Авито и BI.ZONE провели CTF по кибербезопасности для сотрудников без технических навыков

Обучение сотрудников информационной безопасности — задача, которая касается не только ИТ- и ИБ-специалистов. Именно нетехнические работники чаще всего становятся целью фишинга, социальной инженерии и других атак, эксплуатирующих человеческий фактор. Осознавая это, команда GRC в Авито совместно с BI.ZONE построила внутреннее соревнование по кибербезопасности для сотрудников, далёких от программирования. Опытом поделился Илья Никифоров, отвечающий за Security Awareness в Авито.

Подробности

За основу взяли формат CTF (Capture the Flag) — соревнования по кибербезопасности, в котором участники решают задания и получают за них очки. В каждом задании нужно найти «флаг» — короткий текстовый ответ, например разгаданное секретное слово. Участник вводит найденный ответ на сайте соревнования, и при правильном ответе система начисляет очки. Один из форматов CTF — jeopardy: это набор отдельных заданий, где участник сам выбирает, с какого начать и к какому перейти дальше. Решённые задания приносят очки, а место в таблице результатов зависит от их количества. Именно эту механику Авито и BI.ZONE положили в основу «Кибердетектива» — соревнования по информационной безопасности для нетехнических сотрудников. Ключевая особенность: для основной части заданий не требовалось писать код. В некоторых заданиях флаг выдавался за отказ от опасного действия. При этом автоматически отклонять всё подряд было недостаточно — участнику нужно было разобраться в ситуации и найти безопасное решение. Авторы отмечают, что готовили и проводили игру и по ходу вносили правки. Разбор того, что сработало и что пришлось исправлять, адресован тем, кто строит awareness-программы, проводит внутренние соревнования по кибербезопасности или отвечает за обучение сотрудников.

Что делать

Практических рекомендаций по устранению уязвимостей в исходном материале не приводится, поскольку речь идёт не об инциденте, а об опыте организации обучающего мероприятия. Тем не менее для специалистов по Security Awareness и ИБ-просвещению из материала следуют полезные ориентиры: - Рассматривать формат CTF (в частности jeopardy) как инструмент обучения не только технических, но и нетехнических сотрудников. - Проектировать задания так, чтобы значительная их часть не требовала навыков программирования. - Включать в задания механики, где правильный выбор — это отказ от опасного действия, а не автоматическое отклонение всего подряд. - Заранее закладывать итерации: часть подходов придётся корректировать по ходу игры. - Опираться на чужой опыт при построении собственных awareness-программ, чтобы не повторять чужих ошибок. Итог: «Кибердетектив» показывает, что соревновательный формат можно адаптировать под нетехнических сотрудников, а обучение через разбор реальных ситуаций и осознанный выбор безопасного решения оказывается не менее ценным, чем чисто технические задания.

Источник: Хабр — Информационная безопасность