Человеческий фактор в кибербезопасности: от слабого звена к первой линии защиты
1. Почему технологии проигрывают людям
Представьте: Крупная организация инвестировала почти миллион долларов в системы защиты. Развернула SIEM, EDR, внедрила DLP, настроила IPS и другие решения. Месяцы работы, десятки специалистов, сотни часов интеграции. И всё это рухнуло за 12 секунд — время, которое потребовалось сотруднику, чтобы ввести пароль в фишинговую форму.
20 лет в кибербезопасности научили меня главному:
мы проигрываем не из-за технологий, а из-за людей.
Работая в глобальном вендоре и развивая бизнес в 11 странах, я участвовала в проектах для госсектора, телекомов, исследовательских центров и крупных корпораций. Подбирала и внедряла комплексные решения по защите информации. Тем не менее, несмотря на совершенство технических решений, инциденты происходили и большая часть из-за человеческого фактора.
Факт: бюджеты и внимание в основном сосредоточены на технологиях, в то время как ключевой источник риска — человеческое поведение, системно недооценивается.
Вся индустрия кибербезопасности работает на опережение атак: мы учим ИИ искать аномалии, автоматизируем реагирование, прогнозируем поведение злоумышленников. Но никто не научил сотрудников быть осторожными - распознавать угрозу в спешке, и усталости.
По моим наблюдениям, в большинстве организаций решения по кибербезопасности не интегрированы друг с другом. Часто в архитектуре присутствуют решения от разных производителей, с разной логикой и без единой консоли управления. Как следствие: администраторы вынуждены переодически ужесточать корпоративные политики безопасности: полный запрет на USB — даже если есть рабочая необходимость, требование создавать сложные, длинные пароли и постоянно их менять, запрет на личные устройства (BYOD) даже в контролируемых пространствах, ограничение доступа к сайтам и сервисам «на всякий случай» — всё это создаёт у сотрудников ощущение надзора, а не доверия.
Когда людям усложняют рабочий процесс и не объясняют зачем эти правила нужны и какие могут быть последствия — возникает сопротивление, формальное соблюдение и попытки обойти ограничения. Вот в этой точке — в промежутке между технологиями, правилами и реальностью — прячется тот самый риск, который останется не контролируемым ни одним техническим продуктом.
“Организации недооценивают роль человеческого поведения. Даже с топовыми технологиями, один забытый пароль или клик по фейковому письму — и защита рушится.” — Ogundare, 2024, ResearchGate.
2. Цифры, которые заставляют задуматься
Согласно последним исследованиям 2024-2025:
- 68% всех нарушений информационной безопасности связаны с человеческим фактором (Verizon, 2024)
- Средний ущерб от инцидента с участием сотрудника — $4.99 млн (IBM Security, 2024)
- 79% успешных атак проходят без использования вредоносного ПО — через действия самих сотрудников (CrowdStrike, 2025)
- Фишинговые атаки выросли на 442% за последние полгода
- Кибератаки происходят каждые 39 секунд — более 2200 раз в день
В странах СНГ ситуация не лучше. В Казахстане в 2024 году зафиксировано более 41 000 инцидентов ИБ. Одна только утечка данных из сервиса zaimer.kz затронула 2 млн граждан — персональные данные, ИИН, контакты оказались в открытом доступе, создав идеальную почву для таргетированных атак социальной инженерии.
При этом рынок обучения кибербезопасности растёт на 15% ежегодно и достигнет $10 млрд к 2027 году. Компании тратят миллионы на обучение, но инциденты продолжают происходить.
3. Существующие методы снижения риска: возможности и ограничения
В сложившейся реальности повышение осведомлённости персонала становится логичным и необходимым шагом. Для этого организации применяют различные подходы:
· проводят внутренние тренинги,
· привлекают внешних экспертов,
· используют специализированные обучающие платформы.
Наиболее доступным и масштабируемым решением, как правило, являются онлайн-платформы с готовыми курсами. Крупнейшие игроки рынка — такие как KnowBe4, Kaspersky, SoSafe, Cybeready и IBM предлагают массовые курсы по основам кибер-гигиены и проверку знаний. Эти решения формируют базовый уровень кибер-осведомлённости в организациях и позволяют быстро охватить большие коллективы.
Однако, несмотря на очевидную помощь в быстром охвате, тренинги не обеспечивают ожидаемую эффективность и не приводят к желаемым поведенческим сдвигам. Согласно моему экспертному наблюдению, я выделяю следующие три проблему существующих тренингов.
