Выявлено противоречие между ростом количества инцидентов информационной безопасности организации по вине ее сотрудников и стабильной неэффективностью мер, предпринимаемых работодателем по их снижению. Сделан вывод о недостаточном внимании науки к современным тенденциям менеджмента организации (управления качеством, персоналом, знаниями, рисками), связанным с активизацией участия персонала в процессах управления. На примере обнаружения социоинженерных атак обоснована необходимость усиления роли пользователя информационной системы организации как субъекта управления её информационной безопасностью. Приведены организационные и программно-технические средства вовлечения пользователя в этот процесс.