Пример за възвръщаемостта на инвестицията (ROI) от обучения по киберсигурност за лидери

 

Надеждният пример за ROI от обучение прави много повече от това да докаже, че служителите са завършили даден курс. Той показва на ръководството как по-добрите решения в областта на сигурността намаляват вероятността, разходите и последствията от инциденти, причинени от човешки грешки. Именно това трябва да бъде стандартът, по който се оценяват програмите за осведоменост по киберсигурност.

Процентът на завършени обучения, резултатите от тестове и сертификатите имат значение, особено когато NIS2, клиентски изисквания или вътрешни одити изискват доказателства. Но сами по себе си те не представляват бизнес аргумент. CISO специалистите, експертите по съответствие, HR екипите и финансовите заинтересовани страни трябва да видят как обучението променя рисковата експозиция и дали тази промяна оправдава инвестицията.

Защо ROI при обученията по киберсигурност е различен

Повечето обучителни програми се измерват като дейност по обучение и развитие: колко хора са се записали, завършили модулите и преминали оценяването.

Обучението по киберсигурност обаче има и втора функция. То е контрол за сигурност, насочен към намаляване на предотвратими грешки като кликвания върху фишинг линкове, споделяне на идентификационни данни, забавено докладване, небезопасна работа с данни и неправилни процеси за одобрение.

Това прави измерването по-сложно. Не може честно да се твърди, че един обучителен модул е предотвратил конкретен пробив, освен ако доказателствата не са изключително ясни. Това, което може да се измери, е дали организацията е намалила поведението, което атакуващите обичайно експлоатират, подобрила е скоростта на докладване и е намалила очакваните загуби, свързани с тези рискове.

Практическият въпрос не е: „Всички ли изгледаха курса?“

Той е:

„Стана ли организацията по-трудна за компрометиране, защото служителите вече разпознават, докладват и реагират по различен начин на заплахите?“

Формулата за ROI, която лидерите могат да защитят

Основната формула е добре позната:

ROI от обучение = (Финансова полза – Общ разход за обучение) / Общ разход за обучение × 100

Предизвикателството е в правилното дефиниране на двете страни на уравнението.

Общият разход трябва да включва повече от абонамента за платформата или цената на курса. Следва да се отчетат времето за внедряване, вътрешната комуникация, времето на администраторите и продуктивното време, което служителите инвестират в обучението. Ако мениджърите отделят значително време за координация, то също трябва да бъде включено.

Финансовата полза трябва да бъде консервативна и проследима. В киберсигурността това може да включва намалена очаквана загуба от инциденти, по-малко разследвания на компрометирани акаунти, по-малко време за Help Desk по предотвратими проблеми, по-ниски разходи за възстановяване и избягване на пропуски по отношение на съответствието.

По-силната програма може също така да намали оперативните щети при инцидент, тъй като служителите сигнализират за подозрителна активност по-бързо.

Избягвайте да включвате всяка потенциална полза. Бизнес аргументът губи доверие, когато ползите са преувеличени. Започнете със сценарии на риск, които организацията може да измери и ясно да обясни на финансов директор или член на борда.

Пример за ROI от обучение: намаляване на риска от фишинг

Да разгледаме организация с 500 служители, изложена на значителен риск от фишинг атаки.

Преди обучението базовите фишинг симулации показват, че 18% от служителите кликват върху злонамерен линк. От кликналите само малка част докладват съобщението.

Екипът по сигурността редовно отделя време за смяна на пароли, разследване на подозрителна активност в пощенските кутии и проследяване на опити за имитация на самоличност.

Компанията стартира локализирана програма за осведоменост, съобразена с ролите на служителите, която включва интерактивни уроци по фишинг, кратки тестове за знания, последващи симулации и допълнителни обучения за групи с по-висок риск.

Програмата продължава една година.

Годишната ѝ стойност е 42 000 долара:

• 24 000 долара за обучителна платформа и администриране на програмата
• 12 000 долара за времето на служителите, базирано на един час обучение на човек
• 6 000 долара за вътрешна координация, отчети и последващи дейности

След шест месеца процентът на кликвания върху фишинг съобщения намалява от 18% на 7%.

Същевременно броят на подадените сигнали нараства значително, което дава на екипа по сигурността по-ранна видимост върху активните кампании.

Това не означава, че фишингът е изчезнал. Означава, че по-малко служители са склонни да предоставят първоначален достъп на атакуващите и повече служители функционират като система за ранно предупреждение.

Изчисляване на финансовия ефект

Организацията оценява, че преди програмата е имала 20% годишна вероятност от фишинг инцидент, изискващ външна помощ, сериозно вътрешно разследване и оперативни прекъсвания.

Средната цена на подобен инцидент е оценена на 300 000 долара.

Следователно базовата очаквана годишна загуба е:

20% × 300 000 долара = 60 000 долара

На база подобреното поведение, по-бързото докладване и оценката на екипа по сигурността, ръководството приема, че програмата намалява вероятността от подобен инцидент от 20% на 10%.

Очакваната годишна загуба след обучението става:

10% × 300 000 долара = 30 000 долара

Очакваната финансова полза от намаления риск е:

30 000 долара

Тази стойност сама по себе си все още не покрива цялата инвестиция от 42 000 долара.

Допълнителни оперативни ползи

Компанията проследява и оперативната работа, която може да бъде избегната.

За една година:

• Нулиранията на акаунти, свързани с фишинг
• Прегледите на пощенски кутии
• Заявките за потребителска поддръжка

намаляват с общо 240 часа.

