В ‎статье‏ ‎Google ‎Security ‎Blog ‎«On ‎Fire‏ ‎Drills ‎and‏ ‎Phishing‏ ‎Tests» рассказывается ‎о ‎важности‏ ‎тестов ‎на‏ ‎фишинг ‎и ‎тренингов ‎для‏ ‎повышения‏ ‎безопасности ‎организации.

Важность‏ ‎тестов ‎на‏ ‎фишинг

📌Фишинговые ‎тесты ‎как ‎инструмент ‎обучения: Фишинговые‏ ‎тесты‏ ‎используются ‎для‏ ‎обучения ‎сотрудников‏ ‎распознавать ‎попытки ‎фишинга ‎и ‎реагировать‏ ‎на‏ ‎них.‏ ‎Они ‎имитируют‏ ‎реальные ‎фишинговые‏ ‎атаки, ‎чтобы‏ ‎помочь‏ ‎сотрудникам ‎выявлять‏ ‎подозрительные ‎электронные ‎письма ‎и ‎ссылки.

📌Анализ‏ ‎поведения: Эти ‎тесты‏ ‎дают‏ ‎представление ‎о ‎поведении‏ ‎сотрудников ‎и‏ ‎эффективности ‎текущих ‎программ ‎обучения.‏ ‎Они‏ ‎помогают ‎определить,‏ ‎какие ‎сотрудники‏ ‎или ‎отделы ‎более ‎подвержены ‎фишинговым‏ ‎атакам.

Тренинги‏ ‎по ‎реагированию‏ ‎на ‎инциденты

📌Имитация‏ ‎инцидентов: тренингов ‎включают ‎в ‎себя ‎имитацию‏ ‎инцидентов‏ ‎безопасности‏ ‎для ‎проверки‏ ‎возможностей ‎организации‏ ‎по ‎реагированию‏ ‎на‏ ‎инциденты. ‎Это‏ ‎включает ‎в ‎себя ‎то, ‎насколько‏ ‎быстро ‎и‏ ‎эффективно‏ ‎команда ‎может ‎обнаруживать‏ ‎угрозы ‎безопасности,‏ ‎реагировать ‎на ‎них ‎и‏ ‎устранять‏ ‎их.

📌Готовность ‎и‏ ‎совершенствование: Регулярные ‎учения‏ ‎помогают ‎обеспечить ‎готовность ‎группы ‎реагирования‏ ‎на‏ ‎инциденты ‎к‏ ‎реальным ‎инцидентам‏ ‎безопасности. ‎Они ‎также ‎указывают ‎на‏ ‎области,‏ ‎требующие‏ ‎улучшения ‎в‏ ‎плане ‎реагирования‏ ‎на ‎инциденты.

Интеграция‏ ‎тестов‏ ‎на ‎фишинг‏ ‎и ‎проведения ‎треннингов

📌Комплексное ‎обучение ‎безопасности: Сочетание‏ ‎тестов ‎на‏ ‎фишинг‏ ‎с ‎тренингами ‎обеспечивает‏ ‎комплексный ‎подход‏ ‎к ‎обучению ‎безопасности. ‎Это‏ ‎гарантирует,‏ ‎что ‎сотрудники‏ ‎будут ‎не‏ ‎только ‎осведомлены ‎о ‎фишинговых ‎угрозах,‏ ‎но‏ ‎и ‎знают,‏ ‎как ‎эффективно‏ ‎на ‎них ‎реагировать.

📌Реалистичные ‎сценарии: Объединяя ‎эти‏ ‎два‏ ‎метода,‏ ‎организации ‎могут‏ ‎создавать ‎более‏ ‎реалистичные ‎и‏ ‎сложные‏ ‎сценарии, ‎которые‏ ‎лучше ‎подготовят ‎сотрудников ‎к ‎реальным‏ ‎угрозам.

