Канал «сообщить о подозрении»: куда писать и что не наказывать
В программе осведомлённости канал уже назван как принцип. Здесь доведите его до работающего ящика: один адрес, кто дежурит, за сколько отвечаете, как учитываете, какая фраза от руководителя снимает страх «меня накажут за ложную тревогу». Саму программу, учебную рассылку и учение не копируем: осведомлённость. Текст для сотрудника: памятка.
Статья опирается на логику направления «Культура кибербезопасности» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. NIST CSF 2.0 относит сообщения о событиях к коммуникации реагирования, сроки задаёт организация: nist.gov/cyberframework. Это не российский закон.
Что запустить
| Элемент | Минимум |
|---|---|
| Адрес | Один, вроде security@example.com, не личка ответственного. Группа из двух человек, чтобы отпуск не обнулил канал |
| Срочный голос | Короткий номер или добавочный, только «уже ввёл пароль / уже перевёл деньги» |
| Как слать письмо | Переслать вложением (не «переслать» с переписанными заголовками), не открывать вложения подозрительного письма |
| Срок ответа | В рабочий день — в тот же день: «получили, вот что делать». Ночью срочное — по голосу, запись в журнале утром |
| Журнал | Дата, кто, тип (письмо, звонок, флешка), ложная тревога да/нет, что сделали, ушло ли в инцидент |
Подозрение ≠ инцидент. Пока нет подтверждения компрометации, это строка журнала канала. Если пароль уже введён или деньги ушли — включайте первые 24 часа, канал не заменяет плейбук. Считать, пользуется ли канал, нужно для метрики обучения: «сообщили» = письмо на этот адрес до разбора рассылки.
Письменно: не наказывать за ложную тревогу
Короткая фраза в приказе или в политике, подписанная руководителем, не ИБ в чате:
Сообщение о подозрении, даже если оно не подтвердилось,
не является основанием для дисциплинарного взыскания.
Скрытие инцидента — является.Без этой фразы учебная рассылка научит молчать. Не публикуйте списки «кто кликнул» и не отдавайте их линейному руководителю «для беседы». Риск: менеджер сам накажет «за глупость» — тогда канал умрёт в одном отделе. Разбор только обобщённой статистикой.
Онбординг: в первый день тот же адрес в памятке и на портале. Подпись до учётки — ознакомление при приёме; канал должен быть в пакете уже сейчас.
Диагностика
| Симптом | Причина и что делать |
|---|---|
| Пишут в личку ИБ в Telegram | Адреса нет на виду. Повесьте в подпись портала и в памятку |
| Письма пересылают «как есть» и портят заголовки | Научите вложением. В журнал кладите исходник |
| За месяц ноль сообщений при учебной рассылке | Боятся или не знают куда. Проверьте приказ и адрес |
| Каждое подозрение оформляют как инцидент | Очередь задохнётся. Сначала журнал канала, инцидент — по критерию |
Где это в модели зрелости
Материал относится к направлению «Культура кибербезопасности» (хаб: культура, карта: карта зрелости). Программа без канала учит распознавать и молчать. Инциденты без канала узнаёте от клиента. Это не SOC и не кнопка в SIEM.
Как проверить
- Адрес открывается с рабочей почты, в группе не меньше двух читателей.
- Есть фраза руководителя про ложную тревогу, не только слайд обучения.
- Контрольное письмо на канал (своё, не атака) получает ответ в тот же рабочий день.
- Журнал за квартал не пустой, если проводили учебную рассылку.
- Памятка и портал показывают тот же адрес, что в журнале.
Источники
- NIST Cybersecurity Framework 2.0, коммуникация при событиях: nist.gov/cyberframework.
- CIS Controls v8.1, контроль 14: cisecurity.org/controls.
