Киберучения и фишинг-тесты

Более 80% успешных взломов начинаются не с уязвимости в коде, а с одного клика сотрудника по фишинговой ссылке. Периметр защищён — а человек внутри него открывает дверь сам.

Фишинг-тест показывает точные цифры: сколько людей в вашей организации переходят по подозрительной ссылке, вводят учётные данные на поддельном портале, открывают вредоносное вложение. Без этих данных любая оценка защищённости неполна.

Проведение киберучений — требование Указа Президента РФ № 250 от 01.05.2022 для ключевых предприятий. Для субъектов КИИ (187-ФЗ) обучение персонала входит в обязательный перечень мер по приказу ФСТЭК 239.

Этапы проведения:

Разведка и подготовка — OSINT по сотрудникам организации: корпоративные адреса, социальные сети, публикации. На основе собранных данных создаются правдоподобные сценарии: письмо от руководства, уведомление HR, запрос от ИТ-поддержки, сообщение от контрагента.

Фишинг-тест — контролируемая рассылка с отслеживанием каждого действия получателя: открытие письма, переход по ссылке, ввод учётных данных, загрузка вложения. Техники варьируются: URL-фишинг, вложения с макросами, QR-коды, имитация корпоративных порталов.

Анализ результатов — статистика по подразделениям, должностям и типам атак. При первом тестировании в среднем 20–30% сотрудников переходят по ссылке, 10–15% вводят данные. Результаты сравниваются с отраслевыми бенчмарками.

Обучающий семинар — разбор реальных примеров атак, методов социальной инженерии, правил работы с почтой. Интерактивный формат: не лекция, а практические кейсы.

Повторное тестирование — через 1–3 месяца. После обучения процент сотрудников, поддающихся на фишинг, снижается в 3–5 раз. КРЕДО-С рекомендует ежеквартальный формат для поддержания бдительности.

Регулярные киберучения учитываются при расчёте показателя КЗИ по приказу ФСТЭК №117 как организационная мера защиты. КРЕДО-С имеет лицензии ФСТЭК и ФСБ России и собственную платформу для проведения реалистичных фишинг-тестов.