Після інцидентів із фішингом стає видно головне: знання політики саме по собі не змінює поведінку. Компанії потрібні прості правила, рольове навчання, симуляції та культура, де про помилку повідомляють швидко, а не приховують її.
Ключові інсайти
Чому фішинг став питанням поведінки, а не лише ІТ
Публікація People Management підкреслює: після атаки на Asos стало ще очевидніше, що сучасні кіберризики впираються не тільки в технічний захист, а й у щоденну поведінку працівників. За даними матеріалу, зловмисник отримав доступ до облікових даних співробітника, видаючи себе за довірений контакт, після чого компанія оперативно ізолювала уражені платформи. Це важливий сигнал для керівників: навіть базові процедури можуть бути обійдені, якщо атака потрапляє в звичний робочий канал — пошту, Teams або телефон.
Експерт Black Arrow Cyber Consulting Брюс МакДуголл у джерелі прямо пов’язує загрозу з тим, що працівники опиняються на передовій і взаємодіють із переконливими підробленими запитами, які експлуатують нормальні робочі відносини. Аналітикиня Mindtools Kineo Анастасія Воронкова додає, що знання правил саме по собі не гарантує правильних дій. Для CEO це означає, що кібербезпека не може обмежуватися інструкцією чи одноразовим тренінгом: потрібні механізми, які змінюють рішення людини в момент ризику.
Управлінський висновок тут такий: якщо атаки маскуються під звичну комунікацію, то слабким місцем стає не «необізнаність» у загальному сенсі, а неспроможність швидко відрізнити нормальне від підозрілого. Саме тому компаніям варто переосмислювати кіберризик як процесну дисципліну, де відповідальність розподілена між ІТ, HR, лінійними керівниками та самими співробітниками.
Як навчання має змінитися, щоб справді зменшувати ризик
Джерело пропонує чіткий практичний зсув: навчання з кібербезпеки має бути прив’язане до ролей, а не зводитися до універсального курсу раз на рік. Воронкова радить орієнтувати зміст на ті сценарії, з якими конкретний працівник найімовірніше зіткнеться, і пояснювати, як діяти саме в цих ситуаціях. Такий підхід корисний не лише для комплаєнсу, а й для операційної стійкості: люди краще реагують, коли бачать прямий зв’язок між тренуванням і власною роботою.
Окремо в матеріалі наголошено, що старі сигнали шахрайства втрачають надійність. Воронкова застерігає: порада перевіряти «погану граматику» більше не працює так, як раніше, бо загрози стають переконливішими, зокрема завдяки AI-генерованому контенту. Натомість працівників слід привчати помічати нестандартні прохання — неочікувані посилання, запити на логіни, зміну способу оплати чи інші незвичні дії. Це інференція з матеріалу: чим вищою стає якість підробки, тим більше ваги набуває не формальна «пильність», а прості перевірочні кроки.
Jack Moore з ESET у публікації радить вбудовувати кібербезпеку в повсякденну роботу, а не трактувати її як щорічний захід. Він пропонує регулярні симуляції та практичні вправи, у яких співробітники вчаться підтверджувати несподівані запити через кілька каналів. Для керівництва це означає, що KPI навчання мають зміститися від факту проходження курсу до того, чи людина реально змінює поведінку під час підозрілої взаємодії.
Культура репортингу як захист від ескалації інциденту
Найсильніша думка у матеріалі — страх і покарання часто роблять ситуацію гіршою. МакДуголл радить оцінювати не кількість завершених курсів, а те, чи покращилася поведінка після навчання. Він також наголошує, що phishing-симуляції мають давати людям практику розпізнавання і повідомлення про підозрілі дії, а не перетворюватися на «пастку» з додатковим покаранням. Для CEO це важливо, бо співробітник, який боїться помилитися, скоріше промовчить і дасть інциденту розвинутися.
Moore окремо підкреслює потребу в атмосфері, де про помилку повідомляють швидко, а не приховують її. У джерелі він попереджає: страх змушує людей хвилюватися і може погіршити наслідки, якщо інцидент замовчати. Воронкова додає, що більшість зламів пов’язані з людською помилкою, а не з умислом, тож дисциплінарний підхід не завжди працює, якщо безпечна поведінка ще не стала нормою. Це інференція для управління: культура має винагороджувати раннє повідомлення, навіть коли причина помилки неприємна.
Водночас джерело не пропонує «м’якість» без меж. МакДуголл наполягає, що компанії мають притягувати до відповідальності небезпечну поведінку, особливо коли керівники самі ігнорують правила або знецінюють безпеку як незручність. Практичний висновок для ради директорів і CEO такий: ефективна кіберстійкість виникає там, де прості правила, рольове навчання, симуляції та відкритий репортинг поєднані з однаковими стандартами для всіх рівнів — від рядового співробітника до топменеджменту.
Головні тези
- Навчання має бути прив’язане до конкретної ролі працівника, а не зводитися до універсального курсу раз на рік.
- Старі ознаки шахрайства, на кшталт поганої граматики, більше не працюють надійно, бо загрози стають переконливішими.
- Керівникам варто міряти не проходження тренінгу, а зміну поведінки після нього.
- Симуляції мають підвищувати готовність повідомляти про підозрілі дії, а не карати людей за помилки.
- Система має відрізняти випадкову помилку від навмисного порушення і одночасно вимагати дисципліни від топів.
Що це означає для CEO
Для CEO практичний висновок простий: кіберризик зменшується не від формальної політики, а від щоденного керування поведінкою, прозорого репортингу й особистого прикладу лідерів.