Активності Місяця обізнаності з кібербезпеки: план на 31 день

Більшість жовтневих кампаній — це плакат, лист на всю компанію і одне 45-хвилинне відео, яке люди проклацують із вимкненим звуком. Далі частка кліків падає на три тижні й повертається до норми.

План нижче має протилежну форму. Одна маленька річ на робочий день, чотири тематичні тижні й нічого, що забирає більше ніж 20 хвилин чийогось часу.

Активності Місяця обізнаності з кібербезпеки — це сесії, симуляції та вправи на робочому місці, які організація проводить у жовтні, щоб змінити конкретну поведінку працівників. Ті, що працюють, забирають менше ніж 20 хвилин і просять людину ухвалити рішення, а не садять її перед відео й тестом, який можна проклацати.

Два правила тримають план у формі. Кожна активність цілиться в одне рішення, а не в одну тему, бо «будьте обережні з поштою» — це не те, що хтось може зробити в понеділок зранку.

І кожен тиждень закінчується чимось, що команда бачить. Число на екрані, таблиця результатів, коротка нотатка про те, що десь пішло не так. Тиша чотири тижні поспіль — це те, як кампанія тихо помирає.

1 жовтня 2026 року — четвер, а закривається місяць у суботу 31-го. Це дає 22 робочі дні, тобто більше простору, ніж більшість припускає.

Версія нижче використовує перші два дні як запуск, чотири повні робочі тижні як тематичні блоки та останній день як закриття. Вихідні свідомо порожні. Кампанія, яка залазить людям у суботу, до третього тижня почне їх дратувати.

Контекст про теми 2026 року і про те, яку з них ставити на плакат, є в матеріалі Місяць обізнаності з кібербезпеки 2026.

День 1, четвер. Надішліть стартовий лист від керівника бізнесу, а не від безпеки. Лист від операційного директора про місяць прочитають. Той самий лист зі скриньки безпеки відфільтрують.

Скажіть, що це за місяць, що ви вимірюватимете і чого не робитимете. Публічна обіцянка, що нікого не називатимуть поіменно за провалений фішинговий тест, купує вам більше чесних повідомлень, ніж будь-яка мотивація.

День 2, п’ятниця. Опублікуйте календар. Люди планують навколо того, що бачать, а видимий розклад не дає кампанії перетворитися на серію засідок.

Перший тиждень усі очікують, тож використайте його, щоб змінити те, що ви вимірюєте, а не те, що говорите.

• Понеділок. Проведіть базову фішингову симуляцію. Без попередження і поки без листа з поясненням. Це ваше число «до».
• Вівторок. Опублікуйте результат одним числом, без імен. Спершу частка повідомлень, потім частка кліків.
• Середа. Проведіть Цільовий фішинг як 15-хвилинну вправу на робочому місці. Вона показує персоналізований підхід, який загальне навчання про фішинг оминає.
• Четвер. Проведіть Основи повідомлення про інциденти. Більшість людей розуміє, що щось не так, і все одно мовчить, бо ніхто не пояснив, що станеться після натискання кнопки.
• П’ятниця. П’ятнадцятихвилинний відкритий дзвінок. Спитайте, які листи цього тижня збивали з пантелику, і розберіть їх наживо.

Четвер — той день, що має значення. Частку кліків ви успадковуєте від поштового фільтра, а частка повідомлень — те, що ваше навчання справді рухає.

Другий тиждень про самі облікові дані. Тримайте його практичним, бо теорію всі вже чули.

• Понеділок. Звички з менеджером паролів. Якщо у вас є корпоративний менеджер, це тиждень, щоб довести до нього останні 30% людей.
• Вівторок. Ризики автозаповнення в браузері. Автозаповнення — тиха частина крадіжки облікових даних, якої не покриває жоден документ політики.
• Середа. Проведіть 20-хвилинну сесію про push-сповіщення MFA, конкретно про те, що робити, коли приходить запит, якого ви не ініціювали.
• Четвер. Основи привілейованого доступу для всіх, хто має адмінправа, постійний доступ до продакшену або спільні сервісні акаунти.
• П’ятниця. Проведіть перегляд доступів разом із тимлідами. Попросіть кожного назвати акаунти людей, які пішли цього року.

