Представьте, что сотрудник получает письмо от знакомого контрагента с просьбой срочно проверить документ. Он знает, что по подозрительным ссылкам переходить нельзя, но письмо выглядит привычно, отправитель знаком — типичная рабочая задача. Сотрудник открывает вложение и запускает атаку.

В такой ситуации помнить правила из курса будет недостаточно. Нужно заметить подозрительные детали, остановиться и выбрать безопасное действие. Этому помогают разные форматы обучения: одни дают знания, другие позволяют потренироваться, третьи проверяют, как человек действует в ситуации, похожей на реальную атаку. 

В статье разберем, какие форматы обучения по ИБ подходят для разных задач, как учитывать роли и риски сотрудников, запустить обучение от пилота до регулярного процесса и оценить, меняется ли поведение людей.

Обучение по информационной безопасности может включать разные форматы. Основные форматы обучения собрали в таблице.

Программы повышения осведомленности обычно сочетают несколько форматов: каждый решает свою задачу. 

Например, базовые правила работы с корпоративными данными можно дать в коротком курсе, а затем на практическом занятии разобрать ситуации, в которых сотруднику придется применять их самостоятельно. Формат и последовательность зависят от задачи обучения и рабочего контекста сотрудников.

После обучения проверьте, насколько сотрудники усвоили материал. Тест покажет, какие темы вызывают сложности и что стоит разобрать еще раз.

Форматы обучения по ИБ выбирайте исходя из результата, который должно дать обучение сотрудников. Например, после обучения сотрудник должен быстро сообщать о подозрительном запросе в ИБ-команду. Когда результат понятен, проще выбрать формат.

Учитывайте рабочую роль

Одна и та же угроза выглядит по-разному для разных сотрудников. Бухгалтер может получить письмо об изменении реквизитов контрагента, специалист поддержки — запрос на восстановление доступа, руководитель — срочную просьбу от имени коллеги или партнера.

Поэтому содержание обучения связывайте с ситуациями, которые действительно встречаются в работе конкретной группы. Сотруднику будет проще перенести правило из обучения в похожую рабочую ситуацию.

Учитывайте уровень риска

При выборе формата учитывайте доступ сотрудника к данным, системам и корпоративным ресурсам, а также возможные последствия ошибки. Чем выше потенциальный ущерб, тем больше практики и проверок стоит включить в программу.

Например, сотрудникам с доступом к платежам или чувствительным данным можно дать отдельные сценарии по их рабочим процессам и регулярно проверять, как они действуют в таких ситуациях.

Ориентируйтесь на предыдущие результаты

Результаты обучения и тренировок подсказывают, что делать дальше. Если сотрудники плохо усвоили тему, материал стоит объяснить еще раз или подать в другом формате. Если знания есть, а в практических сценариях ошибки сохраняются, сосредоточьтесь на тренировке действий.

По этим данным ИБ-команда решает, кому повторить тему и где добавить практику. Навыки, которые уже закрепились, можно пока не тренировать повторно.

Внедрять обучение по информационной безопасности удобнее поэтапно. До запуска опишите правила процесса, а дальше идите по шагам:

1. Зафиксируйте исходную точку. До начала обучения проверьте текущие знания или поведение сотрудников. Способ зависит от темы: это может быть тест, практическое задание или контрольная имитированная атака. Эти данные понадобятся, чтобы позже оценить изменения.
2. Проведите пилот. Запустите обучение на небольшой группе и проверьте, понятно ли сотрудникам содержание, корректно ли работают уведомления и хватает ли времени на прохождение. По обратной связи исправьте проблемы до масштабирования.
3. Расскажите сотрудникам, как будет устроено обучение. Объясните, зачем компания запускает программу, как часто будут приходить материалы и куда обращаться с вопросами. Если в программу входят имитированные атаки, заранее сообщите о самом факте таких тренировок, не раскрывая конкретные сценарии и даты.
4. Запустите обучение для остальных групп. Назначьте материалы, установите сроки и настройте напоминания. Если сотрудник регулярно пропускает обучение, подключайте его руководителя и выясняйте причину: например, курс может конфликтовать с рабочей нагрузкой или сотрудник не понимает, что от него требуется.
5. Давайте обратную связь после практики. После тренировки сотрудник должен понимать, какое действие было рискованным и как поступить в похожей ситуации в следующий раз. Так проверка одновременно становится частью обучения.
6. Повторяйте цикл и корректируйте программу. Используйте результаты следующих проверок, чтобы выбирать темы и сценарии для дальнейшей работы. Подробно о том, какие показатели отслеживать и как проводить оценку эффективности, разберем ниже.

Как включить новых сотрудников в программу

Адаптация новых сотрудников должна начинаться с правил, которые нужны с первых рабочих дней.

Объясните, как работать с корпоративными данными и средствами аутентификации, а также какой порядок реагирования действует при подозрительной ситуации. Здесь же закрепите ответственность за соблюдение внутренних требований.

Для обучения по информационной безопасности нет универсального графика. Регулярность обучения зависит от риска и актуальности темы, поэтому частоту задавайте по нескольким ориентирам:

• Базовые темы обновляйте по плану. К ним можно возвращаться по установленному циклу, чтобы сотрудники не теряли знания и учитывали изменения в правилах компании.
• Новые угрозы разбирайте по мере появления. Если меняется схема атаки, рабочий сервис или внутренний процесс, сотрудникам лучше дать рекомендации сразу, а не ждать следующего планового курса.
• Навыки тренируйте регулярно. Практика помогает поддерживать привычку безопасно действовать в знакомых сценариях и замечать новые варианты атак.
• Учитывайте результаты проверок. Если сотрудники продолжают ошибаться в определенной ситуации, вернитесь к ней раньше и добавьте тренировку. Когда навык закрепился, можно переключить внимание на другой риск.
• Для групп с высоким риском используйте более плотный график. Сотрудникам с критичными доступами или участием в чувствительных процессах требуется больше практики по сценариям, связанным с их работой.

