Как внедрить культуру кибербезопасности “с нуля” в небольшой компании?

И снова про обучение сотрудников кибербезопасности. Представьте, что вы — специалист по информационной безопасности и приходите работать в небольшую компанию (примерно 200 человек и 2 офиса в разных городах), в которой защита информации — теперь ваша ответственность. И одна из задач — это внедрить практику повышения осведомлённости сотрудников, которой там в принципе не было. Руководство в целом инициативу поддерживает, даже в какой-то степени содействует, но в основном тем, что не препятствует. При этом тебе нужно эту практику впихнуть в и так забитый план работ по ИБ и обосновать. И, естественно, бесплатно. Ой, за зарплату.

Почему я опять взялась рассуждать на эту тему? Потому что есть чем поделиться. И потому что тема кибербеза актуальна. Но среди обычных людей, не погружённых в повестку, она остаётся «загадочной». А вообще «повышение осведомлённости» — это отдельный большой пласт в деятельности компании в рамках защиты информации, и, между прочим, обязанность. Об этом подробнее чуть позже.

А для окончательной аргументации в пользу актуальности этой темы я хочу использовать известный тезис: «Самое слабое звено в любой инфраструктуре — это человек».

Суперизвестный факт в мире ИБ: статистика показывает, что более 50% утечек данных у российских компаний происходит по вине действующих сотрудников (ну, к примеру, возьмём эту статью: «51% утечек данных происходит по вине сотрудников — Наталья Касперская»). Это значит, что для современных компаний существует опасность не только в изощрённых внешних кибератаках, но и внутри собственных стен. Причём этим сотрудникам не обязательно иметь злой умысел. Порядочные сотрудники могут стать причиной утечки данных и сбоев в работе систем, совершая примитивные ошибки просто потому, что они не в курсе. Или, если на языке терминов, — имеют низкий уровень осведомлённости. Например, если сотрудники компании в целом слабо ориентируются в цифровом пространстве, не знают основ цифровой гигиены, то они могут халатно относиться к информационной безопасности — как при использовании личных устройств, так и корпоративных.

Источник: Хабрахабр