Вы узнаете о клике через девять дней, и не от того, кто кликнул

В разборе одного инцидента меня зацепила не техника, а хронология. Ссылку открыли, пароль ввели. В службе безопасности узнали через девять дней - и не от человека, а по срабатыванию правила.

Человек понял, что произошло, примерно через минуту. Страница запросила пароль повторно, он ввёл, потом посмотрел на адрес и всё понял.

И ничего не сделал. Девять дней.

Что происходит с человеком в эту минуту

Момент осознания - это не «ой, надо сообщить». Это сильная и очень конкретная эмоция: стыд. Не страх за компанию, а стыд за себя, потому что человек только что сделал ровно то, про что его предупреждали на обучении, и предупреждали в формулировке «будьте внимательны».

Дальше включается мотивированное рассуждение - так называют работу мышления, при которой человек оценивает доводы не по их силе, а по тому, куда они ведут. Нужный вывод здесь известен заранее: сообщать не надо. Под него и подбираются доводы - а найти их легко, потому что настоящих сомнений тут хватает.

«Может, это была настоящая страница, просто сессия слетела». «Я же сразу пароль сменил». «Ничего не произошло, значит, ничего и не было». «Скажу - начнётся разбирательство, а я не уверен».

Самый опасный из них - второй, и опасен он тем, что звучит технически грамотно. Смена пароля не завершает уже открытые сессии: тот, кто вошёл с украденным паролем, продолжает работать по своей сессионной куке. Она не убирает правило автопересылки, если его успели создать. И она не отзывает токены приложений, которым доступ был выдан отдельно. Человек совершает реальное действие, получает от него ощущение закрытого вопроса - и перестаёт считать, что есть о чём сообщать.

Каждое из этих рассуждений по отдельности выглядит разумно. Работают они все в одну сторону - отложить. А отложенное сообщение приходит на порядок реже и на порядок позже: назавтра к стыду добавляется второй слой - стыд за то, что не сказал вчера, - и порог только растёт.

Почему это дороже, чем сам клик

Украденный пароль - это событие, у которого есть техническое лечение: сброс, завершение сессий, проверка правил в почте, просмотр журналов за нужное окно. Всё это делается за часы и работает тем лучше, чем раньше начали.

Девять дней - это девять дней, в течение которых:

• чужой доступ жив и никем не наблюдается;

• в почтовом ящике могло появиться правило автопересылки, и оно уже отработало;

• журналы части систем успели ротироваться, и восстанавливать картину теперь не по чему;

• из ящика могли уйти письма подрядчикам, и это уже не ваш инцидент, а ваш и их.

Разница между «сообщили через минуту» и «нашли через девять дней» - это разница между сбросом пароля и полноценным расследованием с уведомлением контрагентов.

Из чего складывается молчание

Я бы не считал это личным свойством конкретного человека. В компаниях, где про инциденты не сообщают, для этого обычно есть основания, и они видны в мелочах.

Разбор называется разбирательством. Слово выбрали не специально, но человек слышит именно его. Если в компании принято по итогам «сделать выводы в отношении сотрудника», то первое сообщение о клике стоит человеку карьерных перспектив, а благодарности не приносит.

Обучение построено на вине. Учебная рассылка, за которой следует список «попавшихся» и повторный курс, прямо сообщает: кликнуть - стыдно. После этого ждать, что попавшийся сам поднимет руку, странно.

Сообщать некуда. Способ есть, но это заявка в общий сервисдеск с обязательным полем «категория» и с исполнителем, который увидит её утром. Человеку в состоянии стыда нужно нажать одну кнопку и услышать живой ответ, а не заполнять форму.

Первый ответ - вопрос «зачем вы это сделали». Один такой ответ, пересказанный коллегам, закрывает канал для целого отдела, и надолго: рассказ о том, как кого-то отчитали, живёт заметно дольше, чем любая рассылка про важность сообщать об инцидентах.

Что сокращает задержку

Отделить сообщение от вины, вслух и заранее. Формулировка, которая работает: сообщил о собственной ошибке в течение дня - претензий нет, что бы ты ни сделал по неосторожности; умысел и повторное грубое нарушение - отдельный разговор. Границу надо называть сразу, в том же предложении, а не прятать в примечание: иначе первый же тяжёлый случай выставит обещание враньём. Не «мы никого не наказываем» вообще, а конкретное обещание с понятной границей - и выполненное в первый же раз так, чтобы об этом узнали.

Одна кнопка. Кнопка «сообщить о письме» прямо в почтовом клиенте, а не заявка. Работает она не потому, что удобнее, а потому, что не требует формулировать вслух, что произошло, - а формулировать стыдно.

Ответ в течение минут и по-человечески. Первое, что слышит человек, - «спасибо, дальше мы сами». Претензии и разбор процесса - потом и не с ним.

Считать не клики, а сообщения. Показатель «процент кликнувших» толкает к сокрытию: он измеряет то, за что стыдно. Смотреть надо на два других числа: какая доля получивших учебное письмо сообщила о нём и какая медианная задержка между отправкой и первым сообщением. Оба считаются от известного знаменателя, поэтому их нельзя накрутить ростом числа атак, и оба измеряют именно то, что вам нужно.

Ограничения

Всё это культура, а не настройка, и меняется она медленно, месяцами, и только на личных примерах. Написать правило в политику можно за день, но первый человек проверит его на себе, и вся дальнейшая история будет зависеть от того, что с ним случилось.

И даже идеальная культура не даёт нулевой задержки: часть людей просто не поймёт, что произошло что-то, о чём стоит сообщить. Технические средства обнаружения никуда не деваются, речь не о замене, а о том, чтобы к ним добавился самый быстрый источник сигнала.

Что посмотреть у себя

Взять последние инциденты и по каждому посчитать время от события до сообщения. Не среднее - распределение: важно, есть ли хвост в дни.

Посмотреть, какая доля инцидентов пришла от людей, а не от средств обнаружения. Ноль - это не «у нас всё спокойно», это закрытый канал.

Прочитать памятку по фишингу глазами человека, который только что попался. Найти в ней предложение, которое сообщает ему, что сообщить безопасно. Если такого предложения нет - оно там и не подразумевалось.

Спросить у любого сотрудника не из ИТ, куда он напишет, если поймёт, что ввёл пароль не туда. Ответ «наверное, руководителю» или «не знаю» встречается чаще, чем хотелось бы, и он же - план на ближайший месяц.