Кибербезопасность остается приоритетом для компаний, и команды специалистов демонстрируют беспрецедентную уверенность в своей способности реагировать на крупные инциденты. Наблюдается активное вовлечение советов директоров, расширение обучающих программ и увеличение инвестиций в эту сферу. Однако, как показывает практика, эта уверенность может быть обманчивой.
Содержание
Разрыв между уверенностью и реальными возможностями
Согласно данным компании Immersive, 94% организаций убеждены в своей эффективности при возникновении киберинцидента. Тем не менее, фактическая точность принятия решений в кризисной ситуации резко снижается. Во время учений по отражению атак специалисты принимают правильные решения лишь в 22% случаев в среднем, при этом локализация инцидентов занимает часы.
Этот разрыв между уверенностью и реальными возможностями объясняется не отсутствием усилий, а ошибочным фокусом. Неправильное направление и некорректные метрики успеха часто приводят к тому, что развитие навыков быстрее формирует чувство уверенности, чем реальную готовность.
Когда уверенность опережает мастерство
Разрыв между восприятием и фактической производительностью продолжает увеличиваться. Несмотря на рост числа тренировочных упражнений и более активное участие руководителей, ключевые показатели, такие как точность принятия решений, время реагирования и оценка устойчивости, остаются практически неизменными, в то время как уровень уверенности растет.
Частично проблема кроется в методах измерения прогресса. Многие организации отслеживают легко измеряемые показатели, такие как процент завершенных курсов или посещаемость. Однако активные и хорошо посещаемые программы не всегда соответствуют угрозам, требующим наибольшего внимания.
Данные Immersive показывают, что 36% выполненных лабораторных работ сосредоточены на базовых навыках. Хотя основы важны, зацикливание на этом уровне ограничивает развитие. Команды могут успешно выполнять упражнения, так и не сталкиваясь с более сложными, реалистичными сценариями.
С этим связана тенденция концентрироваться на знакомых или устаревших угрозах, особенно на ранних стадиях атаки. Со временем это создает модель, где успех измеряется скорее завершением задачи, чем ее сложностью.
Фокусировка на основах и знакомых угрозах также означает, что программы развития не позволяют полностью оценить работу команд в условиях стресса. Мероприятия, такие как симуляции фишинговых атак и ежегодные тренинги, обычно проходят в спокойной, контролируемой обстановке, что совершенно не похоже на непредсказуемый хаос, давление и тревогу реального инцидента. В результате участники не развивают необходимую «мышечную память», которая нужна для быстрой реакции на кризис и принятия мгновенных решений со «холодной головой».
Итог – видимость без валидации: панели мониторинга выглядят обнадеживающе, но не отражают, как команды будут действовать, когда что-то пойдет не так.
Осторожно: эффект Даннинга-Крюгера
Эта ситуация хорошо изучена в психологии. Психологи называют ее эффектом Даннинга-Крюгера – склонностью людей переоценивать свои способности при ограниченном опыте в сложной области. Это рискованное мышление в большинстве обстоятельств, но особенно бесполезное при столкновении с киберкризисом.
Когда команды тратят большую часть своего времени на базовые задачи, они формируют знакомство с предметом и уверенность, но не углубленные знания. В сочетании с метриками, которые поощряют лишь завершение, это создает замкнутый круг, где уверенность растет, а реальные возможности стагнируют.
Результатом является тенденция, наблюдаемая в аналитических данных: высокая уверенность в возможностях киберреагирования соседствует с низкой точностью принятия решений, когда навыки проверяются в кризисных симуляциях. Многие организации, инвестировавшие значительный капитал и время в развитие кибернавыков, столкнутся с «неприятным пробуждением», когда произойдет реальная атака и возникнет критическое давление.
Почему одного лишь опыта недостаточно
Все эти проблемы в совокупности приводят к неэффективному реагированию на киберугрозы. Процессы замедляются и становятся разрозненными, а лица, принимающие решения, испытывают нехватку уверенности для решительных действий.
Это касается не только линейного персонала; во многих организациях этот разрыв более заметен на высших уровнях управления.
Отмечается тенденция к отходу от неопределенных и переходу к более знакомым сценариям обучения. Например, по данным Immersive, участие старших сотрудников в лабораторных работах, ориентированных на сценарии с применением искусственного интеллекта, сократилось на 14% в годовом исчислении, даже несмотря на то, что опасения по поводу угроз, основанных на ИИ, доминируют в повестке дня кибербезопасности.
Осведомленность растет, но вовлеченность в более продвинутое обучение — нет. Любой уровень вовлеченности и опыта лучше, чем ничего, но он должен развиваться, чтобы оставаться актуальным. Современные атаки сложнее, менее предсказуемы и часто обусловлены новыми технологиями. Без опыта работы с такими сценариями даже опытные команды могут испытывать трудности, когда инциденты не соответствуют привычным шаблонам.
От активности к реальной готовности
Для устранения этого разрыва предприятиям необходимо честно оценить уровень развития своих навыков и готовности к киберугрозам. Вместо «приятных» метрик и «наград за участие» за простое завершение модулей, компаниям необходимо задать себе несколько сложных вопросов:
- Готовы ли их команды и процессы к локализации угрозы?
- Могут ли их руководители сохранять хладнокровие и принимать правильные решения в кризисной ситуации?
- Сколько времени требуется, чтобы принять решение, не говоря уже о его реализации?
Цель не в увеличении активности, а в обеспечении того, чтобы результатом всегда было развитие более сильных возможностей. Это начинается с измерения правильных показателей. Точность принятия решений, скорость реагирования и время локализации дают гораздо более четкое представление о готовности, чем когда-либо дадут показатели завершения обучения.
Обучение также должно отражать реальные условия. Симуляции высокого давления помогают командам понять, как они действительно действуют, а не только то, что они знают. Данные могут быть проанализированы на детальном уровне, чтобы понять производительность на уровне отделов, команд и отдельных сотрудников.
Неудовлетворительные результаты в таких сценариях — это не неудачи, а полезные сигналы о том, где необходимо улучшение. Планы развития и будущие учения могут быть затем адаптированы соответствующим образом.
Программы также должны строиться прогрессивно, переходя от базовых навыков к более сложным сценариям, управляемым злоумышленниками. Регулярная практика с возрастающей сложностью помогает развить последовательность, необходимую в реальном инциденте.
Уверенность – не показатель
Уверенность ценна, но она не является мерой киберготовности. Когда обучение ставит во главу угла знакомые задачи, а метрики фокусируются на активности, организации рискуют создать чувство ложной уверенности, которое не выдержит испытания в критический момент.
Команды могут чувствовать себя подготовленными, но испытывать трудности при столкновении с давлением и сложностью реальной атаки. Повышение устойчивости означает изменение определения успеха. Речь идет не о том, сколько обучения пройдено, а о том, как команды действуют, когда это имеет значение. Только сосредоточившись на реальных угрозах и проверяя возможности в реалистичных условиях, организации могут гарантировать, что их уверенность оправдана.
