Аналитики проекта «Кибердом» провели опрос среди 1560 респондентов – предпринимателей, высокопрофессиональных менеджеров и обычных сотрудников, – чтобы определить, как они оценивают свои знания в области кибербезопасности и готовность к обучению. Половина руководителей (52%) считает, что для сотрудников достаточно базовых знаний, а глубокие познания необходимы лишь для топ-менеджмента. Треть (33%) считает, что менеджерам любого уровня достаточно основных знаний. В то же время 36% руководителей оценивают свои знания как хорошие, а 64% осознают, что владеют только базовыми навыками. Среди сотрудников продвинутый уровень знаний продемонстрировало 27%, базовый – 73%. Редакция IT Speaker ознакомилась с результатами исследования.
И руководители, и сотрудники имеют представление о фишинге (72% и 73%) и дипфейках (68% и 67%). Сотрудники лучше осведомлены о шифровальщиках (93% против 64%), в то время как руководители имеют больше информации о социальной инженерии (48% против 27%). Мотивация к обучению различается: руководители стремятся понимать риски и соблюдать законодательство (по 52%), 36% – хотят более эффективно управлять бюджетом. Сотрудники же хотят избежать утечек (73%), не стать жертвой мошенников (67%) и выявить уязвимые места (53%). Наиболее удобный формат обучения – месячные онлайн-курсы (40% руководителей, 33% специалистов), 24% топов предпочли бы длительное погружение, а 53% сотрудников – короткие интенсивные курсы.
Специалист группы социально-технического тестирования компании «Бастион» Всеволод Овчинников отметил в интервью IT Speaker, что ключевым техническим признаком фишинга, на который должны обращать внимание как руководители, так и обычные сотрудники, является неправильное доменное имя. По его словам, проверять корректность доменного имени нужно не только в адресе отправителя, но и в ссылке на внешний сайт, по которой предлагают перейти.
«Если кто-то настойчиво уговаривает сотрудника перейти по ссылке на незнакомый портал, который ранее не встречался в рамках рабочих обязанностей, это должно насторожить. Кроме того, важно не игнорировать предупреждения от систем безопасности, особенно когда пользователь видит, что файл, прикрепленный к письму, не удалось проверить», – подчеркнул он.
Эксперт добавил, что при наличии сомнений в легитимности ресурса необходимо немедленно прекратить взаимодействие и обратиться в службу информационной безопасности, чтобы предотвратить инцидент и предупредить коллег. Говоря о форматах обучения, Овчинников отметил, что стандартные тренинги по типовым сценариям становятся недостаточными. По его мнению, следует перейти от массовых рассылок к персонализированным, где сценарий разрабатывается под рабочие процессы конкретного сотрудника или группы, а также отрабатывать нестандартные подходы – коммуникацию в мессенджерах, звонки с использованием дипфейков. Результаты, по его словам, должны закрепляться учебными атаками и разбором ошибок с объяснением технических признаков, по которым фишинг можно было распознать.
Руководитель Центра оценки и развития персонала Innostage Алия Фаттахова, комментируя редакции IT Speaker разрыв между желанием учиться и нехваткой времени, отметила, что важно различать желание и готовность выделить ресурс. Руководитель может осознавать важность кибербезопасности, но каждый день принимать множество бизнес-решений, и обучение оказывается в конце списка приоритетов. Кроме того, по ее словам, кибербезопасность часто воспринимается как строго техническая область, что порождает ощущение: «Мне нужно сначала разобраться во всем, чтобы это понять».
«На самом деле, руководителю не требуется становиться экспертом в области ИБ. Ему важно осознавать ключевые риски для бизнеса, уметь распознавать опасные ситуации, знать свою роль в инциденте и задавать правильные вопросы профильным специалистам», – пояснила она.
Фаттахова добавила, что проблему не следует решать лишь сокращением времени на обучение – эффективнее связать его с реальными задачами руководителя, а формат подбирать под них: от коротких вебинаров до воркшопов с разбором кейсов. Говоря о форматах, она отметила, что обучение лучше разделять по задачам и уровням ответственности: для топов подходят короткие прикладные форматы – разбор киберрисков, симуляции инцидентов, воркшопы с принятием решений в условиях ограниченной информации; для сотрудников важнее регулярная практика – короткие модули, тренажеры, симуляции фишинговых атак, разбор реальных ситуаций.
«Глубина знаний должна соответствовать роли. От руководителя не требуется уровень технического специалиста по ИБ, как и от инженера не ожидается тот же уровень понимания бизнес-рисков, что от топ-менеджера», – подчеркнула Фаттахова. Она считает, что разрыв между уровнем знаний и требованиями конкретной роли лучше всего закрывается не универсальным курсом, а ролевым и практическим обучением.
«Топ-менеджерам и менеджерам среднего звена необходимо разное количество информации и акценты в обучении, поскольку их уровень ответственности различен. Сотрудникам обучение поможет избежать утечек данных и защититься от фишинговых атак, тем самым обеспечивая безопасность как для себя, так и для компании. Для рядовых сотрудников подойдут короткие интенсивные курсы, например, в нашей академии они длятся от двух дней. Топ-менеджерам также подойдет формат короткого курса, но для них важно наложить знания по кибербезопасности на конкретные бизнес-кейсы, обменяться опытом с другими топ-менеджерами и предпринимателями, понять, как применять технологии для защиты бизнеса. Такая продуктивная среда создана в Академии “Кибердома”, где помимо новых знаний и навыков формируются полезные связи и создаются продуктивные партнерства», – рассказывает коммерческий директор «Кибердома» Екатерина Еленская.
79% сотрудников и 88% руководителей готовы пройти обучение, причем 16% и 13% соответственно хотели бы сделать это как можно скорее. Основные препятствия – нехватка времени (28% топов, 20% специалистов), опасение о сложности материала (24% и 20%) и стоимость (12% и 20%).
Напоминаем, что за последние два года возросла значимость знаний по цифровой грамотности. Так, 36% работодателей считают наличие таких знаний преимуществом для соискателей на любые должности. К таким выводам пришли аналитики проекта «Кибердом» на основе опроса 1527 человек.
«Код Безопасности» признан лидером сегмента NGFW
