Стратегия киберкультуры v.1.1

Введение
Глобализация и стремительное развитие информационных технологий привели к тому, что формирование киберкультуры стало одной из ключевых задач для всех уровней — от руководства компаний до рядовых сотрудников. Современные вызовы в области киберугроз требуют от организаций внимательного подхода к формированию культуры безопасности и осведомленности среди сотрудников. Киберкультура также служит связующим элементом между поколениями, позволяя учитывать их различия в восприятии цифровой среды и объединяя сотрудников вокруг общих ценностей безопасности. 
Совокупное количество персональных данных, скомпрометированных в результате внешних и внутренних утечек, в 2023 году достигло 47,24 млрд записей, тогда как в 2016 году этот показатель составлял всего 4,01 млрд записей, что подчеркивает стремительный рост угроз. В 2023 году стоимость утечки данных достигла нового максимума по всему миру: средняя стоимость утечки данных выросла до 4,45 млн долларов, среднее количество времени на обнаружение инцидента составило 204 дня, а средний ущерб от одной потерянной записи увеличился до 165 долларов.* Причиной 88 % кибератак и утечек данных является человеческий фактор.** Эти данные говорят о необходимости усиления мер защиты данных и повышения уровня киберкультуры среди всех сотрудников организаций. 
Современные компании всё чаще сталкиваются с вызовами кибербезопасности. Согласно данным Fortinet 2024 Security Awareness и Training Global Research Report, почти 70 % руководителей считают, что их сотрудники не обладают критически важными знаниями в этой области — серьёзный рост по сравнению с 56 % в 2023 году. Свыше 80 % организаций за последний год стали жертвами целенаправленных кибератак, таких как фишинг и вредоносное ПО. С каждым годом зависимость от цифровых технологий увеличивается, что делает создание киберкультуры необходимым элементом устойчивости организаций. Под киберкультурой подразумевается совокупность норм, убеждений, ценностей, взглядов и предположений, которые являются неотъемлемой частью повседневной деятельности организаций и находят свое отражение в действиях всех подразделений и персонала данных организаций. Стратегия киберкультуры для организации направлена на формирование осознанного и ответственного поведения в цифровом пространстве, повышение уровня киберграмотности и создание безопасной цифровой среды для всех сотрудников. Важным элементом стратегии является вовлечение топ-менеджмента в учет киберрисков и принятие на основе этого решений для защиты организации. 
Повышение уровня киберкультуры среди сотрудников организаций является одной из основополагающих задач стратегии. Это включает не только базовое обучение правилам безопасного использования интернет-ресурсов, но и более углубленные знания о защите данных, методах предотвращения фишинговых атак и распознавании киберугроз. Реализация стратегии будет способствовать формированию устойчивых навыков, которые необходимы для защиты информации в повседневной работе сотрудников, а также подготовит их к кризисным ситуациям и действиям в случае киберчрезвычайных ситуаций, обеспечивая оперативное реагирование. 
*Утечки информации в мире, 2022-2023 годы 
**Исследование Стэнфордского университета и компании Tessian 

Сроки реализации проекта
Реализация стратегии киберкультуры организации рассчитана на период 5 лет. Этот период охватывает все этапы внедрения и совершенствования культуры среди сотрудников и подразделений. В зависимости от доступных ресурсов и приоритетов компании программа может быть сокращена до 1,5-3 лет, с акцентом на ключевые направления и ускоренную реализацию мероприятий. 

Создание материалов по киберкультуре для повышения осведомленности среди топ-менеджеров

Обучение и просвещение топ-менеджеров в области киберкультуры 

Разработка обучающих материалов для топ-менеджеров 

Мониторинг и оценка эффективности программ повышения киберкультур

Создание информационных материалов по киберкультуре для сотрудников 

Обучение сотрудников организации в области киберкультуры 

Внедрение платформы по повышению осведомлённости сотрудников в области информационной безопасности для имитации фишинговых атак, обучения, сбора статистики 

Разработка обучающих модулей, курсов и фишинговых шаблонов для различных групп сотрудников организаций 

Мониторинг и оценка эффективности программ повышения киберкультуры 

Разработка специализированных информационных материалов для специалистов ИБ

Обучение и просвещение специалистов ИБ 

Внедрение платформы по повышению осведомленности сотрудников в области информационной безопасности для имитации фишинговых атак, сбора статистики 

Разработка обучающих фишинговых шаблонов для специалистов ИБ 

Мониторинг и оценка эффективности программ повышения киберкультуры 

Создание информационных материалов и организация мероприятий для повышения киберкультуры среди технических специалистов 

Обучение и просвещение технических специалистов в области киберкультуры 

Внедрение платформы по повышению осведомленности сотрудников в области информационной безопасности для имитации фишинговых атак, обучения и сбора статистики 
Обеспечение доступа к платформе и технической поддержки:

Разработка обучающих модулей и фишинговых сценариев для технических специалистов 

Мониторинг и оценка эффективности киберпрограмм 

Метрики
Для эффективного управления киберкультурой среди целевых групп важно иметь четкое представление о том, как данные группы воспринимают и применяют полученные знания и навыки. Были выделены ключевые метрики, которые помогут оценить уровень подготовки и вовлеченности целевых групп в области киберкультуры: 

1.1 Критерии знаний:

1.2 Критерий удовлетворенности:

1.3 Критерий вовлеченности:

1.4 Критерий успешности информационных материалов:

2.1. Критерии знаний:

2.2 Критерии поведения:

2.3 Критерий уязвимости сотрудника компании:

2.4 Критерий удовлетворенности:

2.5 Критерий осведомленности:

2.6 Критерий вовлеченности:

2.7 Критерий успешности информационных материалов:

2.8 Критерий плагина для почты:

3.1. Критерии знаний:

3.2 Критерии поведения:

3.3 Критерии уязвимости специалиста ИБ:

3.4 Критерии удовлетворенности:

3.5 Критерии осведомленности:

3.6 Критерии вовлеченности:

3.7 Критерии успешности информационных материалов:

4.1. Критерии знаний: 

4.2 Критерии поведения: 

4.3 Критерии уязвимости технического специалиста: 

4.4 Критерии удовлетворенности: 

4.5 Критерии осведомленности:

4.6 Критерии вовлеченности:

4.7 Критерии успешности информационных материалов:

4.8 Критерии плагина для почты:

Риски и вызовы
Реализация стратегии киберкультуры для организации может столкнуться с рядом рисков и вызовов, которые могут повлиять на её успешное внедрение и достижение целей. В условиях быстрого развития цифровых технологий и увеличения числа кибератак важно учитывать потенциальные препятствия, которые могут замедлить создание безопасной цифровой среды внутри компании.