Инструктаж по кибербезопасности: как провести и чем подтвердить

Откуда взялась аналогия с охраной труда

В статье 22 Трудового кодекса перечислены требования, которые работник обязан соблюдать на рабочем месте. С 2026 года в этот перечень добавлена кибербезопасность — рядом с безопасностью и охраной труда, пожарной и промышленной безопасностью и производственной санитарией.

Отсюда и привычка называть занятие инструктажем. Но есть важная разница: обязательной периодичности и утверждённой программы, как в охране труда, закон для кибербезопасности не устанавливает.

Три разные вещи, которые постоянно путают

Ознакомление обязательно. Инструктаж и обучение закон в общем случае не предписывает, но именно они превращают документ в реальную защиту, а заодно подтверждают внутренний контроль.

• Ознакомление — работник прочитал акт работодателя и расписался. Это прямая обязанность работодателя и то, что проверяют первым.
• Инструктаж — короткое устное занятие: что делать и чего не делать на этом рабочем месте. Оформляется журналом с подписями.
• Обучение — разбор ситуаций с проверкой усвоения. Меняет поведение, но само по себе ознакомление не заменяет.

Виды инструктажа, которые имеет смысл ввести

1. 1Вводный — при приёме на работуДо выдачи доступов, а не через месяц. Логика простая: сначала правила, потом пароли.
2. 2Первичный на рабочем местеЧто важно именно на этой должности. Бухгалтеру — поддельные счета и смена реквизитов, кадровику — данные работников, менеджеру — переписка с клиентами.
3. 3ПовторныйПериодичность вы устанавливаете сами. Разумный ориентир — раз в год, и он же удобно ложится в чек-лист внутреннего контроля.
4. 4ВнеплановыйПосле изменения акта, после инцидента, при появлении новой системы или нового подрядчика.

Кто проводит

Ответственный за организацию работы по кибербезопасности, назначенный приказом руководителя. Технических знаний для этого не требуется: инструктаж — это разговор о правилах, а не настройка серверов.

Если ответственный сам не уверен в теме, разумнее дать ему готовый материал, чем требовать разбираться самостоятельно.

Что должно остаться на бумаге

• журнал инструктажей: дата, тема, кто проводил, фамилии и подписи участников;
• программа или хотя бы перечень вопросов, которые разбирались;
• отметка в чек-листе внутреннего контроля, что за период инструктаж проведён;
• отдельная запись по вновь принятым работникам.

Журнал, заполненный за год одним днём и одним почерком, выглядит ровно тем, чем является. Лучше три честные записи, чем двенадцать нарисованных.

О чём говорить, чтобы это работало

Последний пункт важнее остальных. В компании, где за сообщение об ошибке ругают, о следующем инциденте узнают от банка.

• поддельные письма и страницы входа: что проверять перед вводом пароля;
• сообщения «от директора» с просьбой срочно оплатить;
• смена реквизитов у знакомого поставщика;
• пароли: почему один пароль на всё — главная проблема;
• что нельзя пересылать в мессенджерах и на личную почту;
• куда сообщать о подозрительном и почему за это не наказывают.

Частые вопросы