Типовая картина. У компании появился инцидент. Кто-то из сотрудников ответил на фишинговое письмо, скачал файл, и в понедельник ИТ-безопасность тушит пожар. Через неделю HR-у прилетает задача: «Нам нужен курс по кибербезу для всех сотрудников». Курс заказывают, разрабатывают три месяца, запускают, все проходят. Ровно через год повторяется тот же самый инцидент, потому что человек не помнит того, что было в курсе.

Мы это видим постоянно. Проблема не в том, что курс плохой. Проблема в том, что одноразовое обучение принципиально не даёт того, что нужно от обучения по кибербезу.

Кибербезопасность — это область, где знание почти не работает. Работает только автоматизм. В момент, когда человек получает подозрительное письмо, ему некогда вспоминать, что говорили в курсе три месяца назад. У него включается либо привычка проверять письмо, либо привычка сразу кликать.

Привычка тренируется повторением. Курс раз в год — это одно повторение в году. Этого недостаточно.

Все программы, которые реально работают в этой области, построены не на одном большом курсе, а на пяти принципах, которые вместе создают среду для формирования привычки.

Вместо одного 30-минутного курса раз в год — 3-5 минутных модулей ежемесячно или ежеквартально. Каждый модуль про одну конкретную ситуацию. Фишинг в почте. Подмена номера при звонке. Небезопасные ссылки в мессенджерах. Работа с флешками. Публичный wifi в командировках.

Такой формат даёт постоянный контакт с темой. Человек не успевает забыть, потому что раз в 1–3 месяца ему приходит короткий модуль с новым сценарием.

Учебные фишинговые письма, которые компания рассылает своим сотрудникам, работают лучше любого модуля. Человек получает письмо, не отличает его от настоящего, кликает по ссылке. Ссылка ведёт на короткую страницу «это была симуляция, вот что мы хотели показать». Ссылка запоминается на месяцы, потому что связана с личным неловким опытом.

По статистике вендоров симуляций фишинга, после первых 6 месяцев регулярных симуляций доля кликов по учебным письмам падает в среднем в 4–7 раз.

Это не про наказание. Наказывать за учебную симуляцию — верный способ убить программу. Это про формирование поведенческой памяти на конкретной ситуации.

Самая мощная форма обучения — обучение в момент, когда человек делает что-то небезопасное. Пример: сотрудник вставляет флешку в рабочий компьютер, ИТ-безопасность блокирует, всплывает окно «Флешки на рабочих устройствах запрещены. Если нужно передать файл, используйте [ссылка на корпоративный сервис]. Подробнее о политике: [ссылка]». Три предложения. Человек запомнил.

Такие триггеры — работа ИТ-безопасности, а не L&D. Но L&D-функция может их поддерживать: делать короткие поясняющие материалы, которые открываются при срабатывании политики, а не курс на 20 минут, который никто не досмотрит.

Курс «10 правил кибербезопасности» для всех — это ошибка. У бухгалтера свои риски (мошенничество с платежами, поддельные счета, компрометация деловой почты). У IT-администратора — свои (социальная инженерия под легенду подрядчика, отчёты о ложных инцидентах). У топ-менеджера — свои (adversarial spear phishing, компрометация мессенджеров).

Курс должен быть построен на реалистичных примерах для конкретной роли. Иначе человек воспринимает его как «это не про меня» и забывает через два дня.

Люди совершают ошибки в кибербезе не потому, что не знают правил, а потому, что не хотят «выглядеть глупо, поэтому не буду спрашивать». Компания, где сотрудник, получивший подозрительное письмо, боится спросить у ИТ-безопасности «это фишинг или это правда от бухгалтерии», проигрывает.

Программа должна закладывать канал для быстрой сверки. Кнопка «Сообщить о фишинге» в почте. Чат-бот в мессенджере. Дежурный номер. Что-то, что снижает порог входа для сомнения. Замер работоспособности этого канала — часть программы, а не бонус.

Работающая программа кибербеза в компании обычно выглядит так.

Базовый курс раз в год для всех — короткий (не 40 минут, а 10–15). Задача такого курса — обновить общий контекст, а не научить с нуля, потому что за год всё равно многое забывается.

Микромодули (3–5 минут) ежеквартально по конкретным сценариям. Каждый модуль привязан к текущим типам атак в вашей индустрии.

Симуляции фишинга ежемесячно или раз в 6 недель. С отчётом по компании (без персональной идентификации), с сравнением к предыдущим периодам.

Триггеры в момент действия — работа ИТ-безопасности, но L&D помогает с материалами.

Ролевые модули для трёх-пяти ключевых групп: бухгалтерия, IT, руководители, отдел работы с внешними подрядчиками. Каждая группа получает свои примеры.

Канал для сомнений — понятный и без штрафов.

В библиотеке ELC есть базовые курсы по кибербезу для сотрудников (общий и для отдельных ролей), которые запускаются по аренде за 1–2 недели. Они закрывают роль базового курса раз в год и первых микромодулей.

Симуляции фишинга — не наша область, это делают специализированные вендоры (KnowBe4, Cofense, из российских — Antiphish, Wallarm). Программу мы советуем строить в связке: наши курсы дают контекст и роли, симуляции дают тренировку поведения.

Условия аренды курсов — на странице «Аренда». Если хотите обсудить связку с текущей программой ИТ-безопасности, напишите нам.