Начинать стоит не с лекции, а с замера: провести учебную рассылку и посмотреть, сколько человек перешли по ссылке и сколько сообщили о письме. Затем — короткие письменные правила на одну страницу, занятия по пятнадцать минут для каждой роли и повторный замер через квартал. Так у обучения появляется цифра, по которой видно, работает оно или нет.
Коротко
Первый цикл укладывается в три месяца и не требует ни отдельного бюджета, ни платформы. Задача цикла — не «обучить всех», а получить исходную точку и закрыть самые дорогие сценарии.
Ответственным назначают не системного администратора, а руководителя, который может собрать людей и настоять на регулярности. Технические настройки при этом остаются за IT.
Атака на человека не требует ни поиска уязвимости, ни обхода защиты: хватает убедительного письма и повода поторопиться. Поэтому фишинг остаётся самым массовым видом мошенничества, а его продолжение — подделка деловой переписки — самым дорогим.
Сопоставление этих чисел объясняет, зачем нужно обучение. Прямые потери от самого фишинга невелики — в отчёте FBI за 2025 год это около 216 млн $ при почти двухстах тысячах обращений. Дорого стоит то, что идёт следом: подделка деловой переписки и перевод денег «по распоряжению руководителя» унесли в четырнадцать раз больше.
Отсюда и приоритет: учить в первую очередь тех, кто работает с деньгами и внешней перепиской, — бухгалтерию, продажи, закупки, руководителей и их помощников. IT-команде нужна своя, более глубокая программа.
Фишинг — письма и сообщения, которые маскируются под настоящие: банк, налоговая, коллега, руководитель, площадка объявлений. Цель одна — заставить перейти по ссылке, открыть файл или ввести данные. Признаки почти всегда одни и те же.
Единственное правило, которое закрывает большинство сценариев: любой нестандартный запрос про деньги, пароли и доступы проверяется по независимому каналу — звонком на известный номер, а не ответом на письмо. Технические настройки почтового домена, которые мешают подделывать письма от вашего имени, разобраны в статье о проектировании защиты информации.
Приёмы меняются быстрее, чем обновляются учебные материалы. К классическому письму добавились сценарии, которые старые памятки не описывают, — и о них команда должна знать отдельно.
Голосовые сообщения и звонки, сгенерированные ИИ. ФБР в предупреждении от 19 декабря 2025 года описывает схему, в которой злоумышленники рассылают текстовые и голосовые сообщения от имени известных людей, быстро переводят разговор в защищённый мессенджер, а затем просят код подтверждения, копии документов или перевод денег. Признаки те же, что и в письме: спешка, смена канала, просьба о коде.
QR-фишинг. Код в письме или на бумажке уводит человека на телефон, где нет корпоративной защиты и хуже видно адрес сайта. По данным Microsoft, за первый квартал 2026 года число таких атак выросло с 7,6 млн в январе до 18,7 млн в марте.
Украденные и подобранные учётные данные остаются одним из основных способов входа: в Verizon DBIR 2026 злоупотребление учётными данными — первичный вектор в 13 % утечек, сразу после эксплуатации уязвимостей. Отдельная лекция про «сложные пароли» эту проблему не решает: решают инструменты и правила.
Менеджер паролей заодно решает половину учебной задачи: он не подставит сохранённый пароль на поддельном сайте, потому что адрес не совпадает. Сотруднику не нужно быть экспертом, чтобы заметить подмену.
Одинаковая программа для всех не работает: у бухгалтера и у разработчика разные риски и разные сценарии атак. Разумный минимум — четыре роли и разная частота занятий.
| Роль | Главные риски | Темы | Как часто |
|---|---|---|---|
| Бухгалтерия и финансы | Подделка счетов, смена реквизитов, «срочный платёж от директора» | Проверка платежей по второму каналу, признаки поддельных писем, порядок при сомнении | Раз в квартал |
| Продажи и работа с клиентами | Фишинг с площадок и из мессенджеров, выгрузка клиентской базы, вложения от «клиентов» | Работа с вложениями и ссылками, правила выгрузки данных, что делать с подозрительным заказом | Раз в квартал |
| Руководители и помощники | Подмена личности, дипфейки, запросы доступа от имени руководства | Проверка личности собеседника, смена канала связи, что нельзя подтверждать в переписке | Дважды в год |
| IT и разработка | Доступы администратора, ключи и токены в коде, цепочка поставки | Безопасная разработка, хранение секретов, реагирование на инцидент, разбор прав | Дважды в год, плюс разбор каждого инцидента |
Новые сотрудники проходят базовую часть в первую неделю работы. Этот пункт проще всего забыть и дороже всего потерять: человек без правил опаснее не потому, что неосторожен, а потому, что не знает, кому сообщить.
