Главная мысль
Сначала измерьте исходный уровень по подразделениям и ролям. Затем используйте короткие уроки, реалистичные сценарии и обратную связь сразу после действия, отслеживая рост числа сообщений о подозрениях.
Ориентируйтесь на безопасное поведение, а не на завершение курса
Программа должна помогать сотрудникам принимать безопасные повседневные решения: проверять отправителя и ссылку, не передавать пароль и одноразовый код, подтверждать платёжные реквизиты по другому каналу, правильно передавать данные и сообщать о подозрительном событии. Обучение дополняет фильтры, MFA, резервное копирование и контроль доступа, но не заменяет их.
Остановитесь
Не выполняйте сразу срочную или необычную просьбу.
Проверьте
Подтвердите отправителя, адрес и операцию через известный независимый канал.
Сообщите
Передайте письмо или событие в утверждённый канал безопасности.
Определите исходный уровень и группы риска
В рамках согласованной программы обучения проведите перед новыми уроками фишинговое упражнение, похожее на рабочую переписку, не сообщая участникам его точное время. Разделите результаты по подразделению, роли и уровню ответственности, а не только по организации в целом. Измеряйте клики, попытки отправить учебную форму входа и долю сообщений о подозрительных письмах; не собирайте настоящие пароли и коды. Для финансов и HR подойдут счета, зарплата и данные сотрудников; для администраторов — сброс пароля и запросы MFA; для технических команд — репозитории, облачные файлы и ключи.
Короткие уроки, реальные упражнения и обратная связь сразу после действия
Дополните длинный ежегодный курс короткими темами в течение года. Подбирайте актуальные сценарии для каждой группы и постепенно делайте упражнения реалистичнее. После клика сразу покажите короткое объяснение признаков — например, несовпадающий домен, искусственную срочность или неожиданное вложение — без обвинений. Цель — научиться принимать более безопасное решение при следующем похожем сообщении.
Выберите тему
Исходите из актуальной угрозы и задач конкретной роли.
Потренируйтесь
Используйте сценарии по почте, QR-коду, SMS или телефону.
Дайте обратную связь и обновите программу
Покажите пропущенный сигнал и снова измерьте поведение в следующем упражнении.
Упростите отправку сообщения о подозрении
Сотрудник должен знать, куда обратиться при подозрительном письме: кнопка в почтовом клиенте, адрес службы безопасности, процесс сервисной службы или портал инцидентов. Покажите канал при вводе в должность и оценивайте не только клики, но и попадание сообщения в нужную очередь. Напоминайте сотрудникам сообщать и о случайном клике: быстрое уведомление даёт команде реагирования время защитить учётную запись и поискать похожие письма.
Оценивайте результат по поведению
Сравнивайте исходный уровень с последующими раундами для той же аудитории и сопоставимой сложности. Вместе с кликами отслеживайте сообщения, время до сообщения, повторные клики и уведомления о реальных событиях. Разбирайте показатели по подразделениям и оценивайте изменения за несколько циклов, а не на единичный всплеск. Назначьте владельца программы, заручитесь поддержкой руководства для постоянной работы и обсуждайте динамику показателей и ещё не выполненные мероприятия. Если клики не снижаются, проверьте релевантность материала, канал сообщения и рискованные рабочие процессы до назначения ещё одного общего видео.
| Показатель | Что показывает |
|---|---|
| Клик / отправка учебной формы | Частоту рискованного действия в упражнении |
| Доля и время сообщений | Как часто и быстро сотрудники сообщают об угрозе |
| Повторные случаи и динамика подразделения | Где нужны личная поддержка или изменение процесса |
Практический пример: поддельный счёт поставщика
Сотрудник финансового отдела получает ответ в существующей переписке со счётом и новыми банковскими реквизитами. Вместо звонка по номеру из письма он связывается с поставщиком по номеру, заранее сохранённому в системе, сообщает о письме через утверждённый канал и получает предусмотренное процессом подтверждение второго сотрудника перед оплатой. Программа обучает финансовую группу этому сценарию и измеряет как проверку, так и сообщение о подозрении.