Majoritatea organizațiilor înțeleg că oamenii joacă un rol major în riscul cibernetic. Mult mai puține au construit un program de instruire pentru conștientizarea securității care să schimbe cu adevărat comportamentul.

Riscul de securitate legat de factorul uman este rareori un singur incident dramatic. În mod realist, acesta apare în momente obișnuite: un angajat dă clic pe un e-mail de phishing convingător, reutilizează o parolă în mai multe instrumente de afaceri, partajează datele de conectare într-un chat sau ignoră o solicitare de autentificare cu doi factori (A2F) deoarece o consideră o întrerupere, mai degrabă decât un pas de protecție.

În timp, acele decizii de zi cu zi determină expunerea organizației. În Regatul Unit, imaginea de ansamblu a amenințărilor face imposibil ca aceasta să fie tratată ca o problemă minoră. Raportul guvernului britanic Cyber Security Breaches Survey 2025 a constatat că jumătate dintre companii s-au confruntat cu un incident sau o încălcare a securității cibernetice în ultimele 12 luni, iar phishing-ul a rămas cel mai frecvent tip de criminalitate cibernetică în rândul companiilor afectate.

Pentru liderii HR, CISO, COO, managerii IT și echipele de securitate, acest lucru transformă instruirea pentru conștientizarea securității în mult mai mult decât un simplu exercițiu de conformitate. Este modul în care companiile reduc riscurile ce pot fi prevenite. Provocarea este că multe programe sunt încă construite doar pentru finalizarea unor exerciții, mai degrabă decât pentru schimbarea propriu-zisă a comportamentului. Membrii echipei urmăresc un videoclip anual, bifează o casetă și revin la aceleași obiceiuri care au creat riscul inițial.

O abordare mai eficientă tratează conștientizarea ca parte a culturii de la locul de muncă. Aceasta este consolidată în timp, adaptată în funcție de rol, susținută de politici utilizabile și sprijinită de instrumente care fac alegerea sigură mai ușor de urmat.

Vă vom explica cum arată de fapt un program eficient de conștientizare a securității, de ce atât de multe organizații greșesc și cum să construiți unul care să îmbunătățească comportamentul de zi cu zi, mai degrabă decât să documenteze pur și simplu faptul că instruirea a avut loc.

De ce instruirea pentru conștientizarea securității eșuează în majoritatea organizațiilor

Instruirea pentru conștientizarea securității eșuează adesea deoarece este tratată ca un eveniment, în loc de un sistem. În multe organizații, programul constă într-un modul anual de conformitate, un scurt chestionar și puțin altceva. Personalul este așteptat să asimileze sfaturi generice o dată pe an și apoi să le aplice în mod constant în sute de fluxuri de lucru, instrumente și decizii din lumea reală. Acest lucru pur și simplu nu este suficient pentru a schimba comportamentul într-un mod durabil.

Problema nu este că instruirea pentru conștientizare nu are valoare. Ci faptul că multe programe sunt învechite sau prea detașate de modul în care lucrează oamenii în realitate. Acestea se bazează pe memento-uri abstracte, în timp ce riscurile reale apar în căsuțele de e-mail, unitățile de stocare partajate, resetările de parolă, solicitările urgente de la manageri și deciziile zilnice de accesare. Dacă instruirea nu emulează ceea ce văd sau fac oamenii în fiecare zi, este puțin probabil ca aceștia să rețină sau să aplice informațiile.

Programele de instruire ar trebui să includă instruire introductivă și de reîmprospătare pentru tot personalul privind protecția datelor și guvernanța informațiilor, în timp ce sensibilizarea ar trebui să utilizeze metode regulate de comunicare pentru a menține vizibile guvernanța informațiilor, protecția datelor și securitatea informațiilor în timp. Acest lucru indică un model continuu, mai degrabă decât o singură intervenție anuală.

Un alt motiv pentru care programele eșuează este acela că se concentrează prea mult pe ceea ce angajații nu ar trebui să facă, ignorând în același timp cauza principală a obiceiurilor proaste. A spune personalului să nu reutilizeze parolele ajută în teorie, dar are un efect redus dacă firma nu le-a oferit o modalitate sigură și practică de a crea, stoca și partaja acreditări. A-i învăța cum să detecteze phishing-ul este util, dar mai puțin eficient dacă raportarea mesajelor suspecte este neclară sau anevoioasă.

