SANS опубликовал ежегодное исследование, посвященное повышению осведомленности и культуре кибербезопасности внутри организаций.

Пожалуй, главное изменение по сравнению с отчетом прошлого года – это взрывной рост риска, связанного с ненадлежащим использованием ИИ-инструментов, что подтверждается вторым местом в топе человеческих рисков.
Правда, в исследовании подчеркивается, что ИИ не только новый вектор атак, но и мощный инструмент для специалистов по повышению осведомленности.
ИИ-инструменты используются в следующих направлениях:
1️⃣Создание обучающего контента – быстрое создание понятной инфографики и видеороликов.
2️⃣Геймификация обучения – можно навайбкодить интерактивные и игровые учебные курсы/игры.
3️⃣Упрощение политик ИБ – можно перевести внутренние документы на доступный язык или сделать краткие чеклисты и инфографику.
4️⃣Опросы и оценка знаний – разработка тестов, проведение исследований и автоматизация подсчета метрик и иной аналитики.
5️⃣Бизнес-кейсы – помогает подготовить обоснование для руководства, переводя на понятный им язык финансов.

Среди ключевых выводов выделяют следующие:
➡️Работа специалиста по повышению осведомленности в области ИБ заключается не в обучении людей безопасности, а в том, чтобы обучать ИБ-команду пониманию людей.
➡️Программы поощрения сотрудников (за правильное поведение) работают гораздо лучше, чем наказания или публичное порицание за ошибки.
➡️Первые три месяца (на новом месте работы) следует потратить на изучение культуры организации и болей сотрудников, а не на запуск обучения.
➡️Безопасность нужно "продавать", объясняя сотрудникам личную выгоду и упрощая правила.
➡️Полноценное изменение культуры невозможно силами одного специалиста – необходимо заручаться поддержкой коллег из различных подразделений и уровней.
➡️Чтобы достичь высшего уровня зрелости программы повышения осведомленности рекомендуется иметь как минимум одного специалиста по "человеческому фактору" на каждые десять технических специалистов по ИБ.

#sans #awareness #culture #ai