Telefon od osoby przedstawiającej się jako wsparcie IT. Rozmówca zna nazwę firmy i prosi o zatwierdzenie powiadomienia na telefonie, bo „naprawia dostęp do poczty”. To przykładowy scenariusz szkoleniowy. Nie ma w nim podejrzanego załącznika ani wiadomości z błędami językowymi. Jest za to decyzja, którą pracownik musi podjąć pod presją.
Dobre szkolenie cyber awareness powinno przygotować pracownika do takich decyzji. Nie wystarczy znać definicję phishingu. Trzeba wiedzieć, jak zweryfikować nietypową prośbę, kiedy przerwać działanie i gdzie zgłosić podejrzenie, także wtedy, gdy błąd już się wydarzył.
Ten poradnik jest dla osób, które organizują szkolenia z cyberbezpieczeństwa w firmach i instytucjach. Pokazujemy, jak wybrać zakres, przeprowadzić ćwiczenia i sprawdzić efekty bez sprowadzania programu do listy obecności.
Czym jest cyber awareness i czego nie zastąpi?
Cyber awareness, czyli świadomość cyberbezpieczeństwa, to rozumienie zagrożeń związanych z codzienną pracą i zasad bezpiecznego działania. Szkolenie rozwija tę świadomość przez przykłady i ćwiczenia. Program obejmuje również przypomnienia, dostępne instrukcje i wsparcie po zakończeniu zajęć.
Takie podejście opisuje NIST SP 800-50r1: edukację należy planować jako rozwijany i oceniany program, dopasowany do odbiorców, a nie pojedyncze wydarzenie. Celem jest wspieranie właściwych zachowań, nie samo przekazanie informacji.
Przeszkolony pracownik nie zastępuje zabezpieczeń technicznych. Filtrowanie poczty, ochrona kont, ograniczenie uprawnień i obsługa incydentów pozostają potrzebne. Brytyjskie NCSC zaleca wielowarstwową ochronę przed phishingiem i przestrzega przed oczekiwaniem, że użytkownicy rozpoznają każdą próbę ataku.
Edukację warto więc połączyć z szerszym planem. Opisujemy go w poradniku jak zabezpieczyć firmę lub instytucję.
Zanim zamówisz szkolenie, ustal trzy rzeczy
Jakie sytuacje chcesz przećwiczyć? Zbierz przykłady z pracy zespołu: obsługę faktur, dokumentów kandydatów, zaproszeń do współdzielonych plików czy kontaktów z klientami. Możesz wykorzystać odpowiednio zanonimizowane wcześniejsze zgłoszenia. Nie przesyłaj prowadzącemu prawdziwych haseł, danych klientów ani aktywnych złośliwych załączników.
Jak działa zgłaszanie zdarzeń? Ustal kanał kontaktu, osobę lub zespół odbierający zgłoszenia oraz rozwiązanie zastępcze, gdy poczta albo konto pracownika są niedostępne. Wyznacz właściciela tego procesu. Szkolenie nie naprawi skrzynki, której nikt nie monitoruje.
Kogo obejmuje program? Uwzględnij nowe osoby, pracowników zmianowych i współpracowników mających dostęp do systemów. Dopasuj język oraz formę do uczestników. Pracownik korzystający głównie z telefonu powinien ćwiczyć na przykładach, które potrafi odnieść do tego urządzenia.
Wspólne podstawy można połączyć z modułami dla finansów, HR, obsługi klienta czy kadry kierowniczej. Różnice między edukacją personelu a przygotowaniem kierownictwa do obowiązków omawiamy w artykule szkolenia NIS2 i KSC: obowiązki zarządu i pracowników.
Co powinien obejmować program cyber awareness?
Podejrzane wiadomości i prośby o nietypowe działanie
Nie ograniczaj ćwiczeń do poczty. Włącz SMS-y, komunikatory, kody QR i rozmowy telefoniczne. Poproś uczestników, żeby oceniali przede wszystkim żądane działanie: przekazanie informacji, zmianę płatności, instalację aplikacji lub zalogowanie do usługi. Poprawny język i znajome logo nie powinny kończyć weryfikacji.
