Формирование знаний о информационной безопасности России

Изменение отношения к информационной безопасности и выработка устойчивой культуры безопасного обращения с информационными ресурсами не может быть достигнута в одночасье, единичными и редкими занятиями по вопросам безопасности. Большинство людей забывают то, что им сказали, в течение относительно короткого периода, если им не напомнить об этом [1; 2].

Периодические программы повышения квалификации увеличивают срок обучения, от одного однодневного ежегодного мероприятия до программ продолжительностью несколько дней. Это может быть более эффективным подходом. Креативность в программах для каждого мероприятия может помочь охватить вопросы безопасности, которые будут беспокоить сотрудников, и использование ярких докладчиков и/или реализация праздничных мероприятий по повышению информационной грамотности [3].

Программы непрерывного информирования являются естественным продолжением периодического подхода, но существует очевидная проблема с гораздо более частым проведением крупных корпоративных мероприятий: резко возрастают затраты и нежелание сотрудников. Следовательно, непрерывная форма обучения обычно включает в себя менее интенсивные и дорогостоящие информационные мероприятия. Решения «по требованию» позволяют сотрудникам получать доступ к информационным или учебным материалам в периоды бездействия или перерыва на работе, когда они чувствуют желание и возникла потребность восполнить знания [4; 5]. Такой подход дает немедленную выгоду сотрудникам, которые уже достаточно образованы, чтобы искать дополнительную информацию о безопасности и обучении, так как никто не заставляет их делать это. Тем не менее, отстающие сотрудники, вряд ли воспользуются этим вариантом, избегая программы повышения квалификации.

Метод «учись, обучая» достаточно многогранен и в полной мере относится как к ученику, так и к преподавателю. В данной работе рассмотрим только одно толкование указанной фразы. Рассмотрим ее как форму внутриколлективного обучения в минигруппах проводимого наиболее подготовленным сотрудником, ранее прошедшим обучение и успешно освоившим его. В таком подходе преподаватель и слушатели из одного коллектива с установившимися межличностными взаимодействиями и способны более эффективно передавать знания наиболее важные для конкретного сотрудника и выполняемых должностных обязанностей. При этом роль спикера может быть не жестко закреплена а переходить по желанию или административным распоряжением к другим сотрудникам группы для объединения коллектива пониманием и ответственностью не только к своим знаниям, но и ответственностью к обучающимся. Примерив роль преподавателя на себя каждый сотрудник как показали наблюдения уже со следующего занятия демонстрирует большее прилежание, дисциплину и ответственность к обучению и освоению изучаемого материала.

Учитывая, что у людей разные интересы в области информационной безопасности, и что каждая тема будет обсуждаться только в течение ограниченного периода времени, прежде чем перейти к следующему, сборник тем, охватываемых программой поэтапного обучения, может получить более широкую привлекательность, чем разовое мероприятие. Тщательный дизайн материалов для каждой темы также помогает, особенно для конкретных групп аудитории в рамках всей организации. Уже упомянули персонал, менеджеров и ИТ‑специалистов, но по некоторым темам аудитория часто бывает более узкой (например, администраторы залов, охранники, личные помощники / секретари, персонал службы поддержки и агенты по обслуживанию клиентов обычно играют важную роль в выявление и отражение обычных атак социальной инженерии).

Подход поэтапного обучения имеет еще одно более тонкое преимущество по сравнению с традиционным мероприятием при единичном обучении, а именно то, что рассматриваемые темы не обязательно должны быть полностью заранее определены за несколько месяцев. Имея достаточные ресурсы под рукой (скорее всего, с помощью функциональных экспертов из учебных заведений, сотрудников, специалистов по персоналу, юриспруденции, ИТ, рискам, нормативно-правовому обеспечению, физической безопасности / безопасности на местах и других отделов), вполне возможно исследовать и разрабатывать информационные материалы для новых тем по одной, параллельно с обучением по предыдущих тем. Таким образом, программа может быть динамичной и быстро реагировать на новые риски информационной безопасности по мере их появления. Более того, общая программа более согласованная. Фундаментальные концепции информационной безопасности и конфиденциальности (такие как необходимость защиты конфиденциальности, целостности и доступности информации) неизбежно образуют продольные логические связи, связывающие все темы в единое целое, подкрепляемое фирменным знаком программных материалов.

В условия сложной экономической ситуации любая программа обучения должна оправдывать свое существование, в идеале путем предоставления очевидных преимуществ для бизнеса, которые явно перевешивают затраты. Несмотря на то, что общие затраты на программу поэтапного обучения о информационной безопасности могут соответствовать и, возможно, превышать затраты на однократный подход, она может принести значительно большие выгоды. Ключ к доказательству этого руководству кроется в возможности измерений эффективности обучения, в возможности применения метрик пространства знаний. Метрики - это одна из самых сложных областей информационной безопасности, но даже в этом случае гибкий подход предлагает частичное решение. Поскольку все темы информированности, скорее всего, будут касаться управления, у специалистов по информационной безопасности это возможность предложить и обсудить возможные метрики, связанные с темой, или, по крайней мере, открыть диалог как часть самой программы информирования.

Знание основ информационной безопасности - это связующее, которое объединяет всю систему управления информационной безопасностью и прочно закрепляет безопасность в сознании сотрудников. Сочетание инновационных проектов программ повышения квалификации (таких как поэтапный подход, описанный ранее) с творческими и привлекательными материалами для повышения осведомленности позволяет создать и поддерживать глубоко укоренившуюся, широко распространенную и долгосрочную культуру безопасности в организация. Объясняя широкий спектр вопросов безопасности в последовательном и привлекательном стиле, информируя и призывая всех в организации к информационной грамотности, постепенно превращает информационную безопасность в неотъемлемую часть корпоративной культуры, и, что самое главное, она может помочь продемонстрировать и действительно максимизировать прибыль от бизнеса и важность для этого информационной безопасности.