Обучение сотрудников кибербезопасности – это не статья расходов, а инвестиция в защиту активов компании. Однако, чтобы оправдать эти инвестиции перед советом директоров и эффективно управлять процессом, руководителю ИБ необходимы не общие впечатления, а объективные, измеримые показатели. Успех программы антифишинга определяется не количеством проведённых тренингов, а конкретным снижением операционных рисков.
В этой статье мы представим готовый фреймворк метрик – от поведения сотрудников до финансового влияния – который позволит вам строить убедительные отчёты, демонстрировать ROI и принимать обоснованные решения для снижения рисков, связанных с человеческим фактором, на 80% и более.

Традиционные отчёты об «успешно проведённом обучении» с субъективными оценками «понравилось/не понравилось» не работают для руководства. Они не отвечают на ключевые бизнес-вопросы: насколько снизился риск? Какова отдача от вложенных средств? Человеческий фактор – это не вина невнимательного сотрудника, а системная уязвимость, требующая управления, как и любая другая. Статистика неутешительна: по различным оценкам, до 9 из 10 успешных кибератак начинаются именно с атаки на сотрудника, чаще всего через фишинг или социальную инженерию. Поэтому обучение должно создавать «человеческий фаервол» – обязательный поведенческий слой защиты, дополняющий технические средства.

Распространённое возражение – «у нас есть брандмауэры и антивирусы» – основано на опасном заблуждении. Целевой фишинг (spear-phishing) и сложные методы социальной инженерии создаются так, чтобы обходить классические средства защиты. Письмо от «гендиректора» с просьбой срочно перевести деньги или от «коллеги из партнёрской компании» с «важным вложением» выглядит легитимно. Ни один почтовый фильтр не может на 100% отличить такое письмо от настоящего, если оно не содержит явно вредоносного кода. Обучение сотрудников распознаванию подобных угроз – это не опция, а критически важный, последний рубеж обороны, который технические средства обеспечить не в состоянии. Это не замена, а необходимое дополнение к технической безопасности.

Чтобы говорить с не-техническим топ-менеджментом и советом директоров на одном языке, отчёт должен быть структурирован и переводить технические данные в бизнес-термины. Предлагаем трёхуровневую модель, которая последовательно раскрывает влияние обучения.

Эти показатели оценивают не сотрудников, а саму программу, позволяя её улучшать.

• Динамика операционных показателей. Сравнение метрик Уровня 1 до и после обучения, а также в разрезе отделов или групп сотрудников. Позволяет выявить «слабые звенья».
• Процент завершения учебных модулей. Базовый показатель вовлечённости и охвата.
• Результаты тестирования знаний. Оценка усвоения теоретического материала.
• Вовлечённость в обучение. Активность на платформе, участие в обсуждениях, обратная связь.

Это самый важный уровень для обоснования ROI. Здесь технические данные превращаются в финансовые и риск-ориентированные показатели.

• Снижение вероятности успешной атаки. Рассчитывается на основе динамики ключевых операционных метрик (например, снижение процента кликов на 70% напрямую снижает вероятность проникновения).
• Оценка предотвращённых финансовых потерь. Используется модель стоимости инцидента (включая прямой ущерб, простой, затраты на восстановление, репутационные потери). Если обучение снизило вероятность инцидента на X%, то предотвращённые потери = (Средняя стоимость инцидента) * X%.
• Снижение операционного риска. Интеграция показателей обучения в общую модель рисков компании.
• Соответствие требованиям регуляторов. Демонстрация выполнения обязательных требований по обучению персонала в области ИБ.

Оценка обучения не должна быть изолированной активностью. Её необходимо встроить в существующие процессы управления информационной безопасностью. Данные с платформы симуляции фишинга должны поступать в SIEM-систему или на общие дашборды ИБ, становясь одним из источников данных о состоянии защищённости. Эти данные используются для:

• Корректировки политик безопасности. Если в отделе продаж стабильно высокий процент кликов, возможно, требуются дополнительные ограничения прав доступа для этой группы.
• Таргетирования обучения. Выявление отделов или конкретных сотрудников, нуждающихся в дополнительном внимании или персональном инструктаже.
• Улучшения процессов реагирования на инциденты. Анализ скорости репортинга помогает оптимизировать процедуры информирования службы ИБ.

Такой подход создаёт замкнутый цикл управления рисками: Обучение → Измерение → Анализ → Действие (корректировка политик/обучения) → Повторное измерение. Обучение становится постоянным процессом адаптации к меняющимся угрозам.

Для объективной оценки своей программы нужны точки отсчёта. Хотя открытые данные по отраслям в России ограничены, некоторые исследования указывают, что средний процент кликов по фишинговым ссылкам в корпоративной среде может достигать 20-30%. Показатель успешных симуляционных атак (когда сотрудник выполняет все опасные действия) часто находится в диапазоне 5-15%. Ваша задача – проводить внутренний бенчмаркинг:

1. Сравнивать динамику: как меняются ваши метрики от квартала к кварталу?
2. Выявлять проблемные зоны: какие отделы стабильно показывают результаты хуже среднего по компании?
3. Сравнивать с лучшими практиками: стремиться к показателям кликов ниже 5%, а скорости репортинга – в пределах первых часов или даже минут после получения письма.

Если ваша текущая программа не даёт измеримого улучшения этих показателей, это прямое указание на необходимость её пересмотра или усиления с помощью специализированных платформ, которые обеспечивают не только контент, но и непрерывное измерение и аналитику.

StopPhish помогает не просто обучать сотрудников, а измерять, как меняется их поведение и реальный уровень риска. Учебные фишинговые атаки, тренажёры и аналитика позволяют увидеть динамику кликов и репортинга, определить группы риска и понять, какие форматы обучения действительно работают.

Оставьте заявку на демонстрацию StopPhish — покажем возможности платформы и разберём, как выстроить измеримую программу Security Awareness в вашей компании.