Capture the flag

Difficulty level — hard
4months
10specialists
Йо-хо-хо и бутылка рома! Дайте пользователям почувствовать себя настоящими пиратами и захватить флаг противника. Создайте игру, где нужно будет выполнять задания, чтобы найти уязвимости в пространстве команды-противника и предоставить найденные флаги системе. Команды будут решать прикладные задачи, чтобы получить уникальную комбинацию символов — флаг. После чего участники отправляют его на специальную платформу и получают подтверждение, что задача решена верно или стоит попытаться дать ответ еще раз. Поиск уязвимостей осуществляется как у себя, чтобы устранить их на собственном сервере, так и у соперника, чтобы получить флаг. Игра может быть одиночной или командной. В зависимости от сложности выполняемых заданий аудитория игры может быть разной — профессионалы и эксперты в области кибербезопасности или обычные сотрудники, желающие прокачать свои знания. Задания можно использовать разные: связанные с криптографией, уязвимостями в web-приложениях, сетевой безопасностью, стеганографией, анализом вредоносного ПО — с любым направлением информационной безопасности, которое может пригодится специалисту в реальной жизни, в зависимости от необходимой целевой аудитории. Компании-участники могут быть абсолютно разными. Например, представлять собой целые города: службы безопасности муниципалитета, организации, заводы и так далее. Каждая команда будет защищать свою инфраструктуру в виде серверов, которые используются в их организации. При небольшом количестве участников можно использовать одну команду, которая будет пытаться взломать или наоборот защитить инфраструктуру компаний города. Примером может служить любое соревнование в формате CTF (Capture the Flag).

Results

Улучшится подготовка к кибератакам
Подобное погружение сотрудников в угрозы, связанные с кибербезопасностью компании, позволяет с одной стороны увидеть на реальных примерах потери, которые может понести организация, если сотрудник не сможет или не будет знать, как правильно, отреагировать на кибератаку, с другой — как правильнее выстроить взаимодействие с ответственными подразделениями для наиболее быстрого и наименее болезненного решения проблем.
Улучшатся кросс-функционального взаимодействия
Если симуляция будет проводиться между сотрудниками разных подразделений, это будет способствовать развитию командности благодаря более близкому знакомству коллег в ходе поиска решений проблем.
Уменьшится количества инцидентов
Обучение на реальных примерах позволит снизить количество инцидентов, связанных с киберугрозами.
Сотрудники узнают больше о кибербезопасности
Обучение с помощью симулятора кибератак позволит погрузить сотрудников в киберкультуру и предотворитеть возможные риски.

Key Performance Indicators

NPS участников
Измерьте индекс потребительской лояльности (NPS). Показатель характеризует готовность участников рекомендовать обучение с помощью симулятора другим пользователям. Чем выше уровень удовлетворенности игроков, тем выше индекс. Если NPS >7, значит, всё сделано правильно.
Время принятия решений
В ходе симуляции каждое следующее решение будет приниматься игроками быстрее, чем предыдущее. Это означает, что инструмент работает правильно.
Количество участников
Если игра будет интересной и полезной, количество участников будет расти с каждым месяцем.
Количество репостов
Если вы добавите возможность делиться результатами на своих страницах на корпоративном портале или в социальных сетях и пользователи начнут это делать, значит, им нравится игра.
Retention rate
Процент пользователей, вернувшихся в игру. Это количество клиентов в конце периода минус количество клиентов, приобретенных в течение периода, деленное на количество клиентов в начале периода, умноженное на 100%. Если через три месяца после старта данного обучения показатель будет выше 40%, это означает, что игра очень успешна. Главное следить, чтобы показатель не опускался ниже 25%–30%.
Время на сайте
Если время, проведенное игроком в симуляции растет, значит, она интересна сотруднику.
Stickiness rate
Регулярность использования игры в течение месяца рассчитывается как соотношение количества уникальных пользователей в день, деленное на количество уникальных пользователей в месяц. Если пользователь будет использовать вашу игру каждый день, то этот показатель будет равен 100%. Это означает, что игра действительно зацепила сотрудника, но, конечно же, такой уровень показателя вряд ли возможен. Советуем следить, чтобы эта метрика держалась на уровне не ниже 20%. Если вы видите, что показатель снижается, необходимо напомнить пользователю об игре — запустить рассылку, обновить игру, добавив новые сценарии, функции.

Required resources

1
Копирайтер
1
Project manager
3
Разработчик
1
Методолог по кибербезопасности
1
Аналитик
1
Геймдизайнер
1
UX/UI дизайнер
1
Илюстратор

Game mechanics

– Нарратив
– Очки
– Квесты
– Прогресс-бар
– Дерево навыков
– Достижения
– Лимит по времени
– Сообщества и глобальные цели
– Гонка

How to apply the Potion

1
Опишите методологические вводные
Создайте методологическую базу и сценарии поведения игроков и команд, которые нужно будет внедрить в симулятор. При этом нужно учитывать, что симулятор может использоваться как командой, так и одиночным игроком. На первом этапе можно выбрать только одно направление - команда или одиночный игрок, чтобы сократить время выхода первой версии симулятора, а также заинтересовать пользователей на будущее. При этом формат нужно выбирать, исходя из ваших конкретных потребностей.
2
Разработайте симулятор
Советуем сделать симулятор либо отдельным решением на отдельном сайте, либо частью действующей корпоративной образовательной платформы. Для разработки нужно будет привлечь компанию, занимающуюся подобными решениями, или отдельно каждого из специалистов. Важно адаптировать методологические тексты под выбранную тематику симулятора как с точки зрения копирайтинга, так и визуальную составляющую. Разделите игру на уровни, каждый из которых будет соответствовать определенной теме: криптография, уязвимости в web-приложениях, сетевая безопасность, стеганография и другие. Сформируйте перечень компаний-команд, которые будут участвовать в CTF. Советуем не привязываться к реальным компаниям, а использовать вымышленные. Определите перечень уязвимостей, которые будут искать игроки в каждой из компаний, спрячьте их и сформулируйте задание для команд. За правильно выполненное задание команда должна получать награду: это может быть бейдж, прокачка навыка или очки. Не обязательным, но полезным будет сформировать сообщества-пространства для общения команд. Сначала это могут быть аналоги чатов для общения внутри каждой компании отдельно, а в дальнейшем можно создавать группы из нескольких компаний, образуя сообщество, где участники будут защищать друг друга от кибератак.
3
Организуйте тестовый прогон
Запустите симулятор на ограниченное количество лояльных пользователей, чтобы увидеть возможные недочеты, а также собрать первую обратную связь для необходимых доработок сценариев или визуальной составляющей. Если вы разрабатывали оба варианта игры (одиночная и командная), советуем сначала запустить одиночную, так как с урезанным функционалом получится быстрее найти и устранить недочеты для запуска в пром. А параллельно с этим можно разрабатывать и внедрять полную версию.
4
Организуйте полноценное обучение и контролируйте показатели
По результатам пилота и после устранения недочетов проведите обучение сотрудников с помощью симулятора. Обучение может быть включено как в перечень обязательных курсов, так и предоставляться в списке для выбора сотруднику. По результатам симуляции собирайте обратную связь для расчета необходимых показателей удовлетворенности, а также контролируйте метрики на уровне инструмента в целом. Советуем обратить внимание на наиболее активных пользователей и связаться с ними. Они могут стать амбассадорами бренда, что будет полезно для продвижения игры и повышения показателей.