Андрей Нуйкин, «ЕВРАЗ»: «Сообщить о том, что вы попались на удочку мошенника, не страшно – так вы спасете коллег»

Андрей Нуйкин, начальник отдела обеспечения безопасности информационных систем «ЕВРАЗ» и спикер Пятнадцатой конференции «Корпоративное бюджетирование», рассказал CFO Russia, как в условиях ограниченного бюджета выстроить работающую систему повышения осведомлённости сотрудников в вопросах информационной безопасности и почему важно не бояться признаваться в ошибках.

В условиях текущей экономической ситуации бюджеты на ИБ часто урезают, но количество атак с использованием социальной инженерии только растет. Почему в 2026 году классическое «галочное» обучение (раз в год посмотреть видео) перестает работать, и на чем сейчас вынуждены экономить даже крупные компании, такие как «ЕВРАЗ»?

Экономика в настоящий момент привносит некую напряженность в работу. Компании формируют бюджет очень ответственно и прагматично. Но экономить на какой-либо безопасности не выглядит дальновидно. Уинстон Черчилль говорил: «За безопасность нужно платить, а за ее отсутствие расплачиваться». Однако и подразделения ИБ в текущих условиях должны проявить свой профессионализм и найти варианты оптимизации своих затрат без потери уровня защищенности.

С учетом бурного развития ИИ, злоумышленники тоже не сидят на месте. Атаки становятся более быстрыми и более эффективными. Многие трудоемкие задачи выполняются быстрее. Например, генерация различных фишинговых писем и сообщений под разные категории пользователей теперь можно сформировать гораздо быстрее.

Поэтому поддержание высокого уровня осведомленности в области ИБ становится очень важным. При этом такие мероприятия не требуют больших бюджетов.

Вы говорите о небольшом бюджете. Но часто спикеры советуют дорогие платформы LMS или покупку контента. Какие неочевидные и практически бесплатные каналы коммуникации внутри компании вы задействовали, чтобы достучаться до сотрудников? (Например, телеграм-боты, скринсейверы, обои на рабочий стол или что-то еще?)

Наверное, все зависит от стороны, которая выступает. Производители рекламируют свое. Я же как заказчик всегда выступаю за оптимальность затрат. Мы всегда смотрим на соотношение цена-качество. И там, где мы что-то можем сделать сами, мы делаем. А с учетом развития ИИ вопросы повышения осведомленности, которые в основном состоят из информации в разном виде, могут решаться весьма неплохо без привлечения внешних компаний. Очень важно поддерживать постоянный фон ИБ – новости на портале, бюллетени ИБ, ролики на корпоративном ТВ, заметки в газете, скринсейверы и т.д. Новости на портале можно писать своими силами, или сформировать учебный курс, или нарисовать плакат. Тем более, как я уже сказал, ИИ позволяет многие задачи сделать проще и быстрее.

Если бюджет скромный, то как измерить эффективность такой программы? На что конкретно вы советуете смотреть руководителям, чтобы понять, что сотрудники действительно начали думать о безопасности, а не просто отписались в журнале инструктажа?

Важно сформировать понимание среди сотрудников, что сообщение о том, что вы попались на удочку мошенника, не является страшным. Вас за это не накажут, а помогут снизить ущерб. И таким сообщением вы спасете своих коллег. И здесь важно, чтобы на все сообщения была обратная связь, что сообщение принято, а не растворилось в эфире. Свои программы мы оцениваем по количеству сообщений от пользователей.

Планируем подключиться к корпоративной программе «Охота на риски», где с помощью мобильного приложения сейчас сообщают о рисках ОТ и ПБ и получают баллы, которые можно потратить в корпоративном магазине на мерч или что-то интересное и полезное.

Узнать, как оптимизировать затраты на ИБ без потери уровня защиты, вы сможете на Пятнадцатой конференции «Корпоративное бюджетирование», которая пройдёт 17–18 сентября 2026 года в Москве.

Ольга Кушнаренко