Большинство организаций понимают, что человеческий фактор играет важную роль в киберрисках. Однако гораздо меньше тех, кто разработал программу обучения безопасности, которая действительно меняет поведение сотрудников.

Риски безопасности, связанные с человеческим фактором, редко сводятся к одному драматическому инциденту. На практике они проявляются в обычных ситуациях: сотрудник переходит по ссылке в убедительном фишинговом письме, использует один и тот же пароль в разных рабочих инструментах, передает имя пользователя в чате или игнорирует запрос двухфакторной аутентификации (2FA), воспринимая это как помеху, а не как меру защиты.

Со временем такие повседневные решения определяют уязвимость организации. В Великобритании общая картина угроз не позволяет относиться к этому как к незначительной проблеме. В отчете правительства Великобритании Cyber Security Breaches Survey 2025 указано, что половина компаний столкнулась с инцидентами или утечками в сфере кибербезопасности за последние 12 месяцев, причем фишинг остался самым распространенным видом киберпреступлений среди пострадавших предприятий.

Для руководителей отделов кадров, директоров по информационной безопасности, операционных директоров, ИТ-менеджеров и команд по безопасности это делает обучение осведомленности чем-то гораздо большим, чем просто формальность для соблюдения требований. Это способ снизить предотвратимые риски. Проблема заключается в том, что многие программы по-прежнему строятся на простом выполнении упражнений, а не на реальном изменении поведения. Члены команды раз в год смотрят видео, ставят галочку и возвращаются к тем же привычкам, которые изначально создавали риски.

Более эффективный подход рассматривает осведомленность как часть корпоративной культуры. Она укрепляется со временем, формируется в зависимости от должности, подкрепляется практическими политиками и поддерживается инструментами, которые упрощают соблюдение мер безопасности.

Мы объясним, как на самом деле выглядит эффективная программа повышения осведомленности, почему многие организации допускают ошибки и как создать такую систему, которая улучшает повседневные привычки, а не просто документирует факт проведения обучения.

Почему обучение осведомленности в вопросах безопасности терпит неудачу в большинстве организаций

Обучение безопасности часто оказывается неэффективным, потому что к нему относятся как к отдельному событию, а не как к системе. Во многих организациях программа состоит из ежегодного модуля по соблюдению нормативных требований, короткого теста и ничего более. Предполагается, что сотрудники усвоят общие советы раз в год, а затем будут последовательно применять их в сотнях реальных рабочих процессов, инструментов и решений. Этого просто недостаточно для устойчивого изменения поведения.

Проблема не в том, что обучению не хватает ценности, а в том, что многие программы устарели или слишком оторваны от реальной работы людей. Они опираются на абстрактные напоминания, в то время как реальные риски возникают в почтовых ящиках, общих хранилищах, при сбросе паролей, в срочных запросах от руководителей и ежедневных решениях о доступе. Если обучение не имитирует то, что люди видят или делают каждый день, они вряд ли запомнят или применят полученные знания.

Программы обучения должны включать вводный инструктаж и курсы повышения квалификации для всех сотрудников по вопросам защиты данных и управления информацией, а для повышения осведомленности следует использовать регулярные методы коммуникации, чтобы управление информацией, защита данных и информационная безопасность всегда оставались в поле зрения. Это указывает на необходимость непрерывной модели, а не разового ежегодного вмешательства.

Еще одна причина неудач заключается в том, что программы слишком узко фокусируются на том, чего сотрудникам делать не следует, игнорируя при этом корень вредных привычек. Теоретические призывы не использовать пароли повторно мало что дают, если компания не предоставила безопасный и практичный способ создавать, сохранять учетные данные и делиться ими. Советы по распознаванию фишинга полезны, но менее эффективны, если процесс сообщения о подозрительных сообщениях непонятен или обременителен.

Как выглядит настоящая программа повышения осведомленности в вопросах безопасности

Настоящая программа повышения осведомленности — это не то, что сотрудники проходят один раз и забывают. Это постоянный набор привычек, ожиданий и мер защиты, которые помогают людям со временем принимать более правильные решения в области безопасности.

Все начинается с непрерывности. Используйте учебные ресурсы, разработанные в дополнение к существующим политикам и процедурам. Они должны охватывать практические области, такие как сложные пароли, лучшие практики BYOD, фишинг и сообщение об инцидентах. Такое сочетание полезно, потому что эффективная осведомленность не ограничивается одной темой. Она должна отражать весь комплекс рутинных действий, формирующих безопасность на реальных рабочих местах.

Но одной лишь непрерывности недостаточно. Программа также должна отражать реальные различия в том, как разные команды сталкиваются с рисками.

Эффективная программа также должна учитывать специфику должности. Сотрудник финансового отдела, обрабатывающий запросы на оплату, не сталкивается с теми же повседневными рисками, что и менеджер по маркетингу, использующий общие аккаунты в соцсетях, или HR-директор, управляющий личными делами сотрудников. Общие советы уместны, но они работают лучше, если за ними следует обучение, относящееся к системам, данным и моделям атак, наиболее актуальным для каждой конкретной группы.