Показатели ‎и‏ ‎оценка

📌Измерение‏ ‎эффективности: Как ‎тесты ‎на‏ ‎фишинг, ‎так‏ ‎и ‎трениг ‎должны ‎оцениваться‏ ‎с‏ ‎использованием ‎показателей‏ ‎для ‎измерения‏ ‎их ‎эффективности. ‎Это ‎включает ‎в‏ ‎себя‏ ‎отслеживание ‎количества‏ ‎сотрудников, ‎которые‏ ‎поддаются ‎тестированию ‎на ‎фишинг, ‎и‏ ‎времени‏ ‎реагирования‏ ‎во ‎время‏ ‎тренингов.

📌Постоянное ‎совершенствование: Данные,‏ ‎собранные ‎в‏ ‎ходе‏ ‎этих ‎учений,‏ ‎следует ‎использовать ‎для ‎постоянного ‎совершенствования‏ ‎программ ‎обучения‏ ‎безопасности‏ ‎и ‎планов ‎реагирования‏ ‎на ‎инциденты.

Организационная‏ ‎культура

📌Продвижение ‎культуры, ‎ориентированной ‎прежде‏ ‎всего‏ ‎на ‎безопасность: Регулярные‏ ‎тесты ‎на‏ ‎фишинг ‎и ‎тренинги ‎помогают ‎продвигать‏ ‎культуру‏ ‎безопасности ‎в‏ ‎организации. ‎Они‏ ‎подчеркивают ‎важность ‎осведомленности ‎сотрудников ‎о‏ ‎безопасности‏ ‎и‏ ‎готовности ‎к‏ ‎ней.

📌Поощряющие ‎сообщения: Эти‏ ‎упражнения ‎побуждают‏ ‎сотрудников‏ ‎сообщать ‎о‏ ‎подозрительных ‎действиях ‎и ‎потенциальных ‎инцидентах‏ ‎безопасности, ‎способствуя‏ ‎созданию‏ ‎активной ‎среды ‎безопасности.

Как ‎я‏ ‎и ‎говорил, ‎буду ‎максимально ‎стараться‏ ‎излагать ‎материал‏ ‎сугубо‏ ‎простым ‎языком ‎+‏ ‎на ‎основе‏ ‎эмпирического ‎опыта ‎(но ‎местами‏ ‎без‏ ‎теории ‎не‏ ‎обойтись, ‎это‏ ‎надо ‎просто ‎принять). ‎

Погнали. ‎

Итак,‏ ‎мы‏ ‎имеем ‎некую‏ ‎середнячковую ‎организацию‏ ‎(4-8 ‎млрд ‎выручки ‎в ‎год)‏ ‎,‏ ‎которую‏ ‎только ‎что‏ ‎продали, ‎убили‏ ‎всю ‎региональную‏ ‎сеть‏ ‎и ‎новый‏ ‎собственник ‎начинает ‎наводить ‎свои ‎порядки,‏ ‎что ‎естественно.‏ ‎

На‏ ‎что ‎он ‎обратит‏ ‎внимание ‎в‏ ‎первую ‎очередь?

Скорей ‎всего ‎на‏ ‎резервы‏ ‎и ‎обычные‏ ‎текущие ‎расходы.

Вот‏ ‎об ‎обычных ‎и ‎текущих ‎речь‏ ‎и‏ ‎пойдёт. ‎

Новому‏ ‎хозяину ‎было‏ ‎озвучено, ‎что ‎в ‎этой ‎конкретной‏ ‎компании‏ ‎если‏ ‎кто ‎и‏ ‎хотел ‎что-то‏ ‎украсть ‎посредством‏ ‎расходной‏ ‎части, ‎давно‏ ‎украл ‎и ‎его ‎тут ‎уже‏ ‎нет. ‎И‏ ‎на‏ ‎это ‎не ‎нужно‏ ‎тратить ‎время‏ ‎и ‎людские ‎ресурсы. ‎

Но‏ ‎новый‏ ‎хозяин ‎принимает‏ ‎решение, ‎что‏ ‎надо ‎назначить ‎2 ‎людей, ‎которые‏ ‎будут‏ ‎контролировать ‎все‏ ‎текущие ‎(любые)‏ ‎расходы. ‎

При ‎этом ‎совокупная ‎зп‏ ‎этих‏ ‎2х‏ ‎людей ‎330‏ ‎тыс.руб. ‎(да,‏ ‎не ‎самые‏ ‎дешёвые‏ ‎люди). ‎

Итог?

