Теоретические основы и разработка методики обучения нового персонала правилам обеспечения информационной и имущественной безопасности работодателя

Человеческий фактор давно перестал быть просто переменной в уравнении корпоративной безопасности; сегодня он является критическим множителем риска. Согласно актуальной статистике, до 60% всех инцидентов информационной безопасности в российских организациях прямо или косвенно связаны с действиями или ошибками сотрудников. Этот показатель подчеркивает острую необходимость смещения фокуса корпоративной защиты с исключительно технологических решений на превентивное управление кадровыми рисками, особенно на этапе адаптации нового персонала.

Актуальность настоящего исследования обусловлена не только возрастающей стоимостью инцидентов ИБ и имущественных потерь, но и ужесточением регуляторных требований Российской Федерации, в частности, в области защиты персональных данных (ФЗ-152) и критической информационной инфраструктуры (ФЗ-187). Недостаточный уровень подготовки нового сотрудника, незнание корпоративных регламентов и отсутствие навыков противодействия социальной инженерии создают «окно уязвимости» для работодателя.

Цель работы — разработка научно обоснованной и практически применимой методики обучения нового персонала правилам обеспечения информационной и имущественной безопасности работодателя.

Для достижения поставленной цели необходимо решить следующие задачи:

1. Определить и систематизировать нормативно-правовую базу, регулирующую вопросы корпоративной безопасности в РФ.
2. Классифицировать основные угрозы, исходящие от нового персонала, и проанализировать роль человеческого фактора.
3. Сформировать концептуальную модель и определить этапы построения эффективной системы обучения.
4. Разработать практическую методику обучения с применением современных HR-технологий (геймификация, микроформаты).
5. Обосновать критерии и методы оценки эффективности программы обучения, включая расчет экономической отдачи (ROI).

Объектом исследования выступает процесс адаптации и обучения нового персонала в коммерческой организации. Предметом исследования является методика формирования компетенций нового сотрудника в области обеспечения информационной и имущественной безопасности работодателя.

Структура работы соответствует поставленным задачам, последовательно раскрывая теоретические основы, концептуальные модели и практические инструменты для создания эффективной системы кадровой безопасности.

Глава 1. Теоретические и правовые основы обеспечения корпоративной безопасности

Понятие, цели и место информационной и имущественной безопасности в системе кадровой безопасности

Корпоративная безопасность представляет собой комплексное состояние защищенности жизненно важных интересов организации от внутренних и внешних угроз. В рамках этой системы выделяются три ключевых, взаимосвязанных элемента, необходимых для понимания целей обучения.

1. Информационная безопасность (ИБ) – это состояние защищенности информации, при котором обеспечивается ее конфиденциальность, целостность и доступность. Конфиденциальность гарантирует доступ к данным только авторизованным лицам; целостность — неизменность и корректность данных; доступность — возможность использования информации по первому требованию. Цель обучения в контексте ИБ — формирование у сотрудника устойчивого поведения, обеспечивающего эти три столпа защиты, ведь без них любое взаимодействие с информацией становится потенциально опасным для компании.
2. Имущественная безопасность в контексте организации включает защиту всех активов:
   • Материальные активы: здания, оборудование, финансы, сырье.
   • Нематериальные активы: интеллектуальная собственность, деловая репутация, коммерческая тайна.

   Цель обучения здесь — предотвращение хищений, неправомерного использования и повреждения имущества, а также соблюдение режима коммерческой тайны. В правовой доктрине этот вид защиты является неотъемлемой частью экономической безопасности.

3. Кадровая безопасность является связующим звеном и частью экономической безопасности. Она направлена на предотвращение и минимизацию угроз, исходящих от персонала (действующего, бывшего, потенциального), которые могут нанести ущерб экономическим интересам организации.
   Таким образом, обучение нового персонала правилам ИБ и имущественной безопасности — это, по сути, реализация превентивных мер кадровой безопасности. Успешное обучение трансформирует потенциальный фактор риска (неопытного сотрудника) в элемент защитной системы организации.

