Rola czynnika ludzkiego

Według raportu Verizon Data Breach Investigations Report za 2025 r. czynnik ludzki był obecny w 60 procentach wszystkich analizowanych naruszeń. Nie chodzi przy tym o nielojalnych pracowników - dominują nadużycia poświadczeń i działania socjotechniczne, przede wszystkim phishing. W tym samym raporcie ransomware wystąpił w 44 procentach naruszeń, a mediana zapłaconego okupu wyniosła 115 tysięcy dolarów, przy czym 64 procent zaatakowanych organizacji okupu nie zapłaciło.

Polskie dane układają się w ten sam obraz. W 2025 r. CERT Polska zarejestrował 260 783 incydenty, z czego oszustwa komputerowe stanowiły 97,1 procent, a sam phishing - 78 391 przypadków, czyli 30 procent wszystkich zdarzeń.

Wniosek jest niewygodny dla budżetów IT: można kupić najlepsze narzędzia na rynku i nadal stracić dane, bo ktoś wpisał hasło na stronie łudząco podobnej do firmowej.

Techniki ataku

Inżynieria społeczna (social engineering) to sztuka manipulacji ludźmi w celu ujawnienia poufnych informacji lub udzielenia dostępu do systemów. Phishing to najpopularniejsza forma inżynierii społecznej, gdzie atakujący wysyła email pozornie od zaufanego źródła (np. banku, szefa, lub kolegi z pracy) z prośbą o kliknięcie linku lub wpisanie hasła. Spear phishing to bardziej ukierunkowana forma, gdzie atakujący zbiera informacje o konkretnym pracowniku i tworzy email, który jest specjalnie dla niego stworzony.

Vishing to phishing przeprowadzany przez telefon - atakujący dzwoni na firmę, udając pracownika IT czy dostawcę usług, i prosząc pracownika o potwierdzenie hasła „z powodów bezpieczeństwa". Smishing to phishing poprzez SMS. Pretexting to technika, gdzie atakujący wymyśla wiarygodną historię, aby zdobyć informacje - na przykład, dzwoni do pracownika HR, udając potencjalnego pracownika, i prosząc o potwierdzenie procedury bezpieczeństwa.

Czynnik ludzki był obecny w 60 procentach naruszeń bezpieczeństwa.

Wszystkie te techniki są zaskakująco efektywne. Raport IBM z 2023 roku wskazuje, że średnia częstość kliknięć na linki phishingowe wynosi 3,4 procent, a w niektórych branżach sięga 10 procent. To oznacza, że jeśli wyśleć email phishingowy do 1000 pracowników, średnio 34 będą skłonni kliknąć złośliwy link, a kilka osób będzie skłonnych wpisać hasło. Jeśli pracownicy nie będą szkoleni, liczby te mogą być znacznie wyższe.

Program świadomości

Program świadomości bezpieczeństwa (security awareness program) to zestaw działań mających na celu podniesienie poziomu wiedzy i świadomości pracowników o zagrożeniach bezpieczeństwa. Powinien obejmować kilka elementów. Pierwszy to szkolenie wstępne dla nowych pracowników, które wyjaśnia zagrożenia bezpieczeństwa, politykę bezpieczeństwa firmy i odpowiedzialność pracownika. Drugie to szkolenia okresowe (przynajmniej raz do roku) dla wszystkich pracowników, które odświeżają wiedzę o zagrożeniach i procedurach. Trzecie to szkolenia ukierunkowane dla określonych ról - pracownicy działu finansów powinni wiedzieć o oszustwach finansowych, pracownicy obsługi klienta powinni wiedzieć o zagrożeniach dla danych klientów, itp.

Szkolenie jako obowiązek prawny, nie dobra praktyka

Warto wiedzieć, że w części organizacji szkolenie z bezpieczeństwa przestało być kwestią uznania.

Ustawa o KSC po nowelizacji z 3 kwietnia 2026 r. przenosi odpowiedzialność za cyberbezpieczeństwo na organy zarządzające, wraz z obowiązkiem udziału kierownictwa w szkoleniach. Nie da się tego delegować - kara może dotknąć osobiście kierownika podmiotu, do 300 procent jego wynagrodzenia.

Rozporządzenie KRI (Dz.U. 2024 poz. 773) w §19 ust. 2 pkt 6 wymaga od podmiotów realizujących zadania publiczne zapewnienia szkoleń w zakresie zagrożeń, skutków naruszeń i stosowania środków ochrony. To obowiązek ciągły, nie jednorazowe szkolenie wstępne.

RODO wskazuje w art. 39 ust. 1 lit. b działania zwiększające świadomość i szkolenia personelu jako zadanie inspektora ochrony danych, a w art. 32 wymaga adekwatnych środków organizacyjnych - do których szkolenia się zaliczają.

