В конце квартала, когда отдел продаж закрывал отгрузки, а бухгалтерия собирала счета, сотрудникам небольшой оптовой компании пришло письмо от постоянного поставщика. В нём был счёт на оплату и просьба срочно подтвердить реквизиты, потому что «банк поменял форму». Письмо выглядело как десятки других: та же подпись, тот же логотип, та же манера писать «добрый день, коллеги». Несколько человек открыли вложение, а один перешёл на страницу, похожую на вход в корпоративную почту.

Это была не атака. Так Олег, руководитель ИТ, начал первую учебную рассылку, а Нина, директор по персоналу, помогла её согласовать. Олег собрал список перешедших и принёс его на совещание. Собственник помрачнел и решил лечить невнимательность дисциплиной: нескольких человек лишили квартальной премии, а Сергея из отдела продаж предупредили, что второй раз закончится хуже. Нина почувствовала неловкость, но решила, что хотя бы запомнят.

Через месяц пришло настоящее письмо. Почти такое же: поставщик, счёт, просьба срочно подтвердить реквизиты. Кто-то снова перешёл по ссылке и ввёл пароль, но в ИТ об этом никто не сообщил. Сергей заметил подозрительное письмо, удалил его и промолчал: после того совещания привлекать внимание было дороже, чем сделать вид, что ничего не было. Компания узнала об инциденте от клиента, которому пришёл счёт с изменёнными реквизитами, и к этому моменту прошло несколько дней.

Если пересказать историю одной фразой, получится: «сотрудники невнимательны». Но проверка показала не невнимательность, а то, что происходит с информацией, когда ошибка становится наказуемой: люди перестают ошибаться вслух. Компания заплатила за обучение дважды — сначала за имитацию, потом за молчание, которое превратило мелкий промах в инцидент. Цель обучения в безопасности состоит не в том, чтобы поймать человека на ошибке, а в том, чтобы сделать безопасное поведение обычным и выгодным.

Почему страх делает компанию слепой

Наказание действительно меняет поведение, но не так, как ожидают. После первого разбора сотрудники стали осторожнее с письмами — и одновременно осторожнее с правдой. Если клик приводит к лишению премии, разумный человек начинает избегать не фишинга, а улик: удаляет подозрительные письма, не пересылает их в ИТ, не задаёт вопросов на общих встречах. В следующей проверке нажатий может стать меньше, и отчёт будет выглядеть лучше. Только улучшится не защита, а способность людей не попадаться.

Из этого следует неприятный вывод: процент нажавших почти ничего не говорит о безопасности, пока мы не знаем, сколько людей сообщили о письме. Наказание учит не распознавать обман, а предсказывать последствия. Человек, который боится, не становится внимательнее — он становится скрытнее. А скрытность дороже ошибки: ошибку можно разобрать и закрыть, а о скрытой никто не узнает, пока её не заметит клиент или банк.

Но здесь возникает возражение: если не наказывать за клик, не расслабятся ли люди? Ответ зависит от того, что считать нарушением. Наказывать имеет смысл за сознательный обход правил: передачу данных постороннему или попытку скрыть инцидент. Клик по поддельному письму — не нарушение, а сигнал о том, что защита где-то не сработала: фильтр пропустил письмо, страница-двойник оказалась убедительной, у человека не было быстрого способа проверить отправителя. Наказывать за сигнал — значит гасить сигналы.

Обучение нужно не для того, чтобы человек знал, как выглядит фишинг, а чтобы в момент спешки у него был готовый ход. Техника закрывает известные шаблоны, но решение открыть письмо или ввести пароль принимает человек. В компании этот эффект проявился быстро: Сергей не был злоумышленником, но сделал то, что подсказывал страх, — спрятался.

Если бы он переслал письмо Олегу, тот успел бы заблокировать ссылку и сменить пароль. Но после совещания цена сообщения стала выше цены молчания, и пока это соотношение не изменится, люди будут вести себя рационально, а компания — терять время. А меняется оно не приказом, а тем, что люди ожидают увидеть после признания.

