У пошуках балансу між кібербезпекою та зручністю
За даними Урядової команди реагування на комп'ютерні надзвичайні події України CERT-UA, яка діє при Держспецзв'язку, за перше півріччя 2025 року зафіксували 3018 кіберінцидентів, тоді як у другій половині 2024-го їх було 2575. Також пресслужба Держспецзвʼязку повідомляє, що кількість кібератак та кібероперацій у 2025 році збільшилась удвічі порівняно з 2022-м.
Ці дані ще раз підтверджують необхідність ефективних стратегій кіберзахисту як для приватного, так і для державного сектору.
Але тут постає дилема:
швидкість робочих процесів та кіберстійкість — два надзвичайно важливі фактори, що часто конфліктують між собою.
Уявіть менеджера з продажів, якому потрібно швидко надіслати файл клієнту. Відкривши ноутбук, його зупиняє багатофакторна автентифікація (яку треба проходити щоразу за відкриття пошти, а не лише за входу в мережу чи доступу до критичних ресурсів), неможливість скопіювати текст з корпоративного документа, перейти за зовнішнім посиланням від партнерів або користуватися популярними, але некорпоративними сервісами як-от Zoom, WeTransfer, Google Drive, Dropbox.
Усе це значно сповільнює роботу і може спонукати працівників до пошуку легших шляхів виконання завдань, обходячи заходи цифрового захисту.
Як казав Аві Дуґлен, експерт із безпеки, генеральний директор та засновник компанії Bounce Security:
Ми вирішили розібратися, як поєднати необхідний рівень захисту з комфортом та швидкістю робочих процесів. Для цього поспілкувались із представниками українських компаній Sigma Software University та NovaPay.
Кібербезпека vs зручність роботи: досвід українських компаній
Підписуйтеся на наші соцмережі
Як ваша компанія балансує між необхідністю впровадження суворих політик і ризиком, що працівники почнуть ці політики ігнорувати або обходити заради швидкості та зручності?
Баланс між впровадженням суворих політик і ризиком їх ігнорування ми досягаємо через поєднання кількох підходів: роботу з культурою, поступове впровадження змін, прозоре інформування та технічний контроль.
Ми розуміємо, що будь-які нові правила можуть викликати спротив: люди звикли працювати зручно і прагнуть уникати додаткових перепон. Тому перш ніж впроваджувати зміни, ми пояснюємо їхню мету, користь і вплив на роботу. Це допомагає знизити рівень опору та зробити політики частиною щоденної культури, а не зовнішнім обмеженням.
Зміни впроваджуємо поступово: спочатку тестуємо політику на одній групі співробітників, збираємо зворотний зв’язок, удосконалюємо підхід і лише потім масштабуємо на інші команди. Такий підхід дозволяє зробити політику більш ефективною та зручною у використанні.
У нас регулярно проводяться обов’язкові навчання та оцінювання. Ми не лише розвиваємо культуру безпеки всередині компанії, а й передаємо цей досвід іншим бізнесам. Наприклад, наша освітня платформа Sigma Software University допомагає компаніям вибудовувати ефективну систему навчання з кібербезпеки — від розробки програм і тренінгів до впровадження практик, які вже довели свою ефективність у нашій організації.
Сьогодні ми у світі нової технологічної «абетки», де A — це Artificial Intelligence, B — це блокчейн, C — це Cyber Security. Ці три складові вже не просто тренди — це основа стійкості сучасних компаній. Якщо штучний інтелект і блокчейн відкривають нові можливості, то кібербезпека — це те, що дозволяє ці можливості зберегти.
Ми у NovaPay не впроваджуємо політики заради галочки.
Кожна політика має чітку мету: виконувати вимоги комплаєнсу, регуляторів, стандартів безпеки. Якщо хтось намагається її обійти, це сигнал, що процес потребує перегляду або спрощення.
Є сфери, де змінити нічого не можна: наприклад, безпека фінансових даних, персональні дані клієнтів — там компромісів немає. А у більш гнучких процесах ми шукаємо баланс між дотриманням правил та зручністю для команди, залишаючи місце для оптимізації без шкоди безпеці.
