Сообщники хакеров поневоле: как сотрудники влияют на информационную безопасность и что с этим делать

В условиях стремительного развития технологий и постоянного увеличения числа киберугроз, киберграмотность становится не просто желательной, а необходимой компетенцией для всех сотрудников в компаниях. Киберугрозы, такие как фишинг, вредоносные программы и утечки данных, могут нанести серьезный ущерб не только финансовому состоянию компании, но и её деловой репутации. Обучение киберграмотности не только повышает уровень безопасности внутри компании, но и формирует культуру ответственности за защиту информации.

В  данной статье покажем, насколько важна роль сотрудника в кибератаках и почему развитие киберграмотности в организации — необходимость, продиктованная прогрессом. В рамках статьи рассмотрим:

1. Современные угрозы кибербезопасности.

2. Ключевые понятия киберграмотности, а также методы и подходы для  повышения осведомленности в ИБ среди сотрудников компаний.

Основные виды киберугроз

В современном мире, где информация — это ценный актив, организации постоянно подвергаются атакам. Давайте рассмотрим самые популярные и «эффективные» виды киберугроз.

1. Наверное, самый нашумевший вид атак — это социальная инженерия

Социальная инженерия — это метод манипуляции людьми с целью получения конфиденциальной информации или доступа к системам, который основан на психологии и человеческих слабостях.

В мире информационной безопасности существует множество методов социальной инженерии, каждый из которых имеет свои особенности и цели. Эти методы могут варьироваться от простых манипуляций до сложных схем обмана. Далее представлены наиболее распространенные методы социальной инженерии, которые используют злоумышленники для достижения своих целей.

1.1 Фишинг

Метод обмана, при котором злоумышленники пытаются получить конфиденциальную информацию (логины, пароли, номера кредитных карт) через поддельные электронные письма или сайты.

Пример: письма, которые выглядят как сообщения от банка или известных компаний, содержат предложение перейти по ссылке и ввести свои данные.

Уважаемый(ая) [Имя],

Мы заметили подозрительную активность в вашей учетной записи и временно ограничили доступ для защиты вашей информации. Пожалуйста, перейдите по следующей ссылке, чтобы подтвердить свою личность и восстановить доступ:

[Вредоносная ссылка]

Если вы не выполните это действие в течение 24 часов, ваша учетная запись будет заблокирована.

С уважением,

Служба поддержки

1.2 Вишинг

Форма телефонного мошенничества, при которой злоумышленники используют телефонные звонки для получения конфиденциальной информации, такой как пароли, номера кредитных карт или личные данные. Название происходит от сочетания слов voice» (голос) и «phishing» (фишинг).

Пример: злоумышленник звонит жертве, представляясь сотрудником ФСБ либо сотрудником безопасности банка.

1.3 Смишинг

Форма мошенничества, при которой злоумышленники отправляют поддельные SMS-сообщения с целью получить конфиденциальную информацию, такую как пароли, номера кредитных карт или личные данные. Название происходит от сочетания слов «SMS» и «phishing» (фишинг).

Пример: Злоумышленник отправляет жертве SMS-сообщение, выдавая себя за представителя банка.

Уважаемый клиент! Ваша учетная запись заблокирована по подозрению на мошенничество. Чтобы восстановить доступ, перейдите по ссылке: [поддельная ссылка].

1.4 Дипфейк

Описание: это технология, основанная на использовании искусственного интеллекта и машинного обучения для создания поддельных видео или аудио. Эта технология может быть использована как в развлекательных целях, так и для создания дезинформации.

Пример: злоумышленник создает видео с руководителем компании, где он произносит слова, которых никогда не говорил. В видео используются технологии дипфейка для замены лица на лицо другого человека, а также синтезируется его голос.

1.5 QR-фишинг

В рамках этой атаки злоумышленники создают поддельные QR-коды, которые ведут пользователей на вредоносные сайты или инициируют нежелательные действия.

Пример: QR-коды расклеиваются в публичном месте, например, в офисе компании. По QR-коду размещается ссылка на фишинговый ресурс, а легенда буклета с таким QR-кодом побуждает пройти опрос об уровне комфорта в офисе.

2. Вредоносные программы (Malware)

Программное обеспечение, предназначенное для повреждения или несанкционированного доступа к устройствам. Включает вирусы, трояны, шпионские программы и Пример: вирус WannaCry, благодаря которому злоумышленники зашифровали данные на компьютерах и потребовали выкуп за их восстановление.