Пересматривайте график по результатам проверок. Если меняется рабочий процесс или появляются новые угрозы, обновляйте его внепланово.

Программы повышения осведомленности проще масштабировать с помощью платформы, которая поддерживает весь цикл и снижает объем ручной работы ИБ-команды. 

Чем больше сотрудников и подразделений участвуют в программе, тем важнее автоматизация — иначе значительная часть работы ИБ-команды уйдет на ручные рассылки и сбор отчетов.

При выборе платформы проверьте, поддерживает ли она основные задачи программы:

• назначение курсов, обучающих модулей и материалов отдельным группам сотрудников;
• автоматические уведомления, напоминания и сроки прохождения;
• тестирование знаний и практические задания;
• проведение имитированных атак и сбор данных о действиях сотрудников;
• отчеты по обучению и тренировкам с возможностью смотреть динамику;
• интеграции с корпоративным каталогом и другими системами, где хранятся актуальные данные о сотрудниках;
• удобный канал, через который сотрудники могут сообщать о подозрительных письмах и других атаках.

Интеграции особенно полезны в крупных компаниях. Например, связь с корпоративным каталогом помогает автоматически обновлять состав сотрудников и подразделений, а данные из других систем можно использовать для назначения обучения после конкретного события или небезопасного действия.

При этом сама платформа не определяет качество программы. Сначала определите сам процесс. После этого выбирайте инструменты, которые помогут его масштабировать и поддерживать.

Настроить такой процесс можно в Start AWR. Платформа помогает назначать обучение по группам сотрудников, связывать его с проверками и автоматизировать регулярные сценарии. Так ИБ-команда тратит меньше времени на ручные операции и управляет обучением, имитированными атаками и отчетами.

Запишитесь на бесплатное демо — покажем, как организовать обучение сотрудников и автоматизировать регулярные сценарии.

Оценка эффективности начинается с цели обучения. Проверяйте именно то поведение, которое хотели изменить. Одного показателя для оценки программы обычно недостаточно. Разные метрики отвечают на разные вопросы:

Сравнивайте результаты в динамике и по сопоставимым группам. Например, после тренировки проведите похожую проверку для тех же сотрудников и посмотрите, стало ли меньше повторных ошибок и быстрее ли они сообщают о подозрительных событиях.

При этом одинаковый результат может означать разный риск. 

Ошибка сотрудника без критичных доступов и такая же ошибка человека, который проводит платежи или работает с конфиденциальными данными, требуют разной реакции. Поэтому метрики обучения связывайте с ролью и доступами сотрудника. Историю предыдущих действий учитывайте отдельно.

Подробнее о том, как перейти от метрик прохождения и кликрейта к показателям, которые помогают оценивать риск и принимать решения, рассказывали в статье «Почему CISO в 2026 году нужны не метрики обучения, а метрики защищенности».

Обучение по информационной безопасности может давать слабый результат, если оно существует отдельно от рабочих процессов.

Особенно это заметно в сценариях социальной инженерии: сотрудник проходит курс в спокойной обстановке, а применять правило приходится во время звонка, срочной задачи или переписки с контрагентом.

Проверьте, можно ли выполнять правила в реальной работе

Иногда сотрудники знают требования безопасности и хотят их соблюдать, но сам процесс мешает это делать.

Например, безопасная проверка запроса занимает слишком много времени, нужный канал недоступен или одобренный инструмент неудобен для рабочей задачи. Тогда появляются собственные способы обмена файлами, проверки запросов и передачи данных.

Такие обходные решения полезно рассматривать как сигнал. Разберите, почему сотрудники ими пользуются, и измените процесс там, где правило сложно выполнить на практике. После изменения процесса сотруднику проще выполнить правило без обходных решений.

Дайте сотруднику безопасный способ сообщить об ошибке

Если сотрудник понял, что мог совершить небезопасное действие, важно сразу сообщить ИБ-команде. Если он боится наказания, мотивация сообщать о проблеме снижается — в результате ИБ-команда получает сигнал позже.

Заранее определите понятный канал для сообщения об атаках и объясните сотрудникам, что делать после ошибки. Команда безопасности быстрее получит сигнал и сможет остановить развитие инцидента. Обратную связь после тренировок тоже лучше строить вокруг разбора действий и следующего безопасного шага, а не вокруг поиска виноватого. 

Связывайте обучение с тем, что происходит после него

Если сотрудники продолжают ошибаться, повторный курс по той же теме может не решить проблему. Посмотрите, на каком этапе возникает сбой: человек не знает правила, не умеет применить его, рабочий процесс мешает действовать безопасно или сотрудник не понимает, куда сообщить о проблеме.

Выберите меру, которая закрывает найденную причину, а затем проведите повторную проверку.

Подробнее о том, почему знания не всегда превращаются в безопасное поведение и как встроить работу с человеческим фактором в процессы компании, мы рассказывали в статье «Почему обучение по ИБ не работает и что с этим делать в 2026 году».

Обучение сотрудников начинайте с конкретного результата: определите, какие действия хотите изменить и в каких группах риск выше.

Под эту задачу выберите формат, задайте регулярность и включите обучение в рабочий процесс.

После запуска отслеживайте поведение сотрудников и сравнивайте результаты с исходной точкой. Если проблема сохраняется, измените меру и проведите новую проверку.

Так обучение по информационной безопасности остается связанным с реальными рисками компании и помогает учитывать человеческий фактор в общей системе безопасности.