Открытость вместо наказания: Как сделать из сотрудников компании авангард защиты от киберугроз

Основная угроза кибербезопасности часто связана не с технологиями, а с корпоративной культурой компании. Массовая фишинговая рассылка на 5000 сотрудников обходится злоумышленникам в 10–50 долларов, что гораздо выгоднее попытки подобрать учетные данные к корпоративному VPN, которая потребует 300–800 долларов. Как с помощью фишинг‑симуляций сформировать культуру, в которой люди не скрывают инциденты, а помогают их быстрее остановить.

Почему злоумышленники делают ставку на людей

Получить первоначальный доступ через сотрудника сегодня значительно дешевле, чем искать сложные технические уязвимости. По оценкам CICADA8, массовая фишинговая рассылка на 5000 сотрудников обходится злоумышленникам всего в 10–50 долларов. Попытка подобрать учетные данные к корпоративному VPN потребует уже 300–800 долларов, а стоимость актуального Zero Day для популярных корпоративных продуктов может достигать 200–500 тысяч долларов. При этом ущерб для крупной компании после одного успешного фишингового инцидента оценивается в 5–50 млн рублей с учетом простоя, восстановления инфраструктуры, утечки данных и возможных штрафов. Цифры наглядно показывают, почему социальная инженерия — один из самых востребованных инструментов атакующих.

Основным каналом проникновения остается электронная почта. По данным CICADA8, на нее приходится около 65% сценариев, которые используют ИБ‑специалисты во время проверок защищенности. Еще 15% составляют атаки через телефонные звонки, около 20% — сценарии с использованием корпоративных мессенджеров. Эффективность этих каналов отличается. Почтовый фишинг в среднем приводит к компрометации в 49% случаев. Для атак через мессенджеры этот показатель составляет 42%, а наиболее успешным сценарием остается вишинг с подменой голоса — около 80%.

Высокие показатели объясняются тем, что злоумышленники убедительно мимикрируют под повседневное рабочее взаимодействие. Одними из самых результативных остаются письма якобы от HR с темой вроде «График выплаты премии за май». Наибольший отклик такие сообщения получают в понедельник утром и перед обедом, когда сотрудники быстро разбирают накопившуюся почту. Не менее опасны звонки от имени руководителя с просьбой срочно изменить пароль или предоставить доступ. Если в компании принято делать исключения из внутренних регламентов для отдельных должностей, именно этим пользуются злоумышленники.

Самый сложный сценарий, когда письмо приходит с реального взломанного почтового ящика сотрудника. Сообщению доверяют значительно чаще, а распознать такую атаку даже после обучения способны менее 15% пользователей.

Воспитание открытости защищает лучше любых санкций

Иногда компании оценивают эффективность обучения противодействию фишингу по тому, сколько сотрудников перешли по тестовой ссылке. Чем меньше кликов, тем лучше считается результат. Однако эта метрика мало говорит о том, насколько организация готова к реальной атаке. Полностью исключить ошибки невозможно. Сотрудник может открыть письмо от имени HR или ответить на звонок якобы от руководителя просто потому, что воспринимает это как часть обычного рабочего процесса. Важно, что он сделает после того, как поймет, что мог стать жертвой атаки.

По данным CICADA8, в компаниях, где принято сразу сообщать о подозрительных событиях, после фишинговой симуляции 80–90% сотрудников обращаются в службу безопасности или к своему руководителю. В организациях, где ошибки воспринимают как повод для наказания или штрафа, этот показатель снижается до 5–15%. Разница становится особенно заметной при реальных инцидентах. В первом случае атаку выявляют за 15–40 минут. Во втором о ней могут узнать лишь спустя несколько дней, когда злоумышленник уже успел закрепиться во внутренней сети.

Поэтому главной целью обучения должно стать формирование привычки сразу сообщать о подозрительных письмах. Для бизнеса гораздо опаснее не ошибка сотрудника, а попытка скрыть ее.