За‏ ‎2 ‎недели ‎работы ‎не ‎выявлено‏ ‎никакого ‎мошенничества‏ ‎и‏ ‎воровства ‎(проверялось ‎100%‏ ‎расходов), ‎а‏ ‎найден ‎лишь ‎один ‎неверно‏ ‎оформленный‏ ‎акт ‎выполненных‏ ‎работ ‎на‏ ‎2000 ‎рублей. ‎

Теперь ‎математика

• совокупная ‎зп‏ ‎2х‏ ‎людей ‎за‏ ‎две ‎недели‏ ‎165 ‎тыс.руб.
• отчислим ‎во ‎внебюджет ‎грубо‏ ‎30%.‏ ‎Ещё‏ ‎55 ‎тыс.‏ ‎
• найденный ‎риск?‏ ‎Риск ‎по‏ ‎налогу‏ ‎на ‎прибыль.‏ ‎20% ‎от ‎2000 ‎рублей ‎=‏ ‎400 ‎рублей.‏ ‎Штрафы,‏ ‎пени...вообще ‎нематериальны. ‎

Так‏ ‎о ‎чем‏ ‎это ‎все?

Риск-аппетит - это ‎когда ‎лучше‏ ‎оставить‏ ‎потерю ‎на‏ ‎своем ‎удержании,‏ ‎чем ‎понести ‎еще ‎бОльшие ‎потери,‏ ‎чтобы‏ ‎ее ‎выявить‏ ‎или ‎чтобы‏ ‎управлять ‎ею.

Простыми ‎словами, ‎- ‎потратить‏ ‎много‏ ‎тысяч‏ ‎и ‎сэкономить‏ ‎пару ‎сотен‏ ‎- ‎неправильное‏ ‎управление‏ ‎риском. ‎А‏ ‎руководителя, ‎который ‎принимает ‎такое ‎решение...даже‏ ‎и ‎не‏ ‎знаю‏ ‎как ‎назвать. ‎Есть‏ ‎варианты?

Не ‎согласны‏ ‎с ‎этой ‎историей? ‎Ну...‏ ‎It's‏ ‎up ‎to‏ ‎you.

Т.к. ‎в‏ ‎дальнейшем ‎повествовании ‎часто ‎будут ‎использоваться‏ ‎термины ‎"контроль",‏ ‎"‏ ‎внутренний ‎контроль", ‎"риск",‏ ‎" ‎Система‏ ‎Внутреннего ‎Контроля ‎(СВК)", ‎думаю,‏ ‎будет‏ ‎не ‎лишним‏ ‎разобраться, ‎что‏ ‎это, ‎несмотря ‎на, ‎казалось ‎бы,‏ ‎очевидность‏ ‎их ‎определения,‏ ‎а ‎также‏ ‎в ‎каком ‎контексте ‎они ‎будут‏ ‎употребляться.

Многие‏ ‎привыкли‏ ‎и ‎приняли‏ ‎как ‎данность,‏ ‎что ‎Система‏ ‎внутреннего‏ ‎контроля ‎(равно‏ ‎как ‎и ‎Служба ‎внутреннего ‎контроля)‏ ‎- ‎прерогатива‏ ‎крупных‏ ‎предприятий. ‎

Поэтому ‎продолжу‏ ‎с ‎не‏ ‎самого ‎очевидного: ‎любой ‎бизнес‏ ‎имеет‏ ‎Систему ‎внутреннего‏ ‎контроля ‎

Неважно,‏ ‎кто ‎вы: ‎самозанятый, ‎ИП, ‎ООО‏ ‎и‏ ‎т.д. ‎

Например:

