Специалист по цифровой безопасности сотрудников: кто учит команды не попадаться на фишинг и утечки

Компания может выстроить эшелонированную защиту — фильтры, антивирус, DLP — и всё равно сотрудник однажды откроет убедительное письмо якобы от руководителя, HR или подрядчика: срочно оплати счёт, перешли документы. Дальше решает не техника, а человек.

Так появилась новая профессия — специалист по цифровой безопасности сотрудников, или Security Awareness Specialist. Он не читает один курс и не администрирует серверы, а системно меняет поведение людей: превращает обучение сотрудников в привычку распознавать фишинг, аккуратно работать с данными и вовремя сообщать о подозрительном. По данным Positive Technologies, в 80% атак на организации с социальной инженерией за 2025 год использовалась электронная почта, а утечки данных стали фоном корпоративной жизни.

Разберём, что делает такой специалист, какие навыки нужны, как войти в профессию и что творится с вакансиями и зарплатами в России.

Кто такой специалист по цифровой безопасности сотрудников

Если коротко, это человек, который отвечает не за технику, а за поведение людей рядом с ней. Его результат измеряют не числом вебинаров, а снижением человеческого киберриска: сотрудники реже совершают опасные действия и быстрее сообщают о подозрительных письмах. Роль междисциплинарна — она сводит вместе ИБ, корпоративное обучение (L&D), внутренние коммуникации, аналитику и управление изменениями. Что именно входит в его работу — разберём дальше.

Как называется профессия и где она находится в компании

Единого названия у профессии на российском рынке пока нет — под одни и те же задачи встречаются Security Awareness Specialist, специалист по повышению осведомлённости в ИБ, специалист по киберграмотности, менеджер культуры информационной безопасности и Human Risk Management Specialist. Терминология не устоялась, поэтому и «прописка» роли плавает: одинаковый функционал находят и в департаменте ИБ, и в блоке GRC, и в корпоративном университете, и в HR/L&D, и во внутренних коммуникациях. Искать вакансию только по точному названию — заведомо проигрышная стратегия.

Место в оргструктуре зависит от масштаба: в небольшой компании awareness — это дополнительная шляпа поверх работы специалиста по ИБ или по обучению, в крупной — отдельная роль, а иногда и целая команда с бюджетом. Но кому бы специалист ни подчинялся, работать он всё равно будет на стыке. Типичная цепочка: руководитель ИБ → специалист Security Awareness → и дальше веером к HR/L&D, SOC, юристам, коммуникациям и руководителям подразделений.

Чем Security Awareness отличается от общей ИБ, SOC и L&D

Проще всего понять профессию через сравнение по результату. Специалист по технической ИБ настраивает средства защиты, разграничивает доступ и закрывает уязвимости — его продукт измеряется состоянием инфраструктуры. SOC-аналитик обнаруживает и расследует события и инциденты, его результат — вовремя замеченная и остановленная атака. L&D-менеджер проектирует обучение по широкому кругу компетенций, от переговоров до охраны труда. Security Awareness опирается на знания всех этих команд, но отвечает за одно — за безопасное поведение людей.

Отсюда важное следствие: специалисту не нужно ежедневно администрировать SIEM или проводить пентесты. Зато ему необходимо понимать базовую механику атак и — что сложнее — уметь превратить сухие данные об инцидентах в понятный обучающий сценарий, который сотрудник запомнит и применит. Техническая защита и обучение здесь не конкуренты, а два взаимодополняющих уровня: фильтр отсекает часть писем, человек справляется с тем, что просочилось сквозь него. Уберите любой уровень — и риск вырастет.

Вывод простой: профессия подходит тем, кому интересна кибербезопасность, но кто хочет работать прежде всего с поведением, коммуникацией и обучением, а не с консолью.

Таблица «Security Awareness и смежные профессии»

Что делает специалист: обучение, фишинг-симуляции и регламенты

Работу специалиста удобнее представлять не как список активностей, а как замкнутый цикл. Он диагностирует риски, выбирает аудитории, разрабатывает материалы, проводит тренировки, анализирует результаты — и снова корректирует программу. Ключевой момент: проведённый курс или разосланная памятка сами по себе не результат. Настоящая цель — устойчивая модель поведения, при которой сотрудник поступает безопасно не потому, что помнит слайд, а потому что иначе уже не умеет.

