szkolenia z cyberbezpieczeństwa dla pracowników

Szkolenia z cyberbezpieczeństwa dla pracowników (security awareness training) to regularne zajęcia, które uczą rozpoznawać phishing i socjotechnikę oraz stosować bezpieczne procedury w codziennej pracy. NIST opisuje je jako część programu uczenia się, który obejmuje świadomość, szkolenia i edukację, a jego celem jest zmiana zachowań w ramach zarządzania ryzykiem ^[4]. Szkolenia często łączy się z kontrolowanymi testami phishingowymi. W Unii Europejskiej część organizacji ma obowiązek je prowadzić, m.in. na podstawie NIS2 ^[1].

Podstawa prawna

NIS2. Dyrektywa wymaga, by członkowie organów zarządzających podmiotów kluczowych i ważnych przechodzili szkolenia, i zachęca podmioty do regularnego oferowania podobnych szkoleń pracownikom ^[1]. Wśród minimalnych środków zarządzania ryzykiem wymienia podstawowe praktyki cyberhigieny i szkolenia w dziedzinie cyberbezpieczeństwa ^[1].

Ustawa o krajowym systemie cyberbezpieczeństwa. Nowelizacja z 23 stycznia 2026 roku wpisuje edukację z zakresu cyberbezpieczeństwa dla personelu do wymagań systemu zarządzania bezpieczeństwem informacji (SZBI) ^[2]. Kierownik podmiotu kluczowego lub ważnego ma zapewnić, że personel jest świadomy obowiązków z zakresu cyberbezpieczeństwa i zna wewnętrzne regulacje ^[2]. Sam kierownik oraz osoba, której powierzył te obowiązki, raz w roku kalendarzowym przechodzą szkolenie, a udział w nim jest udokumentowany ^[2]. Za niewykonanie tego obowiązku ustawa przewiduje karę dla kierownika ^[2].

RODO. Wśród zadań inspektora ochrony danych art. 39 wymienia działania zwiększające świadomość i szkolenia personelu uczestniczącego w przetwarzaniu ^[3].

Odbiorcy i treści

NIST rozróżnia budowanie świadomości, które dotyczy wszystkich, od szkoleń dopasowanych do ról (role-based training) ^[4]. Osoba z uprawnieniami administratora potrzebuje innej wiedzy niż pracownik działu sprzedaży. Przykładowy podział dla firmy, która prowadzi stronę na WordPressie:

Treść dla wszystkich obejmuje zwykle rozpoznawanie fałszywych stron. CERT Polska zaznacza, że po samym wyglądzie strony nie da się jej odróżnić od fałszywej i zaleca analizę adresu, czytając domenę od prawej do lewej ^[5]. Według tego samego tekstu phishing pozostaje najbardziej rozpowszechnioną formą cyberoszustwa ^[5]. Do tematów stałych należą też bezpieczne hasła, menedżer haseł i uwierzytelnianie wieloskładnikowe (MFA).

Jak prowadzić program

NIST zaleca podejście cykliczne: program jest planowany, wdrażany, oceniany i poprawiany, a jego skuteczność mierzy się wskaźnikami ^[4]. Uproszczony cykl pokazuje schemat poniżej.

RYS. 1Cykl programu szkoleń

Formy zajęć bywają różne: kurs e-learningowy, warsztat na żywo, krótkie przypomnienia w newsletterze firmowym albo ćwiczenie na przykładzie prawdziwej wiadomości, która trafiła do firmy. Krótsze i częstsze zajęcia łatwiej wpleść w pracę niż jedno długie szkolenie raz na kilka lat. Materiał powinien odwoływać się do narzędzi, których pracownicy faktycznie używają: poczty, komunikatora, panelu strony i systemu płatności.

Jednorazowy kurs przy zatrudnieniu nie wystarcza. Zagrożenia i narzędzia się zmieniają, a nawyki słabną bez powtórek. Dobrą praktyką jest krótkie szkolenie po każdym istotnym incydencie w firmie, oparte na jego przebiegu.

Pomiar nie powinien ograniczać się do liczby osób, które kliknęły w link testowy. Ważniejsza jest liczba zgłoszeń podejrzanych wiadomości i czas, po jakim zespół się o nich dowiaduje. Test phishingowy ma uczyć, a nie karać; kultura zgłaszania błędów jest częścią bezpieczeństwa.

W WordPressie

Na stronach WordPress wiele udanych ataków zaczyna się od człowieka, a nie od kodu. Dwa przykłady ze źródeł pokazują, czego warto uczyć administratorów stron.

Fałszywe ostrzeżenia o podatności. Patchstack opisał w grudniu 2023 roku masową kampanię wymierzoną w użytkowników WordPressa ^[6]. E-maile informowały o rzekomej podatności zdalnego wykonania kodu o nieistniejącym identyfikatorze CVE-2023-45124 i nakłaniały do instalacji wtyczki z „łatką” ^[6]. Wtyczka tworzyła ukryte konto administratora, wysyłała dane dostępowe na serwer atakujących i zostawiała tylną furtkę (backdoor) w pliku w katalogu głównym ^[6]. Szkolenie powinno więc uczyć, że poprawki instaluje się z oficjalnego repozytorium albo od producenta, a nie z linku w mailu. To klasyczna fałszywa wtyczka.

Zainfekowany komputer administratora. Dokumentacja WordPressa zwraca uwagę, że źródłem włamania bywa lokalny komputer, na którym trojan przechwytuje dane logowania do FTP i panelu /wp-admin ^[7]. Szkolenie dla administratorów obejmuje więc także higienę własnego sprzętu i ochronę danych uwierzytelniających.

Po włamaniu. Administratorzy powinni znać pierwsze kroki: dokumentację objawów i czasu, kontakt z hostingiem, zmianę haseł na wszystkich punktach dostępu ^[7]. Ćwiczenie tych kroków na sucho, np. jako tabletop exercise, łączy szkolenie z planem reagowania na incydenty.

Ograniczenia

Szkolenie zmniejsza ryzyko, ale go nie usuwa. Zawsze część osób kliknie w dobrze przygotowaną wiadomość, zwłaszcza w spear phishing dopasowany do firmy. Dlatego szkolenia uzupełniają zabezpieczenia techniczne, takie jak MFA odporne na phishing, filtry poczty i zasada najmniejszych uprawnień, a nie je zastępują.