Следующий компонент — практика. У сотрудников не вырабатывается верное суждение только от чтения правил. Навыки улучшаются благодаря многократному столкновению с реалистичными сценариями: симуляциями фишинга, упражнениями по отчетности, проверками доступа и краткими напоминаниями, привязанными к реальным инструментам или рабочим процессам. Имитация атак особенно полезна, поскольку она проверяет, влияет ли программа на поведение в критические моменты, а не только в условиях теста.

Четкие политики безопасности и использования паролей не менее важны. Сотрудники должны знать, как создавать, хранить, передавать учетные данные и как их удалить, когда они больше не нужны; как сообщать о подозрительных сообщениях, когда требуется 2FA и что делать, если они считают, что совершили ошибку.

Наконец, настоящая программа рассматривает безопасность как общую норму рабочего процесса, а не как исключительную заботу ИТ-отдела. Это означает, что менеджеры поддерживают ее, руководители подают пример, а команды обсуждают это как часть повседневной деятельности организации. Создание такой культуры требует большего, чем просто документ с политикой, но это один из самых надежных способов со временем сократить количество повторяющихся человеческих ошибок.

Руководство Proton по культуре кибербезопасности малого бизнеса на рабочем месте может быть полезно в данном контексте, так как оно представляет осведомленность не как кампанию, основанную на страхе, а как часть того, как бизнес работает каждый день.

Почему фишинг и злоупотребление учетными данными должны быть в центре программы

Если программа обучения кибербезопасности пытается охватить все аспекты сразу, она может потерять фокус. Большинству организаций лучше начать с рисков, которые с наибольшей вероятностью могут нанести реальный ущерб.

Фишинг находится на вершине этого списка. В отчете правительства Великобритании Cyber Security Breaches Survey 2025(новое окно) говорится, что фишинг остается наиболее распространенным вектором атак среди компаний, столкнувшихся с киберпреступностью, — он затронул 93% из них. Это отражает общую ситуацию в британском бизнесе, где фишинг остается одним из самых частых методов атак.

Фишинг редко ограничивается самим сообщением. Во многих организациях настоящий ущерб начинается тогда, когда украденные учетные данные используются для доступа к аккаунтам, эксплуатации повторно используемых паролей, проникновения в другие системы или использования общих учетных записей, которые никогда не контролировались должным образом.

Бизнесу необходим многоуровневый подход. Злоумышленникам должно быть сложнее связаться с пользователями, а пользователям — проще распознавать подозрительные сообщения и сообщать о них. Это защищает организации от последствий незамеченных фишинговых электронных писем и помогает им быстро реагировать на инциденты.

Эффективная программа обучения кибербезопасности должна основываться на этой же логике. Сотрудникам необходимо уметь распознавать подозрительное поведение, но им также нужны вспомогательные средства контроля, которые снизят последствия одной ошибки.

Именно здесь гигиена учетных данных становится ключевым фактором. Обучение персонала избегать слабых или повторяющихся паролей полезно, но оно становится гораздо эффективнее, когда поддерживается инструментами, снижающими зависимость от памяти и упрощающими безопасное использование учетных данных на практике. Мы также рассматриваем этот более широкий превентивный подход в нашем руководстве по предотвращению утечки данных для бизнеса, где подчеркивается роль практических мер контроля в снижении предотвратимых рисков.

Роль инструментов в снижении человеческого риска

Обучение кибербезопасности — это лишь часть картины. Люди гораздо охотнее соблюдают правила безопасности, если они естественным образом вписываются в их рабочий процесс. Если самый безопасный вариант одновременно является и самым простым, его будут использовать гораздо чаще. Если же процесс кажется медленным, неудобным или сложным, даже самые добросовестные сотрудники начнут искать обходные пути.

Управление паролями — один из самых ярких примеров. Организации часто требуют от сотрудников создавать надежные уникальные пароли, использовать двухфакторную аутентификацию и не передавать их другим. Но пока у сотрудников нет практичного способа это сделать, такие инструкции остаются лишь пожеланиями. Они возвращаются к простым паролям, хранению в браузере, электронным таблицам, заметкам или мессенджерам, потому что эти варианты кажутся им более быстрыми в моменте.

Бизнес-менеджер паролей помогает решить эту проблему. Proton Pass for Business разработан, чтобы упростить безопасное создание, хранение и совместное использование паролей в командах, а также дать организациям больше контроля над использованием учетных данных. Эти возможности помогают сотрудникам создавать и автоматически заполнять надежные уникальные пароли, использовать двухфакторную аутентификацию в разных аккаунтах и защищать сохраненные учетные данные с помощью сквозного шифрования.

Это не заменяет обучение кибербезопасности, а дополняет его, упрощая соблюдение правил. Вместо того чтобы требовать от персонала запоминать десятки сложных правил для паролей, вы даете им систему, которая поддерживает желаемое поведение. Это позволяет легче поддерживать хорошие методы обеспечения безопасности и эффективнее соблюдать политики компании.

