Szkolenia i Świadomość

Program budowania świadomości bezpieczeństwa to cykl krótkich szkoleń i ćwiczeń, który uczy pracowników rozpoznawać ataki wymierzone w człowieka i zgłaszać je zespołowi IT. Składa się z modułów edukacyjnych, testów wiedzy oraz kontrolowanych symulacji ataku. Miarą jest zachowanie w codziennej pracy, nie wynik testu, dlatego treści wracają do tych samych osób w kolejnych odsłonach.

Cenę szkolenia z cyberbezpieczeństwa ustala przede wszystkim liczba uczestników i forma zajęć: platforma e-learningowa kosztuje mniej niż trener stojący przed grupą, bo w zajęciach na żywo płacisz też za jego czas i dojazd. Rachunek podnoszą wersje językowe materiałów, scenariusze pisane pod branżę oraz liczba kampanii socjotechnicznych zapisana w umowie. Kursy certyfikacyjne mają osobną pozycję, czyli opłatę egzaminacyjną, która nie trafia do firmy szkoleniowej.

Mała firma prowadzi zwykle jeden wspólny program: platformę e-learningową, kampanie socjotechniczne dla całej załogi i krótkie spotkanie dla osób akceptujących płatności. Duża organizacja rozbija to na ścieżki zależne od roli, spina listę uczestników z systemem kadrowym i raportuje wyniki osobno dla każdej jednostki. Tam, gdzie działa rada pracowników albo związki zawodowe, zakres symulacji uzgadnia się z nimi przed startem.

W firmie zostaje raport z kampanii, lista uczestników z potwierdzeniem ukończenia modułów, materiały do powtórek oraz treści przygotowane dla nowych pracowników. Ten komplet odpowiada na pytanie audytora o zakres, odbiorców i rytm powtórek, więc trzymaj go razem z dokumentacją systemu zarządzania bezpieczeństwem. Certyfikat po kursie certyfikacyjnym wydaje jednostka certyfikująca po zdanym egzaminie, nie firma szkoleniowa.

Przygotowanie otwiera lista uczestników z podziałem na role i działy, bo od niej zależy zarówno wycena, jak i dobór scenariuszy. Potwierdź, gdzie pracownik ma zgłosić podejrzaną wiadomość, i sprawdź tę ścieżkę, zanim symulacja wygeneruje ruch. Uprzedź dział IT oraz zespół pomocy technicznej i przepuść adresy nadawcy przez filtr poczty, żeby kampania mierzyła ludzi, a nie bramkę pocztową.

Częstotliwość powinna iść za zdarzeniami w firmie, a nie za kalendarzem szkoleniowym: nowa osoba przechodzi wprowadzenie przy nadaniu dostępu, a cała załoga wraca do tematu po zmianie narzędzi, po zmianie procesu płatności albo po incydencie. Symulacje rozkłada się nieregularnie, bo kampania w stałym terminie uczy zespół pilnować daty zamiast treści wiadomości. Pojedyncze szkolenie bez powtórek daje dokument dla audytora i niewiele poza tym.

Wynik kampanii przekłada się na trzy decyzje: kogo doszkolić, który proces poprawić i co usłyszy cała firma. Grupy ze słabszym wynikiem dostają dodatkowy moduł zamiast upomnienia, a powtarzalne kliknięcia w jednym dziale są sygnałem, że scenariusz trafił w realną lukę procesu, na przykład w zmianę numeru konta bez potwierdzenia drugim kanałem. Podsumowanie dla załogi pokazuje, ile osób zgłosiło wiadomość, bo to zachowanie chcesz utrwalić.

Skuteczność widać w zachowaniu w kolejnych kampaniach, a najmocniejszym wskaźnikiem jest udział zgłoszeń, nie sam spadek kliknięć. Uzupełniają go czas od wysyłki do pierwszego zgłoszenia, powtarzalność kliknięć u tych samych osób oraz liczba prawdziwych wiadomości zgłaszanych poza symulacją. Frekwencja i wynik testu wiedzy mówią o obecności na szkoleniu, nie o odporności zespołu.

Przy małym budżecie pierwszeństwo mają role, w których jeden błąd kosztuje najwięcej: osoby akceptujące płatności, kadry oraz administratorzy z szerokim dostępem. Dla nich wystarczy krótkie spotkanie i kampania socjotechniczna ograniczona do tej grupy, a reszta załogi przechodzi moduły na platformie. Bezpłatne materiały instytucji publicznych i zespołów reagowania nadają się na powtórki, ale nie zastąpią pomiaru zachowania, bo nie mówią, kto kliknął.

Symulacja phishingu nie jest testem lojalności ani materiałem do oceny pracowniczej, tylko pomiarem odporności procesu na atak socjotechniczny. Nieporozumienie bierze się stąd, że wynik da się przypisać do nazwiska, więc dostęp do danych imiennych ustala się przed startem kampanii. Program traci sens, gdy zgłoszenie kończy się rozliczaniem: załoga przestaje zgłaszać cokolwiek, a bezpieczeństwo traci najwcześniejszy sygnał ostrzegawczy.