Kā organizēt kiberdrošības apmācības uzņēmumā
Apmācību pasūtījums kļūst daudz skaidrāks, ja sākat ar darba situāciju: kurā brīdī kolēģim jāpieņem drošībai svarīgs lēmums, un ko viņam jāprot izdarīt?
Sāciet ar darbību, kuru vēlaties mainīt
Vispārīgs mērķis “paaugstināt izpratni” nepasaka, ko mācīt un kā pārbaudīt rezultātu. Formulējiet novērojamu darbību: pirms piegādātāja rekvizītu maiņas grāmatvedis sazinās pa zināmu tālruni; kolēģis ziņo par negaidītu autentifikācijas pieprasījumu; klientu konsultants pārbauda identitāti pirms datu izsniegšanas. Katrai darbībai vajadzīga saprotama instrukcija un iespēja to izmēģināt.
NIST SP 800-50 Rev. 1 apraksta mācību programmu kā dzīves ciklu, ko pielāgo organizācijas riskiem, auditorijām un izmaiņām. Praktiskais secinājums apmācību pasūtītājam: vienas prezentācijas vietā vienojieties arī par sākumpunkta noskaidrošanu un turpmāku novērtējumu. Zemāk aprakstītā darba secība ir mūsu ieteikums programmas organizēšanai.
Apkopojiet vajadzības bez liekas personas datu vākšanas
Izrunājiet nesenos incidentus, darbinieku jautājumus un situācijas, kurās procedūra nav skaidra. Nepārsūtiet apmācību partnerim pilnas pastkastes vai klientu dokumentus. Sākotnējam tvērumam parasti pietiek ar anonimizētiem piemēriem, nodaļu uzdevumiem, darba vidi un izmantoto sistēmu kategorijām. Ja vēlāk vajadzīgi papildu dati, saskaņojiet to mērķi, piekļuvi un glabāšanu.
- Nosauciet dalībnieku grupas, valodas, darba maiņas un piekļūstamības vajadzības.
- Pierakstiet riskantas darbības: maksājumi, piekļuves piešķiršana, datu kopīgošana vai klientu pieprasījumi.
- Pārbaudiet, vai jau darbojas ziņošanas kanāls un vai cilvēki saņem atbildi.
- Nosakiet programmas īpašnieku un vadītāju, kas var atvēlēt darba laiku mācībām.
Izvēlieties formātu pēc uzdevuma
Īss pašmācības modulis der kopīgam ievadam vai konkrētas darbības atkārtošanai. Vadīta darbnīca ļauj pārrunāt neskaidras situācijas un izmēģināt lēmumus. Galda mācības palīdz vadībai un reaģēšanas komandai saskaņot atbildību. Simulācija pārbauda rīcību noteiktā kontekstā, taču tā jāplāno kopā ar atgriezenisko saiti. Šie formāti papildina cits citu; neviens pats neatrisina visu programmu.
| Formāts | Kam tas der | Praktisks ilgums | Ko no tā var secināt |
|---|---|---|---|
| Pašmācības modulis | Kopīgs ievads, atkārtojums, jauno kolēģu uzņemšana | 15–30 minūtes | Ka cilvēks ir saturu apguvis un spēj atbildēt uz jautājumiem; ne to, kā viņš rīkosies steigā |
| Vadīta darbnīca | Vienai lomu grupai ar konkrētu darba situāciju | 60–90 minūtes | Vai dalībnieki spēj izskaidrot lēmumu un atrast pareizo kanālu; parasti atklāj neskaidrus procesus |
| Galda mācības | Vadībai un reaģēšanas komandai | 2–3 stundas | Vai pilnvaras, lēmumu secība un saziņa ir saskaņotas; atklāj trūkstošus kontaktus un aizvietotājus |
| Simulācija vai praktisks vingrinājums | Visai auditorijai vai atsevišķai grupai pēc iepriekšējas mācīšanas | Viena kampaņa plus atgriezeniskā saite | Vai apgūtā darbība tiek izpildīta reālā darba kontekstā; rezultāts ir jēgpilns tikai kopā ar uzdevuma grūtību |
Ja dalībnieki strādā attālināti vai maiņās, nosakiet alternatīvu dalības laiku un rakstiskus materiālus. Svarīgākajām instrukcijām jābūt atrodamām arī pēc nodarbības. Video ieraksts var palīdzēt atkārtot saturu, bet ne vienmēr apliecina, ka cilvēks spēj praktiski izpildīt darbību. Pārbaudes uzdevumā ļaujiet izmantot tos pašus palīgmateriālus, ko pieļauj darba process.
Pasūtījumā aprakstiet rezultātu un robežas
Vienojieties par programmu, materiālu valodu, scenārijiem, dalībnieku skaitu un to, kurš drīkst mainīt saturu. Ja paredzēta pikšķerēšanas simulācija, atsevišķi saskaņojiet atļautos domēnus, datumus, datu apstrādi un apturēšanas kārtību. Īstas paroles un nevajadzīgi personas dati nav vajadzīgs mācību rezultāts. Nosakiet, kā partneris nodos materiālus un kādas izmantošanas tiesības saņemsiet.
Pieņemšanas kritērijā iekļaujiet pārskatāmu kopsavilkumu: kas piedalījās, kādi uzdevumi tika izpildīti, kas palika neskaidrs un kam jānovērš šķēršļi. Nevienojieties tikai par “augstu testa rezultātu”, ja nav definēta testa grūtība un praktiskais mērķis. Piedāvājumus salīdziniet pēc vienāda tvēruma, nevis tikai cenas par vienu dalībnieku.
Ieplānojiet turpinājumu jau pirms pirmās nodarbības
Programmas īpašnieks kopā ar vadību izvēlas, kad atkārtoti pārbaudīt svarīgo darbību un kā uzņemt jaunos kolēģus. Pēc incidenta vai procesa maiņas materiālus pārskatiet uzreiz. Gada plānotājā varat izveidot sākuma secību un PDF norādīt atbildīgos. Atkārtošanas ritmu un jauno kolēģu ievadapmācību sīkāk aprakstījām gada plāna ceļvedī.
Avoti un atsauces
Saistītie jautājumi
Ar ko sākt, ja uzņēmumā vēl nav nevienas apmācības?
Cik ilgai jābūt kiberdrošības apmācībai?
Kas uzņēmumā atbild par apmācību programmu?
Kā saprast, vai apmācību partneris ir piemērots?
Vajadzīgs atbalsts šajā jomā?
Atstājiet e-pastu – OffSeq atbildēs par jūsu komandas situāciju.
Paldies, pieprasījums saņemts.
Atbildēsim uz norādīto e-pasta adresi.
Pieprasījumu neizdevās nosūtīt. Mēģiniet vēlreiz vai rakstiet uz support@offseq.com.