Как устроена программа Security Awareness

Проще всего думать о программе как о годовом или квартальном цикле, который повторяется. Он начинается с анализа: какие инциденты уже случались и что сотрудники реально знают, а не что им когда-то рассказали. Дальше — сегментация, определение рискованных действий, разработка учебного плана, сам микс форматов (микрообучение, вебинары, тесты, коммуникации), практические тренировки, сбор метрик и корректировка. После корректировки цикл запускается заново: программа живёт, а не заканчивается сертификатом.

Сегментация — тот шаг, который чаще всего пропускают зря. Бухгалтерия, HR, IT, закупки, руководство и линейный персонал сталкиваются с разными приманками и работают с разными данными: бухгалтеру подсовывают поддельный счёт, HR — резюме с вложением, руководителю — письмо «от собственника». Один и тот же курс для всех обычно бьёт мимо: он слишком общий для одних и непонятный для других.

Набор тем при этом довольно устойчив: фишинг, пароли и MFA, безопасная работа с файлами и ссылками, персональные данные, мессенджеры, удалёнка, использование ИИ-сервисов и действия при инциденте. Отдельно стоят два момента — онбординг новичков, которых учат с первого дня, и повторное обучение после инцидента, когда ошибка становится поводом закрыть конкретный пробел.

Ниже — схема цикла программы (замкнутый, с возвратом от корректировки к анализу).

Стрелка от «Корректировки» вверх к «Инцидентам» замыкает петлю — программа не заканчивается. 

Ниже — таблица форматов обучения.

Таблица «Форматы обучения и их назначение»

Как проводят фишинг-симуляции и разбирают ошибки

Сначала короткое определение: фишинг — это попытка обманом заставить человека выдать данные или совершить опасное действие через поддельное письмо, сайт или сообщение (подробнее — в разборе, [как распознать фишинговое письмо]). Симуляция воспроизводит такую атаку в безопасном, контролируемом виде.

Процесс такой: специалист выбирает учебную цель, аудиторию и безопасный сценарий, согласует кампанию с ИБ, HR и юристами, запускает имитацию и наблюдает за реакцией. Измеряют открытие письма, переход по ссылке, ввод данных на учебной странице и — самое важное — сообщение о подозрительном письме. Деталей «как подделать письмо убедительно» здесь нет: цель — научить, а не вооружить.

Что происходит после ошибки, важнее самой ошибки. Попавшийся сотрудник сразу получает короткое объяснение: по каким признакам можно было распознать письмо и как правильно поступить. Для групп с частыми промахами назначают дополнительное обучение — без публичных разборов и «досок позора».

Поэтому этические рамки — не формальность: не использовать травмирующие темы, не публиковать рейтинги «худших», не подменять обучение наказанием, не собирать лишние данные и не копировать реальные пароли, согласовывать правила с юристами и HR.

И главная ловушка метрик: снижение кликов — не главная цифра. Важнее, как растёт доля тех, кто письмо распознал и сообщил о нём: сообщивший ценнее просто не кликнувшего. Сценарии держат актуальными — подмена руководителя, запрос документов «от контрагента», уведомление от HR, QR-код, сообщение в мессенджере, голосовая или видеоподмена.

Лэнс Спитцнер (Lance Spitzner), директор по Security Awareness в SANS Institute: «Безопасность — это не техническая проблема, замаскированная под человеческую. Это проблема человеческого поведения. Главная ошибка компаний — путать compliance (формальную сдачу теста раз в год) с реальным изменением привычек. Вы тренируете людей не для того, чтобы они сдали тест, а чтобы они среагировали в момент реальной опасности».

Таблица «Этапы безопасной фишинг-симуляции»

Чек-лист «Этичная фишинг-симуляция»

• Определена учебная цель — что именно проверяем и зачем.
• Согласованы аудитория и правила с ИБ, HR и юристами.
• Не используются травмирующие темы (увольнения, болезни, зарплатные долги).
• Не собираются реальные пароли.
• Данные доступны ограниченному кругу лиц и хранятся обезличенно.
• Предусмотрено короткое обучение сразу после ошибки.
• Результаты не используются для публичного унижения и «досок позора».
• Сотрудник знает, куда сообщить о подозрении.
• Готов порядок реагирования на случай, если это окажется реальный инцидент.

