Повышение осведомленности сотрудников в ИБ: программа, обучение и метрики

В 2025 году Clorox подала иск к своему IT-подрядчику из-за кибератаки, которая произошла двумя годами ранее. 

По утверждению Clorox, злоумышленники звонили в сервис-деск, представлялись сотрудниками компании и просили сбросить пароли к их учетным записям. Операторы несколько раз выполняли запрос без предусмотренной проверки личности и передавали мошенникам новые данные для входа. Так атакующие получили доступ к корпоративной сети. Clorox оценила ущерб от атаки в 380 млн долларов.

Чтобы сотрудники распознавали такие запросы и соблюдали порядок проверки даже под давлением, компании выстраивают постоянную программу повышения осведомленности. Она связывает обучение с реальными рабочими сценариями и помогает проверить, как сотрудники действуют в рискованной ситуации. По результатам ИБ-команда видит, где проблема сохраняется, и корректирует программу.

В статье разберем, из чего состоит программа повышения осведомленности сотрудников, как организовать обучение и фишинговые тренировки в течение года, подключить руководителей и выбрать метрики, по которым ИБ-команда сможет оценивать результат.

Повышение осведомленности сотрудников в области информационной безопасности — это работа с навыками, которые помогают распознавать риски и безопасно действовать в рабочих ситуациях. ИБ-команда развивает эти навыки и проверяет, как они применяются на практике.

Разовый курс дает сотрудникам базовые знания: какие угрозы встречаются в работе, какие правила действуют в компании и куда обращаться при подозрительной ситуации. Он помогает выполнить обязательную программу и познакомить их с требованиями ИБ.

Разовое обучение
курс → тест → завершение обучения

Постоянная программа повышения осведомленности
обучение → практика → проверка поведения → корректировка программы → повторная проверка

В постоянной программе работа продолжается в течение всего года. Сотрудники отрабатывают новые сценарии, а ИБ-команда оценивает их действия и по результатам выбирает следующую меру. Темы и форматы обновляются вместе с рабочими процессами, ролями сотрудников и способами атак.

Сотрудник может правильно ответить на вопрос о фишинге в тесте и затем перейти по ссылке в письме от якобы знакомого подрядчика. Результат программы проявляется в ситуации риска: человек проверяет сомнительный запрос, прекращает опасное действие или сообщает о нем в ИБ.

По таким действиям команда понимает, какие навыки уже закрепились и где сотрудникам требуется дополнительная практика. 

По данным отчета Verizon DBIR 2025, человеческий фактор присутствовал примерно в 60% утечек данных. 

Человеческий фактор проявляется в конкретных действиях: сотрудник переходит по фишинговой ссылке из письма, открывает неожиданное вложение или использует личное устройство для рабочей задачи.

Технические средства снижают часть риска, но не могут заранее принять решение за человека во всех рабочих ситуациях. Поэтому ИБ-команде важно понимать, где сотрудники сталкиваются с угрозами, и закреплять безопасный порядок действий именно в этих сценариях.

Формулируйте задачи программы через результат, который хотите увидеть в поведении сотрудников или работе ИБ-команды. Тогда сразу понятно, что именно отслеживать после обучения и проверок.

Когда ожидаемый результат понятен, проще выбрать подходящий формат работы. Например, если сотрудники часто ошибаются в фишинговых проверках, добавьте практику на похожих сценариях.

Форматы в программе решают разные задачи и дополняют друг друга.

Базовый курс создает единый стартовый уровень для сотрудников. Обычно его включают в онбординг, а затем проводят повторно с установленной в компании периодичностью.

В такой курс выносят требования, которые относятся к большинству сотрудников. Подробные и ролевые темы выносят в отдельные форматы, чтобы базовое обучение не превращалось в длинный справочник по всем возможным угрозам.

Тематический курс строят вокруг конкретного действия. Сотрудник разбирает рабочую ситуацию и выбирает безопасный вариант.

На платформе Start AWR больше 25 интерактивных курсов по ИБ — по безопасной работе с электронной почтой, паролями, сайтами и веб-сервисами, персональными данными, мессенджерами и другим темам. 

В курсах сотрудники разбирают актуальные кейсы, видят риски на реальных примерах и получают понятные рекомендации по безопасной работе. Мы регулярно обновляем материалы, пробуем новые форматы и при необходимости адаптируем курсы под реалии компании.

Учебная атака помогает проверить, применяет ли сотрудник знания из курса в ситуации риска. ИБ-команда запускает безопасный сценарий, например фишинговую рассылку, и смотрит, как сотрудник действует самостоятельно.