Szczególnie ważna jest niezależna weryfikacja zmian dotyczących płatności. Telefon do numeru podanego dopiero w podejrzanej wiadomości nie daje takiego potwierdzenia.
Ochrona kont i bezpieczne logowanie
Przećwicz korzystanie z zatwierdzonego menedżera haseł, stosowanie odrębnych haseł oraz uwierzytelnianie wieloskładnikowe, czyli MFA. Uczestnik powinien wiedzieć, że nie należy zatwierdzać nieoczekiwanego logowania ani przekazywać kodu osobie, która o niego prosi. Procedurę odzyskiwania dostępu pokaż na przykładzie rzeczywistego, zatwierdzonego kanału wsparcia.
Dokumenty, praca zdalna i narzędzia AI
Zaproponuj ćwiczenie z udostępniania pliku: kto ma otrzymać dostęp, w jakim zakresie i na jak długo? Sprawdź także, czy pracownik wie, jak postąpić po wysłaniu dokumentu niewłaściwej osobie albo utracie urządzenia.
Przy narzędziach AI pokaż, które usługi organizacja dopuściła do użytku i jakie dane wolno do nich wprowadzać. Zamiast ogólnego zakazu przygotuj bezpieczny sposób wykonania zadania. Przykładowo: streszczenie dokumentu z użyciem fikcyjnych danych albo zatwierdzonego narzędzia, zgodnie z klasyfikacją informacji. Sam płatny abonament nie powinien być kryterium dopuszczenia usługi.
Zgłaszanie, również po popełnieniu błędu
W instrukcji dla pracowników umieść prosty schemat i przećwicz go podczas zajęć:
- Przerwij podejrzaną czynność. Nie otwieraj kolejnych plików i nie potwierdzaj następnych próśb.
- Zgłoś podejrzenie niezwłocznie. Użyj kanału wskazanego przez organizację. Nie czekaj na pewność, że doszło do ataku.
- Opisz fakty. Podaj, co się wydarzyło, kiedy, jakiego konta lub urządzenia dotyczy sprawa i co już zrobiłeś. Nie dołączaj haseł ani kodów logowania.
- Postępuj zgodnie z instrukcją reagowania. Zachowaj informacje potrzebne do analizy. Nie usuwaj samodzielnie śladów zdarzenia i nie przesyłaj podejrzanych plików współpracownikom do sprawdzenia.
To propozycja do dostosowania przez zespół bezpieczeństwa, nie zamiennik procedury reagowania. Osobno trzeba określić działania dotyczące urządzenia lub konta, w tym sytuacje wymagające jego izolacji.
Trzy ćwiczenia zamiast kolejnych definicji
Poniższe sytuacje są przykładami do zajęć, a nie opisami incydentów klientów. W każdej poproś uczestnika o wskazanie następnego kroku i jego uzasadnienie.
Finanse: zmiana rachunku dostawcy
Wiadomość nawiązuje do znanej faktury i prosi o przelew na nowy rachunek. Nie zawiera linku ani załącznika. Uczestnik ma wskazać, jak zweryfikuje zmianę na podstawie istniejących danych kontaktowych i procedury zatwierdzania płatności. Samo stwierdzenie „mail wygląda prawidłowo” nie kończy ćwiczenia.
Wsparcie IT: prośba o zatwierdzenie logowania
Rozmówca twierdzi, że bez zatwierdzenia powiadomienia konto zostanie zablokowane. Zadaniem jest przerwanie tej próby i sprawdzenie zgłoszenia przez oficjalny kanał wsparcia. W drugiej części ćwiczenia uczestnik dowiaduje się, że powiadomienie już zatwierdził. Teraz ma pokazać, jak szybko i rzeczowo zgłosi sytuację.