ISO/IEC 27001:2022 stawia wymagania w klauzulach 7.2 (kompetencje) i 7.3 (świadomość), a Załącznik A dodaje zabezpieczenie 6.3 dotyczące świadomości, edukacji i szkoleń w zakresie bezpieczeństwa informacji.

Wspólny mianownik wszystkich czterech reżimów: liczy się dowód. Lista obecności bez zakresu tematycznego i bez sprawdzenia przyswojenia wiedzy jest dokumentem, nie dowodem realizacji obowiązku.

Metody szkoleniowe

Format szkolenia jest istotny. Szkolenia e-learningowe są dostępne i łatwe w wdrożeniu, ale mogą być nudne i mało efektywne - wielu pracowników przejdzie przez kurs bez rzeczywiście przyswojenia informacji. Warsztaty interaktywne, gdzie pracownicy mogą dyskutować zagrożenia i scenariusze, są znacznie bardziej efektywne. Najefektywniejszym narzędziem są symulacje phishingu - pracownicy otrzymują „fałszywe" phishingowe emaile (z wyraźnym zaznaczeniem, że jest to test), a ci, którzy klikną, są kierowani do krótkiego szkolenia wyjaśniającego błąd. To w połączeniu z powtórzeniem tworzy warunki do nauki, które są znacznie bardziej efektywne niż tradycyjne szkolenia. Kampanie mają największą wartość wtedy, gdy są częścią szerszego programu testów - obok testów penetracyjnych, które sprawdzają, co napastnik zrobi po kliknięciu.

Symulacje phishingu są najefektywniejszym narzędziem.

Artykuł 39 ust. 1 lit. b RODO wyraźnie mówi, że Inspektor Ochrony Danych powinien wspierać organizację w szkoleniu pracowników zajmujących się przetwarzaniem danych. Norma ISO 27001, klauzula 7.2 (Competence) i klauzula 7.3 (Awareness), wymagają, aby organizacja zapewniła, że wszystkie osoby mające dostęp do systemów informacyjnych były kompetentne i świadome zagrożeń bezpieczeństwa. Wymagania te są wymuszane - niezgodność z nimi może być stwierdzana przez audytorów lub regulatora.

Roczny program krok po kroku

Program świadomości, który działa, ma rytm i przypisaną odpowiedzialność. Poniżej struktura, która sprawdza się w organizacjach od kilkudziesięciu do kilkuset osób.

Punkt startu: pomiar bazowy. Przed pierwszym szkoleniem warto przeprowadzić symulację phishingu i krótką ankietę wiedzy. Bez tego nie da się później wykazać, że cokolwiek się zmieniło - a to jest pytanie, które zada zarówno zarząd, jak i audytor.

Kwartał pierwszy: podstawy dla wszystkich. Rozpoznawanie phishingu, higiena haseł i uwierzytelnianie wieloskładnikowe, zasady pracy zdalnej, ścieżka zgłaszania podejrzeń. Krótkie moduły, konkretne przykłady z branży organizacji.

Kwartał drugi: role wysokiego ryzyka. Księgowość i finanse (oszustwa na prezesa, zmiana numeru rachunku), kadry (dane szczególnych kategorii, załączniki od nieznanych nadawców), administratorzy IT (bezpieczna konfiguracja, zarządzanie kontami uprzywilejowanymi), zarząd (ataki ukierunkowane, obowiązki wynikające z ustawy o KSC).

Kwartał trzeci: ćwiczenie reakcji. Ćwiczenie sztabowe scenariusza incydentu z udziałem osób, które w razie zdarzenia będą podejmować decyzje. To jedyny moment, w którym wychodzi na jaw, że procedura zakłada kontakt z osobą, która odeszła z firmy rok temu.

Kwartał czwarty: pomiar i wnioski. Powtórzenie symulacji i ankiety, porównanie z bazą, raport dla kierownictwa i plan na kolejny rok. Wnioski z incydentów, które faktycznie wystąpiły, są przy tym cenniejsze niż wynik dowolnej symulacji.

Przez cały rok: onboarding. Nowy pracownik przechodzi moduł podstawowy w pierwszym tygodniu, a nie przy najbliższej kampanii kwartalnej. Okres między zatrudnieniem a pierwszym szkoleniem to okno, w którym ryzyko jest najwyższe.

Czego nie robić

Nie karać za kliknięcie w symulację. Program, w którym wynik symulacji trafia do oceny pracowniczej, uczy jednej rzeczy: nie zgłaszać. A zgłoszenie jest jedynym momentem, w którym organizacja może zareagować przed szkodą.

Nie robić jednego szkolenia rocznie „dla wszystkich". Trzygodzinny wykład raz do roku ma wartość dokumentacyjną i prawie żadną operacyjną. Krótkie, częste i konkretne działa lepiej niż długie i rzadkie.

