​​Почему люди не хотят учиться информационной безопасности и почему все обучение по охране труда и другим жизненно важным темам не воспринимают серьезно?

Записали инсайты после эфира

Эфир провели:
- Елена Тихомирова
- Сергей Снегирев
- Вячеслав Борилин


Инвестиции в обучение безопасности оправданы с точки зрения бизнеса, практика показывает, что они возвращаются.

Однако людей заставляют учиться кибербезопасности: в большинстве случаев сами, по доброй воле они не стали бы его проходить.
Почему так? Почему обучение нужно навязывать, почему нужно заставлять?

Можно ли сделать обучение информационной безопасности интересным и мотивирующим? Если да, то как?

Вячеслав Борилин рассказал о своем опыте создания и проведения обучения, в результате которого люди, изначально настроенные весьма скептически, пришедшие на тренинг “отсидеть” положенное время, выходили из аудитории и начинали сразу же применять изученное не только в работе, но и в личной жизни, более того, они становились амбассадорами обучения и рекомендовали его пройти своим коллегам.

Вот что было сделано.

1.
Все понимают, что есть хакеры и мошенники, а учиться от них защищаться не хотят. Почему? Стали разбираться.
Выяснили, какие у людей есть убеждения по поводу хакеров:
- “Это компьютерные гении”.
- “Я не смогу защититься: их схемы технически сложные, я все равно не смогу их ни понять, ни следить за “обновлениями”. Есть умные люди, которые на это способны - пусть они решают”.
- “Мне не нужно защищаться, потому что я не их цель - у меня нечего забрать”.

2.
Мы поставили своей задачей рефреймить эти убеждения, изменить их на другие, более соответствующие действительности:
- Основная доля хакеров - это мелкие мошенники. Основной фактор их успеха - простые механизмы, которые рассчитаны на невнимательность человека: фишинг письма, ссылки.
- Хакеры используют массовые механизмы: не украсть миллион из одного источника, а собрать миллион за счет массовых небольших операций, поэтому любой человек - их потенциальная цель.
- Для запуска технической схемы обмана требуется действие со стороны пользователя. Очень маленькое простое действие, которое обычно мы совершаем по невнимательности. И мы можем его не сделать. Это доступно каждому, не нужно быть IT-специалистом. Если мы будем внимательны и будем знать, на что обратить внимание, по какой ссылке не переходить, какие письма не открывать, вся схема просто не запустится, какой бы хитрой она ни была. Самое обидное во всем этом, что мы сами одним простым маленьким действием запускаем их цепочку.

3.
Убеждения мы можем не осознавать, но они сильно определяют поведение и мотивацию. Скрытые установки нужно вербализировать и понять, что они нормальные. Нужно их легализовать. Люди, которые их имеют, - не плохие. Это нормально так думать и иметь такие убеждения.

4.
Дальше нужно рефреймить убеждения. Мы в обучении переходим от убеждения “Хакер - умный, хитрый и непобедимый” к убеждению “Я могу не повестись, могу быть достаточно внимательным, чтобы не быть обманутым”. И только после этого показываем, какие действия нужно совершить или не совершить, на что обратить внимание.

5.
Нужно менять не поведение, а убеждения