Финансовый сектор остаётся в тройке самых атакуемых хакерами отраслей экономики. В 2024 году на него пришлось около 17% всех кибератак — более 20 000 инцидентов. Чаще всего атаковали сотрудников и контрагентов банков, чтобы получить доступ к инфраструктуре и базам данных.
Аналитики прогнозируют рост доли успешных кибератак на финансовые организации с 6% в 2024 году до 8–9% в 2025–2026 годах. Более того 75% атак уже в 2025 году, согласно исследованиям, будет с применением ИИ, к сожалению, к этой угрозе банки оказались не готовы в полной мере. На данный момент сохраняется актуальность минимизации рисков успешных атак и повышения устойчивости банков к киберугрозам за счёт комплексного подхода, частью которого является формирование киберкультуры и обучение сотрудников противодействию мошенникам.
Согласно исследованиям, по итогам 2024 года были выделены 3 основных метода атак на российские банки: социальная инженерия, распространение вредоносного программного обеспечения, эксплуатация уязвимостей в системах защиты.
Основные темы образовательных мероприятий для сотрудников банков:
- базовые принципы защиты информации,
- работа с конфиденциальными данными,
- основы фишинга и социальной инженерии,
- правила безопасной работы с электронной почтой и интернетом,
- алгоритмы действий при обнаружении мошенничества.
Рекомендации к организации обучения:
- интеграция с нормативными требованиями;
- учёт специфики банковской сферы;
- учёт уровня осведомлённости сотрудников по данной теме;
- персонализация под разные категории сотрудников;
- необходимость для всех сотрудников;
- регулярная основа;
- в основе – практико-ориентированный подход;
- актуализация в связи с появлением новых угроз.
Основные форматы: инструкции и памятки, курсы, семинары, вебинары, тренинги, кейс-чемпионаты, обучающие игры, симуляции жизненных ситуаций (киберучения) и т. п. Дополнительно можно использовать корпоративные каналы (рассылки, чат-боты, скринсейверы) для напоминаний о правилах безопасности и разборами реальных кейсов.
Например, у Сбербанка есть обязательная для всех сотрудников flash-игра «Агент кибербезопасности» (время прохождения — около 2 часов). Предпосылкой для её создания стал тот факт, что около 80% сотрудников Сбербанка открыли поддельное письмо от «Германа Грефа».
В 2020 году Банк России провёл первый курс по кибербезопасности, а в 2023-ем — «КиберКурс» для работников и руководство служб, отвечающих за информационную безопасность и риск-менеджмент.
Интерактивные мини-курсы об информационной безопасности для сотрудников банка «Санкт-Петербург» с теорией, упражнениями, тестами. Предпосылкой для их создания стало понимание неэффективности презентации с набор правил.
Мобильное обучение для банка «Открытие» сотрудники оценили на 4,8 из 5. Формат актуальный — микрообучение.
Этапы работы в данном направлении:
- Определение основных угроз, с которыми сталкивается организация и оценка уровня рисков для различных категорий сотрудников;
- Разработка и внедрение внутренних документов, закрепляющих правила работы с информацией и порядок действий при инцидентах;
- Первичная диагностика для выявления уровня осведомлённости сотрудников о мошеннических действиях посредством проведения симуляции фишинговой атаки / социальной инженерии;
- Разработка персонализированных образовательных мероприятий и назначение их сотрудникам. Проведение обучения;
- Анализ результатов и формирование отчётности для руководства. Предоставление обратной связи и поддержка сотрудников по результатам обучения;
- Регулярное обновление контента и форматов образовательных мероприятий на соответствие актуальности.
Хочется отметить, что банки внедряют обучение кибербезопасности многопланово. Не только организуют обучение для сотрудников по противодействию мошенникам, но и реализуют совместно с вузами следующие инициативы: например, запускают магистерские программы по информационной безопасности для подготовки специалистов финансовой сферы; примером может послужить Банк России и НИУ ВШЭ и их совместная новая образовательная программа «Информационная безопасность в кредитно-финансовой сфере». Похожие решения внедряет и «Альфа-банк». А ещё банки информируют клиентов самого разного возраста через приложения, соцсети и иными способами о мошенниках и о том, как не попасться на их уловки. Для банков, где ставки особенно высоки, такой подход — не затраты, а инвестиции в репутацию и финансовую устойчивость.
Автор: Татьяна Буторина, эксперт в области ИИ компании «Газинформсервис»
Оригинал публикации на сайте CISOCLUB: "Как проводить обучение сотрудников банка основам защиты от фишинга и социальной инженерии".
Смотреть публикации по категориям: Новости | Мероприятия | Статьи | Обзоры | Отчеты | Интервью | Видео | Обучение | Вакансии | Утечки | Уязвимости | Сравнения | Дайджесты | Прочее.
Подписывайтесь на нас: VK | Rutube | Telegram | Дзен | YouTube | X.