- Самозанятый,‏ ‎шьющий ‎предметы‏ ‎одежды ‎на ‎дому, ‎контролирует ‎остаток‏ ‎материала,‏ ‎контролирует‏ ‎сроки ‎выполнения‏ ‎работы ‎и‏ ‎отправки ‎заказа‏ ‎заказчику...‏ ‎;

- ИП, ‎который‏ ‎организовал ‎небольшое ‎производство ‎детского ‎конструктора‏ ‎контролирует ‎качество‏ ‎поставленного‏ ‎материала, ‎изнашиваемость ‎оборудования‏ ‎и/или ‎деталей‏ ‎к ‎нему, ‎мониторит ‎(контролирует)‏ ‎проведение‏ ‎тематических ‎выставок...‏ ‎;

- ООО ‎и‏ ‎более ‎крупные ‎единицы ‎бизнеса ‎контролируют‏ ‎сроки‏ ‎поставок, ‎отгрузок,‏ ‎производства, ‎выполнения‏ ‎услуг, ‎организации ‎продаж.... ‎И ‎много‏ ‎чего‏ ‎ещё.‏ ‎Думаю, ‎суть‏ ‎ясна. ‎

Иными‏ ‎словами ‎-‏ ‎везде‏ ‎и ‎всегда‏ ‎есть ‎какой ‎никакой, ‎но ‎контроль.‏ ‎А ‎значит‏ ‎уже‏ ‎есть ‎и ‎некая‏ ‎система ‎контроля‏ ‎(СВК).

(Забегая ‎немного ‎вперёд, ‎раскрою‏ ‎карты‏ ‎- ‎ключевым‏ ‎моментом ‎всегда‏ ‎(на ‎протяжении ‎всего ‎периода ‎жизни‏ ‎бизнеса)‏ ‎будет ‎являться‏ ‎КАЧЕСТВО, ‎ЭФФЕКТИВНОСТЬ‏ ‎И ‎ДОСТАТОЧНОСТЬ ‎этой ‎системы ‎контроля.‏ ‎Но‏ ‎об‏ ‎этом ‎потом).

А‏ ‎сейчас. ‎..Revenons‏ ‎à ‎nos‏ ‎moutons,‏ ‎как ‎говорят‏ ‎французы. ‎То ‎бишь ‎- ‎вернёмся‏ ‎к ‎нашим‏ ‎баранам,‏ ‎к ‎сути ‎поста.‏ ‎

Для ‎чего‏ ‎мы ‎контролируем ‎свой ‎бизнес?

Многие‏ ‎ответят:‏ ‎чтобы ‎зарабатывать‏ ‎деньги, ‎как‏ ‎и ‎было ‎запланировано. ‎

Я ‎не‏ ‎соглашусь‏ ‎и ‎отвечу‏ ‎иначе: ‎мы‏ ‎контролируем, ‎чтобы ‎НЕ ‎терять ‎деньги.‏ ‎То‏ ‎есть‏ ‎своевременно ‎реагировать‏ ‎на ‎некие‏ ‎неблагоприятные ‎события....РИСКИ

Если‏ ‎наш‏ ‎самозанятый ‎вовремя‏ ‎не ‎закупит ‎материал, ‎вовремя ‎не‏ ‎сошьет ‎заказанные‏ ‎мною‏ ‎перчатки ‎и ‎вовремя‏ ‎их ‎не‏ ‎отправит, ‎чем ‎он ‎рискует:

• отказ‏ ‎от‏ ‎заказа ‎с‏ ‎моей ‎стороны‏ ‎(деньги ‎на ‎материал ‎потрачены ‎свои,‏ ‎время‏ ‎потрачено, ‎доход‏ ‎не ‎получен).‏ ‎Деньги ‎потеряны. ‎Когда ‎вернутся(ли) ‎...неизвестно;
• негативный‏ ‎отзыв‏ ‎с‏ ‎моей ‎стороны‏ ‎в ‎соцсетях.‏ ‎Самозанятый ‎потерял‏ ‎потенциальных‏ ‎будущих ‎клиентов,‏ ‎ака ‎доход. ‎

