повторение действительно необходимо. Но повторять всем одну и ту же программу каждый год, не проверяя остаточные знания, не лучший способ использовать время сотрудников.
2. Курс прошли. Через месяц половину забыли
Здесь возникает второй парадокс Security Awareness. Компания регулярно обучает сотрудников, но каждый год отправляет их смотреть практически одни и те же материалы.
Память работает иначе: информация, которой человек не пользуется, постепенно забывается. Поэтому в Softline мы считаем более рациональным сначала выяснить, что именно сотрудник помнит, а затем возвращать его только к тем темам, где появились пробелы.
Вместо одинакового курса для всех получается адаптивное повторение.
Для этого мы можем учитывать несколько источников данных: результаты учебного фишинга и социотехнических проверок, ошибки в рабочих процессах, зафиксированные инциденты и результаты тестирования знаний.
Если человек хорошо справился с проверкой, ему нет смысла снова проходить всю теорию. Если ошибся в конкретном блоке, логичнее вернуть его именно к этому материалу.
В Softline такой подход мы связываем с регулярной проверкой остаточных знаний. Обязательное тестирование через год после предыдущей проверки помогает понять, что сохранилось, а что уже требует повторения.
Это меняет и саму логику отчетности. Вместо «сотрудник прошел курс» появляется информация о том, какие знания он подтвердил и где обнаружились пробелы.
3. На тесте все правильно. В реальной работе все иначе
Это, пожалуй, самая важная проблема классического тестирования.
Человек, который открыл тест, знает, что его сейчас проверяют. Он собран, внимательно читает вопросы и ожидает подвоха. В рабочей ситуации тот же человек может одновременно отвечать на сообщения, закрывать срочную задачу и пытаться уложиться в дедлайн.
В такой момент поведение меняется.
По опыту Softline, поэтому нельзя делать вывод о готовности сотрудника к угрозам только на основании теста знаний. Тест показывает, что человек знает правильный ответ. Он не гарантирует, что человек выберет его в реальной ситуации.
Как проверить поведение
Первый инструмент здесь — учебный фишинг. Сотрудникам отправляют контролируемые письма, похожие на те, с которыми они сталкиваются в работе. Можно зафиксировать переход по ссылке, открытие вложения или ввод учетных данных.
Второй инструмент — социотехнические проверки. Сценарии могут выходить за пределы электронной почты: используются подставные QR-коды, точки Wi-Fi, звонки и сообщения от условной службы безопасности.
Такие проверки дают другой тип данных. Мы видим не только то, что сотрудник знает, но и то, как он действует.
В Softline мы также рассматриваем ситуационные тестирования. Сотруднику предлагают рабочую ситуацию и несколько вариантов действий. Например: что делать, если в лифте обнаружена корпоративная карта памяти без опознавательных знаков?
Такой тест нельзя полностью приравнять к реальной атаке. Его валидность ниже, чем у учебных фишинговых и социотехнических проверок. Но он дает больше информации о практическом поведении, чем обычный вопрос на знание теории.
Наконец, есть сами рабочие ошибки.
Инцидент информационной безопасности может показать конкретный пробел в навыках сотрудника. Если человек допустил ошибку, мы можем отдельно проверить соответствующий навык и понять, действительно ли проблема связана с недостатком знаний или поведения.
Поэтому в Softline мы рассматриваем оценку готовности как процесс, в котором должны встречаться результаты обучения, симуляций и реальные действия сотрудников.
4. Нарушения были до обучения и остались после. Значит, обучение не работает?
Не обязательно.
Допустим, компания запустила программу повышения осведомленности, а через год количество инцидентов с участием сотрудников снизилось на 30%. Очень хочется сказать: обучение сработало.
Но такой вывод может оказаться слишком быстрым.
За год в компании могли появиться новые технические средства защиты. Могли измениться права доступа. Могли ужесточиться требования к паролям. На поведение пользователей могли повлиять и внешние обстоятельства.