Что такое культура безопасности и почему её начинают с руководителей

Культуру безопасности часто описывают плакатами и лозунгами. Но на поведение влияет не то, что написано, а то, что человек ожидает после признания. Культура — это ответ на вопрос «что будет, если я скажу правду?». После первого совещания ответ был однозначным: тебя накажут. Поэтому люди выбрали молчание, и это было не глупостью, а точным расчётом.

Отсюда следует, что культура начинается не с сотрудников, а с руководителей. Если начальник отдела просит прислать пароль в мессенджер, если директор оплачивает счёт по фотографии из письма, если руководитель сам обходит процедуру, — никакое обучение не удержится. Взрослые учатся не по слайдам, а по тому, что делают люди, от которых зависит их работа. Требовать привычки, которую руководитель сам не соблюдает, можно только наказанием, а наказание мы уже разобрали.

В этой компании перелом начался с неудобного разговора. Нина предложила руководителям пройти имитацию первыми и рассказать сотрудникам, где они ошиблись. Собственник сопротивлялся: «зачем позориться перед подчинёнными». Но на встрече он признался, что год назад сам перешёл по письму о «налоговой задолженности» и никому не сказал, потому что было стыдно. После этого разговор о фишинге перестал быть разговором о чужих ошибках. Руководитель показал, что признание не разрушает репутацию, а делает её честнее.

Второе изменение касалось роли ИТ. Если сообщение о подозрительном письме приводит к допросу, кнопка не работает, сколько бы её ни рекламировали. Олег договорился с командой о простом правиле: на любое сообщение отвечают быстро, благодарят и говорят, чем всё закончилось. Даже если письмо оказалось безобидным, человек должен увидеть, что его бдительность была полезной, а не напрасной. Безопасность в этот момент перестаёт быть полицией и становится помощью — и именно тогда люди начинают обращаться.

Здесь легко возразить: «у нас не корпорация, нам некогда нянчиться». Но быстрый ответ на сообщение занимает меньше времени, чем разбор последствий: Олегу хватало нескольких минут, чтобы проверить ссылку, а когда инцидент случился, компания потратила дни на то, что можно было узнать в первый час. Культура — не дополнительная работа, а способ не делать дорогую работу дважды. Дальше встал вопрос: чему и на каких примерах учить.

Чему учить, чтобы это пригодилось в понедельник

Тем немного, и все они описывают ситуации, а не разделы науки. Самая частая начинается с письма или звонка с просьбой срочно открыть счёт, подтвердить вход или перевести деньги. Рядом стоит вход в системы: пароли, второй фактор, привычка не вводить код туда, где его просят. Дальше — данные: что и кому можно отправить, где они хранятся, что считается лишним. И последняя тема — сам инцидент: что делать в первые минуты, если ошибка уже произошла. Если учить только распознаванию писем, человек выучит признаки, но не научится действовать.

Выбирать темы стоит не по оглавлению курса, а по реальным рискам компании. Что приходит на почту, о чём просят клиенты, какие ошибки уже случались. Олег взял письма, которые сотрудники получали за год, обезличил их и собрал небольшой разбор: вот письмо от «поставщика» с изменёнными реквизитами, вот «руководитель» просит срочно купить подарочные карты, вот счёт, который пришёл не от того адреса. На таком материале видно не абстрактную угрозу, а собственную работу.

Есть и более важное правило: нельзя учить людей пользоваться тем, чего у них нет. Бессмысленно требовать уникальных паролей, если компания не дала менеджер паролей; бессмысленно учить сообщать о письмах, если кнопки нет или она спрятана; бессмысленно советовать проверять адрес отправителя, если почтовая программа показывает только имя. Обучение не заменяет инструмент, оно помогает им пользоваться. Поэтому программа начинается не со слайдов, а с проверки: что человеку нужно сделать в момент опасности и что ему для этого мешает.

Для каждой темы лучше выбрать одно действие, которое должно стать автоматическим. Для фишинга — сообщить, даже если сомневаешься; для паролей — открыть менеджер и включить второй фактор; для данных — проверить адресата и канал; для инцидента — остановиться и позвонить, а не чинить всё самому. Навык — это не список признаков, который нужно вспомнить под давлением, а готовый ход, который выполняется почти без раздумий. Признаки забываются, ход остаётся. Но одно дело — договориться, чему учить, и совсем другое — проверить это так, чтобы не разрушить доверие.