Ниже — обезличенная иллюстрация учебного письма с пометками пяти признаков (без рабочего домена и готового шаблона).

Пример письма — обезличенный, домен и реквизиты вымышленные, все пять признаков подсвечены и расшифрованы под письмом. 

Какие регламенты и команды нужно связать

Помимо обучения специалист ведёт «бумажный» контур программы. Обычно он готовит или актуализирует положение о программе Security Awareness, календарь обучения, правила проведения симуляций, инструкции по сообщению об инцидентах, матрицу обязательных курсов, форму отчётности и порядок повторного обучения. Живёт это не в вакууме: документы согласуются с ИБ, SOC, HR, L&D, юристами, комплаенсом, IT и внутренними коммуникациями — по сути, специалист сшивает эти команды в один процесс.

Есть и регуляторный слой. Для отдельных отраслей и типов систем обучение, тренировки и оценка знаний — уже часть требований к защите информации: например, приказ ФСТЭК № 117 для государственных ИС (с 1 марта 2026 года) и нормативы Банка России для финсектора прямо предполагают обучение и подтверждение знаний. Но конкретная применимость всегда определяется юристами и ответственными за ИБ, и ни один обучающий сервис сам по себе не делает компанию «соответствующей закону».

Какие навыки, инструменты и метрики нужны

Профессию часто пытаются поделить на «техническую» и «гуманитарную» — и почти всегда ошибаются. Сильный специалист держит в голове сразу четыре вещи: понимает угрозы, умеет учить взрослых, пишет понятные материалы и измеряет поведение, а не ощущения. Дальше удобно разложить всё это на две части — что нужно знать самому и чем реализовывать программу. С них и начнём.

Hard skills, L&D-компетенции и коммуникация

Навыки удобно разложить на четыре корзины. Первая — основы информационной безопасности: фишинг и социальная инженерия, компрометация учётных записей, безопасная работа с данными, MFA и управление доступом, базовое понимание SOC, DLP и почтовой защиты, жизненный цикл инцидента. Вторая — обучение взрослых: анализ образовательной потребности, instructional design, микрообучение, разработка тестов, оценка усвоения и адаптация материала под конкретную аудиторию. Третья — коммуникация: копирайтинг, презентации, проведение вебинаров, фасилитация, внутренние кампании и главный навык всей профессии — умение объяснить сложное простым языком. Четвёртая — аналитика и управление: постановка KPI, работа с таблицами и дашбордами, сегментация, управление проектами и взаимодействие со стейкхолдерами. Ни одна корзина не работает в одиночку: без ИБ обучение выходит поверхностным, а без коммуникации не доходит до людей.

Важная оговорка про «технический порог». Программирование здесь обычно не требуется. Знание HTML, устройства почты, BI-инструментов или простых скриптов — приятный бонус, который расширяет возможности, но подавать его как обязательное условие входа неправильно: без единой строчки кода в этой профессии работают многие сильные специалисты.

Матрица «Навык — рабочая задача — подтверждение в портфолио»

Платформы, аналитика и показатели эффективности

Инструменты удобнее держать в голове как классы, а не бренды — конкретные продукты меняются, логика остаётся. В типичном наборе: LMS для курсов и учёта, Security Awareness Platform, модуль фишинг-симуляций, конструктор курсов и тестов, корпоративный портал, сервис вебинаров, BI и дашборды, система тикетов и сообщения об инцидентах, а также интеграции с HRIS, SOC и почтой. Собранные вместе, они дают ту самую петлю «обучил — проверил — измерил».

Метрики — отдельная дисциплина. Базовый набор: доля завершивших обучение, результат тестов, доля переходов по учебной ссылке, доля ввода данных, report rate, time-to-report, повторная ошибка, динамика по подразделениям и число реальных пользовательских инцидентов. И здесь легко обмануться. Click rate одной кампании — не приговор и не оценка киберграмотности: на цифру влияют сложность сценария, аудитория, время отправки и прошлый опыт людей. Одна и та же команда на «лёгком» письме покажет 3%, на «злом» — 30%, и это не значит, что за неделю все поглупели.Скриншот блока с интерфейсом или изображением панели управления Kaspersky ASAP. Вы видите, что «платформа awareness» — это конкретный рабочий инструмент, а не набор презентаций.