Наказания только увеличивают риски

Лишение премии или публичный разбор ошибок редко делают сотрудников внимательнее. Зато они быстро формируют другую модель поведения, когда человек старается самостоятельно решить или скрыть проблему. Гораздо эффективнее воспринимать каждый ошибочный клик как повод для обучения. После перехода по тестовой ссылке сотрудник должен сразу увидеть, что стал участником учебной симуляции, а затем за несколько минут разобраться, какие признаки указывали на фишинг именно в этом письме. Такой формат позволяет закрепить знания значительно лучше.

Если человек систематически допускает одинаковые ошибки, это повод не для дисциплинарных взысканий, а для индивидуального разбора. Во многих случаях достаточно личной встречи с руководителем и специалистом по информационной безопасности, чтобы сотрудник перестал попадаться на похожие сценарии. Только если подобные ситуации повторяются пять‑шесть раз в течение года и цифровая грамотность входит в профессиональные обязанности сотрудника, можно говорить о его несоответствии занимаемой должности.

Как часто проводить фишинг‑симуляции

Слишком частые проверки приводят к тому, что сотрудники начинают видеть угрозу практически в каждом письме. Редкие — постепенно снижают бдительность. Оптимальной периодичностью для большинства компаний остается одна симуляция в квартал.

При этом для каждого подразделения должен быть свой подход. Для сотрудников, которые постоянно работают с электронной почтой, например бухгалтерии, закупок или продаж, квартальная проверка остается наиболее эффективным вариантом. Для ИТ- и ИБ‑специалистов достаточно двух симуляций в год, но с более сложными сценариями, например целевым фишингом или подменой личности.

Отдельное внимание нужно уделять новым сотрудникам. В первый месяц работы они еще не знают внутренних процессов и легче доверяют письмам, которые выглядят как корпоративные. Поэтому короткий вводный курс по цифровой безопасности и первая симуляция во время испытательного срока помогают быстрее сформировать правильные привычки.

Топ‑менеджмент тоже должен обязательно входить в программы обучения, так как именно учетные записи руководителей представляют для злоумышленников наибольшую ценность. Персонализированные сценарии для этой группы сотрудников стоит проводить не реже одного раза в полгода с личным разбором результатов.

Какие показатели действительно говорят об уровне защищенности от фишинга

Количество сотрудников, открывших тестовое письмо, не помогает узнать, сможет ли организация вовремя обнаружить реальную атаку. Более полезная метрика — скорость реакции. Если большинство подозрительных писем попадает в службу безопасности в течение первых 30 минут, у компании значительно больше шансов остановить атаку до того, как злоумышленник успеет развить ее. Именно поэтому целевым показателем стоит считать долю своевременных сообщений об инцидентах.

Не стоит бояться и ложных срабатываний. Если 15–25% писем, которые сотрудники отправляют на проверку, оказываются безопасными, это говорит о здоровой культуре безопасности. Когда ложных тревог почти нет, причина может быть вовсе не в высокой квалификации персонала, а в том, что сотрудники предпочитают лишний раз не обращаться к специалистам.

Наконец, стоит периодически оценивать саму культуру безопасности. Один из самых показательных вопросов для внутреннего опроса: «Если я случайно попадусь на атаку мошенников, меня накажут?». В здоровой организации доля положительных ответов не должна превышать 20%. Если этот показатель выше, проблема заключается уже не в знаниях сотрудников, а в корпоративной культуре.

Вывод

Фишинг‑симуляции стоит рассматривать не как инструмент контроля, а как способ постепенно изменить поведение сотрудников и их восприятие проблемы. Главная задача здесь — сформировать привычку сразу сообщать о любых подозрительных событиях. Именно такая культура позволяет быстрее выявлять реальные атаки, сокращать возможный ущерб и превращает сотрудников из самого уязвимого элемента системы в одну из ее линий защиты.