Praca z dokumentami: wygodne, ale niezatwierdzone narzędzie
Pracownik chce streścić dokument zawierający dane klientów w znalezionej usłudze AI. Zadaniem nie jest rozpoznanie złośliwej strony. Trzeba sprawdzić zasady użycia danych i wybrać dopuszczony sposób realizacji zadania. Gdy brakuje instrukcji, zapisz to jako działanie dla właściciela procesu, a nie błąd uczestnika.
Przykładowa agenda szkolenia na 90 minut
Poniższa agenda pokazuje możliwy moduł wprowadzający. Nie jest ustawowym minimum ani obietnicą przygotowania do wszystkich zagrożeń. Dla większego zakresu zaplanuj kolejne moduły, zamiast skracać czas na ćwiczenia i pytania.
| Czas | Temat | Zadanie uczestnika |
|---|---|---|
| 15 minut | Zagrożenia związane z pracą zespołu | Wskazanie sytuacji, w których potrzebna jest dodatkowa weryfikacja. |
| 25 minut | Phishing i socjotechnika | Wybór bezpiecznej reakcji na wiadomość lub rozmowę. |
| 20 minut | Konta, dokumenty i narzędzia AI | Sprawdzenie logowania albo sposobu udostępnienia informacji. |
| 20 minut | Zgłaszanie podejrzanych zdarzeń | Przygotowanie zgłoszenia zgodnie z wewnętrzną instrukcją. |
| 10 minut | Podsumowanie i sprawdzenie zrozumienia | Rozwiązanie krótkiego scenariusza oraz wyjaśnienie wątpliwości. |
Taki zakres można omówić przy zamawianiu szkolenia z phishingu i cyber awareness dla pracowników. Przed realizacją ustal poziom uczestników, przykłady i to, co ma znaleźć się w materiałach końcowych.
Jak sprawdzić efekty, a nie tylko obecność?
Przed szkoleniem poproś grupę o rozwiązanie krótkiej sytuacji decyzyjnej. Po zajęciach wykorzystaj inne zadanie o porównywalnej trudności. Po kilku tygodniach wróć do jednej z umiejętności. Sprawdzaj wykonanie zadania, a nie wyłącznie rozpoznanie prawidłowej odpowiedzi w znanym już quizie.
Oddziel udział w szkoleniu od zmiany działania. Raport może pokazywać pokrycie właściwej grupy, jakość zgłoszeń, czas od rozpoznania podejrzenia do zgłoszenia w ćwiczeniu oraz wykonanie uzgodnionych poprawek. Dla każdego miernika określ źródło danych i sposób liczenia. Wzrost liczby zgłoszeń nie musi oznaczać wzrostu liczby ataków, może wynikać z większej gotowości do informowania o problemach.
Przy symulacjach phishingu uwzględnij trudność wiadomości i kontekst odbiorców. NIST Phish Scale opisuje metodę oceny trudności rozpoznania phishingu. Nie porównuj bez zastrzeżeń wyników łatwego testu z kampanią bardzo dobrze dopasowaną do pracy konkretnego działu.
Nie zakładaj też automatycznej skuteczności dowolnej formy szkolenia. W badaniu Rozemy i Davisa obejmującym jedną firmę z sektora technologii finansowych analizowane interwencje nie przyniosły statystycznie istotnej poprawy wskaźników kliknięć ani zgłoszeń. Wynik nie rozstrzyga o każdym programie, ale uzasadnia ostrożność wobec obietnic i potrzebę oceny własnych działań.
Symulacje phishingu bez zawstydzania pracowników
Symulacja nie musi być pierwszym krokiem programu. Najpierw można przećwiczyć scenariusz podczas warsztatu. Jeżeli organizacja wybierze kampanię testową, wcześniej ustal z IT, HR i osobą odpowiedzialną za ochronę danych jej cel, autoryzację, zakres oraz zasady wykorzystania wyników.
