SecurityWeek приходит к выводу, что обучение осведомлённости в сфере безопасности по-прежнему полезно, но не работает, когда превращается в общий ежегодный курс по соблюдению требований, не связанный с контекстом сотрудника или моментом принятия решения. По мере развития фишинга и социальной инженерии с поддержкой ИИ поведенческое обучение следует сочетать с техническими средствами контроля, защитой идентичности, процедурами сообщения об инцидентах и проверки.
Ценность обучения осведомлённости в сфере безопасности не исчезает, однако традиционный способ его проведения больше недостаточен перед лицом атак социальной инженерии, которые быстро меняются и используют искусственный интеллект. Таков основной вывод анализа, опубликованного SecurityWeek после изучения мнений экспертов по безопасности и специалиста по когнитивной психологии.
Обычно обучение направлено на сокращение числа ошибок сотрудников, которые могут превратить их во внутреннюю угрозу, а также на помощь в противодействии фишинговым сообщениям и манипулятивным методам. Однако продолжающийся успех атак, несмотря на распространение обучающих программ, вызывает вопрос о том, действительно ли эти программы меняют поведение или лишь подтверждают прохождение обязательного курса.
От обучения к простому выполнению требований
Stefan Dasic из Malwarebytes считает, что многие программы терпят неудачу из-за способа их реализации: они настолько повторяющиеся и общие, что кажутся бессмысленными. Другие эксперты добавляют, что требования комплаенса и страховых компаний побуждают организации ежегодно повторять один и тот же контент для всех сотрудников, независимо от их предыдущих знаний или характера рисков, с которыми они сталкиваются.
Такая практика может приводить к высоким показателям завершения курсов без сопоставимых изменений в поведении. Кроме того, акцент на соблюдении требований может превратить необходимый минимум в конечную цель, а не в базовый уровень, который можно улучшать. Согласно мнениям, приведённым в анализе, общие курсы не всегда отражают современные методы социальной инженерии или атаки с использованием искусственного интеллекта.
Что меняется на практике?
Обучение работает, когда готовит сотрудника к конкретной ситуации, однако злоумышленники постоянно меняют свои методы. Поэтому эксперты предлагают сделать обучение более частым и ближе связанным с ролью сотрудника, а также включить чёткие инструкции о том, что делать при подозрении на сообщение или необычный запрос: например, сообщить о нём или проверить его, а не ограничиваться распознаванием признаков фишинга.
Участники подчёркивают, что обучение не может быть единственной линией защиты. Его необходимо поддерживать современной архитектурой безопасности, включающей защиту идентичности, многофакторную аутентификацию, технические средства контроля и понятные процедуры проверки. Хорошо спроектированные системы исходят из вероятности человеческой ошибки, а не возлагают на сотрудника ответственность за остановку каждой атаки.
Задача становится ещё сложнее из-за атак, создающих более убедительные и персонализированные сообщения, а также использующих клонирование голоса и мобильные каналы, такие как текстовые сообщения, WhatsApp и приложения для обмена сообщениями. В анализе приводится оценка Mike Aalto из Hoxhunt о 14-кратном росте фишинга, сгенерированного искусственным интеллектом, при переходе с 2025 на 2026 год, при этом совершенствуются старые методы, а не обязательно появляются совершенно новые тактики.
Поведение и контекст важнее запоминания
В материале отмечается, что моделируемое фишинговое обучение может временно снижать показатели попадания в ловушки, однако этот эффект может исчезнуть в течение нескольких месяцев. Поэтому некоторые эксперты рекомендуют постоянное поведенческое обучение, сосредоточенное на ограниченном числе измеримых действий, таких как сообщение об угрозах и использование многофакторной аутентификации, с предоставлением вмешательств и напоминаний в подходящем контексте.
Один из представленных подходов сравнивает осведомлённость в сфере безопасности с цифровой рекламой: вместо отправки одного и того же сообщения всем одновременно можно проектировать информационные материалы так, чтобы они появлялись в момент, когда сотрудник сталкивается с определённым решением или риском. Цель заключается не в том, чтобы считать сотрудника самым слабым звеном, а в том, чтобы сделать его активной частью системы обнаружения и реагирования.
Ограничения памяти и прогнозирования
Jordan Richard Schoenherr, когнитивный психолог из Humanix и доцент University of New South Wales, объясняет сложность обучения тем, что забывание является исходным состоянием памяти и происходит быстро. Даже запоминание информации не гарантирует понимания того, когда и как её применять. Поэтому обучение нуждается в регулярном обновлении и поведенческих стимулах, которые активируют знания в момент принятия решения.
Однако обучение сотрудников распознаванию известных шаблонов несёт дополнительный риск: отсутствие орфографических ошибок или традиционных признаков может быть воспринято как доказательство легитимности сообщения, хотя это не так. Кроме того, сегодняшнее обучение может устареть с появлением новых переменных, поэтому создание множества сценариев и принятие решений в условиях глубокой неопределённости полезнее, чем опора на один прогноз будущего.
Редакция certi.news: настоящие изменения заключаются не в отмене обучения, а в его переходе от ежегодной программы по соблюдению требований к постоянной операционной способности, которая измеряет поведение и поддерживает его с помощью технологий. При этом материал не доказывает, что какая-либо одна модель решила проблему; эксперты признают, что обучение по-прежнему будет ограничено асимметрией рисков, скоростью атак и сложностью человеческой памяти. Поэтому открытые вопросы по-прежнему связаны с тем, как измерять поведенческие изменения, как долго они сохраняются и насколько организации способны обновлять обучение быстрее, чем адаптируются злоумышленники.