Учебная фишинговая рассылка — это письмо, которое вы отправляете своим же сотрудникам, чтобы измерить реакцию. Инструмент полезный, но при небрежной постановке он портит отношения в команде и создаёт новый риск.
Требование к данным задаёт и закон: статья 19 Закона «О персональных данных» № ЗРУ-547 требует, чтобы объём и характер обрабатываемых данных соответствовали целям обработки. Для учебной рассылки цель — измерить реакцию, и введённый пароль для этого не нужен.
Важно Если сотрудник уже перешёл по ссылке или ввёл пароль, он должен сообщить об этом в первые минуты: сменить пароль, отключить устройство от сети и написать ответственному. Скорость важнее поиска виноватого — там, где за инцидент наказывают, о нём просто перестают рассказывать.
Работу обучения меряют не числом проведённых часов, а поведением в момент атаки. Достаточно четырёх-пяти чисел, которые считают одинаково от квартала к кварталу.
Подход, при котором обучение выстроено как постоянная программа с ролями, планом и оценкой результата, описан в NIST SP 800-50 Rev. 1. Отдельная лекция раз в год под это описание не подходит: навык распознавания атак угасает без практики, а приёмы меняются каждые несколько месяцев.
Результаты рассылки — это не оценка людей, а вход в реестр рисков: где именно обучение не закрывает сценарий и какую техническую меру нужно добавить. Рост доли сообщивших без технических изменений упирается в потолок.
Как переводить такие наблюдения в приоритеты и сроки, разобрано в статье о рисках информационной безопасности, а что делать, если утечка уже произошла, — в материале об утечке персональных данных. Роли, политику и регулярность занятий обычно закрепляют документами системы управления безопасностью: об этом — в статье о внедрении СУИБ.
Отдельной услуги «обучение сотрудников» или «фишинговые учения» с собственной ценой у нас нет. Обучение входит в работы по защите данных и доступов — от 4 000 $, вместе с наведением порядка в правах, шифрованием, защитой почты от подделки и фишинга, резервным копированием и регламентами на случай инцидента.
Если непонятно, с чего начинать, разумнее сначала заказать аудит информационной безопасности — от 1 200 $. Он показывает, у кого какие доступы, что происходит при увольнении сотрудника и какие сценарии атак для вашей компании реальны; из этого и собирается программа занятий. Наблюдение за событиями и реагирование по согласованному регламенту — от 800 $ в месяц. Состав работ — на странице кибербезопасности для бизнеса.
Мы не продаём отдельную платформу для рассылок и не считаем обучение заменой технической защиты. Оно работает в паре с ней: второй фактор снижает цену ошибки, а обученный сотрудник сокращает время до сигнала о том, что что-то пошло не так.
Обсудим вашу задачу
Расскажите, что нужно сделать, — оценим сроки и стоимость и предложим решение.
Раз в год мало: навык угасает без практики, а приёмы меняются каждые несколько месяцев. Бухгалтерии и продажам — занятия раз в квартал, руководителям с помощниками и IT — дважды в год, новичкам — базовая часть в первую неделю работы.
Всех, но по-разному. Мишень социальной инженерии — обычно не IT-специалисты, а бухгалтерия, продажи, закупки и помощники руководителей: у них есть доступ к деньгам и к внешней переписке. IT-команде нужна своя программа: доступы администратора, хранение ключей, реагирование на инцидент.
Сообщить ответственному в первые минуты, сменить пароль и отключить устройство от сети. Дальше проверяют журналы входов, правила пересылки почты и активные сессии. Скорость реакции важнее поиска виноватого: чем раньше известно об инциденте, тем меньше ущерб.
Согласовать её с руководством письменно, заранее предупредить команду, что такие проверки бывают, и не собирать реальные пароли: статья 19 закона № ЗРУ-547 требует, чтобы объём данных соответствовал цели, а цель здесь — измерить реакцию. Результаты сводят по отделам, без списка фамилий.
Для первого цикла нет. Достаточно почтового ящика, простой страницы-заглушки и таблицы с двумя числами: сколько перешли и сколько сообщили. Платформа окупается позже, когда сотрудников много, сценариев несколько и нужна автоматическая отчётность по отделам.
По динамике четырёх чисел от квартала к кварталу: доля перешедших по ссылке, доля сообщивших о письме, время до первого сообщения и доля тех, кто заполнил поддельную форму. Рост доли сообщивших — более надёжный признак, чем снижение числа переходов.
Отдельной цены на обучение у нас нет: оно входит в работы по защите данных и доступов — от 4 000 $. Если неясно, с чего начинать, сначала делают аудит информационной безопасности от 1 200 $: он показывает реальные сценарии атак для вашей компании, и из них собирается программа занятий.
Источники