Если ‎наш ‎ИП‏ ‎вовремя ‎не‏ ‎обновил‏ ‎детали ‎оборудования ‎по‏ ‎производству ‎конструктора,‏ ‎он ‎никак ‎не ‎сможет‏ ‎выполнить‏ ‎весь ‎объем‏ ‎заказов ‎на‏ ‎конструкторы ‎в ‎срок, ‎пока ‎не‏ ‎получит‏ ‎новые ‎детали‏ ‎к ‎оборудованию....‏ ‎Отказы ‎от ‎заказов, ‎списание ‎материалов‏ ‎в‏ ‎убыток,‏ ‎негативные ‎отзывы,‏ ‎потери, ‎потери‏ ‎потери... ‎

Более‏ ‎крупный‏ ‎бизнес ‎теряет‏ ‎деньги ‎вообще ‎на ‎каждом ‎шагу.‏ ‎Об ‎этом‏ ‎можно‏ ‎отдельные ‎посты ‎делать.‏ ‎

Надеюсь, ‎посыл‏ ‎понятен. ‎

А ‎задача ‎сегодняшнего‏ ‎упражнения‏ ‎запомнить, ‎что‏ ‎РИСК ‎- это‏ ‎событие, ‎которое ‎уже ‎привело ‎к‏ ‎потерям,‏ ‎либо ‎может‏ ‎привести! ‎И‏ ‎что ‎вы ‎контролируете ‎свой ‎бизнес...вопрос‏ ‎насколько‏ ‎качественно.‏ ‎

Если ‎кто-то‏ ‎не ‎согласен,‏ ‎то ‎может‏ ‎высказать‏ ‎свою ‎позицию‏ ‎в ‎комментариях, ‎а ‎в ‎остальном...‏ ‎it's ‎up‏ ‎to‏ ‎you

Движение ‎вперед‏ ‎прямо ‎пропорционально ‎движению ‎взад. ‎Пинок‏ ‎инертен. ‎Проявляется‏ ‎он‏ ‎многомерно. ‎Чаще ‎через‏ ‎лишения, ‎ограничения,‏ ‎какие-либо ‎неудобства. ‎Это ‎обратная‏ ‎сторона‏ ‎вседозволенности. ‎Когда‏ ‎не ‎знаешь‏ ‎куда ‎идти, ‎то ‎обязательно ‎куда-то‏ ‎попадешь.‏ ‎Вот ‎это‏ ‎и ‎есть‏ ‎риск. ‎Это ‎не ‎мой ‎выбор.

Погоди‏ ‎немножечко,‏ ‎впереди‏ ‎самое ‎интересное.

Действуя‏ ‎в ‎очерченных‏ ‎рамках, ‎ты‏ ‎не‏ ‎распыляешься, ‎сосредотачиваешься.‏ ‎Так ‎ты ‎обретаешь ‎истинного ‎себя.

Если‏ ‎бы ‎я‏ ‎имел‏ ‎безграничные ‎возможности, ‎мог‏ ‎бы ‎пробовать‏ ‎то ‎одно, ‎то ‎другое.‏ ‎Когда‏ ‎вариантов ‎масса,‏ ‎можно ‎заниматься‏ ‎чем ‎хочешь ‎или ‎не ‎хочешь.‏ ‎Причем‏ ‎не ‎обращая‏ ‎внимания ‎на‏ ‎свои ‎же ‎недочеты. ‎Даже ‎можно‏ ‎забыться‏ ‎и‏ ‎потеряться.

А ‎между‏ ‎прочим, ‎в‏ ‎детстве ‎я‏ ‎мечтал‏ ‎стать ‎волшебником‏ ‎и ‎творить ‎невообразимое!