4. Три критические проблемы традиционного обучения
A) Разрыв между знанием и поведением
Сотрудник может пройти курс, сдать тест на 100%, получить сертификат — и через час переслать конфиденциальный документ на личную почту «чтобы доработать дома». Знание правил не равно их соблюдению. Нет пост-тренинговой оценки поведения сотрудников.
B) Очень общий контекст
Универсальные курсы не учитывают специфику организации: её процессы, культуру, реальные риски. Бухгалтеру и системному администратору предлагают одинаковый контент, хотя их риски кардинально различаются. Также часто общую информацию просто выдают, не разъясняя как ее применять в повседневной среде. Сотрудники не понимают, как применять знания в своей ежедневной работе.
C) Отсутствие эмоциональной вовлечённости
Сухие термины и правила не запоминаются. «Credential harvesting», «data exfiltration», «zero-day exploit» — эти слова не вызывают эмоций и быстро забываются. А то, что не запомнилось, не может защитить.
Обучение работает, когда оно вовлекает, адаптируется к сотруднику и меняет поведение, а не просто передаёт информацию.
Купить готовый курс легко. Заставить сотрудника отсидеть и прослушать определённый тренинг не означает, что эти знания будут усвоены применены в повседневной рутине.
Вопросы, которые должен задать себе каждый руководитель:
1. Как мы управляем риском человеческого фактора для защиты информации?
2. Какие у нас метрики?
3. Какие поведенческие риски для нас актуальны?
4. Какое именно поведение приводит к этим рискам?
Такие вопросы полезно задавать на совещаниях CISO, когда кибератаки нацелены не на технологии — а на людей. Информационная безопасность — это не галочка в LMS.
5. Революция в обучения сотрудников - Киберугрозы, которые можно узнать в лицо и по имени: методология HFRRM
После серии болезненных инцидентов у моих клиентов, когда месяцы работы над проектами обесценивались одним неосторожным кликом, я начала изучать эту тематику и углубилась в разные подходы чтоб найти ответ на вопросы - “Как объяснить сотрудникам запоминающимся и доступным способом об основах кибер угроз и их последствия?” . Как от них можно защититься и внести вклад в общую кибер-безопасность организации. Так родилась моя методология HFRRM (Human Factor Risk Reduction Methodology).
Ключевая идея: я перевела кибер-угрозы из технических терминов в живые, визуальные образы — персонажей злодеев. Это работает, потому что наш мозг лучше реагирует на истории и лица, чем на определения и термины. Образ активирует внимание, эмоции, ассоциации.
- Визуальная информация усваивается в 6 раз лучше текстовой
- Истории с персонажами запоминаются на 65% лучше фактов
- Эмоционально окрашенная информация хранится в долговременной памяти
Поэтому в HFRRM каждая киберугроза становится персонажем со своим характером, тактикой и слабостями. У каждого есть имя, внешность и поведение. Техника атаки и слабые стороны, которые можно использовать в защите.
Вот некоторые примеры «злодеев» кибербезопасности:
Почему образы работают лучше слов?
Когда мы говорим о повышении осведомлённости сотрудников в области кибербезопасности, важно учитывать психологию восприятия информации взрослыми людьми. Исследования в области андрогогики4 (науки об обучении взрослых) показывают, что взрослые:
- хуже воспринимают информацию «если она не актуальна для их повседневной жизни»,
- нуждаются в чёткой связи между обучением и своей повседневными обязанностями,
- лучше усваивают материал через визуализацию, ассоциации и эмоциональное вовлечение.
В отличие от студентов, взрослые воспринимают знания через призму личной ответственности, опыта и когнитивной избирательности. Именно поэтому стандартные курсы с сухим описанием угроз и нормативными терминами не работают.
Проведём эксперимент: представьте, что ваши сотрудники прошли обучение неделю назад. Что они вспомнят в критический момент?
Вариант 1 (традиционный подход): "Фишинг представляет собой вид социальной инженерии, при котором злоумышленники используют методы психологического манипулирования для получения конфиденциальной информации. Атака обычно осуществляется посредством электронных сообщений, имитирующих легитимные источники, с целью компрометации учётных данных..."
Вариант 2 (методология HFRRM): "Фишер снова охотится. Сегодня он прислал письмо от имени вашего банка с пометкой 'СРОЧНО: подтвердите данные'. Он знает — вы устали, спешите домой, и именно сейчас ваша бдительность минимальна. Один клик по его ссылке — и он получит ваш пароль. Именно так три месяца назад он украл доступ к корпоративной почте главного бухгалтера в соседней компании..."
По статистике: через неделю сотрудники забывают 90% терминов из первого варианта, но помнят 65% информации из истории с персонажем. В момент получения подозрительного письма мозг быстрее активирует образ Фишера-обманщика, чем определение фишинга из учебника.