При среден вътрешен разход от 85 долара на час това води до спестяване от:

240 × 85 долара = 20 400 долара

Общата измерима полза става:

30 000 долара намалена очаквана загуба + 20 400 долара оперативни спестявания = 50 400 долара

Изчислението на ROI е:

(50 400 – 42 000) / 42 000 × 100 = 20% ROI

Възвръщаемост от 20% е защитим резултат, защото се базира на внимателни предположения, а не на обещанието, че обучението ще елиминира киберриска.

Освен това в анализа не са включени редица реални ползи, които трудно могат да бъдат остойностени, като по-добри доказателства за одит, по-високо доверие от страна на клиентите и по-бърза ескалация при реален инцидент.

Какво прави този пример достоверен

Числата са полезни само ако методологията зад тях може да издържи на проверка.

На първо място трябва да има базова линия преди началото на програмата. Ако не знаете първоначалния процент на неуспех при фишинг симулации, нивото на докладване, броя инциденти или натоварването на екипите по поддръжка, не можете убедително да покажете подобрение впоследствие.

След това използвайте повече от един показател. Резултатите от симулации са ценни, но не са достатъчни сами по себе си.

Комбинирайте ги с:

• Данни за докладване от служителите
• Данни от Help Desk
• Повтарящи се нарушения
• Реални инциденти
• Резултати от тестове и оценки

Заедно тези показатели осигуряват много по-надежден поглед върху промяната в поведението.

Накрая е важно да се разграничат корелацията и причинно-следствената връзка.

По-ниският процент на кликвания може да е резултат от обучението, но може също така да се дължи на по-добри имейл филтри, по-спокоен период по отношение на заплахите или по-лесни симулации.

Затова трябва да документирате предположенията, да сравнявате сходни тестове и да избягвате твърдения, които надхвърлят наличните данни.

Измервайте водещите индикатори

Да чакате реален пробив, за да разберете дали обучението работи, е лоша стратегия.

Много по-полезни са водещите индикатори, които показват дали служителите стават по-устойчиви преди да настъпи сериозен инцидент.

При фишинг следете:

• Процент на кликвания
• Процент на въведени идентификационни данни
• Процент на докладвани съобщения
• Време от получаване до докладване

За по-широка осведоменост наблюдавайте:

• Завършване по роли и региони
• Резултати по високорискови теми
• Повторяеми грешки след обучение
• Изключения от политики поради липса на знания

За регулирани организации обучението трябва да бъде обвързано с конкретните контроли и отговорности, които са важни за бизнеса.

Защо ROI е различен за всяка организация

Не всяка организация трябва да използва едни и същи предположения.

Професионалните услуги могат да поставят акцент върху:

• Business Email Compromise
• Изтичане на клиентски данни
• Имитация на ръководители

Производствените предприятия могат да бъдат по-фокусирани върху:

• Оперативни прекъсвания
• Измами с доставчици
• Рискове в OT средите

Здравните организации могат да обръщат повече внимание на:

• Инциденти с лични данни
• Рансъмуер атаки
• Забавяне на медицински услуги

И ролята на служителя има значение. Финансовите екипи, привилегированите ИТ потребители, ръководителите и служителите с директен контакт с клиенти често изискват по-често или специализирано обучение.

Превърнете данните в управленско решение

Полезният ROI отчет трябва да се побира на една страница, преди да премине към подробности.

Той трябва да показва:

• Базова линия
• Промяна в поведението
• Финансови предположения
• Общ разход
• Краен резултат

След това трябва ясно да посочи следващите действия:

• Продължаване на програмата
• Насочване към високорискови групи
• Подобряване на симулациите
• Инвестиция в допълнителни контроли

Целта не е обучение заради самото обучение. Целта е изграждане на служители, които разпознават риска навреме и вземат по-безопасни решения, когато това е най-важно.

Най-силният заключителен въпрос за всяка инвестиция в обучение по сигурност е прост:

Ако убедителен фишинг имейл достигне до правилния служител утре, ще защити ли следващото му действие бизнеса?

Вашият модел за ROI трябва да помогне на ръководството да отговори на този въпрос с доказателства и да подобрява този отговор всяко тримесечие.

 

Често задавани въпроси (FAQ)

1. Как се изчислява възвръщаемостта на инвестицията (ROI) от обучения по киберсигурност?

ROI се изчислява като се сравнят финансовите ползи от намаления риск и оперативните спестявания с общите разходи за обучение. Формулата е:

ROI = (Финансова полза – Общ разход за обучение) / Общ разход за обучение × 100

2. Кои показатели са най-важни за измерване на ефективността на обучението?

Сред най-важните показатели са процентът на кликвания върху фишинг съобщения, процентът на докладвани съмнителни имейли, времето за реакция на служителите, резултатите от тестове, както и броят на инцидентите, свързани с човешки грешки.

3. Достатъчно ли е високото ниво на завършени обучения, за да се счита програмата за успешна?

Не. Високият процент на завършени обучения показва единствено участие. Истинският успех се измерва чрез промяна в поведението на служителите, по-добро разпознаване на заплахите и намаляване на риска за организацията.

4. Колко често трябва да се оценява ROI на програмите за киберсигурност?

Добра практика е резултатите да се преглеждат поне веднъж на тримесечие или ежегодно. Редовният анализ позволява програмата да бъде адаптирана спрямо новите заплахи, регулаторни изисквания и организационни рискове.

5. Как обученията по киберсигурност подпомагат готовността за NIS2?

Обученията помагат на организациите да докажат, че служителите получават подходящо обучение, разбират своите отговорности и могат да разпознават и докладват инциденти. Това подкрепя изискванията за управление на риска, осведоменост и киберустойчивост, заложени в NIS2.