Внутреннее обучение и безопасность: как СБ контролировать знания сотрудников и доказывать их при инцидентах

Сообщение Тихоокеанского информационного агентства «Острова».

Для службы безопасности обучение персонала — не про развитие, а про снижение рисков: фишинг, утечки, нарушения пропускного режима и работы с коммерческой тайной чаще всего происходят из-за незнания или формального «прохождения» инструктажей. Грамотно выстроенное внутреннее обучение по регламентам безопасности решает две задачи СБ одновременно: реально доводит правила до каждого сотрудника и создаёт доказательную базу на случай инцидента или служебного расследования. В статье разберём, чем цифровой контур обучения надёжнее бумажных журналов инструктажей, как исключить прохождение тестов «соседом» и что предъявить при разборе инцидента. Отдельный блок — про периодическую переаттестацию и контроль подрядчиков. Материал ориентирован на руководителей СБ и ИБ, работающих в связке с HR.

Почему бумажный инструктаж не защищает компанию

Подпись в журнале доказывает факт росписи, но не факт знания. При расследовании инцидента сотрудник заявляет, что «расписался не глядя», и позиция компании слабеет. Для начала зафиксируем, что такое внутреннее обучение в контуре безопасности: это управляемый процесс, где каждому назначен обязательный курс, усвоение проверено тестом, а все действия запротоколированы. Стоп-уроки не позволяют пролистать материал: переход дальше блокирован, пока раздел не изучен и тест не сдан на проходной балл. Случайная выборка вопросов из банка при каждой попытке исключает передачу «правильных ответов» по чату — классическую схему формального прохождения.

Прокторинг добавляет контроль честности на критичных экзаменах: система отслеживает самостоятельность прохождения, и сертификат о допуске получает именно тот, кто сдавал.

Доказательная база: аудиторский след вместо слов

Ключевая ценность для СБ — логи. Аудиторский след фиксирует всю историю: кто, когда, с какого устройства проходил курс, сколько попыток, какой балл. Версионирование курсов отвечает на вопрос «какую редакцию регламента знал сотрудник на дату инцидента» — при обновлении правил это решающий аргумент. Аудит-готовая отчётность выгружается мгновенно для служебного расследования, проверки регулятора или суда. Так внутреннее обучение в компании превращается из HR-процесса в элемент комплаенса и юридической защиты.

Эксперт компании «Добыто», методолог корпоративного обучения: «Безопасники ценят связку „обязательность + след“: автоматическое назначение по правилам гарантирует, что курс по ИБ получил каждый, кто подходит по должности и локации, а логи закрывают вопрос доказательств. При инциденте выгрузка истории обучения занимает минуты, и позиция „я не знал“ рассыпается»

Периодичность, подрядчики и разграничение доступа

Правила безопасности устаревают, а люди забывают — поэтому нужна регулярная переаттестация. Управление сертификациями отслеживает сроки действия допусков и само запускает переобучение до истечения, снимая с СБ ручной календарь. Для подрядчиков и партнёров работают отдельные порталы (extended enterprise): внешние люди проходят ваши правила на своей площадке, не получая доступа к внутренним материалам. Гибкое управление правами доступа и ролевая модель гарантируют, что чувствительные курсы (например, по работе с гостайной или коммерческой тайной) видят только допущенные. Разумно вписать в контур и «мягкие» форматы: внутренние обучения новичков через наставника, а социализацию — через баддинг, чтобы правила безопасности объяснял живой человек, а система фиксировала результат.

Как выстроить обучение по безопасности: пошаговая инструкция

Частые вопросы

Признаются ли электронные записи о прохождении при расследовании?

Да, при корректной фиксации: логи с датами, попытками и баллами, привязка к учётной записи и версии курса. Аудиторский след в Добыто ведётся автоматически по каждому действию, а выгрузка отчёта для расследования занимает минуты.

Как исключить, что тест по ИБ сдаёт другой человек?

Комбинацией мер: вход по корпоративной учётной записи, случайная выборка вопросов, ограничение попыток и прокторинг на критичных экзаменах. В Добыто эти настройки включаются на уровне курса, поэтому строгий режим применяется только там, где он оправдан.

Что делать с сотрудниками, которые игнорируют обязательные курсы?

Настроить дедлайны и эскалацию: при просрочке уведомление автоматически уходит руководителю нарушителя, а сводный отчёт показывает СБ все «хвосты» по компании. Дисциплинарные меры применяются уже к задокументированному факту уклонения.

Можно ли обучать правилам безопасности подрядчиков?

Да, через отдельные брендированные порталы для внешних аудиторий: подрядчики проходят ваши регламенты и тесты, не получая доступа к внутренним курсам. Результаты фиксируются так же, как по штату, — с историей и отчётами.

Как быстро довести срочное изменение правил до всего штата?

Массовым назначением обновлённого курса с дедлайном и автоматическими напоминаниями. Версионирование в Добыто зафиксирует, что каждый прошёл именно новую редакцию, а дашборд покажет охват в реальном времени — удобно докладывать руководству о закрытии риска.

Для СБ вопрос, как обучить внутри организации правилам безопасности, сводится к формуле «обязательность, контроль честности, след». Такой контур собирается на готовой платформе за несколько недель — начните с dobyto.ru, и на следующем расследовании у вас будут логи, а не журнал с подписями.