Онбординг по ИБ: от подписи к поведению

Новые сотрудники - одно из самых уязвимых звеньев в системе безопасности. Но уязвимость здесь не в том, что человек плохой или невнимательный. Уязвимость в том, что никто не объяснил, как здесь принято работать с точки зрения безопасности.

Именно для этого нужен онбординг. Не как формальность - а как критичный момент формирования установок, которые определят поведение сотрудника на годы вперед.

Исследователь корпоративной безопасности Кев Бёрнс сформировал ключевой тезис: «Культура безопасности живет или умирает в первые 90 дней» В этот период сотрудник решает для себя не "что написано", а как здесь действительно работают. При этом, как мы говорили ранее, главным учителем становится не служба ИБ, а непосредственный руководитель - именно он транслирует, насколько безопасность действительно важна в повседневной работе.

Если руководитель демонстрирует серьезное отношение к безопасности - сотрудник перенимает этот паттерн. Если же обходит правила - то сотрудник делает тот же вывод. Мгновенно и навсегда.

Еще в 1885 году немецкий психолог Герман Эббингауз экспериментально показал, что человек забывает 60% полученной информации в течении первого часа. Через 10 часов в памяти остается 35%, а через шесть дней - лишь 20%.

Вывод прямой: если знакомство с безопасностью ограничивается инструктажем в первый день и ежегодным курсом, к моменту реального инцидента сотрудник не помнит практически ничего из того, чему его учили. Разовое обучение не работает - нужен процесс.

Как выглядит рабочий онбординг? Структурированный процесс минимум на 90 дней. Структурно онбординг можно разделить на 5 фаз:

0️⃣ Пребординг Процедура подготовки первичных доступов и рабочей техники с заранее подготовленными механизмами защиты.

1️⃣****Первая неделя - закладка фундамента Первая неделя - это не момент для прочтения 50 страниц политик. Это момент для формирования трех ключевых установок: 🔹 Безопасность здесь воспринимается серьезно. 🔹 Ошибка - это не катастрофа. 🔹 Есть к кому обратиться.

2️⃣ Первый месяц - ролевая релевантность Универсальный курс "про всё" - это курс ни про что. Многие отраслевые стандарты прямо требуют ролевого обучения по безопасности.

3️⃣ Второй месяц - практика и закрепление На данном этапе обучения переходит от теории к практике: 🔹 Фишинговые симуляции. 🔹 Участие в разборе реального или учебного инцидента. 🔹 Короткие интерактивные модули по конкретным темам. 🔹 Регулярные встречи с наставником по безопасности.

4️⃣ Третий месяц - автономия и интеграция К концу третьего месяца сотрудник должен демонстрировать самостоятельное безопасное поведение: 🔹 Самостоятельно сообщать о подозрительной активности. 🔹 Способность без страха задавать вопросы по безопасности и т.п.

Типичные ошибки при онбординге Самыми распространенными ошибками при организации онбординга ИБ являются: 🔹 Информационная перегрузка в первый день. Попытка уместить все обучение в один день приводит к когнитивной перегрузке и минимальному усвоению. 🔹 Шаблонные учетные записи и пароли. Использование стандартных учетных данных создает немедленную уязвимость. 🔹 Отсутствие ролевой релевантности. Универсальное обучение не учитывает специфические угрозы для разных ролей. 🔹 Карательный подход. Наказание за ошибки при симуляциях повышает уровень стресса и снижает уверенность сотрудников, подрывая психологическую безопасность, необходимую для открытого сообщения об инцидентах. 🔹 Отсутствие повторения. Разовое обучение забывается в течение месяца. 🔹 Отсутствие обратной связи. Сотрудники, которые сообщают об угрозах и не получают обратной связи, перестают сообщать.

Онбординг по ИБ - это не про подписанные политики и инструкции. Это про то, чтобы в первые 90 дней сотрудник понял: любая аномалия важна, сообщить - правильно, его здесь не накажут за честность. Сотрудник, который это понял - живой сенсор безопасности внутри организации. Подписывайтесь на мой канал в MAX