Поэтому снижение количества инцидентов само по себе еще не доказывает эффективность Awareness.
В Softline мы считаем, что эффект обучения нужно по возможности отделять от других факторов. Для этого можно сравнивать поведение групп сотрудников в сопоставимых условиях: тех, кто прошел обучение, и тех, кто еще не прошел его.
Речь не идет о том, чтобы специально оставлять часть сотрудников без защиты. На практике такая группа может сформироваться естественно из-за различий в сроках прохождения обучения.
Дальше можно смотреть на конкретные показатели.
Например, отличается ли доля скомпрометированных учетных записей при проверке стойкости паролей? Есть ли статистически значимая разница в количестве переходов по фишинговым ссылкам?
Такой подход дает больше информации, чем простая схема «провели фишинг — обучили всех — снова провели фишинг».
Потому что даже улучшение результата во второй проверке еще не объясняет причину.
Атака могла оказаться проще. Сотрудников могли предупредить о проверке. Или, наоборот, новая атака могла быть значительно сложнее первой и нивелировать эффект обучения.
По мнению Softline, поэтому важно сравнивать реакцию разных групп в максимально сопоставимых условиях.
5. Все курсы пройдены. Стало ли безопаснее?
Процент сотрудников, которые завершили обучение, отвечает только на один вопрос: была ли выполнена образовательная активность.
Он не отвечает на вопрос о готовности сотрудников к угрозам.
Представим отчет: 82% сотрудников прошли 73% назначенных курсов. Формально работа выполнена. Но если одновременно растет количество инцидентов, бизнес закономерно спросит: какой результат дали затраты на обучение?
В Softline мы считаем, что ответ на этот вопрос должен появляться еще до запуска программы.
Сначала нужно определить, какое изменение поведения компания ожидает получить. Затем выбрать способ его измерения.
Если задача состоит в том, чтобы сотрудники реже переходили по фишинговым ссылкам, нужно измерять именно это. Если нужно повысить устойчивость к определенному типу социотехнических атак, должна существовать соответствующая проверка.
Иначе возникает странная ситуация: компания может очень точно посчитать количество пройденных уроков, но не может сказать, стало ли меньше опасных действий.
Для бизнеса это принципиальная разница. Количество открытых слайдов само по себе не снижает риск.
Опыт Softline показывает, что отчетность по Awareness должна постепенно смещаться от показателей активности к показателям поведения. Важен не сам факт обучения, а то, какие уязвимости удалось обнаружить и закрыть.
Что в итоге должен измерять Security Awareness
Все пять проблем, которые мы разобрали, сводятся к одному.
Мы можем точно знать, сколько сотрудников назначили на курс, сколько его открыли и сколько успешно прошли тест. При этом мы можем практически ничего не знать о том, насколько конкретный человек готов к угрозам сейчас.
Умеет ли он распознать фишинг сегодня?
Как он поступит в ситуации, с которой сталкивается именно в его рабочей роли?
Какие навыки он потерял со временем?
Стало ли за год меньше ситуаций, в которых он не знает, как действовать?
В Softline мы считаем, что именно эти вопросы должны становиться основой программы повышения осведомленности.
Тогда обучение перестает быть одинаковым обязательным мероприятием для всех. Человеку можно назначить конкретный материал по выявленному пробелу. Повторить только то, что он действительно забыл. Проверить именно тот навык, который вызывает сомнения.
Меняется и отчетность. Вместо «95% сотрудников прошли обучение» можно говорить о выявленных пробелах, подтвержденных навыках и изменении поведения.
И здесь, на наш взгляд, находится главный сдвиг в подходе к Security Awareness. Начинать нужно не с курса и не с процента прохождения. Начинать нужно с понимания того, каким должно быть безопасное поведение сотрудника, как его измерить и насколько фактическое поведение этому состоянию соответствует.
По опыту Softline, когда это состояние становится измеримым, обучение наконец начинает работать как инструмент управления рисками, а не как ежегодная отчетная процедура.