Cum arată un program real de conștientizare a securității

Un program real de conștientizare a securității nu este ceva ce angajații finalizează o dată și uită. Este un set continuu de obiceiuri, așteptări și măsuri de protecție care îi ajută pe oameni să ia decizii de securitate mai bune în timp.

Totul începe cu continuitatea. Utilizați resurse de instruire concepute să completeze politicile și procedurile existente. Acestea ar trebui să acopere domenii practice, cum ar fi parolele puternice, cele mai bune practici BYOD, phishing-ul și raportarea incidentelor. Acest mix este util deoarece conștientizarea eficientă nu se oprește la un singur subiect. Ar trebui să reflecte setul complet de acțiuni de rutină care definesc securitatea în locurile de muncă reale.

Dar continuitatea singură nu este suficientă. Programul trebuie, de asemenea, să reflecte diferențele reale în modul în care echipele întâmpină riscurile.

Un program eficient trebuie să fie, de asemenea, specific fiecărui rol. Un membru al echipei financiare care gestionează cereri de plată nu se confruntă cu același risc zilnic ca un manager de marketing care partajează conturi de rețele sociale sau un responsabil HR care gestionează dosarele angajaților. Sfaturile generice își au locul lor, dar funcționează mai bine atunci când sunt urmate de instruire relevantă pentru sistemele, datele și modelele de atac cele mai relevante pentru fiecare grup.

Următoarea componentă este practica. Angajații nu își dezvoltă o judecată mai bună doar citind reguli. Aceștia se perfecționează prin expunerea repetată la scenarii realiste: simulări de phishing, exerciții de raportare, revizuiri ale accesărilor și memento-uri scurte legate de instrumente sau fluxuri de lucru reale. Atacurile simulate sunt deosebit de utile deoarece testează dacă programul afectează comportamentul în momentele critice, nu doar într-un mediu de chestionar.

Politicile clare de securitate și de parole sunt la fel de importante. Personalul trebuie să știe cum ar trebui create, stocate, partajate și eliminate acreditările atunci când nu mai sunt necesare, cum ar trebui raportate mesajele suspecte, când este necesară A2F și ce trebuie să facă dacă cred că au comis o greșeală.

În cele din urmă, un program real tratează securitatea ca pe o normă comună la locul de muncă, mai degrabă decât ca pe o preocupare IT specializată. Aceasta înseamnă că managerii o consolidează, liderii o modelează prin propriul exemplu, iar echipele discută despre ea ca parte a modului în care organizația funcționează zi de zi. Construirea unui astfel de tip de cultură necesită mai mult decât un document de politică, dar este una dintre cele mai puternice modalități de a reduce eroarea umană repetată în timp.

Ghidul Proton despre cultura securității cibernetice pentru întreprinderile mici la locul de muncă este util aici deoarece încadrează conștientizarea nu ca pe o campanie bazată pe frică, ci ca pe o parte a modului în care o afacere funcționează în fiecare zi.

De ce phishing-ul și abuzul de acreditări fac parte din nucleul programului

Dacă un program de conștientizare a securității încearcă să acopere totul în mod egal, acesta își poate pierde concentrarea. Majoritatea organizațiilor sunt mai bine servite începând cu riscurile cele mai susceptibile de a produce daune reale.

Phishing-ul aparține părții superioare a acelei liste. Raportul guvernului britanic Cyber Security Breaches Survey 2025(fereastră nouă) a constatat că phishing-ul a rămas cel mai răspândit tip de vector de atac în rândul companiilor care s-au confruntat cu criminalitatea informatică, afectând 93% dintre acele companii. Acest lucru reflectă o realitate mai largă în rândul companiilor din Regatul Unit, unde phishing-ul rămâne una dintre cele mai comune metode de atac.

Phishing-ul se termină rareori cu mesajul în sine. În multe organizații, daunele reale încep odată ce acreditările furate sunt folosite pentru a accesa conturi, pentru a exploata reutilizarea parolelor, pentru a trece în alte sisteme sau pentru a profita de conexiunile partajate care nu au fost niciodată controlate strict.

Companiile trebuie să utilizeze o abordare stratificată. Trebuie să fie mai greu pentru atacatori să ajungă la utilizatori și mai ușor pentru utilizatori să identifice și să raporteze mesajele de phishing suspectate. Acest lucru protejează organizațiile de efectele e-mailurilor de phishing nedetectate și le ajută să răspundă rapid la incidente.

