Управління людським ризиком

Навчання з кібербезпеки — це контент, який учить працівників розпізнавати атаки. Управління людським ризиком — це програма навколо нього: вона вимірює, хто в зоні ризику, вирішує, кому яке навчання потрібне, і показує, чи ризик справді знизився.

Простіше кажучи, навчання — лише один вхідний елемент. Управління людським ризиком (HRM) додає вимірювання через оцінку, поведінку через симуляції й дію через автоматизацію, тож ви спрямовуєте зусилля точково, а не призначаєте один і той самий модуль усім.

RansomLeak дає кожній людині оцінку людського ризику від 0 до 100, побудовану на чотирьох вхідних даних: як вона діє у фішингових симуляціях, чи повідомляє про підозрілі повідомлення, чи актуальні її навчання та коригувальне навчання, і які сигнали передають ваші власні інструменти безпеки, як-от ризиковані входи чи підтверджені алерти SOC.

Найбільше важить нещодавня поведінка, тож кожен сигнал згасає наполовину приблизно за 90 днів, а ті, хто виправляється, бачать, як їхня оцінка падає. Що вища оцінка, то вищий ризик, і кожен потрапляє в діапазон Low, Moderate, High або Critical.

Оцінка людського ризику — це число, зазвичай за шкалою від 0 до 100, яке показує, наскільки ймовірно конкретний працівник потрапить на атаку соціальної інженерії на кшталт фішингу. Вища оцінка означає вищий ризик.

RansomLeak будує оцінку на тому, як кожна людина діє у фішингових симуляціях, чи повідомляє вона про підозрілі повідомлення й чи актуальні її навчання та коригувальне навчання. Це вимірювальний шар ширшої програми управління людським ризиком.

Підсумок складається з чотирьох підоцінок. Вразливість походить із результатів фішингових симуляцій: від відкриття листа через клік до введення облікових даних. Борг із коригувального навчання походить із простроченого чи проваленого додаткового навчання. Гігієна навчання походить із прострочених обов’язкових уроків, слабких результатів тестів і провалених мікровправ. Зовнішні сигнали походять із того, що передають ваші власні інструменти безпеки, як-от ризиковані входи та алерти SOC.

Вразливість має найбільшу вагу, бо відображає реальні провали, а кожен сигнал згасає наполовину приблизно за 90 днів, тож домінує нещодавня поведінка. Підоцінка без даних випадає з розрахунку, замість того щоб тягнути оцінку до хибної середини, а адміністратори можуть налаштувати ваги, діапазони, швидкість згасання й те, які сигнали взагалі враховуються.

Вища означає більший ризик. Оцінка близько 100 позначає того, хто нещодавно провалював симуляції й має борг із навчання, тоді як оцінка близько 0 позначає того, хто стабільно помічає приманки й повідомляє про них.

Люди перебувають в одному з чотирьох діапазонів — Low, Moderate, High або Critical, тож ви можете діяти за діапазоном, не сперечаючись про окремі бали.

Оцінки перераховуються щоночі, а також оновлюються майже в реальному часі після важливої події, як-от введення облікових даних на симульованій приманці чи завершення коригувального навчального шляху.

Тож серйозний провал стає видимим того ж дня, а не чекає на наступний цикл кампанії.

Ні. Ми не підтягуємо бази витоків, сліди в соцмережах чи будь-яке інше зовнішнє профілювання й ніколи не купуємо дані про ваших людей.

Оцінка будується на поведінці всередині вашої власної програми — результатах симуляцій, повідомленнях про фішинг і стані навчання — плюс на будь-яких сигналах, які ви самі вирішуєте передати зі своїх інструментів безпеки, як-от ризикований вхід з Entra чи підтверджений алерт SOC. Це ваші дані, надіслані вами свідомо, а не профіль, зібраний на ваших працівників.

Так оцінка залишається пояснюваною й обґрунтованою. Кожен бал простежується до дії, яку вчинила людина, або до сигналу, який підняв ваш власний стек, а це важливо для профспілки й перевірки на конфіденційність.

