Как выстроить внутренний тренинг сотрудников по кибербезопасности: опыт Ozon

В 2025 году 47% кибератак на российские компании достигли своей цели, нарушив работу бизнеса. Для сравнения: годом ранее этот показатель составлял 31%. И перелом такой тенденции пока не намечается.

При этом ключевое и одновременно наиболее уязвимое звено в цепи защиты — это люди, их осведомленность и навыки. Исследования показывают, что 95% инцидентов происходят из‑за человеческого фактора. Поэтому тренинги по информационной безопасности — это не формальность, а самый эффективный способ сэкономить ресурсы компании на борьбе с реальными угрозами.

В этой статье — пять пунктов, которые помогут организовать обучение системно и с ощутимым результатом.

Сделайте обучение обязательным с первого рабочего дня

Чтобы обучение не казалось бюрократической нагрузкой, встройте его в привычный онбординг. Основные положения можно включить в Welcome Book или создать отдельную памятку для новичков. В ней стоит отразить ответы на как минимум три главных вопроса: куда сообщать о подозрительных письмах, звонках и сообщениях, как создавать надежные пароли и как связаться с экспертами ИБ.

Вся необходимая для работы информация также собрана во внутренней Базе знаний. Там есть специальный раздел — «Новому сотруднику». Это по сути навигатор, в котором можно найти все: от контактов команды адаптации до пошаговых инструкций по настройке всех рабочих приложений.

Кроме того, HR‑команда проводит онлайн и офлайн встречи в первый день и спустя неделю работы, где помимо общей вводной информации — от настройки почты до условий ДМС — обсуждают принятые в компании принципы информационной безопасности.

Проводите регулярные тренинги и лекции

Разовый курс — это хорошо, но опять‑таки недостаточно. Угрозы эволюционируют, знания устаревают, а навыки требуют постоянной практики — поэтому обучение ИБ нужно выстраивать не в качестве разового или даже повторяющегося мероприятия, а как непрерывный процесс.

Ключевое правило: регулярность и актуальность. Содержание лекций и кейсов необходимо обновлять, фиксируя новые тренды в мошеннических схемах и разбирая яркие инциденты в индустрии. В идеале в штате должен быть ответственный за знание сотрудниками правил ИБ (даже если это совмещенная роль), который будет заниматься актуализацией программы.

Моделируйте реальные угрозы

Теория без практики мертва. Важно не только давать теоретическую информацию сотрудникам, но и приучать их правильно реагировать на угрозы в режиме «комфортного стресса». Базовый пример такой практики — тестовые фишинговые рассылки, имитирующие актуальные схемы мошенников.

Главное в этом процессе — сразу давать обратную связь и обучать сотрудников на их же конкретных ошибках, а не наказывать.

При этом можно не ограничиваться моделированием, а запустить программу поиска настоящих уязвимостей в ИТ‑контуре компании с наградами тем сотрудникам, которые выявят наиболее значимые слабые места. Таким образом можно не просто замотивировать сотрудников с вниманием относиться к вопросам информационной безопасности, но и превратить их в настоящих ИБ‑амбассадоров.

Адаптируйте обучение под реальные задачи

В среднем 95% успешных атак на компании связаны с человеческим фактором. Для любого бизнеса самый серьезный риск — потеря данных в результате информационной атаки.

Поэтому обучение сотрудников должно учитывать специфику их ролей:

1. Финансы и бухгалтерия — поддельные счета, атаки с заменой реквизитов (BEC), мошеннические платежи.
2. Руководители и собственники — атаки на почту, выманивание срочных переводов и доступов через подмену личности.
3. HR — фишинг, поддельные резюме, утечки персональных данных сотрудников.
4. Продажи и клиентский сервис — вредоносные вложения, фальшивые запросы от клиентов, компрометация переписки.
5. IT‑админы — риски привилегий, патчей, доступа к админ‑панелям и MFA.
6. Разработчики — безопасный код, API, секреты, зависимости и облачные доступы.

Универсальные курсы по цифровой гигиене, защите данных и фишингу нужны всем, но именно персонализированные модули помогают связать обучение с реальными рабочими задачами. Чем точнее сценарии привязаны к повседневной работе, тем выше шанс, что сотрудник распознает угрозу до того, как она повлияет на бизнес.

Чтобы сотрудники, особенно перегруженные текущими задачами, действительно усваивали информацию, лучше использовать простые и короткие форматы: видео, интерактивные кейсы, карточки‑напоминалки. Для МСП это необязательно должен быть собственный курс «с нуля»: можно нанять подрядчика, который под ваши задачи соберет ИБ‑тренинг и возьмет на себя контент, сценарии и формат. А также многие большие игроки предлагают собственные курсы, например, в Ozon Обучение есть обучающий курс «Мошенники в Интернете», ориентированный на предпринимателей, и тест по Информационной безопасности, который позволяет проверить свои знания и получить сертификат об успешном прохождении.

Чтобы обучение не превращалось в рутину, такие форматы стоит периодически дополнять более вовлекающими механиками, например, игровыми сценариями.

Как оценивать эффект обучения

Оценивать эффективность обучения нужно не по проценту прохождения курсов, а по тому, как сотрудники ведут себя в реальных ситуациях. Важно смотреть не на формальную «галочку», а на реакцию человека на подозрительное письмо, сомнительную ссылку или необычный запрос.

В качестве рабочих метрик стоит использовать:

• снижение доли сотрудников, которые переходят по ссылкам в учебных фишинговых рассылках;
• рост числа сообщений о подозрительных письмах в службу безопасности;
• сокращение времени реакции на реальные инциденты.

Именно эти данные помогают точечно корректировать программу обучения и делать ее актуальной. Если какая‑то группа показывает более слабый результат, для нее можно добавить дополнительные инструменты или усилить частоту обучения.

Такой подход особенно полезен для небольших компаний: даже без большого ИБ‑отдела можно выстроить учебные фишинговые рассылки с помощью готовых решений, сервисов‑симуляторов или внешнего подрядчика, который подготовит сценарии и поможет с анализом результатов. Для команды из 30–50 человек этого уже достаточно, чтобы увидеть динамику и понять, как меняется поведение сотрудников.

Главное

Выстраивайте систему с учетом пути сотрудника в компании, кастомизируйте контент, следите за тем, чтобы тема ИБ регулярно появлялась во внутрикорпоративных коммуникациях, а также не забывайте напоминать сотрудникам о базовых правилах ИБ — это никогда не будет лишним.

Вот топ‑4 основополагающих правила:

1. Использовать сложные пароли и двухфакторную аутентификацию.
2. Применять антивирусные решения и межсетевые экраны.
3. Регулярно обновлять ПО и выполнять резервное копирование данных.
4. Контролировать доступы, основываясь на принципе «минимально необходимого».