Как провести имитацию и не превратить её в суд

Первое, что стоит изменить в имитации, — её цель. Проверять нужно не людей, а цепочку: пройдёт ли письмо через фильтры, заметят ли его сотрудники, нажмут ли кнопку «сообщить», успеет ли ИТ отреагировать. Если цель — поймать, на выходе получится список имён. Если цель — проверить цепочку, на выходе получится несколько понятных улучшений: письмо слишком похоже на настоящее, кнопка неудобно расположена, ответ на сообщение идёт слишком долго. В первом случае вы становитесь судом, во втором — инженерами.

Согласие и приватность здесь не формальность, а условие честности. Сотрудники должны знать, что имитации проводятся, зачем они нужны, какие данные собираются, кто их видит и сколько они хранятся. Они не обязаны знать дату — иначе проверка теряет смысл, — но должны понимать правила игры. Собранные сведения лучше хранить обезличенно и показывать по подразделениям, а не по людям; не читать личные письма; не использовать результаты в оценке, премиях и кадровых решениях.

Важно. Имитация — это не экзамен. Если человек знает, что за клик последует наказание, он будет скрывать клик, а не учиться его распознавать.

Сценарии стоит выбирать по-человечески. Письмо о «перерасчёте зарплаты», «сокращении» или «проблемах со здоровьем» бьёт по тревоге, а не по навыку; проверка превращается в испытание страхом. Унижение запоминается лучше урока, но запоминается не то, чему вы учили. Поэтому в имитации не должно быть публичных списков, «доски позора», фальшивых уведомлений об увольнении и писем, которые заставляют переживать за семью. Достаточно правдоподобного рабочего сюжета, который не стыдно показать после.

Обратная связь — самая недооценённая часть. Если человек нажал и ничего не узнал, он не получил урока; если узнал только, что «провалился», — получил страх. Учебная страница не должна собирать настоящие пароли — достаточно зафиксировать переход.

После клика должна открываться страница, которая объясняет, что произошло, какие данные могли уйти и что делать сейчас. Тем, кто сообщил, нужно ответить быстро и по-человечески: сказать, что это была проверка, поблагодарить и объяснить, что в письме было странного. Разбор через несколько дней, без имён и без поиска виноватых, закрепляет навык лучше, чем выговор.

Кнопка «сообщить о подозрительном» вообще не работает отдельно от остального. Она должна быть в один клик, в почте и в рабочем мессенджере, и не требовать уверенности: «сомневаетесь — сообщайте». Если путь до кнопки длиннее, чем путь до удаления письма, люди выберут удаление. Если ответа нет или он приходит через день, люди решат, что тревога была напрасной. Кнопка — это не функция почты, а обещание компании: сообщение заметят, проверят и не накажут.

Во второй имитации, которую Нина и Олег провели в одном отделе, списка имён не было вообще. После клика открывалась короткая страница с разбором, а тем, кто сообщил, Олег в тот же день ответил лично. Нажатий меньше не стало, зато впервые в ИТ пришли письма от людей, которые раньше предпочли бы промолчать. Это и был настоящий результат: компания начала узнавать о проблемах раньше, чем их заметит клиент. Имитация — редкое событие, а привычка складывается из частых, поэтому следующий вопрос — не «как проверить», а «как повторять».

Почему короткие разговоры сильнее ежегодного курса

Ежегодный курс удобен прежде всего для отчёта. Его назначают, все проходят, галочка появляется, документ подшивается. Но у этой формы есть встроенный дефект: между курсом и реальным письмом проходит слишком много времени. К моменту, когда человеку нужно вспомнить признаки, он помнит только, что «где-то это было». Без практики знание не превращается в привычку.

Короткие форматы работают иначе. Это может быть разбор одного реального письма на пятиминутке в начале встречи или короткое сообщение в рабочем чате с вопросом «что здесь не так». Короткая встреча раз в месяц даёт больше, чем длинный курс раз в год: повторение возвращает навык в рабочий контекст. Лучше разобрать письмо, которое действительно пришло коллегам, чем посмотреть слайд о том, что фишинг бывает.

