Корпоративные тренинги по кибербезопасности бесполезны?
Иследователи решили проверить, насколько вообще эффективны эти бесконечные тренинги, которые компании проводят с завидным упорством. Они собрали более 19 000 сотрудников системы здравоохранения Калифорнийского университета в Сан-Диего, разделили их на группы и восемь месяцев испытывали разными видами фишинговых атак. Результат? Среднее улучшение способности распознавать мошеннические письма составило смехотворные 1,7%.
Почему учения по кибербезопасности не работают?
Во-первых, люди всё равно кликают. Даже те, кто прошел обучение. Особенно если письмо обещает что-то важное — например, изменения в политике отпусков или дресс-коде. Около 30% сотрудников не смогли устоять перед таким соблазном. А если дать им достаточно времени, то провалится почти каждый второй. Как метко замечено, «рано или поздно все становятся жертвами».
Во-вторых, сами тренинги, какими бы продвинутыми они ни были, почти не влияют на результат. Участников эксперимента разделили на пять групп: одним показывали статичную страницу с общими советами, других вели через интерактивные вопросы, третьим объясняли ошибки на конкретных примерах. Разницы почти никакой. Все группы улучшили свои показатели лишь на те самые 1,7% по сравнению с теми, кто вообще не получал обучения.
Оказывается, люди не только плохо учатся на ошибках, но и активно игнорируют сам процесс обучения. Многие закрывали страницу с предупреждением так быстро, что исследователи даже не успевали зафиксировать, сколько времени они на нее потратили.
Еще один интересный вывод: эффективность тренинга сильно зависит от того, какие именно фишинговые письма используются в тестах. Если рассылка слишком очевидна (например, просьба срочно сменить пароль от Outlook), проваливаются единицы. Но стоит предложить что-то более хитрое — и вот уже треть сотрудников попадается на крючок.
Исследователи не утверждают, что обучение бесполезно в принципе. Просто его нужно делать иначе. Например, перестать наказывать сотрудников за проваленные тесты — ведь в долгосрочной перспективе ошибаются почти все. Или хотя бы разнообразить сценарии атак, чтобы тренировки не превращались в формальность.
Главный же вывод звучит так: индустрия корпоративной безопасности слишком долго полагалась на мифы, а не на данные. Прежде чем тратить миллионы на тренинги, стоит спросить у их поставщиков: «А где, собственно, доказательства, что это работает?»
Как на самом деле стоит бороться с фишингом и взломами?
Тренинги по кибербезопасности оказались не тем волшебным щитом, которым их привыкли считать. Но это не значит, что с угрозами нельзя бороться — просто подход должен быть другим. Вместо того чтобы надеяться, что сотрудники вдруг станут неуязвимыми к хитрым письмам, разумнее выстроить систему, где человеческий фактор перестанет быть слабым звеном.
Стоит принять как данность то, что люди всегда будут ошибаться. Даже самые осторожные. Вместо бесконечных попыток перевоспитать пользователей, куда полезнее сделать так, чтобы их ошибки не приводили к катастрофе. Например, внедрить многофакторную аутентификацию, но не ту, что основана на SMS (их ведь тоже перехватывают), а более надежную — вроде аппаратных ключей или специальных приложений.
Еще один важный шаг заключается в сегментировании сети, чтобы даже если злоумышленник получит доступ к одному аккаунту, он не смог свободно перемещаться по всей корпоративной инфраструктуре. Автоматические системы анализа вложений и ссылок тоже помогают — они могут блокировать подозрительные файлы или перенаправлять пользователей на безопасные страницы, не дожидаясь, пока те сами распознают угрозу.
Но технические меры являются только частью решения. Не менее важно упростить сотрудникам жизнь, чтобы у них не возникало соблазна искать обходные пути. Если корпоративные системы неудобны, а правила безопасности лишь мешают работе, люди неизбежно начнут нарушать их — например, пересылать документы через личную почту или записывать пароли на стикерах. Поэтому безопасность должна быть не барьером, а естественной частью рабочих процессов.
Культура безопасности тоже требует пересмотра. Вместо запугивания и формальных тестов куда эффективнее объяснять реальные последствия. Например, показывать, как из-за одного невнимательного клика компания потеряла миллионы, или внедрять систему, где сотрудников поощряют за сообщения о подозрительных письмах, а не только наказывают за проваленные тесты.
И наконец, даже самая надежная защита не гарантирует абсолютной безопасности. Поэтому важно заранее готовиться к худшему — регулярно проверять резервные копии, проводить учения по реагированию на инциденты и создавать закрытые каналы связи на случай, если основная инфраструктура окажется под контролем злоумышленников.
В конечном счете борьба с фишингом и взломами — это не про разовые меры, а про системный подход, где технологии, удобство и осознанность работают вместе. И если традиционные методы оказались не так эффективны, как казалось, это лишь повод искать новые решения — более гибкие, практичные и, главное, реалистичные.
