Как построить процесс осведомленности в компании?
ИБ за 60 секунд
15 июня, 2023 по
Как построить процесс осведомленности в компании?
Кот ИБ
| Комментариев пока нет

💡 ИБ за 60 секунд

В прошлом посте мы затронули тему повышения осведомленности очень кратко, однако это очень полезный и эффективный процесс, о котором хочется рассказать подробней. В связи с этим, мы запускаем серию рассказов о процессе повышения осведомленности. Сегодня – о том, как построить этот процесс. 

  Обязательно «узаконьте» свой процесс: создайте положение о повышении осведомленности сотрудников. Это небольшой «легкий» внутренний документ на пару страниц, где вы объявляете о существовании этого процесса, обозначаете цели, которые преследуете, мероприятия, которые проводите в рамках этого документа, а также периодичность. Дополнительно, такой документ можно приложить в ответ на различные опросники бизнес-партнеров об уровне информационной безопасности в вашей компании. 

  Проговорите с вашим HR темы для социотехнических атак: хороший директор по персоналу чувствует, что коллег может разозлить или напугать. Так вы избежите нежелательной реакции – например сотрудник, получивший фишинг о новом штамме вируса может испугаться и срочно увезти своих родных, потратить деньги на товары первой необходимости и просто испытает неоправданный стресс. Когда он узнает, что это обман, в лучшем случае он будет зол, в худшем – подаст в суд и поднимет волну негатива в сторону вашей компании. Такой исход не оценит никто. Помните, что надо соблюдать этичность.

  Определитесь, как вы будете реализовывать ваш процесс технически. Вы можете:

Поднять почтовый сервер внутри компании. Просто, но ваши письма идут изнутри, это не очень хорошо, так как фишинг зачастую бывает извне, с подменой домена. 

Нанять подрядчика, который будет проводить полноценные кампании «под ключ». Удобно, эффективно, но дорого на длинной дистанции и вы не накапливаете компетенций внутри отдела.

Использовать специальное ПО для имитации фишинговых атак. Есть opensourceрешения, есть коробочные продукты. Берете готовое – тратите деньги на покупку ПО + лицензия и возможно, поддержка. Очень схоже с вариантом найма подрядчика, но дешевле, так как все же работаете вы, вдобавок накапливаете компетенции у себя в отделе. Решения opensource бесплатны, с вас только ресурсы для размещения ПО и знания как его настроить и «допилить» под ваши нужды.

При выборе решения я бы исходил из бюджета, уровня зрелости ИБ в компании и уровня компетенций внутри отдела ИБ. Если у Вас есть деньги, но нет возможности настроить ПО, вполне хорошим вариантом будет на какое-то время нанять подрядчика. Позже, когда будут ощутимые результаты от процесса, можно будет легко обосновать выделение ресурсов/людей для перенесения этого процесса внутрь компании. 

Итак, процесс описан, «конфликтные» темы выявлены и техническая реализация готова. Пора переходить к практической части, о которой мы поговорим в следующем посте.


Как построить процесс осведомленности в компании?
Кот ИБ 15 июня 2023 г.
Поделиться этой записью
Войти оставить комментарий