Новичкам нужно отдельное место в этой программе. Человек в первые недели не знает, «как у нас принято», и учится по тому, что видит: кто подписывает счёт и что делают с подозрительным письмом. Поэтому обучение стоит начинать до выдачи полных доступов — коротким разговором, а не длинным курсом, — и через несколько недель прислать первую учебную рассылку. Новый сотрудник должен услышать не «у нас за это наказывают», а «у нас принято спрашивать и сообщать».

Руководители тоже учатся отдельно, и не потому, что они важнее. Просто на них охотятся иначе: просят срочно оплатить, подтвердить договор, перевести деньги «от имени директора». Их поведение копируют: если руководитель проходит имитацию первым, рассказывает о своей ошибке и пользуется кнопкой, сотрудники получают разрешение делать то же самое. Если он говорит «у нас всё строго» и тут же просит прислать пароль в чат, программа заканчивается в этот момент.

Ежегодный курс держится ещё и потому, что его легко измерить. «Прошли обучение» — понятная цифра, которую можно показать руководству. Привычку измерить труднее, и здесь появляется соблазн вернуться к проценту нажавших. Но именно этот показатель опаснее всего: он зависит от страха, правдоподобности письма и разговоров людей между собой. Как только процент нажавших становится целью, у людей появляется простой способ его улучшить — не сообщать о кликах.

Поэтому измерять стоит другое. Главный показатель — время от получения подозрительного письма до первого сообщения: оно показывает, как быстро компания узнаёт о проблеме. Рядом стоят доля подтверждённых тревог, повторные ошибки после разбора, скорость ответа ИТ и число инцидентов, остановленных на ранней стадии. Отдельно видно, меняется ли поведение: пользуются ли менеджером паролей и вторым фактором.

Чтобы понять эффект, нужна точка отсчёта. Перед перестройкой стоит зафиксировать, сколько сообщений приходит, за какое время и какие ошибки повторяются. Потом те же измерения повторяют через несколько месяцев и смотрят не на абсолютные цифры, а на направление. Полезен и анонимный опрос: знают ли люди, куда сообщать, верят ли, что не пострадают. И обязательно смотреть на реальные письма: именно там видно, работает ли привычка. Тогда главный вопрос программы звучит не «сколько нажали», а «как быстро мы об этом узнали».

Главная мысль

Программа обучения ломается не на сложной технике. Она ломается на простых вещах: наказании за клик, публичном списке, ежегодном курсе вместо разговоров, кнопке, на которую никто не отвечает, и привычке учить тому, чего нет в рабочих инструментах. Каждая из этих ошибок по отдельности кажется мелочью, но вместе они учат одному и тому же — скрывать ошибку. Компания из начала статьи заплатила за это днями на разбор инцидента и доверием клиента.

Через год в этой компании мало что стало идеальным. Люди по-прежнему иногда нажимают на поддельные письма — от этого не застрахован никто. Но теперь Сергей, которого когда-то предупредили, пересылает подозрительное письмо Олегу в течение нескольких минут и не спрашивает, будет ли это ему стоить денег. Кнопка стоит в почте и в чате, а раз в месяц разбирают одно реальное письмо. На очередной имитации кто-то снова кликнул, и это не стало трагедией: на разборе обсуждали, почему письмо оказалось убедительным, а не искали виноватого.

Главная мысль статьи проста: цель обучения — не поймать человека на ошибке, а сделать безопасное поведение обычным и выгодным. Обычным — потому что нужное действие занимает один клик и не требует смелости. Выгодным — потому что сообщение не наказывают, а благодарят, и потому что руководитель поступает так же. Когда эти два условия выполнены, проверка перестаёт быть ловушкой и становится способом узнать, где защита слабее, чем кажется.

Безопасность начинается не с письма, которое нужно распознать, а с уверенности, что за сообщение о нём не накажут. Эту уверенность нельзя купить курсом или включить приказом; её строят каждый день — тем, как руководитель реагирует на ошибку, как быстро отвечает ИТ и что происходит с человеком, который сказал правду. Именно поэтому обучение — не кампания на месяц, а часть того, как компания обращается с ошибками.

Если хочется разобраться глубже, начните с разбора паролей и фишинга: там видно, как устроена атака и почему одного обучения недостаточно. Затем посмотрите порядок действий в первые часы инцидента — он пригодится, если ошибка всё-таки произошла. Незнакомые термины собраны в словаре.