3. Атаки типа «Отказ в обслуживании» (DDoS)

Атаки, при которых множество скомпрометированных устройств отправляют запросы на сервер, перегружая его и делая недоступным для обычных пользователей.

Пример: атака на сервисы DNS, которая привела к сбоям в работе крупных интернет-ресурсов.

В большинстве успешных атак задействованы сотрудники, и чаще всего они об этом даже не догадываются. Давайте разберемся, как в компаниях можно прививать киберграмотность.

Что такое киберграмотность и какие есть методы для ее развития в корпоративной среде

Киберграмотность включает в себя знание основ цифровой безопасности, понимание рисков некорректных действий в интернете и умение защищать личные данные. Роль киберграмотности в обеспечении безопасности информации неоценима, так как она помогает пользователям принимать обоснованные решения, минимизировать риски утечек данных и защищать свои личные и финансовые сведения от злоумышленников.

Но как научить коллег распознавать потенциальные атаки и не становиться сообщниками хакеров?

Тренинги и семинары являются одним из самых эффективных методов обучения киберграмотности. Они позволяют проводить интерактивные занятия, где сотрудники могут задавать вопросы, обсуждать реальные случаи и получать практические рекомендации. Такие мероприятия могут быть организованы как внутренними специалистами по безопасности, так и внешними экспертами. Важно делать акцент на актуальных угрозах и конкретных примерах, с которыми сотрудники могут столкнуться в своей повседневной работе.

С развитием технологий обучение стало более доступным благодаря виртуальным курсам и вебинарам. Эти форматы позволяют сотрудникам обучаться в удобное для них время и с подходящим темпом. Виртуальные курсы могут включать видеолекции, интерактивные задания и тесты для проверки знаний. Вебинары, в свою очередь, предоставляют возможность для живого общения с экспертами, что способствует более глубокому пониманию темы.

Кибербезопасность — это не просто технология, это культура, которую можно взращивать и поддерживать.

Когда информационная безопасность становится частью корпоративной философии, сотрудники начинают воспринимать ее как неотъемлемую часть своей работы. Это способствует открытым обсуждениям о киберугрозах и обмену лучшими практиками, а также повышает доверие между сотрудниками и руководством. Внедрение программ по повышению осведомленности создает атмосферу ответственности, где каждый чувствует свою роль в обеспечении кибербезопасности компании.

Инвестиции в программы повышения осведомленности cотрудников могут привести к значительным экономическим преимуществам для компаний. Потери в случае наступления инцидентов безопасности, которые включают в себя расходы на устранение последствий и возможные штрафы за несоблюдение нормативных требований,  не сопоставимы с затратами на обучение персонала. Например, согласно информации от экспертов, компании могут потерять от 300 миллионов до 1 миллиарда рублей на восстановление после крупной кибератаки, включая затраты на ИТ-услуги  и репутационные потери.

В процессе обучения сотрудников основам информационной безопасности  и автоматизации данного процесса будет полезным внедрение инструментов Security Awareness. Это программное обеспечение, которое способствует повышению осведомленности сотрудников о киберугрозах и безопасных практиках работы с информацией, упрощает внедрение и управление обучающими программами, позволяет сделать обучение более эффективным и систематизированным.

Основной функционал Security Awareness:

• обучающие курсы: уроки по основам кибербезопасности, фишингу, управлению паролями и другим темам;

• тестирование знаний: оценка уровня понимания сотрудников по темам кибербезопасности;

• cимуляции атак: фишинговых атак и других сценариев для проверки готовности сотрудников реагировать на реальные угрозы;

• отчеты и аналитика: формирования отчетов о прогрессе сотрудников, выявление слабых мест и зон роста;

• геймификация:  внедрение игровых элементов для повышения вовлеченности сотрудников в процесс обучения;

• адаптивное обучение: персонализация курсов в зависимости от уровня знаний и роли сотрудника в организации;

• планирование образовательных треков: создание сценариев для обучения сотрудников  и возможность автоматизации повседневных задач.

Рекомендуем проводить тренинги по кибербезопасности не реже чем раз в полгода, адаптируя учебные материалы в соответствии с новыми угрозами. Используйте разнообразные интерактивные форматы обучения,  а для оценки уровня осведомленности сотрудников проводите тесты и опросы.

Учитывая растущую технологическую зависимость и распространение форматов удаленной работы, киберграмотность становится ключевым элементом защиты информации и конкурентоспособности бизнеса.

Автор: Евгений Новоселов, ведущий инженер направления «Автоматизация ИБ», УЦСБ