Нормативно-правовая база обеспечения ИБ и Имущественной безопасности в РФ

Обеспечение корпоративной безопасности в Российской Федерации опирается на иерархичную и постоянно обновляемую систему нормативно-правовых актов. Нормативно-правовой основой являются Конституция РФ, федеральные законы, указы Президента РФ, постановления Правительства РФ и нормативные документы ФСТЭК и ФСБ России.

Ключевые регуляторные акты, формирующие требования к обучению персонала:

1. Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации». Этот закон устанавливает правовые основы защиты информации, включая обязанность операторов принимать меры по защите информации и ограничению доступа к ней. Для нового сотрудника это означает, что он обязан быть ознакомлен с внутренними политиками защиты информации и нести ответственность за их несоблюдение.
2. Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных». Данный закон является критически важным, поскольку устанавливает строгие требования к обработке персональных данных (ПДн) сотрудников, клиентов и контрагентов. Обучение должно включать четкий инструктаж о необходимости получения согласия на обработку ПДн, правилах их хранения, передачи и уничтожения. Нарушение ФЗ-152 влечет значительные административные штрафы и репутационный ущерб.
3. Доктрина информационной безопасности Российской Федерации (Утверждена Указом Президента РФ от 5 декабря 2016 г. № 646). Этот документ является основой для формирования государственной политики и, следовательно, основой для разработки корпоративных политик в области ИБ. Доктрина подчеркивает необходимость формирования культуры информационной безопасности, что прямо коррелирует с задачей обучения персонала.
4. Федеральный закон от 26.07.2017 № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» (КИИ). Хотя этот закон напрямую касается только субъектов КИИ, его принципы и требования к обеспечению непрерывности и защите значимых объектов экономики могут быть использованы как методическая основа для любой крупной организации, работающей с важными данными.

Таким образом, обучение нового персонала – это не просто добрая воля работодателя, но и прямой правовой императив, призванный обеспечить соблюдение действующего законодательства.

Классификация и анализ угроз, исходящих от нового персонала (Антропогенный фактор)

Самым непредсказуемым и, как показывает практика, наиболее опасным элементом системы безопасности является человеческий фактор. На него приходится до 60% всех инцидентов ИБ. Угрозы, исходящие от нового персонала (антропогенные), классифицируются по степени умысла:

Критерий	Умышленные угрозы (Инсайдерство)	Непреднамеренные угрозы (Ошибки)
Определение	Злонамеренное использование санкционированного доступа к активам с целью нанесения ущерба или получения выгоды.	Случайные действия, вызванные недостатком знаний, усталостью, несоблюдением регламентов или недостаточным обучением.
Цели	Шпионаж, хищение коммерческой тайны, саботаж (уничтожение или модификация данных), передача данных конкурентам.	Нарушение конфиденциальности или целостности из-за невнимательности.
Ключевой метод	Прямое использование привилегий, взлом внутренних систем, продажа доступа.	Подверженность социальной инженерии (фишинг, вишинг), использование слабых паролей, работа с корпоративными данными на личных устройствах.
Актуальная статистика	Источник наиболее разрушительных и целенаправленных атак.	83% финансово мотивированных кибератак используют социальную инженерию.

Новый персонал представляет особую опасность, поскольку он еще не интегрирован в корпоративную культуру, не знает всех тонкостей регламентов и, зачастую, имеет минимальную мотивацию для их неукоснительного соблюдения.

Ключевой угрозой современности является социальная инженерия. Статистика показывает, что 83% финансово мотивированных кибератак на российские организации используют методы социальной инженерии, прежде всего, фишинговые письма. Новый сотрудник, не прошедший обучение, является идеальной мишенью, поскольку его реакция на внешние запросы (особенно авторитарные, имитирующие руководство или техническую поддержку) более предсказуема. Кроме того, недостаток контроля и обучения в сегменте малого и среднего бизнеса (МСБ) усугубляет риски: по итогам 2024 года, на малый бизнес пришлось 27,8% всех зафиксированных утечек данных в России. Это свидетельствует о том, что игнорирование обучения безопасности, даже в небольших компаниях, приводит к прямым финансовым и репутационным потерям. Непреднамеренные ошибки, такие как предоставление сотрудникам права работать с корпоративными данными с личных устройств без ограничений (что практикуется в 32% компаний), дополнительно расширяют периметр уязвимости.

