В условиях все большего распространения так называемых фиджитал-атак, сочетающих физические и цифровые методы киберпреступлений, работа кибербезопасности в реальности и цифровой среде для клиента и сотрудника современной компании должна быть постоянно ощутимой. И при этом ненавязчивой и бесшовной, чтобы в результате полноценно защищать от угроз реального и цифрового мира. Но как сделать так, чтобы и сами пользователи становились непосредственными участниками этого процесса, а не оставались сторонними наблюдателями или, того хуже, не усложняли работу?

Киберосознанность — новый суперскилл современного мира

Если в компании хорошая система кибербезопасности, о ней внутри знают все. И знают не как о структуре, которая что-то запрещает и наказывает, а как о людях, готовых посоветовать и помочь. Ведь в идеальном мире ее функция — превентивная: кибербезопасность подключается к любому продукту или процессу на самых ранних этапах. Каждый сотрудник компании должен знать, что в любой момент может попросить у кибербезопасности совета и помощи, сказав «у меня есть идея, как сделать ее безопасной?» или «я написал строчку кода, безопасна ли она?». Как только кибербезопасность начинает работать, все, кто вовлечен в создание цифровых продуктов, начинают ее на себе ощущать. И ощущать не в контексте «так нельзя — все переделать», а в контексте «я знаю, как сразу сделать безопасно, и понимаю, как можно доработать то, что безопасным сейчас не является».

Тем не менее восприятие команды кибербезопасности среди сотрудников нередко слегка тревожное: у многих нет базового ощущения, что это люди, которые придут и решат все проблемы. Скорее наоборот. Поэтому компании должны заниматься не только кибербезопасностью, но и развитием киберосознанности.

Именно такой подход мы с прошлого года внедряем в Wildberries & Russ и для сотрудников, и для клиентов, и для партнеров — через курсы, тренинги и развитие корпоративной культуры. Подразумевается, что каждый специалист должен помнить о том, что он делает продукты и услуги для таких же людей, как он. И каждому необходимо регулярно задавать себе вопрос: то, над чем я работаю, — безопасно? Я смогу спокойно пользоваться этим сам? 

Хакеры и мошенники не ждут ваших ошибок — они на них рассчитывают. В целевой модели киберосознанности в Wildberries & Russ каждый сотрудник становится экспертом в области безопасности по своему профилю деятельности, поскольку все так или иначе взаимодействуют с IT-инфраструктурой компании. У нас есть ряд метрик, по которым оценивается уровень киберосознанности в том или ином отделе: начиная с диагностики (например, сколько человек сталкивалось с манипулятивными действиями киберпреступников и поддалось им) и заканчивая оценкой успешности прохождения обучающих курсов. 

Понимание цифровых границ как ключ к прорывным идеям

Наш опыт показывает, что для выстраивания кибербезопасности необходимо учитывать три основных принципа. Первый — это точность. Мы должны быть точными в суждениях, в мнениях, в оценках — во всем. В условиях постоянно растущего бизнеса непрерывно возникает что-то новое, и мы должны точно знать, что конкретно происходит, точно понимать эти изменения и точно представлять свои дальнейшие шаги. 

Второй принцип — это правильная интерпретация. Сегодня технологии меняются очень быстро, и быть догоняющим нельзя. Нужно быть тем, кто формирует образ будущего, мнение, ландшафты, правила, всегда видит на два-три шага вперед и умеет эти события правильно интерпретировать, чтобы заранее сделать то, чего еще нет. Или защитить то, что существует лишь в формате идеи.

Третий принцип, как это ни банально, — стабильность. Под этим мы понимаем и надежность, и предсказуемость. Наш мозг не всегда успевает уследить за быстрыми изменениями цифрового мира и цепляется за островки покоя. Мы запускаем новые сервисы, развиваем новые продукты, растем стремительными темпами, но ощущение безопасности меняться не должно — оно должно оставаться стабильным.

А для этого нам нужна киберосознанность для каждого — в работе, в профессии, в жизни. По большому счету, кибербезопасность в компании — это не соответствующий отдел, а корпоративная привычка. Ключевой принцип киберосознанности в том, что человек точно понимает, что делать можно, а что — нельзя и, главное, почему. Когда каждый сотрудник понимает цифровые границы, бизнес взлетает: меньше вопросов «можно или нельзя» — больше прорывных идей. Чтобы запустить грандиозный проект, нужно в существующих ограничениях среды и физических законов выжать максимум из этих границ, экологично их раздвигая, а не варварски нарушая. И чем больше в нас киберосознанности, тем шире простор для фантазии и принципа security-by-design — не клетки для творчества, а трамплина для роста, не запрета или преграды, а помощи и ориентира в трансформации окружающей фиджитал-среды. Без этого ожидаемого прорыва не случится.