Куда я попал?
Цель: повышение осведомленности персонала.
Проведение информационной рассылки является базовой мерой повышения осведомленности персонала в вопросах ИБ.
Ключевым недостатком информационной рассылки является то, что работники могут пренебрегать ее изучением. Чтобы снизить этот недостаток рассылку следует проводить в максимально дружественной к работнику форме, без бюрократизированных фраз, с картинками и цветовыми акцентами.
В рассылке следует чередовать вопросы корпоративной ИБ и личной безопасности работников (работа с банковскими мошенниками, защита личных устройств и домашнего ПК), чтобы повысить ее ценность для работников.
В случае появления инцидентов безопасности и иных событий в компании, которые можно разобрать в рассылке, это следует делать чтобы работники воспринимали вопросы ИБ как реальность а не абстрактные рекомендации. Например, рассылка о фишинговой атаке на компанию, статистика по взломанным паролям пользователей компании, по вирусным заражениям и их основным источникам.
В заметке к мере приведены примеры тем для информационных рассылок.
Инструкция
Проведение информационной рассылки является базовой мерой повышения осведомленности персонала в вопросах ИБ.
Ключевым недостатком информационной рассылки является то, что работники могут пренебрегать ее изучением. Чтобы снизить этот недостаток рассылку следует проводить в максимально дружественной к работнику форме, без бюрократизированных фраз, с картинками и цветовыми акцентами.
В рассылке следует чередовать вопросы корпоративной ИБ и личной безопасности работников (работа с банковскими мошенниками, защита личных устройств и домашнего ПК), чтобы повысить ее ценность для работников.
В случае появления инцидентов безопасности и иных событий в компании, которые можно разобрать в рассылке, это следует делать чтобы работники воспринимали вопросы ИБ как реальность а не абстрактные рекомендации. Например, рассылка о фишинговой атаке на компанию, статистика по взломанным паролям пользователей компании, по вирусным заражениям и их основным источникам.
В заметке к мере приведены примеры тем для информационных рассылок.
Инструкция
- Проработать тему новой рассылки с учетом:
- Тем предыдущих рассылок
- Произошедших инцидентов безопасности
- Ситуации в мире (громкие инциденты в отрасли и на рынке)
- Подготовить (написать) рассылку
- Разослать всем работникам
- По завершении задачи отразить тему проведенной рассылки в отчете
Рекомендации к заполнению карточки:
- В заметке к мере прикрепить шаблон информационного письма для рассылки;
- Создать шаблон регулярной задачи по проведению рассылки;
- В отчете по исполнению задач указывать название проведенной рассылки.
Область действия: Вся организация
Классификация
Тип
Организационная
?
Удерживающая
?
Реализация
Вручную
Периодичность
Еженедельно
Ответственный
Не определено
Инструменты
Не определено
Цепочка мер
Проведение рассылки по информационной безопасности
Предшествующие меры
| № | Этап -1 | ||||
|---|---|---|---|---|---|
| 1 | Обучение новых работников правилам информационной безопасности |
Исполнение требований
CIS Critical Security Controls v7.1 (SANS Top 20):
CSC 17.5
CSC 17.5 Train Workforce on Secure Authentication
Train workforce members on the importance of enabling and utilizing secure authentication.
Train workforce members on the importance of enabling and utilizing secure authentication.
CSC 19.6
CSC 19.6 Publish Information Regarding Reporting Computer Anomalies and Incidents
Publish information for all workforce members, regarding reporting computer anomalies and incidents, to the incident handling team. Such information should be included in routine employee awareness activities.
Publish information for all workforce members, regarding reporting computer anomalies and incidents, to the incident handling team. Such information should be included in routine employee awareness activities.
CSC 17.9
CSC 17.9 Train Workforce Members on Identifying and Reporting Incidents
Train workforce members to be able to identify the most common indicators of an incident and be able to report such an incident.
Train workforce members to be able to identify the most common indicators of an incident and be able to report such an incident.
CSC 17.1
CSC 17.1 Perform a Skills Gap Analysis
Perform a skills gap analysis to understand the skills and behaviors workforce members are not adhering to, using this information to build a baseline education roadmap.
Perform a skills gap analysis to understand the skills and behaviors workforce members are not adhering to, using this information to build a baseline education roadmap.
SWIFT Customer Security Controls Framework v2022:
7 - 7.2 Security Training and Awareness
7.2 Security Training and Awareness
Приказ ФСТЭК России № 31 от 14.03.2014 "Состав мер защиты информации и их базовые наборы для соответствующего класса защищенности автоматизированной системы управления":
ИПО.1
ИПО.1 Информирование персонала об угрозах безопасности информации и о правилах безопасной работы
Связанные риски
| Риск | Связи | |
|---|---|---|
|
Заражение вредоносным программным обеспечением из-за
реагирования на мошеннические, фишинговые письма и сообщения у работника
Доступность
Конфиденциальность
Отказ в обслуживании
Повышение привилегий
Раскрытие информации
Целостность
Искажение
|
2 |
Заметки
1