Поэтому зрелая программа не молится на один показатель, а сочетает три слоя: обучающие метрики (кто и как прошёл), поведенческие (как реагируют на симуляции) и операционные (что происходит с реальными инцидентами). Вместе они дают картину, которой можно доверять.

Таблица «Метрики программы»

Ниже — демонстрационный график динамики (данные условные): клики падают, сообщения растут, время до сообщения сокращается.

По правилам одна ось — поэтому время до сообщения выношу в KPI-плитку, а на график ставлю две процентные линии (клики и сообщения). Данные условные, помечены как демонстрационные.

Дашборд показывает динамику, а не рейтинг сотрудников: три KPI-плитки (клики, report rate, time-to-report) и график двух процентных метрик по кварталам. Всё помечено как демонстрационное. 

Как войти в профессию с нуля или из смежной роли

Дальше — самое практичное: как в эту профессию попасть. Хорошая новость в том, что единственного «правильного» маршрута нет — сюда приходят из ИБ, обучения, HR, коммуникаций и маркетинга. Плохая (хотя это скорее особенность) — с улицы, без опоры на смежный опыт, войти сложнее. Работает простая формула: взять одну сильную компетенцию, которая уже есть, и достроить недостающую половину — либо ИБ, либо L&D.

Из каких профессий проще перейти

Разберём четыре главных маршрута — у каждого своя сильная сторона и свой пробел.

Из L&D, методистов и корпоративного обучения переходят легче всего: instructional design и работа со взрослыми уже в руках, достроить нужно угрозы, терминологию ИБ и процессы реагирования. Из HR и внутренних коммуникаций приносят понимание аудитории, каналов и вовлечения — не хватает методологии обучения и базы по киберрискам. Из информационной безопасности приходят с готовым техническим контекстом, но им предстоит научиться писать простым языком, проектировать программы и, что важнее всего, работать без обвинения пользователей. Из контента, PR или маркетинга сильная сторона — коммуникационные кампании; пробелы обычно в ИБ, аналитике обучения и регламентах.

Список не закрыт: неплохо стартуют преподаватели и бизнес-тренеры (сильная методика), compliance-специалисты (регламенты и риски) и project-менеджеры (умение собрать разрозненные команды в один процесс). Принцип один — честно назвать свою сильную половину и целенаправленно закрыть вторую.

Таблица «Маршруты перехода в профессию»

Что изучить и собрать в портфолио

Учебный маршрут удобно разбить на четыре этапа. Первый — база ИБ: фишинг, социальная инженерия, компрометация учётных записей, MFA, вредоносные вложения, персональные данные и действия при инциденте. Второй — обучение: основы андрагогики, instructional design, микрообучение, тестирование и оценка результата. Третий — практика проектирования: программа целиком, сегментация аудиторий, метрики, коммуникационный календарь. Четвёртый — инструменты: LMS, платформы Security Awareness, презентации, таблицы и BI. Это не про сертификаты ради сертификатов, а про способность собрать программу от начала до конца.

Параллельно собирается портфолио — и здесь ценится не объём, а завершённость. Достаточно пяти артефактов: карта рисков трёх подразделений, квартальный план программы, короткий учебный модуль, безопасный сценарий фишинг-симуляции и макет отчёта с метриками. Важная оговорка: в портфолио идут только учебные, обезличенные версии. Публиковать рабочие шаблоны, которые можно применить для реальной кражи данных, нельзя — это и репутационный, и этический риск.

Лучший артефакт — маленький кейс по схеме «до — действие — метрика — решение». Например: заметили, что о подозрительных письмах сообщают медленно и редко; сделали короткий микроурок и добавили кнопку «Сообщить»; договорились мерить report rate и time-to-report; через квартал доля сообщений выросла, а время до сигнала упало. Такой кейс на собеседовании работает лучше любого списка пройденных курсов.

Дальше — чек-лист портфолио и мини-кейс.

Чек-лист «Минимальное портфолио кандидата»