Где проходит граница между обязанностями сотрудника и обязанностями работодателя, профсоюзные рекомендации по организации обучения и недопущению санкций за «ошибки» в условиях недостаточной подготовки сотрудников.

В условиях цифровой трансформации киберугрозы, направленные на «человеческий фактор», становятся главным вектором атак на организации. Фишинг и социальная инженерия обходят самые дорогие технические средства защиты, эксплуатируя психологию, доверие и стресс сотрудников. В связи с этим в корпоративной среде все острее встает вопрос: где проходит граница между обязанностями работника по соблюдению правил цифровой гигиены и обязанностями работодателя по обеспечению безопасной среды?

Рассмотрим подробный анализ разграничения ответственности, а также рекомендации профсоюзных организаций по организации обучения и защите сотрудников от несправедливых санкций.

1. Граница ответственности: работодатель и сотрудник

Традиционный подход, при котором вся вина за успешную фишинговую атаку возлагается на «невнимательного сотрудника», является устаревшим и контрпродуктивным. Современная парадигма информационной безопасности (ИБ) рассматривает кибербезопасность как элемент охраны труда в цифровой среде.

В обязанности работодателя входит создание безопасной среды. Внедрение технических средств защиты (спам-фильтры, двухфакторная аутентификация, системы предотвращения утечек данных), которые минимизируют риски даже в случае ошибки пользователя.

А так же системное обучение, предоставление сотрудникам актуальных, понятных и регулярных инструкций по распознаванию угроз.

В том числе проектирование безопасных процессов. Бизнес-процессы не должны поощрять срочность в ущерб безопасности (например, требование «срочно перевести деньги директору по телефону» — это ошибка процесса, а не сотрудника).

Обязательное информирование, своевременное оповещение коллектива об актуальных волнах фишинга и новых схемах мошенников.

Обязанности сотрудника заключаются в соблюдение установленных в компании правил. Следование утвержденным политикам информационной безопасности (не передавать пароли, не подключать непроверенные носители, использовать корпоративную почту для рабочих задач).

Сотрудник должен обладать критическим мышлением, осуществлять проверку необычных запросов, особенно касающихся финансовых транзакций или передачи конфиденциальных данных, через альтернативные каналы связи.

Оперативно реагировать на нестандартные ситуации. Немедленно сообщатье в ИТ- или ИБ-службу о факте получения подозрительных писем, звонков или сообщений, а также честное признание факта совершения ошибки (клика по вредоносной ссылке).

Где проходит граница? Граница ответственности проходит там, где заканчивается адекватная подготовка и техническая защита и начинается осознанное нарушение или грубая халатность. Сотрудник не может нести ответственность за уязвимость, если его не обучали ее распознавать, если обучение носило формальный характер (для «галочки») или если корпоративная культура наказывает за задавание «неудобных» вопросов.

2. Профсоюзные рекомендации по организации обучения

Профсоюзные организации рассматривают обучение основам цифровой гигиены как неотъемлемую часть повышения квалификации и охраны труда. В связи с этим применяются следующие рекомендации:

Обучение в рабочее время включает изучение правил кибербезопасности, прохождение тестов и участие в учебных фишинговых рассылках являются выполнением трудовых обязанностей. Такое обучение должно оплачиваться и проходить исключительно в рамках рабочего времени, а не за счет личного времени сотрудника.

Практико-ориентированность и адаптивность подразумевает, что обучение не должно сводиться к прочтению лекций. Необходимы регулярные учебные симуляции (контролируемые фишинговые атаки), адаптированные под конкретные роли (бухгалтерия, HR, рядовые специалисты получают разные сценарии).

Обязательно должен соблюдаться принцип «Безопасного полигона». Учебные фишинговые рассылки не должны иметь карательной функции. Их цель – выявить пробелы в знаниях и дать сотруднику возможность безопасно ошибиться, получить мгновенную обратную связь и пройти микро-обучение.

Каждый человек, работающий в компании, имеет право на обратную связь. Сотрудники и их представители (профкомы) должны иметь возможность указывать на неудобные или небезопасные корпоративные процессы без страха быть обвиненными в «некомпетентности».

3. Недопущение санкций за «ошибки»: концепция Справедливой культуры

Социальная инженерия – это профессиональная психологическая манипуляция. Мошенники используют стресс, авторитет, страх или желание помочь. Даже хорошо обученный сотрудник в состоянии аффекта или усталости может стать жертвой.

Профсоюзные организации категорически выступают против практики депремирования, выговоров или увольнений сотрудников, ставших жертвами фишинга, если только не будет доказан злой умысел. Для защиты работников применяется концепция «Справедливой культуры» (Just Culture) в информационной безопасности.

Алгоритм расследования инцидента до применения каких-либо санкций включает следующие этапы.

Во-первых должен проводиться анализ системных сбоев. Прежде чем спрашивать «Кто виноват?», необходимо задать вопрос «Что пошло не так в системе?». Сработали ли спам-фильтры? Был ли процесс передачи данных защищен дополнительным подтверждением?

Обязательно проводится проверка факта и качества обучения. Был ли сотрудник обучен именно этому типу угроз? Когда он проходил последний инструктаж? Было ли обучение понятным и доступным?

Так же необходимо оценить сложность атаки. Насколько изощренной была атака? (Например, фишинговое письмо, сгенерированное нейросетью и имитирующее внутренний корпоративный портал, требует иного уровня защиты, чем очевидное письмо от «нигерийского принца»).

Когда санкции НЕДОПУСТИМЫ:

• сотрудник стал жертвой социальной инженерии, но действовал в рамках своих обычных рабочих обязанностей и под давлением (например, ему звонил «начальник» и кричал, требуя срочных действий);
• сотрудник не проходил целевое обучение по данному типу угроз;
• сотрудник самостоятельно и немедленно сообщил в ИБ-службу о своей ошибке, что позволило минимизировать ущерб.

Когда санкции ВОЗМОЖНЫ (исключительные случаи):

• доказан инсайдерский злой умысел (продажа доступов, намеренное заражение сети);
• грубая и многократная халатность: сотрудник игнорирует предупреждения ИБ-службы, намеренно отключает антивирусы, передает свои учетные данные третьим лицам после того, как с ним были проведены индивидуальные беседы и повторные инструктажи под роспись.

Защита от фишинга и социальной инженерии – это не борьба работодателя против «невнимательных» сотрудников, а совместное противостояние внешним угрозам. Работодатель обязан предоставить инструменты, безопасные процессы и качественное обучение. Работник обязан проявлять бдительность и следовать правилам.

Применение дисциплинарных взысканий к сотрудникам, допустившим ошибку из-за недостаточной подготовки или под воздействием искусственно созданного мошенниками стресса, разрушает доверие, скрывает реальные инциденты и делает организацию беззащитной. Только партнерский подход, основанный на принципах справедливой культуры и непрерывного обучения, способен сформировать надежный «человеческий firewall».

Экспертное мнение подготовила ведущая рубрики «Цифровой суверенитет»: кандидат технических наук, доцент, доцент кафедры информационных систем и математического моделирования ВИУ РАНХиГС Сальникова Наталия Анатольевна