Тренінг з кібербезпеки для державного та публічного сектору
Симуляції рівня відповідності для федеральних цивільних установ, підрядників DoD, штатних, місцевих та племінних органів. Фішинг державного рівня, програми-вимагачі, атаки на ланцюги постачання та обробка CUI, поєднані з вимогами NIST 800-171, CMMC 2.0, FISMA та CJIS Security Policy.
Автор Dmytro Koziatynskyi Перевірено
Чому держсектору потрібен тренінг, специфічний до загроз
Державний і публічний сектор тепер посідає друге місце за частотою атак програм-вимагачів після охорони здоровʼя, згідно з нещодавніми попередженнями CISA #StopRansomware. Місцеві уряди, шкільні округи, суди та агентства штатів втратили тижні роботи через атаки, що почалися з одного фішингового листа чи викрадених облікових даних підрядника. Федеральні цивільні установи та підрядники DoD стикаються з додатковим тиском з боку державних акторів, які проєктують кампанії проникнення спеціально для обходу загального тренінгу з обізнаності.
Стек відповідності щільний і стає ще щільнішим. NIST SP 800-171 Revision 3 регулює захист CUI у всій оборонній промисловій базі. CMMC 2.0 робить ці контролі підлягаючими аудиту через оцінювання третьою стороною на Levels 2 та 3. FISMA, NIST SP 800-53, FedRAMP, OMB M-22-09 zero-trust та CJIS Security Policy 5.13.1 - усі вони вимагають тренінгу з обізнаності з безпеки, з дедалі більш специфічними вимогами до доказів.
RansomLeak пропонує рольовий тренінг, що задовольняє федеральні, штатні, місцеві та підрядні зобовʼязання на одній платформі. Інтерактивні 3D-симуляції відпрацьовують рішення, що мають значення для адміністраторів грантів, спонсорів ATO, контрактуючих офіцерів, системних адміністраторів та обробників CUI. Пакети authority-to-operate, експорти SCORM та аудиторські докази оформлено так, як їх насправді запитують оцінювачі.
Шаблони загроз, специфічні для держсектору
Фішинг державного рівня та імперсонація APT
Федеральні агенції та підрядники стикаються зі spear-phishing-кампаніями від APT28, APT29, APT41 та інших груп, що спонсоруються державою. Загальний антифішинговий контент не готує персонал до приманок зі збору облікових даних, спроєктованих професійними розвідувальними службами.
Програми-вимагачі в місцевих органах і школах
Округи, міста, суди та шкільні округи K-12 переживали багатотижневі простої через Ryuk, Conti, BlackCat та Royal. Рекомендації CISA #StopRansomware тепер прямо називають тренінг персоналу базовим захистом для публічного сектору.
Компрометація ланцюга постачання через підрядників
SolarWinds, MOVEit і 3CX показали, як один зламаний підрядник або вендор може каскадом вплинути на федеральні агенції. Підрядникам потрібен тренінг, що охоплює їхню роль у захисті CUI, а не лише власних даних.
BEC проти отримувачів грантів і закупівель
Штатні та місцеві уряди втрачають мільйони щорічно через шахрайські перекази, націлені на виплати грантів, платежі постачальникам та капітальні проєкти. Персонал закупівель, фінансів і програм потребує сценарної практики перевірки змін у платежах.
Обхід MFA через шахрайство з техпідтримкою та хелп-деском
Сценарій Lapsus$ і Scattered Spider зі скидання MFA через соціальну інженерію хелп-деску продовжує працювати. Хелп-деск потребує відпрацьованих протоколів підтвердження особи перед будь-якою зміною акаунту чи MFA.
Фреймворки відповідності, які охоплює ця сторінка
Відповідність регуляціям, що визначають більшість рішень про закупівлю в галузі державного та публічного сектору.
NIST SP 800-171 (захист CUI)
Family 3.2 Awareness and Training вимагає, щоб організації, які захищають CUI, забезпечували обізнаність менеджерів, системних адміністраторів і користувачів щодо ризиків безпеки та навчання контролям, що до них застосовуються. Оборонні та федеральні підрядники зобовʼязані за DFARS 252.204-7012.
CMMC 2.0
CMMC Levels 1, 2 і 3 кожен включає практики обізнаності й навчання, похідні від NIST 800-171 і 800-172. Level 2 і Level 3 вимагають оцінки третьою стороною з пакетами доказів, що включають записи про навчання та карти рольового контенту.
NIST SP 800-53 і FISMA
Сімейство контролів Awareness and Training (AT) застосовується до всіх федеральних інформаційних систем. Щорічне навчання, рольове навчання та задокументовані докази є базовими очікуваннями для систем середнього та високого рівня.
CJIS Security Policy
Розділ 5.13.1 FBI CJIS Security Policy вимагає базового та просунутого тренінгу з обізнаності з безпеки для всього персоналу з доступом до інформації криміналістичної юстиції, з контентом, що охоплює конкретні теми для ролей правоохоронних органів, диспетчерів та ІТ.
