Осведомлённость сотрудников: программа, фишинг-тренировки и учения

Большинство атак начинается с человека: письмо, ссылка, звонок, повторно использованный пароль. Технические меры не закрывают эту часть, зато её можно улучшить недорого: коротким регулярным обучением, понятным каналом для сообщений о подозрениях и проверками, которые учат, а не наказывают. Ниже программа на год для небольшой компании, правила безопасных фишинг-тренировок и готовый сценарий киберучения за столом.

Статья опирается на логику направления «Культура кибербезопасности» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. Перед тренировками согласуйте их с руководством, юристом и кадровой службой.

Что должно получиться

Критерии сформулированы нами по мотивам методики, это ориентир, а не оценка соответствия.

Принципы

• Коротко и по делу. Десять минут раз в месяц работают лучше, чем три часа раз в год.
• По ролям. Бухгалтерии нужны мошеннические платёжные письма, администраторам — безопасная работа с учётными записями, всем — пароли и фишинг.
• Без наказаний. Если сотрудник боится признаться, вы узнаете об инциденте поздно. Награждайте за сообщения, а не карайте за ошибки.
• Измеряемо. Каждая активность имеет показатель: прошли, сообщили, ошиблись.

Программа на год

Базовый инструктаж: что в него входит

• Что считается подозрительным: письмо с неожиданной просьбой, срочные платежи, запрос пароля, незнакомое вложение, звонок «из банка» или «из ИТ».
• Что делать: не открывать, не отвечать, сообщить по определённому каналу.
• Пароли: уникальные, менеджер паролей, не передавать, не хранить в заметках: двухфакторная защита везде, где возможно.
• Рабочие данные: где можно хранить и пересылать, где нельзя (личные облака и мессенджеры).
• Персональные данные: что это, кому можно передавать, что делать при ошибочной отправке.
• Устройства: блокировка экрана, обновления, потерянное устройство — сообщить сразу.
• Куда сообщать об инциденте и что нельзя делать самому (выключать, «чистить», удалять).

Подтверждение: подпись в листе ознакомления или отметка в системе обучения. Для персональных данных такое ознакомление входит в базовые меры оператора: чек-лист оператора ПДн.

Канал для сообщений о подозрениях

Без простого канала обучение не даёт результата. Требования к каналу:

• одна почта или кнопка в почтовом клиенте, один номер для срочных случаев;
• ответ в течение рабочего дня: «получили, спасибо, вот что делать»;
• сообщение о ложной тревоге — норма, за него не критикуют;
• сообщения учитываются: журнал, тип, действие.

Пример короткой инструкции для сотрудников:

Получили подозрительное письмо или звонок?
1. Ничего не открывайте и не отвечайте.
2. Перешлите письмо вложением на ПОЧТА_ИБ или позвоните по НОМЕР.
3. Если вы уже перешли по ссылке или ввели пароль, сообщите сразу: чем раньше, тем меньше последствий.
Ошибиться не стыдно, молчать опасно.

Фишинг-тренировки: правила безопасного проведения

Учебная рассылка показывает реальный уровень осведомлённости и приучает сообщать. Проводите её только внутри своей организации и только по правилам:

1. Согласуйте. Письменное решение руководителя, согласование с юристом и кадровой службой. Сотрудники заранее знают, что проверки проводятся, но не знают когда.
2. Не собирайте реальные данные. Не сохраняйте введённые пароли: достаточно факта перехода или ввода. Не используйте чужие бренды и реальные организации в обманных письмах.
3. Без давления. Не используйте темы про увольнения, премии и здоровье. Цель — научить, а не напугать.
4. Сразу разбор. Перешедшему по ссылке показывается страница с короткими пояснениями, как распознать подделку.
5. Результаты обезличены. Показывайте руководству статистику по подразделениям, не списки «кликнувших».
6. Усложняйте постепенно. Первая рассылка простая, следующие реалистичнее.

Для проведения подойдут открытые инструменты, например проект Gophish (getgophish.com), развёрнутый на вашей инфраструктуре. Используйте отдельный домен и сервер под свой контроль и согласуйте их с ответственным за ИБ, чтобы рассылка не попала в списки блокировок. Ориентиры по результатам: доля сообщивших должна расти от рассылки к рассылке, а доля перешедших по ссылке падать. Абсолютные цифры сравнивайте только со своими прошлыми.

Киберучение за столом: готовый сценарий

Учение проводится за 60–90 минут без остановки систем. Участники: ответственный за ИБ, руководитель ИТ, представитель бизнеса, юрист или руководитель, кто подаёт уведомления. Ведущий выдаёт вводные по очереди и задаёт вопросы.

Опирайтесь на готовые материалы: реагирование на инцидент: первые 24 часа и уведомление Роскомнадзора. Фиксируйте время каждого решения и спорные места: по окончании составьте список улучшений с ответственными и сроками. Результат учения — не оценка людей, а проверка процесса.

Показатели для руководителя

Диагностика

Где это в модели зрелости

Материал относится к направлению «Культура кибербезопасности» (карта: карта зрелости). Уровень 1 закрывает инструктаж с подтверждением, уровень 2 добавляет регулярное обучение, проверки и учения, а также канал сообщений. Связанные направления: управление инцидентами (учения) и безопасность данных (ПДн).

Как проверить

1. У каждого сотрудника есть подтверждение инструктажа за последние 12 месяцев.
2. Канал сообщений работает: тестовое письмо дошло, ответ получен в тот же рабочий день.
3. В этом году проведены учебная рассылка и учение, результаты записаны.
4. Руководитель видит показатели не реже раза в квартал.

Источники

• Методика оценки уровня зрелости кибербезопасности компании, Группа Сбер: sberbank.ru.
• NIST SP 800-50 Rev. 1, Building a Cybersecurity and Privacy Learning Program: csrc.nist.gov. Международная практика, не российский норматив.
• Gophish, открытый инструмент для учебных рассылок: getgophish.com.