Когда сотрудник запоминает не «описание фишинга», а Фишера — киберзлодея с тактикой обмана, он:
· узнаёт его в будущем;
· связывает риск с конкретным поведением;
· быстрее реагирует.
Визуально-ассоциативный подход — это не «мультфильмы для взрослых». Это осознанный метод обучения, основанный на том, как работает человеческий мозг.
1. Доказанная эффективность нового подхода
Современные исследования подтверждают эффективность визуально-ассоциативного и геймифицированного подхода:
- Обученные сотрудники на 30% реже переходят по фишинговым ссылкам
- Геймификация повышает вовлечённость на 60%
- Удержание знаний увеличивается на 40% при использовании персонажей и историй
- 90% сотрудников отмечают повышение продуктивности при геймифицированном обучении
Кейс: Внедрение HFRRM в финансовой организации
Клиент: Региональная финансовая компания, 2300 сотрудников
Проблема: Несмотря на развёрнутые системы защиты (DLP, SIEM, SOC), ключевые инциденты происходили из-за действий сотрудников — переходы по фишинговым ссылкам, передача паролей, пересылка документов через мессенджеры.
Этапы внедрения:
1. Анализ и сегментация (2 недели)
- Изучили историю инцидентов и бизнес-процессы
- Провели экспресс-оценку знаний
- Разделили сотрудников на три группы по уровню риска
2. Адаптированное обучение (1 месяц)
- Критическая группа (350 человек): Живые тренинги с ролевыми играми и кейсами из их реальной работы
- Средний риск (1550 человек): Онлайн-курс с ИИ-тренером, адаптированный под их задачи
- Базовый уровень (400 человек): Визуальные материалы и памятки для самостоятельного изучения
3. Контроль и коррекция (2 недели)
- Тестирование всех сотрудников
- Анализ проблемных зон
- Дополнительные сессии для отстающих
Результаты через 6 месяцев:
- -67% переходов по фишинговым ссылкам
- -40% общего количества инцидентов
- +200% добровольных обращений в службу ИБ при подозрениях
- Появление «амбассадоров безопасности» среди сотрудников
2. Технологичность решения: масштабирование через ИИ
Что предлагает методология HFRRM
1. Методичное и доступное обучение сотрудников с фокусом на поведение, а не только на знание.
2. Осведомлённость руководства — повышение понимания рисков и угроз на уровне топ-менеджмента.
3. Сопровождение ИБ-проектов — включая тренинги по использованию и ценности внедряемых решений для конечных пользователей.
4. ИИ-тренер на базе моего контента:
- Адаптируется под уровень каждого сотрудника
- Отвечает на вопросы в режиме 24/7
- Использует истории и примеры из практики компании
5. Интеграция с платформами тестирования:
- Адаптивная сложность вопросов
- Защита от списывания
- Анализ времени ответов и поведенческих паттернов
- Детальная аналитика по каждому сотруднику и департаменту
3. Рекомендации для руководителей и CISO
Пять шагов к эффективной защите от человеческого фактора:
- Определяйте риски по ролям Не обучайте всех одинаково. Выясните, какие именно действия приводят к инцидентам в каждом департаменте.
- Измеряйте поведение, а не знания Важно не то, что сотрудник знает правила, а то, следует ли он им под давлением и в спешке.
- Используйте силу историй Расскажите о реальных инцидентах в вашей отрасли. Покажите последствия. Дайте угрозам лицо и характер.
- Внедряйте постепенно Начните с критической группы — тех, кто имеет доступ к наиболее чувствительным данным.
- Создавайте культуру, а не правила Поощряйте безопасное поведение, а не наказывайте за ошибки. Сделайте сотрудников союзниками, а не объектами контроля.
Цель: обучение должно быть про вас, а не “про кибербезопасность в целом”.
Вы не можете устранить человеческий фактор. Но вы можете управлять им — системно, измеримо и эффективно.
Мы находимся в точке, где традиционные подходы к обучению кибербезопасности больше не работают. Атакующие эволюционировали — они изучают психологию, используют социальную инженерию, атакуют не системы, а людей.
Инвестиции в человека — это инвестиции в безопасность. И они окупаются не только снижением инцидентов, но и формированием культуры, где каждый сотрудник — страж информационной безопасности.
Методология HFRRM — это мой ответ на этот вызов.Она не заменяет технологии — она дополняет их осознанностью, визуализацией и вовлечением.
Автор: Айзада Кыдырбекова — эксперт в области кибербезопасности с более чем 20-летним международным опытом, автор методологии HFRRM (Human Factor Risk Reduction Methodology), региональный директор компании Trellix в странах СНГ, и мама троих детей.