Перегляд у п’ятницю — та активність, яку пропускають і яка знаходить реальні речі. Зазвичай вона займає годину і зазвичай щось таки виявляє.

Це тиждень, який відрізняє добру кампанію від переробленої торішньої. Фізична безпека й безпека робочого місця майже не покриті у стандартних програмах, а саме там сторонній відвідувач робить більшу частину роботи.

• Понеділок. Основи чистого столу. Далі справді пройдіть один поверх після роботи: нічого не фотографуйте, все порахуйте.
• Вівторок. Роздруківки без нагляду. Усе, що лежить у спільному лотку, належить тому, хто дійде першим.
• Середа. Безпечна утилізація документів. Смітник — це місце зберігання, а не утилізація, і більшості людей ніколи не пояснювали різницю.
• Четвер. Безпека адміністратора принтера для IT та офіс-менеджменту. Мережевий принтер — це комп’ютер із вебконсоллю, і чимало з них досі відповідають на заводські облікові дані.
• П’ятниця. Вправа з тейлгейтингу біля головного входу. Один волонтер, один зчитувач карток і короткий розбір, скільки людей притримали двері.

Пройдіть поверх у понеділок самі, порахуйте знахідки й покажіть це число в п’ятницю поруч із результатом другого обходу. Два числа з різницею в тиждень доносять думку краще за будь-який слайд.

Останній робочий тиждень покриває все поза офісом, а далі передає програму листопаду.

• Понеділок. Безпека домашнього роутера. Більшість домашніх мереж досі працює на прошивці, з якою приїхала.
• Вівторок. Безпечні онлайн-зустрічі. Посилання на зустріч пересилають, а незапрошені учасники зазвичай просто мовчать.
• Середа. Надмірна відкритість у соцмережах. Саме звідси береться матеріал для цільового фішингу наступного кварталу.
• Четвер. Проведіть настільну вправу за інцидентом. Візьміть щось із каталогу реальних інцидентів і проведіть міжфункціональну групу через першу годину.
• П’ятниця. Опублікуйте розклад на листопад-січень. Зробіть це до кінця жовтня, поки людям ще не байдуже.

Настільну вправу в четвер варто захищати в календарі. Це єдина активність місяця, яка садить безпеку, IT, юристів і комунікації в одну кімнату до інциденту, а не під час нього.

Опублікуйте два числа поруч: частку повідомлень з першого тижня і частку повідомлень з останнього.

Не публікуйте середній бал, відсоток завершення чи цифру участі. Вони вимірюють, чи люди клікали, а це ви й так знаєте.

Далі назвіть три речі, які змінилися в результаті. Не три речі, які ви дізналися. Три речі, які інакші 1 листопада: змінений пароль принтера, вимкнений акаунт або шредер, який нарешті з’явився на другому поверсі.

Кожна вправа за посиланнями вище безкоштовна й не потребує акаунта, що закриває навчальну половину плану. Решта набору є в каталозі обізнаності з безпеки.

Друга половина коштує часу, а не грошей. Обхід офісу, перегляд доступів, настільна вправа й тест на тейлгейтинг — це внутрішня робота, і саме вона дає знахідки, з якими можна щось зробити.

Щодо матеріалів: National Cybersecurity Alliance дає зареєстрованим Champions безкоштовні плакати й графіку для соцмереж, а CISA публікує власний набір для кампанії. Зареєструйтеся до жовтня, і матимете матеріали кампанії без жодного дизайну.

Дочекайтеся січня. Це незручна відповідь і єдина чесна.

Кампанія, яка змінила поведінку, показує в січні частку повідомлень вище за вересневу. Кампанія, яка дала гарний місяць, показує сплеск у жовтні й повернення до базового рівня до кінця року.

Якщо вам потрібно більше форматів, ніж вміщає цей календар, ми окремо описали 15 практичних активностей для команд і 12 вправ із нотатками для ведучого. Обидва набори працюють як заміна будь-якому дню вище.

Візьміть план, приберіть усе, що не пасує вашій організації, і поставте решту днів у спільний календар цього тижня. Чотиритижнева кампанія, яка наполовину існує 1 жовтня, краща за ідеальну, що стартує 8-го.

Якщо ви не хочете збирати це самі, розкажіть нам, який у вас жовтень, і ми допоможемо побудувати розклад навколо того, що ваші люди справді роблять.