Глава 2. Концептуальная модель построения системы обучения корпоративной безопасности

Цели, принципы и этапы организации обучения персонала в области безопасности

Построение эффективной системы обучения безопасности должно быть привязано к решению конкретных бизнес-задач, а не являться самоцелью.

Цель обучения с позиции работодателя — организация и формирование управленческих/практических навыков для решения производственных задач и снижения бизнес-рисков (уменьшение числа инцидентов и связанных с ними потерь).

Постановка целей обучения должна быть выполнена по SMART-критериям (Specific, Measurable, Achievable, Relevant, Time-bound):

• Конкретность (S): Снизить количество переходов по фишинговым ссылкам новым персоналом.
• Измеримость (M): Достичь 95% прохождения обязательного курса ИБ в течение первых 30 дней работы.
• Достижимость (A): Обеспечить усвоение материала, подтвержденное итоговым тестом с результатом не менее 80%.
• Реальность (R): Фокусироваться на регламентах, релевантных должности сотрудника.
• Ограниченность во времени (T): Провести практический тренинг по распознаванию угроз до окончания испытательного срока.

Ключевые принципы построения системы обучения:

1. Непрерывность (Continuous Learning): Знания устаревают быстро, особенно в сфере ИБ, поэтому обучение должно быть не разовым актом, а постоянным процессом с ежегодным или ежеквартальным повторением.
2. Всеохватность (Inclusiveness): Затрагивание сотрудников всех уровней и отделов, включая топ-менеджмент, поскольку каждый сотрудник — потенциальная точка входа для злоумышленника.
3. Принцип наименьших привилегий (Principle of Least Privilege — PoLP): Этот концепт должен быть заложен в основу обучения. Смысл PoLP заключается в том, что каждому сотруднику предоставляется минимальный объем доступа к данным и ресурсам, необходимый исключительно для выполнения его прямых обязанностей. Обучение должно не только объяснять технический аспект PoLP, но и формировать понимание, почему нельзя запрашивать доступы, которые не требуются для работы.

Этапы организации обучения персонала:

Процесс организации обучения корпоративной безопасности традиционно включает шесть основных этапов, адаптированных из классических HR-методологий:

Этап	Содержание и Цель
1. Выявление потребности	Оценка разрыва между текущей (нулевой) и желаемой результативностью. Основой служит Профиль должности, который определяет необходимый эталон знаний, навыков и компетенций (включая требования безопасности).
2. Постановка целей	Четкая формулировка целей обучения по SMART-критериям, привязанных к снижению конкретных рисков (например, уменьшение числа ошибок с ПДн).
3. Разработка программы	Определение содержания, форм, методов и форматов обучения, а также выбор соответствующих инструментов (LMS, тренинги, инструктаж).
4. Проведение обучения	Непосредственная реализация плана, проведение инструктажей, вебинаров и практических занятий.
5. Оценка усвоения знаний	Проверка, насколько успешно сотрудники усвоили теоретический и практический материал (тестирование, симуляции).
6. Оценка динамики и обратная связь	Анализ влияния обучения на рабочее поведение и бизнес-показатели (количество инцидентов). Корректировка программы на основе полученных данных.

Разработка программы обучения для нового персонала: содержание и требования

Программа обучения нового персонала правилам ИБ и имущественной безопасности должна быть структурированной, практико-ориентированной и включать обязательные компоненты, учитывающие специфику угроз, исходящих от новичков.

