🔒 Какой путь прошла информационная безопасность от древних времен до цифровой эпохи?

Обсудим на лекции «Информация под прикрытием: эволюция подходов к безопасности, от маскировки в дикой природе и средневековых замков до биохакинга».

Поговорим о защите информации в разные периоды: от шифров Древнего мира, шпионских страстях эпохи Возрождения и цифровые катастрофы XXI века — до технологий завтрашнего дня, где ИИ, квантовые сети и биовдохновленные системы будут решать, кто получит доступ к вашим данным, а кто останется за «цифровым забором».  

Лектор:
Алексей Лукацкий, эксперт по кибербезопасности, автор блога «Бизнес без опасности», автор телеграм-канала «Пост Лукацкого»

чаемся 22 ноября в 15.00

🔑 Регистрация"nofollow">

После заметки о психологическом реактансе, то есть о реагировании на принуждение, несколько подписчиков попросили расписать, как это все применяется в кибербезе, что я и делаю 🤝 Надо признать, что в нашей сфере эффект психологического сопротивления проявляется даже сильнее, чем в других областях, так как большинство людей по-прежнему считают ИБ чем-то внешним, навязанным, а новые правила – "ограничением нормальной работы". Особенно плохо, если и вы сами считаете, что ИБ всегда мешает – тогда вы эту мысль бессознательно будете доносить и до людей, которые это будут считывать 🤯

Когда отдел ИБ увеличивает количество политик 📚, требований и запретов, сотрудники начинают их все (или их часть) игнорировать, искать обходы (думаете, "теневые ИТ" просто так появились), воспринимают ИБ как врага, а не помощника, выполняют требования формально. Аналогичная история с обучением и обязательными тренингами по повышению осведомленности. Если они воспринимаются как "меня считают некомпетентным", "меня заставляют тратить мое время" и "опять я прохожу очередной бесполезный курс ради галочки", то человек будет 😠 слушать вполуха, быстро забывает полученную информацию и воспринимает ИБ как навязанное сверху, а не реального помощника. Именно поэтому согласно исследованиям программы обязательного обучения в компаниях приводят к повышению реального соблюдения правил ИБ в среднем только на 10–15% 🤠

Когда ИБ работает по модели: "мы все запретим", "мы все контролируем", "вы должны следовать политике", то возникает банальный и прямо противоположный ожидаемому эффект – люди сами перестают думать о безопасности. Они перекладывают ответственность на ИБ, действуя по принципу: "Раз разрешили – значит можно. Если что-то случится – это не моя вина" 🖕

Что же работает на практике: ✍️
1️⃣Четкое объяснение "зачем". Человек лучше соблюдает требования, когда понимает, как это связано с его работой, как это защищает его лично (зарплату, данные, репутацию), какие инциденты уже происходили в похожих компаниях. Кейсы и истории работают лучше, чем правила.
2️⃣ Вовлечение сотрудников в разработку правил. Если сотрудника хотя бы спросили "что мешает безопасной работе?" и "как удобнее реализовать это требование?", то он начинает воспринимать политику как свою, а не спущенную сверху.
3️⃣ Оставлять людям выбор. Не "тренинг обязателен", а дать возможность выбрать один из трех форматов обучения: видео, мини-курс, практикум, выбрать удобное время и выбрать формат проверки знаний. Даже иллюзия выбора снижает сопротивление.
4️⃣ Минимизировать запреты, увеличивать помощь. Не запрещать, а давать безопасные альтернативы. Вместо: "Нельзя пользоваться личным облаком" лучше "Вот корпоративный сервис – он удобнее и безопаснее. Мы переносим ваши данные туда автоматически".
5️⃣ Делать безопасность частью культуры, а не набора правил. Когда сотрудники видят быструю реакцию ИБ на их запросы, помощь вместо наказаний и уважение и сотрудничество, то ИБ начинает восприниматься как партнер. Начните хотя бы предупреждать людей об утечках их паролей из сервисов, которыми они пользуются. Не знаете, какими они сервисами пользуются? А NGFW, SIEM, прокси вам на что?
6️⃣ Микро-обучение вместо "курсов на 2 часа". Лучшие форматы: сториз, короткие кейсы, комиксы, мини-ситуации по 1 минуте, контекстные подсказки ("Обнаружили подозрительный файл – вот что делать"), а также игры и квизы. Современные GenAI-сервисы прекрасно подходят для генерации короткоформатного креатива.
7️⃣ Позитивное подкрепление. Вместо "если нарушишь – оштрафуем" работает рейтинг безопасного поведения, внутренние награды, признание в команде, конкурсы "Кибер-грамотность недели".