На ‎самом ‎деле‏ ‎всё ‎просто,‏ ‎друг,‏ ‎сейчас ‎я ‎тебе‏ ‎объясню...

Когда ‎мне‏ ‎недоставало ‎чего-то, ‎у ‎меня‏ ‎выбор‏ ‎неизбежно ‎сужался.‏ ‎Что ‎упрощало‏ ‎анализ. ‎Пойти ‎мне ‎туда ‎или‏ ‎побыть‏ ‎здесь. ‎Учиться‏ ‎тому ‎или‏ ‎этому. ‎Отдохнуть ‎так ‎или ‎эдак.

Еще‏ ‎заставляло‏ ‎ценить‏ ‎что ‎есть.‏ ‎Наслаждаться ‎всем.‏ ‎Большим ‎и‏ ‎малым.‏ ‎При ‎любых‏ ‎обстоятельствах.

Знаешь, ‎для ‎меня ‎это ‎было‏ ‎поистине ‎открытием…

Даже‏ ‎если‏ ‎я ‎шел ‎по‏ ‎улице ‎при‏ ‎ненастной ‎погоде. ‎Попадал ‎ли‏ ‎я‏ ‎в ‎слякоть.‏ ‎Или ‎непроходимую‏ ‎толпу ‎людей.

Опоздал ‎ли ‎куда, ‎либо‏ ‎не‏ ‎успел.

И ‎когда‏ ‎поссорился ‎с‏ ‎кем-то, ‎это ‎позволяло ‎мне ‎не‏ ‎грузиться,‏ ‎быстро‏ ‎расслабиться ‎и‏ ‎отойти. ‎Либо‏ ‎не ‎идти‏ ‎на‏ ‎конфликт. ‎Да‏ ‎и ‎не ‎провоцировать ‎других.

Сейчас ‎я‏ ‎открою ‎тебе‏ ‎один‏ ‎секрет..

Это ‎развивало ‎во‏ ‎мне ‎терпение.‏ ‎Принятие. ‎Всего.

Приобрести ‎находчивость ‎в‏ ‎тесных‏ ‎условиях ‎дефицита‏ ‎времени ‎и‏ ‎недостатка ‎желаемого.

А ‎теперь, ‎друг, ‎я‏ ‎скажу‏ ‎тебе ‎самое‏ ‎главное…

Большинство ‎кажущихся‏ ‎мне ‎желаний ‎в ‎прошлом ‎оказались‏ ‎ложными.‏ ‎Навязанными‏ ‎извне. ‎Надуманными‏ ‎не ‎пойми‏ ‎как.

Все ‎эти‏ ‎лишения‏ ‎вывели ‎меня‏ ‎на ‎чистую ‎воду. ‎Дали ‎мне‏ ‎свет ‎истины.‏ ‎И‏ ‎выбор ‎духовного ‎пути.

Так‏ ‎я ‎стал‏ ‎сам ‎Творить. ‎Волшебство. ‎И‏ ‎передавать‏ ‎это ‎другим.‏ ‎Помогать. ‎Быть‏ ‎проводником ‎между ‎Небом ‎и ‎Землей.‏ ‎Под‏ ‎божественным ‎началом‏ ‎Рэйки. ‎Оформите‏ ‎подписку ‎Платина, ‎чтобы ‎получить ‎доступ‏ ‎к‏ ‎этой‏ ‎технологии, ‎пройти‏ ‎полноценный ‎курс‏ ‎с ‎обратной‏ ‎связью,‏ ‎получить ‎инициацию‏ ‎и ‎методические ‎рекомендации!

То ‎ли ‎еще‏ ‎будет! ‎Это‏ ‎будет‏ ‎другая ‎история!

И ‎ты‏ ‎здесь ‎на‏ ‎пороге ‎Открытий. ‎Все ‎на‏ ‎борт‏ ‎на ‎корабль‏ ‎рассылки ‎и‏ ‎право ‎руля! ‎Подписывайтесь, ‎оценивайте, ‎пишите‏ ‎комментарии.‏ ‎