Так. Сигнали передаються в RansomLeak через REST API з автентифікацією за токеном або завантажуються як CSV, тож їх може надсилати ваша SIEM, провайдер ідентифікації чи невеликий скрипт. Сирі логи не покидають вашої інфраструктури: ви надсилаєте тип сигналу, часову мітку й серйозність, а також будь-який контекст, який самі вирішите додати.

Каталог уже охоплює ризиковані входи, підтверджені алерти SOC, облікові записи, вимкнені за непроходження навчання, привілеї на кшталт локального адміністратора чи доступу до USB, а також результати фішингу з інструменту симуляцій, яким ви вже користуєтеся. Усе інше можна додати як власний тип сигналу з власною серйозністю. Кожен імпортований сигнал видно в розбивці оцінки цієї людини, тож адміністратор бачить, що саме й коли надійшло.

Автоматизація за рівнем ризику запускає навчальні заходи з кібербезпеки автоматично на основі виміряного ризику людини, а не за фіксованим календарем. Коли хтось переходить у зону високого ризику, платформа може призначити йому навчання чи сповістити керівника без жодного заведеного тікета.

Сьогодні працюють три дії. Вона може автоматично призначити людині коригувальний навчальний шлях з дедлайном, призначити коригувальне навчання за провалену фішингову симуляцію тієї ж миті, коли це сталося, і ескалювати підлеглих у зоні ризику до їхнього керівника через щоденне зведення й сповіщення в застосунку.

Кожна дія записується в журнал, а призначення може скасувати людина, якщо ситуація цього вимагає.

Правило спрацьовує, коли людина перетинає діапазон ризику, як-от досягає High, або числовий поріг оцінки. Ви можете додати умови: мінімальний рівень впевненості, щоб правило дочекалося достатньої кількості даних, або обхід за фактором, щоб серйозна подія на кшталт введених облікових даних спрацьовувала негайно.

Правила оцінюються щоночі й ще раз у реальному часі одразу після серйозного провалу. Оскільки базова оцінка може враховувати й сигнали з ваших власних інструментів безпеки, правило може відреагувати на ризикований вхід чи підтверджений алерт SOC без окремого робочого процесу з вашого боку.

Так, і варто це робити. Кожне правило можна запустити в режимі пробного запуску, який показує, кого саме воно зачепить і що зробить, не надсилаючи жодного листа й не створюючи жодного призначення.

Коли ви перемикаєте правило в бойовий режим, воно поводиться так, як показав пробний запуск, тож сюрпризів не буде.

Кілька запобіжників. Ліміт охоплення не дає одному запуску зачепити більше за встановлену частку працівників, персональні паузи запобігають повторним нагадуванням, а перевірка відновлення не дає подіяти на людину знову, доки вона справді не виправиться.

Глобальний аварійний вимикач може зупинити всю автоматизацію одразу, якщо це знадобиться.

Поки ні. Автоматизація за рівнем ризику зосереджена на призначенні навчання, коригувальному навчанні в момент помилки й ескалації до керівника. Адаптація ритму симуляцій для кожного користувача є в дорожній карті, а не серед поточних можливостей.

Ми радше випустимо автоматизацію, яка справді працює, ніж рекламуватимемо ту, якої немає.

Так. Програма працює на реальній поведінці, а фішингові симуляції — її головне джерело. Без них нема чого вимірювати, тож оцінка та її автоматизація входять до додаткового модуля симуляцій, а не до самого лише базового навчання.

Якщо ви вже запускаєте симуляції в іншому інструменті, ви можете імпортувати їхні результати замість того, щоб запускати кампанії тут заново, і вони живитимуть ту саму оцінку вразливості.

Ні. Дашборд показує вам число. RansomLeak замикає цикл: вимірює ризик, автоматично діє за ним і повторно перевіряє результат, тож оцінка прив’язана до втручань, а не просто потрапляє у звіт.

Платформу також побудовано так, щоб її можна було обґрунтувати. Оцінки засновані на поведінці й пояснювані, автоматизація керована через пробний запуск і журнали аудиту, а індивідуальні оцінки за замовчуванням залишаються приватними, відповідно до GDPR і очікувань профспілок.