Ключевые блоки содержания программы:

1. Правовой минимум и ответственность.
   • Ознакомление с локальными нормативными актами (Политика ИБ, Регламент работы с коммерческой тайной, Инструкции по работе с ПДн).
   • Обзор санкций за нарушение регламентов (дисциплинарная, административная, уголовная ответственность).
   • Обязательное подписание документов о неразглашении (NDA).
2. Информационная гигиена и технические требования.
   • Правила создания, хранения и смены надежных паролей.
   • Политика использования корпоративной почты и мессенджеров.
   • Правила работы с личными устройствами (BYOD-политика), если разрешено.
   • Принципы работы с облачными хранилищами и внешними носителями.
3. Угроза социальной инженерии и фишинг.
   • Детализированное обучение распознаванию фишинговых писем, телефонного мошенничества (вишинг) и других методов манипуляции.
   • Практические примеры последних реальных атак.
4. Действия при инциденте.

   • Критически важный раздел: В результате обучения рядовые сотрудники должны четко знать, что безопасно, что допустимо и что категорически запрещено, а главное — как действовать при малейшем подозрении на инцидент. Должен быть предоставлен четкий алгоритм: кому звонить, кому писать, какие данные фиксировать (чек-лист).

Требования к разработке:

• Релевантность должности: Программа должна быть дифференцирована. Требования к специалисту отдела продаж, работающему с клиентами и ПДн, отличаются от требований к инженеру, работающему с КИИ.
• Фокус на навыках, а не на теории: Обучение должно быть направлено на формирование устойчивых практических навыков, а не просто на заучивание инструкций.

Глава 3. Практическая методика и оценка эффективности обучения нового персонала

Методики и форматы обучения, адаптированные для нового персонала и клипового мышления

Для эффективной адаптации нового сотрудника к сложным и часто «сухим» правилам безопасности необходимо использовать современные методики, учитывающие такие факторы, как клиповое мышление и низкое время концентрации внимания. Наиболее эффективным подходом является смешанное обучение (blended learning), сочетающее следующие форматы:

Формат	Методика	Описание и Целевая аудитория
Очный инструктаж/Наставничество	Стандартный инструктаж	Обязательный элемент в начале работы. Позволяет новому сотруднику задать вопросы и подписать необходимые документы под контролем руководителя/наставника.
E-learning (СДО)	Микроформаты	Использование коротких (3–5 минут) видеороликов, инфографики и интерактивных мини-курсов. Идеально для сотрудников с клиповым мышлением, позволяя усваивать информацию дозированно.
Симуляции/Тренинги	Метод метафорического переосмысления и Геймификация	Трансформация сухих инструкций в увлекательные образные истории, квесты или симуляции. Например, симуляция «Поймай фишера» или «Защити свой сейф». Это повышает вовлеченность и запоминаемость.
Практико-ориентированные тренировки	Киберполигоны и тренажеры	Для специалистов ИТ и ИБ команд, внедряющих и поддерживающих защитные технологии. Необходимы регулярные тренировки, исключающие риски для «боевых» систем.
Регулярное тестирование	Фишинговые симуляции	Скрытая рассылка тестовых фишинговых писем. Оценка процента «клюнувших» и автоматическое назначение повторного обучения для тех, кто не справился.

Основной акцент в практической методике делается на формировании устойчивого навыка распознавания фишинговых писем. Вместо того чтобы просто перечислять признаки, необходимо проводить реальные, но контролируемые симуляции, которые учат сотрудника действовать по алгоритму: «Сомневаюсь — Проверяю — Сообщаю». Неужели можно достичь реальной эффективности без подобного практического подхода?

Критерии и методы оценки эффективности программы обучения

Оценка эффективности обучения – это ключевой этап, позволяющий подтвердить целесообразность инвестиций и скорректировать программу. Наиболее популярным и полным подходом является модель Киркпатрика (4 уровня), дополненная моделью Филипса (5 уровней).

