Обучение навыкам хак-кодирования: что обычно подразумевают покупатели и почему важна формулировка.
«Обучение хакингу» — это один из тех терминов, значение которого может сильно различаться в зависимости от того, кто задает вопрос. В одном контексте он относится к обучению сотрудников кибербезопасности, которым необходимо распознавать фишинг, слабые пароли и неправильные методы доступа. В другом — это может означать курс этичного хакинга или обучение тестированию на проникновение для ИТ-команд, которым необходимо выявлять уязвимости в системе безопасности раньше злоумышленников. Разница не носит чисто формальный характер. Она меняет то, кому следует проходить курс, насколько технически сложным он должен быть и какого результата следует ожидать в конце.
Это важно, потому что многие организации покупают обучение так же, как и программное обеспечение: быстро, расплывчато и с недостаточным вниманием к конечному пользователю. Менеджер может захотеть пройти «обучение по взлому» после того, как узнал о взломе, но на самом деле решение обычно гораздо уже. Вы пытаетесь уменьшить количество человеческих ошибок, создать внутреннюю функцию безопасности или подготовить техническую команду к более тщательному тестированию систем? Если вы допустите ошибку в этом, вы можете потратить деньги на отполированную программу, которая выглядит убедительно, но не меняет поведение.
Первое решение: осведомленность, практические навыки или возможности тестирования.
Практический способ отсортировать варианты — подумать о том, какую задачу должно выполнять обучение.
Обучение кибербезопасности обычно является наиболее широкой категорией. Оно предназначено для сотрудников, руководителей, а иногда и подрядчиков, работающих с данными или имеющих доступ к внутренним системам. Основное внимание уделяется повседневным рискам: фишинговым электронным письмам, подозрительным ссылкам, повторному использованию паролей, гигиене устройств и процедурам отчетности. Многие компании запускают подобные программы в первую очередь, поскольку они затрагивают наиболее широкую группу людей.
Курс по этичному хакингу углубляется в тему. Обычно предполагается, что слушатель уже понимает основы работы с сетями, операционными системами и концепциями безопасности. Цель состоит не просто в том, чтобы распознавать угрозы, а в том, чтобы мыслить как злоумышленник, действуя законно и контролируемо. Слушатели могут изучать разведку, обнаружение уязвимостей, распространенные пути эксплуатации угроз, недостатки веб-приложений или уязвимости беспроводных сетей. Такая подготовка полезна для технических специалистов, которым недостаточно просто обладать базовыми знаниями.
Обучение тестированию на проникновение еще ближе к практическому применению на практике. Оно меньше посвящено теории и больше методологии: определению масштаба, получению разрешений, выполнению тестов, составлению отчетов и рекомендациям по устранению выявленных проблем. Покупатель, ищущий подобную программу, должен обратить пристальное внимание на наличие структурированных лабораторных работ, реалистичных сценариев и четкого объяснения того, что тестируется, а что нет. Без этого материал может превратиться в поверхностное ознакомление с инструментами, а не в полезный набор профессиональных навыков.
Что должна включать в себя качественная программа?
Хорошие программы обучения обычно имеют несколько общих черт, даже если целевая аудитория различается.
Они четко объясняют модель угроз. Учащиеся должны понимать, какие виды атак обсуждаются и почему эти атаки успешны в реальных организациях. Если программа сразу переходит к инструментам без контекста, это может показаться захватывающим, но знания не закрепятся.
Они связывают поведение с риском. Для нетехнических команд это означает демонстрацию того, как небольшая привычка, например, одобрение срочного электронного письма без проверки отправителя, может привести к компрометации учетной записи или утечке данных. Для технических команд это означает установление связи между уязвимостью и вероятным путем атаки, а также вероятным влиянием на бизнес.
Они включают в себя практику, а не только слайды. В обучении кибербезопасности это может означать имитацию фишинговых атак, тренировки по составлению отчетов или краткие разборы действий в случае инцидентов. В курсе этичного хакинга это обычно означает лабораторные работы, песочницы и упражнения под руководством инструктора. Обучение тестированию на проникновение также должно включать практику документирования, поскольку тест полезен только в том случае, если результаты описаны достаточно четко, чтобы кто-то другой мог на них основываться.
Они отражают текущие условия. Методы атак быстро меняются, и устаревший материал легко обнаружить. Покупатель должен поинтересоваться, когда в последний раз обновлялась учебная программа и может ли поставщик адаптировать примеры к собственному сектору или профилю риска организации. Нет смысла обучать производственное предприятие, используя примеры, которые имеют смысл только для банка, если преподаватель не может хорошо их адаптировать.
Как сравнить поставщиков услуг, не запутавшись в маркетинге.
Большинство поставщиков обучающих услуг звучат уверенно. Сложнее всего отделить изысканные формулировки от практической пользы.
Начните с целевой аудитории. Программа для рядовых сотрудников не должна выглядеть так, будто она разработана для аналитиков по безопасности. Если поставщик предлагает всем одинаковый контент, это обычно тревожный знак. Люди учатся с разной скоростью и с разными обязанностями.
Затем проверьте баланс между теорией и практикой. В случае обучения основам теории баланс должен отдаваться простым примерам и повторяемым навыкам. В случае технического обучения уровень знаний должен быть достаточно глубоким, чтобы бросить вызов человеку, уже знающему основы. Если курс обещает продвинутые результаты, но так и не выходит за рамки определений, он может оказаться слишком поверхностным для серьезной команды.
