57% компаній використовують внутрішні ресурси для навчання співробітників ІТ-безпеки

Більшість компаній доручають навчання персоналу інформаційної безпеки співробітникам своїх внутрішніх IT-департаментів, замість того, щоб залучити зовнішнього IT-консультанта або передати цю задачу внутрішнім відділам по підбору і розвитку персоналу. До такого висновку дійшли фахівці міжнародної аналітичної компанії B2B International в ході опитування Global corporate IT security risks 2013, проведеного спільно з «Лабораторією Касперського» серед компаній по всьому світу.

Навчання персоналу в області IT-безпеки - важлива складова грамотної стратегії захисту IT-інфраструктури компанії від кіберзагроз. За даними опитування, 4 з 5 внутрішніх інцидентів безпеки, які відбувалися в компаніях найчастіше за останні 12 місяців, були пов'язані з діяльністю співробітників. Так, у Східній Європі:

• 32% респондентів повідомили про те, що мали місце випадкових витоках конфіденційних даних;
• 23% повідомили про втрату працівниками корпоративних мобільних пристроїв з важливою інформацією;
• 21% зіткнулися з випадками навмисної витоку даних;
• ще 17% компаній мали справу з інцидентами, в результаті яких конфіденційна інформація потрапляла в чужі руки за некоректного використання мобільних пристроїв (через мобільний поштовий клієнт, SMS тощо).

Дослідження знову і знову показують, що помилки співробітників ведуть до значної пропорції втрат критичних даних та інцидентів в області ІТ-безпеки. Ключ до розв'язання цієї проблеми лежить у забезпеченні хорошого розуміння кінцевими користувачами ризиків в області ІТ-безпеки та способів їх уникнути. На тлі виникаючих інцидентів необхідність навчання персоналу очевидна, проте хто повинен передати необхідні знання?

Як з'ясували фахівці з B2B International, більшість компаній вважають, що цим повинен займатися IT-департамент організації, хоча його основні функції не пов'язані з утворенням співробітників. Додаткове навантаження впливає на продуктивність: респонденти зазначили, що в IT-департаменту, завантаженого іншими важливими завданнями, зазвичай немає часу на навчання співробітників. Це очевидно може негативно позначатися на якості виконання «освітньої» завдання. Виходом із ситуації могло б стати залучення стороннього IT-консультанта з потрібною для навчання експертизою. Однак цією можливістю скористалися лише 11% опитаних компаній у Східній Європі.

Департамент з підбору персоналу займається навчанням співробітників в 13% компаній, що взяли участь в дослідженні, а 11% компаній практикує делегування цього завдання департаменту з навчання та розвитку персоналу. Близько 3% респондентів повідомили, що довіряють цю задачу зовнішнього корпоративного провайдера освітніх послуг.

Розподіл зберігається і від регіону до регіону, хоча і з деякими відмінностями. Так, наприклад, найвищий відсоток компаній, які доручають навчання персоналу IT-департаменту, знаходиться в країнах Близького Сходу (73%), Японії (72%) і Північній Америці (71%). Зовнішнього IT-консультанта найчастіше залучають до навчання співробітників компаній з Латинської Америки (16%) і Азіатсько-Тихоокеанського регіону.

В цілому важливість освіти визнає абсолютну більшість компаній, лише 3% респондентів у Східній Європі повідомили, що в їх компаніях не практикується навчання IT-безпеки. Однак якість корпоративного освіти залишається під питанням - обізнаність працівників про кіберзагрози безпосередньо впливає на рівень виконання політик IT-безпеки, що діють в компанії, і - як наслідок - на загальний рівень її захищеності від кіберзагроз. Поки рівень виконання політик порівняно невисокий - близько 54% учасників опитування повідомили, що співробітники їхніх компаній далеко не завжди поважають і сумлінно виконують корпоративні правила інформаційної безпеки.