Людський чинник та кібергігєна для працівників
Людський чинник все ще залишається одним із найбільших ризиків для безпеки компанії. Коли периметр цифрового захисту зміцнений, а технічні можливості зламу зведені до мінімуму, у шахраїв залишаються тузи в рукаві у вигляді соціальної інженерії, недбалості співробітників та свідомого ігнорування протоколів безпеки. За даними звіту Mimecast, 8% працівників спричиняють 80% інцидентів. Ми дізналися в представників українських компаній як вони дають раду з людським чинником та як навчають працівників, особливо найбільш вразливих до кіберінцидентів, аби уникнути таких ситуацій.
Чи сфокусоване ваше навчання на тих 8% працівників, які, за статистикою, створюють найбільше ризику чи ви підходите до навчання універсально?
Наш підхід комплексний: усі співробітники проходять навчання з кібергігієни, політик і ризиків.
Але ми також приділяємо окрему увагу тим, хто, за статистикою, створює найбільше ризиків. Для таких працівників навчання може бути навіть індивідуальним. Якщо ж трапляються системні порушення, ми реагуємо жорсткіше, щоб захистити компанію і колег.
Ми підходимо до навчання універсально, адже вважаємо, що фокус лише на «ризикових» 8% не вирішує проблему в довгостроковій перспективі. Якщо навчати лише цю частину команди, відсоток працівників, які створюють ризики, з часом лише зростатиме, адже людський фактор притаманний кожному. Тому ми навчаємо всіх співробітників, формуючи культуру уважного й безпечного поводження з інформацією.
Водночас враховуємо, що помилки час від часу ставитимуться. Для їх запобігання в компанії створено кількарівневу систему захисту: технічні або організаційні механізми мінімізують ризики та запобігають серйозним наслідкам.
Нас зламали, не будемо цього приховувати
Які конкретні механізми використовуєте для заохочення працівників негайно повідомляти про власні помилки (наприклад, клікнули на фішинг), замість того щоб намагатися приховати інцидент? Адже швидка реакція на потенційну небезпеку допоможе запобігти більшому злому та фінансовим збиткам.
Наш підхід людяний і спрямований на формування культури довіри. Ми не караємо співробітників за помилки, а, навпаки, заохочуємо повідомляти про них одразу.
Команда кібербезпеки регулярно проводить тестові перевірки, надсилаючи фішингові повідомлення. Це не лише підвищує рівень обізнаності та допомагає розпізнавати загрози, а й формує інтерес до безпеки: колеги активно діляться підозрілими випадками й запитують, чи це була перевірка.
Якщо працівник справді помиляється, то проходить додаткове
навчання, щоб краще зрозуміти, як уникати таких ситуацій у майбутньому. Ми сприймаємо це не як провину, а як можливість для розвитку.
Ми створюємо культуру відкритості: повідомити про власну помилку — це не соромно, це сигнал, що процеси або навчання можна покращити. Якщо працівник випадково натиснув на фішингове посилання або зробив інший крок, що міг створити ризик, ми аналізуємо, як запобігти подібному у майбутньому. При цьому приховування інциденту, звісно, тягне відповідальність.
Основний посил: швидка реакція важливіша за покарання, адже допомагає захистити всю компанію.
Висновки: як зберегти баланс між кібербезпекою та зручністю
Дилема «безпека vs. зручність» не є лише технічною проблемою, це питання психології та управління ризиком. Компанії, які запроваджують надто складні й універсальні протоколи, не лише знижують продуктивність, але й створюють нові вразливості, несвідомо підштовхуючи співробітників шукати способи обійти правила.
Експерти Sigma Software University зберігають баланс завдяки роботі з внутрішньою культурою, тобто пояснення необхідності змін, поступове їх впровадження, обов’язкове навчання співробітників та технічний контроль. Водночас експерт NovaPay впевнений: якщо співробітник намагається обійти заходи безпеки, це сигнал, що процес потребує перегляду або спрощення.
- У деяких випадках ефективним рішенням є провести окремі навчання для співробітників, найбільш вразливих до кіберінцидентів.
- Проте варто не забувати, що людський фактор притаманний кожному, тому в пріоритеті — формувати культуру уважного й безпечного поводження з інформацією.
- Якщо ж помилка вже сталась, важливо не приховувати її, а повідомити, щоб запобігти більшому злому.
Експерти радять формувати культуру довіри всередині компанії та ставитися до співробітників людяно, навіть якщо вони відкрили фішингове посилання або припустились іншої помилки. Важливо не карати людей за помилки, а сприймати це як можливість розвитку та поле для покращення навчання з кібергігієни для своєї команди.