Un program solid de conștientizare a securității ar trebui să reflecte aceeași logică. Angajații trebuie să poată recunoaște comportamentul suspect, dar au nevoie și de controalele adiacente care reduc impactul unei singure greșeli.

Aici igiena acreditărilor devine centrală. Instruirea personalului pentru a evita parolele slabe sau reutilizate este utilă, dar devine mult mai eficientă atunci când este susținută de instrumente care reduc dependența de memorie și fac utilizarea securizată a acreditărilor mai ușoară în practică. De asemenea, acoperim această mentalitate preventivă mai largă în ghidul nostru privind prevenirea încălcărilor de date pentru companii, care subliniază rolul controalelor practice în reducerea expunerii evitabile.

Rolul instrumentelor în reducerea riscului uman

Conștientizarea securității este doar o parte a imaginii de ansamblu. Oamenii sunt mult mai predispuși să urmeze practici sigure atunci când acele practici se potrivesc natural în modul în care lucrează. Dacă opțiunea cea mai sigură este și cea mai ușor de utilizat, adoptarea este mult mai consecventă. Dacă pare lentă, incomodă sau greu de utilizat, chiar și angajații bine intenționați vor începe să caute scurtături.

Gestionarea parolelor este unul dintre cele mai clare exemple. Organizațiile le spun adesea angajaților să creeze parole puternice, unice, să utilizeze A2F și să evite partajarea. Însă, dacă angajaților nu li se oferă o modalitate practică de a face acest lucru, instrucțiunea rămâne la nivel de aspirație. Aceștia revin la parole memorabile, ușoare, la stocarea în browser, foi de calcul, aplicații de notițe sau instrumente de mesagerie, deoarece acele opțiuni par mai rapide pe moment.

Un manager de parole pentru companii ajută la eliminarea acestui decalaj. Proton Pass for Business este conceput pentru a face crearea, stocarea și partajarea securizată a parolelor mai ușoare în cadrul echipelor, oferind în același timp organizațiilor un control mai puternic asupra practicilor privind acreditările. Aceste capacități îi ajută pe angajați să creeze și să completeze automat parole puternice, unice, să utilizeze A2F pentru conturi și să protejeze acreditările stocate cu criptare de la un capăt la altul.

Acest lucru nu înlocuiește instruirea pentru conștientizarea securității. O consolidează prin facilitarea comportamentului sigur. În loc să solicitați personalului să rețină zeci de reguli complexe pentru parole, le oferiți un sistem care susține comportamentul dorit de dvs. Acest lucru face ca bunele practici de securitate să fie mai ușor de susținut și aplicarea politicilor mai ușor de realizat.

Același lucru este valabil și pentru raportarea incidentelor, controlul accesării și integrare (onboarding). În aceste domenii, instrumentele sunt adesea necesare pentru a oferi angajaților un proces clar de urmat și pentru a oferi organizației o supraveghere și un control consecvente. Instrumentele nu pot înlocui discernământul, dar pot face acțiunile sigure mai ușoare, mai rapide și mai consecvente în activitatea de zi cu zi.

Un cadru practic în 6 pași pentru lansarea sau îmbunătățirea programului dvs. de conștientizare a securității

Un program de conștientizare a securității funcționează cel mai bine atunci când este conceput ca un ritm operațional, mai degrabă decât ca o singură campanie. Cadrul de mai jos vă poate ajuta să începeți.

Pasul 1: Definiți comportamentele specifice pe care doriți să le schimbați

Începeți cu riscul. Identificați comportamentele cele mai susceptibile de a vă expune organizația. Acestea pot include accesarea linkurilor suspecte, reutilizarea parolelor, partajarea informală a acreditărilor, neraportarea incidentelor, fluxuri de lucru slabe de offboarding sau gestionarea defectuoasă a datelor cu caracter personal, cum ar fi informațiile despre clienți sau angajați.

Pasul 2: Prioritizați scenariile cu cel mai mare risc

Nu toate subiectele de instruire au nevoie de o pondere egală. Concentrați-vă mai întâi pe scenariile cele mai relevante pentru profilul de amenințări și modelul operațional al organizației dvs.

Pentru multe companii, aceasta înseamnă phishing, gestionarea acreditărilor, controlul accesării și raportarea incidentelor. Scopul în această etapă este de a concentra instruirea personalului asupra comportamentelor și scenariilor cele mai susceptibile de a reduce riscul de zi cu zi.

