Цели, структура и содержание методики противодействия

Главной целью любой обучающей программы является необходимость переосмысления сотрудниками своего поведения и отношения, мотивирования их желания защитить и сохранить информацию организации. Хорошей мотивацией является демонстрация вознаграждения за участие не самой организации, а конкретных сотрудников.

Основными целями при разработке методики обучения персонала и защите информации, является фокусировка внимания на том, что:

Сотрудники организации могут быть подвержены нападению в любое время;

Сотрудники должны выучить и понять свою роль в защите информации организации;

Тренинг по обучению безопасности должен быть более важным, чем просто правила, которые предоставляются для ознакомления.

Организация может считать цели достигнутыми, если все сотрудники привыкнут к мысли, что защита информации — это часть их обязанностей.

Сотрудники должны полностью понять, что атаки социальных инженеров реальны, что потеря обрабатываемой организацией информации угрожает не только организации, но персонально каждому из сотрудников, их работе и благосостоянию.

В своей основе обучающий тренинг должен быть построен таким образом, чтобы посещался всеми сотрудниками. Вновь принятые на работу сотрудники должны проходить тренинг как часть первоначального ознакомления и знакомства с новой работой. Рекомендуется вообще не допускать сотрудника до работы с компьютером, пока он не ознакомится с обучающим тренингом и основами информационной безопасности.

Самым первым рекомендуется занятие, которое посвящено внештатным ситуациям и системам оповещения. Ознакомление с набором коротких важных сообщений заметно облегчит восприятие материала сотрудниками.

Особое значение первого занятия следует выразить в особой роли гармонии, которая будет царить в организации, после того как станут руководствоваться данной программой. Более важным, чем обучающие тренировки, будет мотивация, которая должна побудить сотрудников принять персональную ответственность за безопасность.

В ситуациях, когда какие-либо сотрудники не могут посещать общие занятия, организация должна прибегнуть к другим формам обучения, таким как видео, компьютерные программы, онлайн-курсы или печатные материалы.

После короткого вводного занятия остальные более длинные занятия должны быть спланированы так, чтобы все сотрудники внимательно ознакомились со слабыми местами и техниками атак, которые могут применяться конкретно на них.

Завершающим этапом программы следует проводить получение подписей сотрудников о соглашении следованию установленных политик безопасности и принципов поведения. Ответственность, которую должны будут брать на себя сотрудники, подписав соглашение, поможет избегать сомнений (т.е. поступать как кто-либо просит, или поступать как того требует политики безопасности).

Как минимум один раз в год необходимо проводить занятия для повторения всех этих правил.

Начальники отделов должны быть готовы к тому, что им придется тратить время на подчиненных для того, чтобы помочь им понять и самим поучаствовать в процессе обучения.

Тренинг следует делать в рабочее время. Это стоит помнить и при ознакомлении со всеми положениями организации, новых сотрудников.

Сотрудники организации, которые получили повышение, должны пройти тренинг еще раз в соответствии с их новыми должностными обязанностями.

Практическая информация тренинга по безопасности, описывающего черты человеческого характера и связанные с ними аспекты социальной инженерии, включает:

Описание того, как атакующие используют навыки социальной инженерии;

Описание методов, используемых социальными инженерами для достижения своих целей;

Меры по предупреждению возможных атак с использованием социальной инженерии;

Процедуру обработки подозрительных запросов;

Последовательность действий при сообщении о попытках или удачных атаках;

Важность идентификации делающего запрос на получение информации;

Классификацию информации, процедуры защиты, предоставления важной информации, включая любые данные о системе ее хранения;

Аннотация ключевых политик безопасности и их назначение;

Обязанности всех сотрудников следовать политикам безопасности;

Политики безопасности для паролей компьютеров и голосовой почты;

Политику использования электронной почты, включая защиту от удаленных атак с помощью вирусов, червей и «троянов»;

Ношение удостоверений как метод физической защиты;

Специальные меры в отношении людей, не имеющих удостоверений.