Nie kopiować scenariuszy phishingu z internetu. Skuteczna symulacja odwzorowuje wiadomości, które faktycznie trafiają do tej organizacji - z jej systemów, jej dostawców, jej branży. Wiadomość o „przesyłce DHL" w firmie, która nie korzysta z DHL, niczego nie mierzy.

Nie kończyć na e-learningu. Platforma jest narzędziem dostarczenia treści, nie programem. Bez ćwiczeń, pomiaru i informacji zwrotnej zostaje raport z odsetkiem ukończeń.

Pomiary efektywności

Mierzenie efektywności programu świadomości bezpieczeństwa jest możliwe poprzez kilka KPI (Key Performance Indicators). Pierwszy to wskaźnik kliknięć phishingowych (phishing click rate) - jaki procent pracowników klika na linki w testach phishingu. Jeśli na początku programu ten wskaźnik wynosi 10 procent, a po roku szkolenia spada do 3 procent, to jest znaczna poprawa.

Drugi to wskaźnik raportowania (reporting rate) - jaki procent pracowników raportuje podejrzane emaile do działu bezpieczeństwa. Pracownicy, którzy aktywnie szukają i raportują zagrożenia, są cennym wsparciem dla zespołu bezpieczeństwa. Trzeci to czas do raportowania (time to report) - jak szybko pracownicy reagują na podejrzane działania. Czwarty to liczba incydentów związanych z błędem pracownika - czy liczba takich incydentów maleje w ciągu czasu?

Skalę problemu dobrze pokazuje wyciek danych na Uniwersytecie Warszawskim - punktem wejścia był zainfekowany komputer prywatny, a nie luka w systemie uczelni.

Kultura bezpieczeństwa

Budowanie kultury bezpieczeństwa w organizacji wymaga zaangażowania zarządzania. Jeśli kierownictwo, na czele z CEO, traktuje bezpieczeństwo poważnie i aktywnie wspiera program świadomości, to pracownicy będą bardziej zainteresowani i zaangażowani. Jeśli natomiast kierownictwo ignoruje bezpieczeństwo i nie uczestniczy w szkoleniach, to pracownicy będą myśleli, że to nie jest istotne. Organizacje z najlepszymi programami to te, w których kierownictwo samo bierze udział w symulacjach phishingu i wyciąga z wyników wnioski, zamiast traktować je jako raport o pracownikach.

Rachunek ekonomiczny warto robić na własnych liczbach, nie na uśrednionych danych z raportów. Po stronie kosztu programu są trzy pozycje: czas pracowników, przygotowanie materiałów dopasowanych do branży i narzędzie do symulacji phishingu. Po stronie ryzyka - koszt przestoju operacyjnego, koszt odtworzenia danych, ewentualna kara administracyjna i koszt obsługi zawiadomień osób, których dane wyciekły.

Ten ostatni element bywa niedoszacowany. Przy naruszeniu obejmującym kilka tysięcy osób sama obsługa zawiadomień i zapytań, które po nich przyjdą, potrafi zająć zespół na tygodnie.

Warto przy tym pilnować, żeby program mierzył właściwą rzecz. Sam spadek wskaźnika kliknięć bywa mylący - po kilku kampaniach pracownicy uczą się rozpoznawać symulacje, a nie ataki. Znacznie lepszym miernikiem dojrzałości jest wskaźnik zgłoszeń: jaki odsetek osób, które otrzymały podejrzaną wiadomość, zgłosił ją do zespołu bezpieczeństwa. Organizacja, w której klikalność spadła do zera, ale nikt niczego nie zgłasza, nie stała się bezpieczniejsza - stała się cichsza.

Sprawdza się też model „Security Champions" - wyznaczenie w każdym dziale osoby, która przechodzi rozszerzone szkolenie i pełni rolę pierwszego punktu kontaktu dla koleżanek i kolegów. Podejście rozproszone bywa skuteczniejsze niż centralna edukacja wszystkich naraz, bo pytanie o podejrzanego e-maila łatwiej zadać osobie z sąsiedniego biurka niż zewnętrznemu trenerowi.

Szkolenia z cyberbezpieczeństwa nie są jednorazowym projektem - muszą być stałym elementem kultury organizacji. Zagrożenia ewoluują, nowe techniki ataku pojawiają się regularnie, a wiedza pracowników wymaga odświeżania. Organizacje, które poważnie traktują cykliczne szkolenia z bezpieczeństwa informacji, mogą znacznie zmniejszyć swoje ryzyko cyberbezpieczeństwa i - co równie ważne - mogą budować kulturę, gdzie wszyscy rozumieją swoją rolę w ochronie danych i systemów firmy.

Szkolenia są jednym z filarów - pozostałe opisujemy w tekście Cyberbezpieczeństwo w firmie.