Обратите внимание на методы оценки. Тесты распространены, но их не всегда достаточно. Упражнения на основе сценариев, лабораторные работы или практические задания по составлению отчетов дают больше информации о том, сможет ли обучающийся использовать материал в дальнейшем. Короткий экзамен может показать, что кто-то запомнил термин. Он не доказывает, что он может отреагировать на нападение.
Наконец, спросите, как измеряется успех. Именно здесь покупатели часто уклоняются от ответа. Компания может заявить, что хочет «повысить уровень безопасности», что на самом деле не является целью обучения. Лучше спросить, хочет ли организация уменьшить количество фишинговых кликов, ускорить отчетность об инцидентах, улучшить возможности внутреннего тестирования или повысить координацию между ИТ-отделом и нетехническими командами.
Распространенные ошибки, которые допускают покупатели.
Одна из распространенных ошибок — выбор уровня технической сложности без уточнения бизнес-потребностей. Именно поэтому организации в итоге обучают рядовых сотрудников материалам, предназначенным для инженеров по безопасности. Люди быстро теряют интерес, когда материал слишком абстрактен для их повседневной работы.
Ещё одна ошибка — полагать, что один курс решит все проблемы. Обучение кибербезопасности, материалы курса по этичному хакингу и обучение тестированию на проникновение служат разным целям. В зрелой программе могут использоваться все три курса, но не как взаимозаменяемые.
Третья ошибка — игнорирование операционных реалий. Если сотрудники и так перегружены, даже самая лучшая в мире программа обучения потерпит неудачу, если она будет требовать нереалистичных временных рамок. Короткие, повторяющиеся занятия часто оказываются эффективнее одного длительного мероприятия, особенно для повышения общей осведомленности.
Есть и менее заметная проблема: покупатели иногда ценят уверенность больше, чем актуальность. У поставщика могут быть впечатляющие демонстрации, но если содержание не соответствует должностным обязанностям обучающегося, отдача от обучения будет незначительной. Это скучное предостережение, но оно позволяет сэкономить деньги.
Какие вопросы следует задавать командам и менеджерам по закупкам перед покупкой?
Чтобы задавать полезные вопросы, не обязательно быть специалистом по безопасности.
Для кого предназначено обучение?
Какие предварительные знания предполагаются?
Программа включает лабораторные занятия или только лекции?
Насколько актуален данный материал?
Можно ли адаптировать содержание под требования нашей отрасли или внутренние правила?
Какие документы мы получим в конце: посещаемость, результаты тестов, сертификаты, завершение лабораторных работ или что-то еще?
Насколько курс посвящен правовым и этическим границам? Последний пункт не является второстепенным. Для технических специалистов четкие границы так же важны, как и технические навыки. Хорошее обучение должно объяснять, как выглядит разрешенное тестирование и почему важен контроль области применения.
Краткое руководство для принятия решения о том, какой путь подходит.
Если вы проводите обучение офисных сотрудников, отделов продаж, руководителей производства или любого, кто регулярно имеет доступ к электронной почте и системам, обучение кибербезопасности, как правило, является правильной отправной точкой.
Если вы хотите расширить свои знания в области внутренней безопасности и обеспечить технической команде глубокое понимание методов атак, то курс по этичному хакингу — это лучший выбор.
Если ваша цель — подготовить специалистов, способных методично оценивать системы и документировать результаты для устранения проблем, то обучение тестированию на проникновение — наиболее подходящий вариант.
На практике многим организациям необходим поэтапный подход. Ознакомление всех сотрудников, углубленное техническое обучение для небольшой группы и периодические курсы повышения квалификации для обеих категорий. Такая последовательность, как правило, работает лучше, чем попытка сразу перейти к более сложным темам.
Часто задаваемые вопросы: вопросы, которые покупатели обычно задают на поздних этапах процесса.
Обучение хакингу предназначено только для IT-специалистов?
Нет. Этот термин часто используется в широком смысле. Для многих организаций первой и наиболее ценной аудиторией являются нетехнические сотрудники, которым необходимо избегать элементарных ошибок в области безопасности.
Стоит ли нам купить готовый курс или построить свой собственный?
Если ваши риски носят узкоспециализированный характер или ваша команда использует нестандартные системы, некоторая индивидуальная настройка может оказаться полезной. Если же вам необходимо быстро получить широкое представление о ситуации, более эффективной может оказаться структурированная внешняя программа.
Действительно ли лабораторные исследования имеют значение?
Для тех, кто изучает технические дисциплины, — да. Лабораторные занятия помогают превратить теорию в практические навыки. Без практики материал может стать пассивным и легко забываться.
Как часто следует обновлять обучающие материалы?
Это зависит от роли и уровня риска, но вопросы безопасности не следует рассматривать как разовые мероприятия. Краткие обзоры, как правило, более актуальны, чем одна ежегодная лекция.
Куда отправиться дальше?
Если вы сравниваете варианты обучения хакингу, начните с того, что точно определите необходимый результат: осведомленность, техническую глубину или навыки тестирования. Затем подберите программу, соответствующую потребностям обучающегося, а не названию в брошюре. Этот шаг позволит отсеять лишнюю информацию.
Для оперативных групп лучший выбор редко заключается в самом эффектном курсе. Это тот, который подходит для повседневной работы, показывает, где происходят ошибки, и предоставляет людям повторяемый процесс, который они действительно могут использовать. Если вы все еще не уверены, попросите поставщиков предоставить примерную программу, краткий обзор модуля или описание того, как программа меняется для разных уровней аудитории. Надежный поставщик не будет против такого вопроса.
