В разборе одного инцидента меня зацепила не техника, а хронология. Ссылку открыли, пароль ввели. В службе безопасности узнали через девять дней — и не от человека, а по срабатыванию правила.

Человек понял, что произошло, примерно через минуту. Страница запросила пароль повторно, он ввёл, потом посмотрел на адрес и всё понял.

И ничего не сделал. Девять дней.

Что происходит с человеком в эту минуту

Момент осознания — это не «ой, надо сообщить». Это сильная и очень конкретная эмоция: стыд. Не страх за компанию, а стыд за себя, потому что человек только что сделал ровно то, про что его предупреждали на обучении, и предупреждали в формулировке «будьте внимательны».

Дальше включается мотивированное рассуждение — так называют работу мышления, при которой человек оценивает доводы не по их силе, а по тому, куда они ведут. Нужный вывод здесь известен заранее: сообщать не надо. Под него и подбираются доводы — а найти их легко, потому что настоящих сомнений тут хватает.

«Может, это была настоящая страница, просто сессия слетела». «Я же сразу пароль сменил». «Ничего не произошло, значит, ничего и не было». «Скажу — начнётся разбирательство, а я не уверен».

Самый опасный из них — второй, и опасен он тем, что звучит технически грамотно. Смена пароля не завершает уже открытые сессии: тот, кто вошёл с украденным паролем, продолжает работать по своей сессионной куке. Она не убирает правило автопересылки, если его успели создать. И она не отзывает токены приложений, которым доступ был выдан отдельно. Человек совершает реальное действие, получает от него ощущение закрытого вопроса — и перестаёт считать, что есть о чём сообщать.

Каждое из этих рассуждений по отдельности выглядит разумно. Работают они все в одну сторону — отложить. А отложенное сообщение приходит на порядок реже и на порядок позже: назавтра к стыду добавляется второй слой — стыд за то, что не сказал вчера, — и порог только растёт.

Почему это дороже, чем сам клик

Украденный пароль — это событие, у которого есть техническое лечение: сброс, завершение сессий, проверка правил в почте, просмотр журналов за нужное окно. Всё это делается за часы и работает тем лучше, чем раньше начали.

Девять дней — это девять дней, в течение которых:

• чужой доступ жив и никем не наблюдается;

• в почтовом ящике могло появиться правило автопересылки, и оно уже отработало;

• журналы части систем успели ротироваться, и восстанавливать картину теперь не по чему;

• из ящика могли уйти письма подрядчикам, и это уже не ваш инцидент, а ваш и их.

Разница между «сообщили через минуту» и «нашли через девять дней» — это разница между сбросом пароля и полноценным расследованием с уведомлением контрагентов.

Из чего складывается молчание

Я бы не считал это личным свойством конкретного человека. В компаниях, где про инциденты не сообщают, для этого обычно есть основания, и они видны в мелочах.

Разбор называется разбирательством. Слово выбрали не специально, но человек слышит именно его. Если в компании принято по итогам «сделать выводы в отношении сотрудника», то первое сообщение о клике стоит человеку карьерных перспектив, а благодарности не приносит.

Обучение построено на вине. Учебная рассылка, за которой следует список «попавшихся» и повторный курс, прямо сообщает: кликнуть — стыдно. После этого ждать, что попавшийся сам поднимет руку, странно.

Сообщать некуда. Способ есть, но это заявка в общий сервисдеск с обязательным полем «категория» и с исполнителем, который увидит её утром. Человеку в состоянии стыда нужно нажать одну кнопку и услышать живой ответ, а не заполнять форму.

Первый ответ — вопрос «зачем вы это сделали». Один такой ответ, пересказанный коллегам, закрывает канал для целого отдела, и надолго: рассказ о том, как кого-то отчитали, живёт заметно дольше, чем любая рассылка про важность сообщать об инцидентах.

Что сокращает задержку

Отделить сообщение от вины, вслух и заранее. Формулировка, которая работает: сообщил о собственной ошибке в течение дня — претензий нет, что бы ты ни сделал по неосторожности; умысел и повторное грубое нарушение — отдельный разговор. Границу надо называть сразу, в том же предложении, а не прятать в примечание: иначе первый же тяжёлый случай выставит обещание враньём. Не «мы никого не наказываем» вообще, а конкретное обещание с понятной границей — и выполненное в первый же раз так, чтобы об этом узнали.

Одна кнопка. Кнопка «сообщить о письме» прямо в почтовом клиенте, а не заявка. Работает она не потому, что удобнее, а потому, что не требует формулировать вслух, что произошло, — а формулировать стыдно.

Ответ в течение минут и по-человечески. Первое, что слышит человек, — «спасибо, дальше мы сами». Претензии и разбор процесса — потом и не с ним.

Считать не клики, а сообщения. Показатель «процент кликнувших» толкает к сокрытию: он измеряет то, за что стыдно. Смотреть надо на два других числа: какая доля получивших учебное письмо сообщила о нём и какая медианная задержка между отправкой и первым сообщением. Оба считаются от известного знаменателя, поэтому их нельзя накрутить ростом числа атак, и оба измеряют именно то, что вам нужно.

Ограничения

Всё это культура, а не настройка, и меняется она медленно, месяцами, и только на личных примерах. Написать правило в политику можно за день, но первый человек проверит его на себе, и вся дальнейшая история будет зависеть от того, что с ним случилось.

И даже идеальная культура не даёт нулевой задержки: часть людей просто не поймёт, что произошло что-то, о чём стоит сообщить. Технические средства обнаружения никуда не деваются, речь не о замене, а о том, чтобы к ним добавился самый быстрый источник сигнала.

Что посмотреть у себя

Взять последние инциденты и по каждому посчитать время от события до сообщения. Не среднее — распределение: важно, есть ли хвост в дни.

Посмотреть, какая доля инцидентов пришла от людей, а не от средств обнаружения. Ноль — это не «у нас всё спокойно», это закрытый канал.

Прочитать памятку по фишингу глазами человека, который только что попался. Найти в ней предложение, которое сообщает ему, что сообщить безопасно. Если такого предложения нет — оно там и не подразумевалось.

Спросить у любого сотрудника не из ИТ, куда он напишет, если поймёт, что ввёл пароль не туда. Ответ «наверное, руководителю» или «не знаю» встречается чаще, чем хотелось бы, и он же — план на ближайший месяц.