Перед запуском определите, какое поведение проверяете, и выберите сценарий с учетом роли и риска группы. Задайте периодичность, чтобы сравнивать результаты в сопоставимых условиях. Сценарий должен быть безопасным для рабочих систем, не собирать реальные пароли или платежные данные и не превращать индивидуальные ошибки в публичное наказание. После симуляции сотрудник получает разбор своего решения.

Назначайте короткий материал после конкретной ошибки или проверки, чтобы разобрать один навык и сразу показать правильное действие.

После микрообучения проведите сопоставимую проверку и посмотрите, изменилось ли поведение сотрудника.

Руководители помогают программе работать на уровне команд. Если сотрудникам требуется время на обучение или новый порядок меняет привычный процесс, решение руководителя влияет на то, насколько последовательно команда будет его соблюдать.

На уровне топ-менеджмента поддержка особенно важна при изменениях, которые затрагивают несколько подразделений. Руководство может закрепить приоритет программы и снять организационные барьеры, которые ИБ-команда не решит самостоятельно.

Используйте коммуникации, когда сотрудникам нужно быстро сообщить об изменении, которое влияет на их работу. Например, предупредите о новой схеме мошенничества или объясните новый порядок в корпоративном сервисе. Делайте сообщения короткими и привязывайте к конкретному действию сотрудника.

Обучение фишингу лучше строить от простых признаков к более сложным сценариям. Сотрудник сначала получает ориентиры для проверки письма, а затем учится применять их в ситуациях, где атака похожа на обычную рабочую переписку.

1. Покажите базовые признаки фишинга. Объясните, на что смотреть в адресе отправителя, тексте письма, ссылках и вложениях. Не перегружайте сотрудника длинным списком: сначала дайте несколько признаков, которые он сможет использовать при проверке. Подробный чек-лист мы собрали в статье «Защита от фишинга: как защитить компанию и сотрудников».
2. Используйте примеры из рабочего контекста. Стройте задания вокруг переписки, которую сотрудники действительно видят в своей роли. Так человек учится замечать атаку среди привычных сообщений.
3. Постепенно усложняйте задания. После писем с заметными признаками добавляйте примеры, где адрес, оформление и текст выглядят убедительно. В таких заданиях сотруднику приходится внимательнее разбирать детали и искать менее очевидные несоответствия.
4. Учите оценивать сам запрос. Даже аккуратно оформленное письмо может быть подозрительным, если отправитель просит выполнить действие, которое выбивается из принятого процесса. Например, просьба срочно изменить реквизиты в обход обычного согласования должна запускать дополнительную проверку.
5. Регулярно меняйте легенды и типы заданий. Если сотрудники постоянно видят одинаковые шаблоны, они начинают узнавать сам формат учебной рассылки. Меняйте легенды и способы маскировки, чтобы навык переносился на новые ситуации.

Такое обучение развивает насмотренность и привычку анализировать письмо целиком.

Больше о проверке писем читайте в нашей статье «Фишинг в письмах: что такое, как распознать и защититься». В ней разбираем признаки фишинга, пошаговый алгоритм проверки подозрительного письма и действия на случай, если сотрудник уже перешел по ссылке, ввел данные или открыл файл.

Оценка программы должна показывать, что произошло после обучения и насколько значим результат для компании. Для этого используйте показатели из таблицы.

Читайте показатели вместе с контекстом. Один клик в учебной атаке может означать высокий риск, если сотрудник имеет критичные доступы или работает с платежами. Поэтому среднее значение по компании дополняйте детализацией по группам.

Сравнивайте результаты одной группы в сопоставимых сценариях. Если после обучения сотрудники реже повторяют конкретную ошибку или быстрее сообщают о подозрительном событии, команда получает основание оценить результат меры. Если динамики нет, разберите причину и измените подход.

Подробнее о том, как перейти от показателей обучения к оценке риска и использовать метрики для управленческих решений, читайте в статье «Почему CISO в 2026 году нужны не метрики обучения, а метрики защищенности».

Сводная оценка должна позволять перейти от общего показателя к конкретному подразделению или сотруднику и увидеть причину изменения.

В Start AWR команда запускает обучение и имитированные фишинговые атаки, отслеживает уровень защищенности по подразделениям и сотрудникам и видит динамику после принятых мер.

Запишитесь на бесплатное демо — покажем, как это работает на ваших сценариях.

У программы должен быть понятный результат: для каждого значимого риска определены нужный навык, способ проверки и действия по результату. Тогда повышение осведомленности становится частью регулярного управления безопасностью компании.