То же самое относится к отчетности об инцидентах, контролю доступа и адаптации сотрудников. В этих областях инструменты часто необходимы для того, чтобы предоставить сотрудникам четкий процесс, а организации — последовательный надзор и контроль. Инструментарий не может заменить человеческое суждение, но он делает безопасные действия проще, быстрее и стабильнее в повседневной работе.

Практическая шестиэтапная модель запуска или улучшения вашей программы обучения кибербезопасности

Программа обучения кибербезопасности работает лучше всего, когда она выстроена как непрерывный рабочий ритм, а не как разовая кампания. Представленная ниже модель поможет вам начать.

Шаг 1: Определите конкретные модели поведения, которые вы хотите изменить

Начните с рисков. Определите действия, которые с наибольшей вероятностью подвергают вашу организацию опасности. Это может быть переход по подозрительным ссылкам, повторное использование паролей, небезопасная передача учетных данных, отсутствие отчетов об инцидентах, неэффективные процессы увольнения сотрудников или неправильное обращение с персональными данными клиентов или сотрудников.

Шаг 2: Расставьте приоритеты для сценариев с самым высоким уровнем риска

Не все темы обучения требуют одинакового внимания. Сосредоточьтесь в первую очередь на сценариях, наиболее актуальных для профиля угроз и операционной модели вашей организации.

Для многих компаний это фишинг, работа с учетными данными, контроль доступа и отчетность об инцидентах. Цель на этом этапе — сосредоточить обучение персонала на поведении и сценариях, которые максимально снижают повседневные риски.

Шаг 3: Разделите обучение по должностям

Обучение кибербезопасности с большей вероятностью изменит поведение, если сотрудники смогут узнать в нем свои реальные рабочие ситуации. Разные должности предполагают разные типы рисков: от работы с конфиденциальными записями и утверждения запросов с высокой степенью риска до управления привилегированным доступом или обмена информацией с внешними контактами.

Эффективная программа учитывает эти различия, а не дает всем одни и те же абстрактные советы. Чем ближе обучение к решениям, которые люди принимают на самом деле, тем проще применять его на практике.

Шаг 4: Создайте ритм закрепления знаний

Одного ежегодного тренинга недостаточно для изменения поведения. Используйте вводный инструктаж, курсы повышения квалификации, короткие напоминания, симуляции и регулярную коммуникацию, чтобы поддерживать актуальность ключевых идей. Закрепление знаний может быть необременительным, но оно должно быть постоянным.

Шаг 5: Подкрепите обучение политикой и инструментами

Обучение становится гораздо убедительнее, когда сотрудники видят, как применить его на практике. Поэтому убедитесь, что ваши политики ясны, их легко найти и они изложены языком, который сотрудники могут использовать в работе. Затем обеспечьте поддержку с помощью функций, упрощающих соблюдение правил безопасности на практике.

Если ваша политика требует использования надежных уникальных паролей и запрещает неформальный обмен данными, предоставьте сотрудникам безопасный менеджер паролей, который упростит эту задачу. Если согласно политике о подозрительных электронных письмах нужно сообщать немедленно, сделайте путь сообщения о них очевидным и максимально простым.

Шаг 6: анализ, оценка и улучшение

Программа обучения основам кибербезопасности должна развиваться вместе с вашим бизнесом. Новые инструменты, смена должностей, инциденты и типы атак — все это создает новые точки давления.

Регулярно анализируйте результаты, обновляйте обучение на основе реальных и потенциальных инцидентов и корректируйте программу при обнаружении повторяющихся слабых мест. Цель состоит не в завершении программы, а в том, чтобы со временем сделать ее более эффективной.

Как измерить эффективность

Одна из самых частых ошибок в обучении кибербезопасности — оценивать то, что удобно, а не то, что значимо. Показатели прохождения могут сказать вам, кто просмотрел тренинг или прокликал модуль, но они мало говорят о том, влияет ли программа на поведение в моменты реального риска.

Более полезный подход — отслеживать, как со временем меняется реакция людей на реальные ситуации. Результаты симуляции фишинга помогут вам понять, становятся ли сотрудники более осторожными, внимательными и склонными ставить под сомнение и отправлять отчеты о подозрительных сообщениях.

Инциденты, связанные с учетными данными, могут показать, становятся ли менее распространенными такие рискованные привычки, как повторное использование паролей, небезопасная передача данных или небрежное обращение с аккаунтами. Соблюдение политик также может показать, действительно ли сотрудники применяют ожидания, заданные программой, а не просто ознакомились с ними.

Не менее важно следить за оперативными сигналами. Как быстро вы получаете сообщения о подозрительных электронных письмах или необычных запросах? Повсеместно ли включена MFA там, где она должна быть? Своевременно ли отзываются права доступа при увольнении сотрудников? Проявляют ли команды с повышенным уровнем риска более взвешенные суждения в реалистичных сценариях по мере развития программы?

Часто именно эти показатели демонстрируют, становится ли осведомленность частью повседневной работы организации или же она остается ограниченной рамками учебной среды.

В конечном счете, настоящая проверка заключается не в том, прошли ли сотрудники программу. Главное — видит ли ваша организация в результате меньше предотвратимых ошибок, лучшие навыки отчетности и более ответственное повседневное поведение в вопросах безопасности.