Да, сотрудники действительно восстают против правил, особенно в кибербезопасности 👎 Но сопротивление – не проблема людей, а ошибка подхода. ИБ работает намного лучше, когда вместо давления используется другая формула: смысл → вовлечение → выбор → поддержка → позитивная культура 🤔

#стратегия #awareness #bestpractice

Как проверить упомянутый вчера план реагирования на инциденты на реализуемость? Я бы выделил несколько практических шагов: ✍️

6️⃣ Регулярные киберучения, в первую очередь штабные (вы тестируете процедуру, а не технический инструментарий). Это самое главное. Разыгрывайте реалистичные сценарии (выключите слайды, заблокируйте доступ к обычным каналам связи) и засекайте время. Смотрите, где процесс встает. Причем именно весь процесс, а не только его стандартные 6 этапов, описанные в любом учебнике по управлению инцидентами. То есть про антикризисный PR тоже не забывайте...

2️⃣ Тестовые прогоны технических процедур. Периодически пытайтесь восстановить систему из бэкапа на тестовом стенде. Проверяйте, работают ли системы оповещения, которые вдруг внезапно были выведены из строя шифровальщиком. Есть ли у вас страничка в ВК, чтобы хотя бы там коммуницировать с заинтересованными сторонами? Это хоть и выглядить смешно, но иногда это остается единственным вариантом, как, например, в кейсе со страховой компанией ВСК.

3️⃣ Аудит "тревожного чемоданчика". Раз в квартал проверяйте, чтобы у ключевых сотрудников были актуальные распечатанные контакты, инструкции и доступ к оффлайн-копиям критически важных документов, включая плейбуки. И прекратите уже на каждый плейбук требовать согласования гендиректором…

4️⃣ Проверка полномочий. Прямо спросите у людей, указанных в плане реагирования: "У вас есть право отдать приказ на отключение системы X? Вы знаете, как это сделать технически?". Тут еще важно, конечно, чтобы у человека было не только право принимать такое решение, но и стальные фаберже для применения этого права, но последнее в плане уже не пропишешь и не особо проверишь пока не случится недопустимое 🤔

Помните! План реагирования на инциденты – это не документ для галочки, а живой, рабочий инструмент. Его ценность определяется не тем, как красиво он написан и на бумаге какой плотности распечатан, а тем, насколько он работает в момент хаоса 😱

ЗЫ. Если к каждому пункту плана вы будете задавать, как минимум, следующие вопросы: "ЧТО должно быть сделано", "КТО должен это сделать", "КАК это должно быть сделано", "КОГДА это должно быть сделано", "ГДЕ это должно быть сделано" и "КАК проверить, что это было сделано", то будет неплохо 🤔 В противном случае ваши пункты будут похожи на третью ногу стюардессы на картинке - сразу в глаза не бросается, но на деле она только мешает 😂

#управлениеинцидентами #bestpractice

Ну что ж, поездка в Индонезию 🇮🇩 подходит к концу, пора и честь знать. Свою задачу я тут выполнил – про кибербез и ИИ рассказал, позитивом всех заразил, в каком направлении всем идти показал, кампусы местных ВУЗов изучил, местной спецификой напитался, язык подкачал (до этого момента 2 часа подряд на языке Беббиджа, Лавлейс и Тьюринга я не выступал), с правильными людьми вместе с коллегами повстречался. Даже награду какую-то вручили. За что, не знаю, но она займет свое достойное место на полагающейся для наград полочке. Теперь можно и в снег спокойно лететь из этих +31 🥵 Тем более, что и орущая из всех щелей последней гостиницы рождественская «Let It Snow» ☃️ как бы намекает…

Кстати, вы же знаете, что Индонезия является четвертой по численности населения страной мира после Китая, Индии и США. Но вы не знаете, какие планы у этого государства по количеству обученных специалистов по кибербезу, а я теперь знаю! С этим знанием и улетаю, чтобы вновь вернуться в страну, где я узнал, что такое Фаджр, и прочувствовал его на себе ✈️