OMB M-22-09 zero-trust і FedRAMP
Стратегія zero-trust і авторизація FedRAMP підкріплюють вимоги до фішингостійкої автентифікації та повідомлення про інциденти. Навчання має узгоджуватися з конкретною реалізацією агенції чи CSP, а не з загальним федеральним базисом.
Підібрані вправи для галузі державного та публічного сектору
Вибрано з каталогу 100+ вправ і пріоритезовано саме для цієї галузі.
Виявлення фішингових електронних листів
Майже кожне проникнення в публічному секторі починається з фішингового листа, включно з більшістю інцидентів з програмами-вимагачами на рівні штатів. Найвпливовіша вправа для федерального, штатного і місцевого персоналу.
Спробувати вправуРеагування на програми-вимагачі в першу годину
Покрокове проходження рішень щодо локалізації, узгоджених з CISA, внутрішньої ескалації та чого НЕ робити під час активного інциденту. Налаштовано під шляхи повідомлення публічного сектору.
Спробувати вправуЗахист від соціальної інженерії
Хелп-деск, закупівлі та фронт-офіс щодня стикаються з претекстинговими дзвінками. Відпрацьовує протокол підтвердження особи, що зупиняє атаки скидання MFA в стилі Scattered Spider.
Спробувати вправуФішинг на базі AI
Державні та кримінальні актори тепер використовують генеративний AI, щоб усунути ознаки, які мав шукати федеральний персонал. Ця вправа оновлює навички виявлення відповідно до поточної загрози.
Спробувати вправуНавмисна внутрішня загроза
Очікування NIST SP 800-53 IR-5 і CNSSD 504 роблять обізнаність про внутрішні загрози базовим контролем. Практичні сценарії для розпізнавання та повідомлення про підозрілу поведінку.
Спробувати вправуНалаштування MFA та фішингостійка автентифікація
OMB M-22-09 і рекомендації CISA штовхають усю федеральну цивільну виконавчу гілку до фішингостійкого MFA. Ця вправа охоплює FIDO2, push-fatigue і потоки відновлення.
Спробувати вправуЗагрози, які охоплює ця програма
Перейдіть до тематичного посібника для кожного типу атаки та до вправ, що тренують захист від нього.
Що таке тренінг з обізнаності з безпеки для держсектору?
Тренінг з обізнаності з безпеки для держсектору - це освітня програма, керована вимогами відповідності, яка готує федеральний, штатний, місцевий, племінний персонал та підрядників розпізнавати та реагувати на загрози від державних акторів, кримінальних угруповань та внутрішніх загроз, націлених на системи публічного сектору і CUI. Він обовʼязковий за NIST SP 800-171 family 3.2, CMMC 2.0 практиками обізнаності й навчання, контролями NIST SP 800-53 AT за FISMA та CJIS Security Policy 5.13.1, плюс надбудови, специфічні для агенцій.
На практиці тренінг для держсектору має охоплювати більше, ніж базове виявлення фішингу. Він має відпрацьовувати рольові рішення для спонсорів ATO, контрактуючих офіцерів, адміністраторів грантів, підтвердження особи в хелп-деску, обробки CUI та повідомлення про інциденти через US-CERT або канали SOC агенції. Рекомендації CISA #StopRansomware та стратегія zero-trust за OMB M-22-09 штовхають до вимірюваної зміни поведінки, а не записів про проходження.
RansomLeak проводить навчання через інтерактивні 3D-симуляції, а не пасивні відео. Платформа експортує SCORM 1.2 та 2004 у LMS агенцій і підрядників, надає готові до аудиту пакети доказів, повʼязані з NIST 800-171, CMMC 2.0, FISMA та CJIS, і включає сценарії для фішингу державного рівня, програм-вимагачів, компрометації ланцюга постачання, BEC, діпфейк-дзвінків та соціальної інженерії для скидання MFA. Підрядники отримують один експорт на CMMC-оцінку.
Часті запитання
Що найчастіше запитують покупці у галузі державного та публічного сектору.
Чи відповідає тренінг RansomLeak вимогам NIST SP 800-171 і CMMC 2.0?
Чи підтримуєте ви вимоги до навчання за CJIS Security Policy 5.13.1?
Як це працює для підрядників DoD за DFARS 252.204-7012?
Чи можна використовувати це для штатного, місцевого і племінного персоналу?
Як контент підтримується актуальним для федеральної картини загроз?
Чи інтегрується платформа з нашою агенційною чи підрядною LMS?
Чи має сама платформа авторизацію FedRAMP або StateRAMP?
Дотичні матеріали
Тренінг з відповідності для регульованих галузей
Читати статтюТренінг з обізнаності щодо програм-вимагачів для співробітників
Читати статтюТренінг з внутрішніх загроз для персоналу
Читати статтюПосібник з фішингових симуляцій
Читати статтюПосібник з тренінгу з обізнаності з безпеки
Читати статтюЗапустити цю програму у галузі державного та публічного сектору
Запишіться на 30-хвилинну демонстрацію, адаптовану під ваш персонал, LMS та аудиторський графік.