Pasul 3: Segmentați instruirea în funcție de rol

Conștientizarea securității are mult mai multe șanse să schimbe comportamentul atunci când angajații își pot recunoaște propria realitate de lucru în timpul instruirii. Roluri diferite creează tipuri diferite de expunere, fie că este vorba despre gestionarea înregistrărilor sensibile, aprobarea cererilor cu risc ridicat, gestionarea accesului privilegiat sau partajarea informațiilor cu contacte externe.

Un program mai eficient reflectă aceste diferențe în loc să ofere tuturor aceleași sfaturi abstracte. Cu cât instruirea este mai aproape de deciziile cu care se confruntă oamenii în realitate, cu atât devine mai ușor de aplicat în practică.

Pasul 4: Construiți un ritm de consolidare

O singură sesiune de instruire anuală nu este suficientă pentru a schimba comportamentul. Utilizați inducția, instruirea de reactualizare, mementouri scurte, exerciții de simulare și comunicări regulate pentru a menține active mesajele cheie. Consolidarea poate fi ușoară, dar trebuie să fie continuă.

Pasul 5: Susțineți instruirea prin politici și instrumente

Instruirea devine mult mai credibilă atunci când angajații pot vedea cum să o aplice în practică. Prin urmare, asigurați-vă că politicile sunt clare, ușor de găsit și scrise într-un limbaj pe care angajații îl pot folosi efectiv. Apoi, oferiți-le asistență prin caracteristici care fac ca comportamentul securizat să fie mai ușor de urmat în practică.

Dacă politica dvs. prevede că personalul trebuie să utilizeze parole puternice și unice și să evite partajarea informală, oferiți-le un manager de parole securizat care facilitează acest lucru. Dacă politica dvs. specifică faptul că e-mailurile suspecte trebuie raportate imediat, faceți calea de raportare evidentă și fără fricțiuni.

Pasul 6: Revizuire, măsurare și îmbunătățire

Un program de conștientizare a securității ar trebui să evolueze odată cu afacerea dvs. Instrumentele noi, schimbările de rol, incidentele și tipurile de atacuri creează noi puncte de presiune.

Revizuiți rezultatele în mod regulat, actualizați instruirea pe baza incidentelor și a situațiilor la limită și ajustați programul atunci când găsiți puncte slabe recurente. Scopul nu este de a finaliza programul, ci de a-l face mai eficient în timp.

Cum se măsoară impactul

Una dintre cele mai ușoare greșeli în instruirea privind conștientizarea securității este să măsurați ceea ce este convenabil în loc de ceea ce este semnificativ. Ratele de finalizare vă pot spune cine a vizionat instruirea sau cine a parcurs modulul, dar spun foarte puține despre măsura în care programul influențează comportamentul în momentele care implică efectiv riscuri.

O abordare mai utilă este să urmăriți schimbările în modul în care oamenii răspund la situații reale de-a lungul timpului. Rezultatele simulărilor de phishing vă pot ajuta să înțelegeți dacă angajații devin mai precauți, mai vigilenți și mai predispuși să pună la îndoială și să raporteze mesajele suspecte.

Incidentele legate de acreditări pot indica dacă obiceiurile riscante, cum ar fi reutilizarea parolelor, partajarea nesecurizată sau gestionarea deficitară a conturilor, devin mai puțin frecvente. Respectarea politicii poate dezvălui, de asemenea, dacă angajații aplică efectiv așteptările stabilite prin program, în loc să fie pur și simplu expuși la acestea.

Este la fel de important să urmăriți semnalele operaționale. Cât de repede sunt raportate e-mailurile suspecte sau solicitările neobișnuite? Este MFA activată în mod constant acolo unde ar trebui să fie? Sunt drepturile de acces revocate prompt în timpul procesului de plecare a angajaților? Echipele cu o expunere mai mare dau dovadă de o judecată mai solidă în scenarii realiste pe măsură ce programul se dezvoltă?

Aceștia sunt adesea indicatorii care arată dacă conștientizarea devine parte din modul în care funcționează organizația, în loc să rămână limitată la un mediu de instruire.

În ultimă instanță, testul real nu este dacă angajații au finalizat programul. Ci dacă organizația dvs. observă mai puține greșeli evitabile, obiceiuri de raportare mai bune și un comportament de securitate cotidian mai solid ca rezultat.