Бизнес
Как защитить сотрудников от социальной инженерии
Короткий ответ
Риск снижают три вещи: письменная процедура подтверждения платежей и доступов, право сотрудника остановиться без последствий и регулярная короткая практика на реальных сценариях. Технические меры нужны, но они не отменяют человеческого решения — именно его и атакуют.
Почему это важно
В большинстве инцидентов сотрудник действовал добросовестно: он спешил помочь руководителю или клиенту. Наказание за такую ошибку приводит к тому, что следующий инцидент компания узнает поздно. Поэтому awareness — это не лекция, а изменение того, что считается нормальным поведением.
Реальный сценарий
Как это выглядит изнутри
Бухгалтер получает письмо от «директора» с новыми реквизитами постоянного поставщика и просьбой ускорить платёж. Домен отправителя отличается одной буквой. Проверка заняла бы минуту, но в письме сказано, что директор на переговорах и недоступен — именно это и есть атака.
Признаки
- Смена реквизитов приходит по почте или в мессенджере.
- Просьба обойти согласование ради срочности.
- Отправитель недоступен для проверки «по объективной причине».
- Запрос конфиденциальности внутри компании.
- Контакт приходит от нового лица со ссылкой на руководство.
Что делать
- Введите правило: смена реквизитов подтверждается голосом по известному номеру.
- Опишите короткую процедуру для срочных случаев — она должна быть быстрее обхода.
- Отмените наказание за сообщение об ошибке.
- Проводите разборы реальных попыток раз в месяц, 15 минут.
- Измеряйте не «прошёл курс», а скорость и число сообщений о подозрительном.
Мнение эксперта
Когда компания приходит после инцидента, мы почти всегда находим человека, который заметил странность и промолчал. Вопрос не в его квалификации, а в том, что сообщать было неудобно или страшно. Это меняется быстрее, чем кажется, и стоит дешевле любого технического решения.
Частые вопросы
Помогают ли учебные фишинговые рассылки?
Помогают, если по итогам не наказывают, а разбирают. Иначе люди учатся прятать ошибки, а не сообщать о них.
Сколько времени занимает программа?
Базовый эффект дают короткие регулярные форматы: 15–30 минут в месяц с разбором своих же случаев.
С чего начать, если бюджета нет?
С письменной процедуры подтверждения платежей и правила «сообщил — молодец». Это бесплатно и снимает значительную часть риска.