Киберучения и фишинг-тесты

Киберучения и фишинг-тесты — комплексная программа проверки устойчивости персонала к методам социальной инженерии и формирования культуры информационной безопасности (security awareness). Человеческий фактор остаётся причиной более 80% инцидентов безопасности: фишинговые атаки, претекстинг, приманки с вредоносным ПО приводят к компрометации учётных записей, утечке данных и заражению инфраструктуры.

Проведение киберучений является требованием Указа Президента РФ № 250 от 01.05.2022 для ключевых предприятий. Для субъектов критической информационной инфраструктуры (187-ФЗ) обучение персонала основам кибербезопасности и проверка осведомлённости входят в обязательный перечень мер защиты по приказу ФСТЭК 239.

Этапы проведения киберучений:

Разведка и подготовка — сбор информации о сотрудниках из открытых источников (OSINT): корпоративные email, социальные сети, публикации. Разрабатываются правдоподобные сценарии фишинговых атак с учётом специфики организации: имитация письма от руководства, уведомление от HR-отдела, сообщение от ИТ-поддержки, уведомление от контрагента.

Проведение фишинг-теста — контролируемая рассылка фишинговых писем с отслеживанием действий получателей на каждом этапе: открытие письма, переход по ссылке, ввод учётных данных, загрузка вложения, запуск исполняемого файла. Используются различные техники: URL-фишинг, вложения с макросами, QR-коды, имитация корпоративных порталов.

Анализ результатов — формируется статистика по подразделениям, должностям и типам атак. Выявляются наиболее уязвимые группы сотрудников, определяются типы атак с наибольшей эффективностью. Результаты сравниваются с отраслевыми бенчмарками.

Обучающий семинар — проводится интерактивное обучение по распознаванию фишинговых атак, правилам безопасного поведения при работе с электронной почтой и в интернете. Разбираются реальные примеры атак, методы социальной инженерии, правила создания и хранения паролей.

Повторное тестирование — через 1-3 месяца проводится повторный фишинг-тест для оценки эффективности обучения. Статистика показывает, что после качественного обучения процент сотрудников, поддающихся на фишинг, снижается в 3-5 раз. КРЕДО-С рекомендует проводить фишинг-тесты ежеквартально.

Регулярное проведение киберучений и повышение осведомлённости персонала учитывается при расчёте показателя защищённости КЗИ по приказу ФСТЭК №117 как одна из организационных мер защиты информации. Организации с действующей программой security awareness демонстрируют более высокие показатели КЗИ.

КРЕДО-С имеет лицензии ФСТЭК и ФСБ России, собственную платформу для проведения фишинг-тестов, позволяющую создавать реалистичные сценарии атак и отслеживать реакции сотрудников в режиме реального времени.