Модель Киркпатрика (4 Уровня)

Уровень	Название	Критерии оценки	Методы сбора данных
1. Реакция	Удовлетворенность курсом	Коэффициент участия, процент завершения, NPS (удовлетворенность сотрудников), отзывы.	Анкеты, опросы, интервью сразу после обучения.
2. Обучение	Усвоение знаний	Результаты тестов, экзаменов, прохождение симуляций. Проверка, насколько усвоена программа.	Итоговое тестирование, контроль знаний.
3. Поведение	Применение на рабочем месте	Изменение модели поведения, вовлеченность, самооценка, отсутствие инцидентов безопасности.	Отчеты руководителя, наблюдение, повторные фишинговые симуляции.
4. Результаты	Влияние на бизнес-показатели	Снижение затрат, повышение качества, уменьшение числа реальных инцидентов ИБ и имущественных потерь.	Анализ статистики инцидентов и потерь до и после обучения.

Модель Филипса (5 Уровень)

Модель Филипса добавляет критически важный пятый уровень — Эффективность вложений (ROI). Этот уровень позволяет изолировать эффект от обучения от других факторов (например, обновления ПО) и определить, приносит ли инвестиция в обучение ценность с точки зрения финансовой безопасности.

Оценка экономической эффективности обучения (Расчет ROI) в контексте предотвращения ущерба от инцидентов ИБ

Расчет ROI (Return on Investment) является высшей точкой оценки эффективности программы обучения, переводя качественные результаты (снижение ошибок) в количественные (финансовая выгода).

Формула для расчета ROI:

ROI = (Общий эффект обучения (Выгоды) - Общие затраты на обучение) / Общие затраты на обучение × 100%

Где:

• C_общ — Общие затраты на обучение (разработка программы, лицензии на СДО, зарплата тренеров, стоимость рабочего времени сотрудников во время обучения).
• V_общ — Общий эффект обучения (Выгоды), выраженный в предотвращенном ущербе.

Детализация Общего эффекта (Выгоды) V_общ в контексте корпоративной безопасности:

Ключевая сложность заключается в монетизации предотвращенных потерь. Для этого используются следующие количественные показатели:

1. Стоимость предотвращенных инцидентов (Ущерб от утечек данных): Определяется на основе средних показателей ущерба от реальных инцидентов в отрасли или организации. Успешное обучение предотвращает потерю данных, которая может включать стоимость расследования, компенсации клиентам и восстановление систем.
2. Экономия на регуляторных штрафах: Прямое следствие соблюдения ФЗ-152 (О персональных данных). Успешное обучение минимизирует риск утечки ПДн, что позволяет избежать значительных штрафов, налагаемых Роскомнадзором.
3. Стоимость избежания простоя ключевых бизнес-процессов: Инциденты ИБ, вызванные новым сотрудником (например, загрузка вируса-шифровальщика), могут парализовать работу компании. Стоимость простоя рассчитывается как потерянная прибыль за время простоя, умноженная на вероятность инцидента до и после обучения.

Пример (Гипотетический расчет):

Предположим, что средняя стоимость одного инцидента ИБ в компании составляет 500 000 руб. До обучения новый персонал вызывал 2 инцидента в год. После внедрения программы обучения количество инцидентов, связанных с новыми сотрудниками, снизилось до 0,5 в год.

• Предотвращенный ущерб: (2 — 0,5) × 500 000 руб = 750 000 руб.
• Пусть общие затраты на обучение составили C_общ = 150 000 руб.

ROI = (750 000 руб - 150 000 руб) / 150 000 руб × 100% = 600 000 / 150 000 × 100% = 400%

ROI в 400% означает, что каждый рубль, вложенный в обучение безопасности, принес четыре рубля предотвращенной выгоды (экономии). Этот расчет является убедительным доказательством экономической ценности разработанной методики.

Заключение

Настоящая курсовая работа была посвящена разработке научно обоснованной методики обучения нового персонала правилам обеспечения информационной и имущественной безопасности работодателя. В результате проведенного исследования были достигнуты поставленные цели и решены ключевые задачи.