Nie zbieraj prawdziwych haseł i nie publikuj rankingów osób, które kliknęły. Zrezygnuj z pretekstów wykorzystujących lęk o zatrudnienie lub zdrowie. Zaplanuj wyjaśnienie ćwiczenia, praktyczną informację zwrotną i wsparcie dla osób, które go potrzebują.
NCSC podkreśla znaczenie kultury, w której można zgłaszać problemy bez obawy przed obwinianiem. Nie oznacza to braku odpowiedzialności. Chodzi o poznanie przyczyn zdarzenia i poprawę działania, a nie zniechęcanie do zgłoszeń.
Co zrobić po szkoleniu?
Zaproponuj właścicielowi programu krótki cykl uzupełniający. W pierwszym tygodniu udostępnij jednostronicową instrukcję z prawdziwym kanałem zgłoszeń i zorganizuj uzupełnienie dla nieobecnych. W kolejnych tygodniach wróć do jednego scenariusza i sprawdź, czy usunięto braki wykryte podczas warsztatu.
Przypomnienia wiąż ze zmianami w pracy: nowym narzędziem, procesem płatności, zasadą udostępniania dokumentów lub ustaleniami po incydencie. HR może koordynować udział, ale zespół bezpieczeństwa i właściciele procesów powinni odpowiadać za aktualność zasad. Kierownictwo powinno je stosować również wtedy, gdy sprawa jest pilna.
Najczęstsze pytania o szkolenie cyber awareness
Czy szkolenie jest odpowiednie dla osób bez wiedzy IT?
Program podstawowy należy przygotować właśnie z myślą o codziennych zadaniach, nie znajomości technicznego słownictwa. Uczestnik ma umieć zweryfikować prośbę, bezpiecznie pracować z informacją i zgłosić problem. Zaawansowane zadania administratorów wymagają osobnych zajęć.
Czy na koniec musi być quiz?
Nie trzeba wybierać quizu jako jedynej metody. Można wykorzystać scenariusz decyzyjny, omówienie przykładu lub przygotowanie próbnego zgłoszenia. Sposób sprawdzenia wiedzy uzgodnij przed szkoleniem. Ewentualne wymagania dotyczące testu lub dokumentacji sprawdź osobno dla organizacji.
Ile kosztuje szkolenie dla firmy lub instytucji?
W ofercie StartCyber cena zależy od liczby uczestników, formatu, czasu trwania, personalizacji i materiałów. Porównując propozycje, sprawdź również prowadzącego, możliwość zadawania pytań, dokumentację udziału oraz warunki nagrania. Licencję na późniejsze udostępnianie materiałów trzeba uzgodnić, a nie zakładać.
Szkolenia cyber awareness w StartCyber
W StartCyber prowadzimy szkolenia z cyberbezpieczeństwa dla firm i instytucji online i stacjonarnie. Program awareness dopasowujemy do ról, narzędzi i procesu zgłaszania zdarzeń. Pracujemy na scenariuszach bez zawstydzania uczestników.
Przy ustalaniu oferty określamy zakres personalizacji, sposób sprawdzenia zrozumienia oraz materiały. Mogą obejmować instrukcję dla pracowników, certyfikaty uczestnictwa i zbiorcze podsumowanie dla menedżerów. Potwierdzenie udziału dokumentuje szkolenie, nie jest niezależnym certyfikatem zgodności całej organizacji.
Planujesz szkolenie dla zespołu? Podaj liczbę i role uczestników, branżę lub rodzaj instytucji, preferowany termin oraz formę. Wskaż też sytuacje, które chcesz przećwiczyć. Poproś o dopasowany program i wycenę szkolenia. Nie musisz przygotowywać własnej agendy.
Artykuł ma charakter edukacyjny i nie zastępuje analizy prawnej obowiązków konkretnej organizacji. Podane propozycje programu, ćwiczeń i dokumentacji należy dostosować do właściwych przepisów, ryzyka i wewnętrznych zasad.
