Безопасность — слишком сложная тема? Или мы просто не умеем работать с вовлеченностью?

Иногда я думаю: а может быть, информационная безопасность просто слишком сложная тема, чтобы её можно было по-настоящему интересно подать? Или дело не в сложности, а в том, что мы недооцениваем саму задачу?

Что знает о безопасности человек вне крупной компании?

Скорее всего, обрывки новостей о мошенниках и истории о том, как кто-то потерял деньги или данные. Это пугает, но редко формирует устойчивый интерес. Чаще включается психозащита: «со мной такого не случится».

А что в корпоративной среде?

Тут всё серьёзно: курсы назначаются, тесты проверяются, фишинг-симуляции проводятся. Формально процесс выстроен. Но почему тогда у части сотрудников это вызывает усталость или сопротивление?

Наверно потому, что повышение осведомлённости часто выглядит как административная функция: назначили → напомнили → проконтролировали. И круг замкнулся.

В других сферах давно понимают, что клиента нужно не только привлекать, но и удерживать. В безопасности же иногда всё ещё живёт ожидание, что наличие правил и определённых рычагов воздействия само по себе сформирует внимательное отношение людей к теме.

Но это не так. Сотрудник — это внутренний клиент.

Моя задача как специалиста в этой сфере — не сделать так, чтобы люди запомнили миллион разновидностей схем обмана или все возможные признаки фишинга. Моя задача — сформировать привычку мыслить критически, сомневаться и задавать вопросы.

Однако “продавать” привычку критически мыслить — не то же самое, что продавать курс о том, как заработать миллион за пару дней или как удачно выйти замуж. Это больше похоже на задачу стоматологов, которые стараются привить пациентам привычку регулярно и правильно чистить зубы.

Все знают, что это нужно. Но сколько людей действительно следуют рекомендациям стоматолога: чистят зубы по две минуты два раза в день, пользуются зубной нитью и ходят на профгигиену каждые полгода?

Эти задачи похожи тем, что их ценность часто становится очевидной только после инцидента — будь то зубная боль или потеря данных и денег. Пока ничего не произошло, человеку сложно придать значимость профилактике.

И поэтому надеяться, что люди «и так знают», что безопасность важна и будут соблюдать правила, — не работает.

Привычку критически мыслить, как и привычку заботиться о здоровье, нужно не навязывать, а создавать. Её нужно «продавать» — в хорошем смысле этого слова.

И, возможно, главная сложность не в том, что тема скучная. А в том, что решать стратегическую задачу тактическими инструментами — не самая эффективная стратегия.