Основные выводы по теоретической части:

1. Было установлено, что обеспечение ИБ и имущественной безопасности является критическим элементом кадровой и экономической безопасности, а рост инцидентов, связанных с человеческим фактором (до 60%), подтверждает актуальность превентивного обучения.
2. Проанализирована актуальная нормативно-правовая база РФ (ФЗ-149, ФЗ-152, Доктрина ИБ РФ), которая служит не только источником требований, но и основой для формирования корпоративных регламентов, обязательных для изучения новым персоналом.
3. Обоснована классификация угроз, исходящих от новичков, с особым акцентом на антропогенном факторе. Подтверждена критическая опасность социальной инженерии, используемой в 83% финансово мотивированных кибератак.

Основные выводы по методике и практике:

1. Сформулирована концептуальная модель обучения, основанная на принципах непрерывности, всеохватности и ключевом концепте Принципа наименьших привилегий. Этапы организации обучения строго привязаны к SMART-целям и профилю должности.
2. Разработана практическая методика, учитывающая специфику нового персонала и клиповое мышление. Она включает использование смешанного обучения, микроформатов и геймификации (метафорического переосмысления), акцентируя внимание на формировании практического навыка распознавания фишинга и алгоритме действий при инциденте.
3. Представлен исчерпывающий инструментарий оценки эффективности, основанный на моделях Киркпатрика и Филипса. Главным достижением методики является интеграция расчета ROI, позволяющего количественно оценить экономическую выгоду обучения через монетизацию предотвращенного ущерба (снижение инцидентов, избежание штрафов).

Разработанная методика обладает высокой научной и практической ценностью, позволяя работодателям трансформировать потенциальные риски, исходящие от нового персонала, в контролируемые факторы защиты, что обеспечивает реальную экономическую отдачу от инвестиций в HR-процессы и корпоративную безопасность.

Рекомендации для дальнейшего исследования:

Дальнейшее исследование может быть направлено на разработку детализированных сценариев геймификации для различных типов угроз (например, сценарии для «киберполигонов» для не-ИТ персонала) и на анализ влияния корпоративной культуры на долгосрочную эффективность усвоенных навыков безопасности.

Список использованной литературы

1. Алавердов, А. Р. Управление кадровой безопасностью организации / А. Р. Алавердов. — М. : Маркет ДС Синергия, 2011. — 176 с.
2. Городов, О. А. Информационное право : Учеб. — М., 2014. — 430 с.
3. Кибанов, А. Я. Кадровая безопасность в системе безопасности организации. — URL: http://hr-portal.ru/article/kadrovaya-bezopasnost-v-sisteme-bezopasnosti-organizacii (дата обращения: 30.10.2025).
4. Козлачков, П. С. Основные направления развития систем безопасности предприятий. — М. : Финансы и статистика, 2014. — 736 с.
5. Основные результаты служебной деятельности подразделений вневедомственной охраны при органах внутренних дел Российской Федерации за 2013 год начало 2014 года // Всероссийский семинар-совещание руководителей подразделений вневедомственной охраны и филиалов ФГУП «Охрана» МВД России по субъектам Российской Федерации (Казань, 1—2 февраля 2014 г.). — Казань, 2007. — 160 с.
6. Россол, С. Обеспечение безопасности организации. — М., 2013. — 128 с.
7. Указ Президента Российской Федерации от 09.11.2022 г. № 809 «Об утверждении Основ государственной политики по защите национальных интересов Российской Федерации в информационной сфере». — URL: http://kremlin.ru (дата обращения: 30.10.2025).
8. Федеральный закон от 27.07.2006 N 149-ФЗ (ред. от 27.07.2006) «Об информации, информационных технологиях и о защите информации» // КонсультантПлюс.
9. Федеральный закон от 27.07.2006 N 152-ФЗ (ред. от 27.07.2006) «О персональных данных» // КонсультантПлюс.
10. Хатуаев, В. У. Система имущественной безопасности в России. — Воронеж, 2014. — 52 с.
11. Чумарин, И. Г. Обеспечение безопасности предприятия – основного стержня в системе успеха бизнеса. — М., 2014. — 73 с.
12. Швецова, Н. Д. Системы обеспечения информационной и имущественной безопасности: актуальные реалии обучения персонала. — СПб : Питер, 2014. — 340 с.