Budowa kultury cyberbezpieczeństwa w firmie to projekt na lata, a nie jednorazowy kurs „do odhaczenia”
Wyobraź sobie, że do pracowników Twojej firmy na chwilę przez rozmowami rocznymi trafia mail z adresu działu HR z załącznikiem „Podwyżki2027”. Lub że podobny folder odnajdą oni na pendrive’ach pozostawionych niby przypadkowo w sali konferencyjnej. Nie mają przy tym chwili na zastanowienie, jak przy lekturze tego artykułu — działają pod wpływem emocji, impulsu, ciekawości. O tym, co należy zrobić, by jednak nie otworzyli tego pliku, będącego w rzeczywistości wirusem zaprogramowanym przez cyberprzestępcę, nie tylko mówi, ale również praktycznie uczy program Security Awareness.
Z TEGO ARTYKUŁU DOWIESZ SIĘ:
|
Hakerzy nigdy nie śpią i nie tracą czujności
Konieczność ciągłego inwestowania w cyberbezpieczeństwo organizacji i podnoszenia kompetencji cyfrowych wszystkich pracowników już dawno przestała być tematem jedynie specjalistycznych konferencji czy eksperckich artykułów. Fakt, że firmy, i to niezależnie od swej wielkości czy branży, znajdują się pod nieustanną presją hakerów, testujących ich odporność na wszelkie możliwe sposoby, znajduje odzwierciedlenie w opiniach samych przedsiębiorców.
Z badania CRIF „Banking on Banks 2026” wynika, że już 64 proc. właścicieli i menadżerów polskich firm uważa cyberprzestępczość za jedno z głównych zagrożeń dla swojego biznesu. Na oszustwa wskazuje z kolei 53 proc. przedsiębiorców. Warto zauważyć, że 60 proc. styka się z próbami oszustwa regularnie, a 53 proc. obserwuje wzrost ich częstotliwości w ciągu ostatniego roku.
Więcej na: Cyber Security Report 2026
Obawy przedsiębiorców mają pokrycie w rzeczywistości, co ilustruje także wspomniany już raport Check Point Research. Analitycy ośrodka podają, że liczba cyberataków na świecie wzrosła we wrześniu 2026 roku aż o 48 proc. rok do roku, a w Europie skok wyniósł nawet 61 proc.
„W ciągu ostatnich sześciu miesięcy pojedyncza polska organizacja mierzyła się średnio z 1893 cyberatakami tygodniowo. Liczba ta wzrosła we wrześniu, przekraczając 2250 ataków tygodniowo. Rosnącym zagrożeniem staje się generatywna AI, do której pracownicy masowo wprowadzają poufne dane firmowe” – czytamy w opracowaniu.
Świat jest i będzie coraz bardziej cyfrowy — dlatego z aktywnością cyberprzestępców musimy się pogodzić. Zwłaszcza w Polsce, która jako kraj przyfrontowy jest na celowniku także tych inspirowanych i finansowanych przez wrogie nam rządy hakerów. Według statystyk znajdujemy się w pierwszej trójce najczęściej atakowanych krajów w Europie, a liczba wykrytych incydentów rok do roku rośnie w tempie około 150-200 proc.
Więcej na: Minister apeluje: Polska jest najbardziej atakowanym państwem
Każdy, kto śledzi Strefę Wiedzy T-Mobile wie, że cyberprzestępcom — ich narzędziom, motywacjom czy coraz bardziej wyrafinowanym metodom — poświęciliśmy już wiele artykułów. Staraliśmy się nawet dokładnie przedstawić profil „statystycznego hakera”, w rzeczywistości daleki od obiegowego obrazu gniewnego nastolatka zamkniętego w garażu i otoczonego komputerami.
Zobacz: Haker — niebezpieczny, lecz nie niezwyciężony przeciwnik
Teraz jednak chcemy skupić się nie na zniwelowaniu, lecz przynajmniej minimalizacji ryzyka związanego z cyberatakiem. Koncentrując się przy tym nie tyle na technologiach, ile na najważniejszym aktywie (a jednocześnie najsłabszym ogniwie) każdej organizacji: czyli na nas samych. Zbudowanie odpornej cyfrowo firmy zależy bowiem od świadomości i zaangażowania jej pracowników każdego szczebla — od zarządu, przez kadrę średniego szczebla, po stażystów czy personel administracyjny.
Hakerzy nie znoszą ograniczonego zaufania
Powróćmy do zawartego na samym początku artykułu przykładu maila wysłanego „przypadkowo” przez dział HR do wszystkich pracowników firmy. To nie zdarzenie abstrakcyjne, tylko jeden z elementów szkolenia przygotowywanego przez autorów programu Security Awareness od T-Mobile.
W tej historii jak w soczewce dostrzegamy całą paletę wyzwań i potrzeb związanych z budowaniem kultury bezpieczeństwa w organizacjach:
- Po pierwsze: nigdy nie powstanie tak podstępna metoda ominięcia systemów bezpieczeństwa za pomocą ludzkich błędów, słabości czy nieuwagi, która nie doczekałaby się jeszcze podstępniejszej.
- Po drugie: w szkoleniach ważne jest nie „odhaczenie” egzaminu czy zdobycie certyfikatu, ale konsekwentne testowanie własnej czujności i rozwijanie kompetencji cyfrowych. To, czego cyberprzestępcy nie znoszą najbardziej, to nie drogie i złożone zapory sieciowe, ale świadomi, kierujący się zasadą ograniczonego zaufania pracownicy.
- Po trzecie: w obszarze cyberbezpieczeństwa nie ma mniej bądź bardziej ważnych osób. Mail dotarł bowiem do wszystkich zatrudnionych w organizacji, a choć jedno kliknięcie powoduje identycznie bolesne, nieodwracalne szkody.
„Prowadzimy, a właściwie rozwijamy nasz program od lat. Połowa z naszych klientów korzysta z niego od przynajmniej trzech lat, a najstarszy — niemal od pięciu. Mimo tak długiego okresu nie martwimy się ani na moment o brak pomysłu na nowy blok tematyczny. Co miesiąc bowiem w przestrzeni cyfrowej pojawia się nowe, potencjalne zagrożenie, kolejny trend czy narzędzie w rękach hakerów, często oparte na AI. To zaś naturalnie generuje potrzebę dalszej, pogłębionej edukacji” – podkreśla Mateusz Glamowski.
Szkolenie dalekie od obiegowego obrazu
Co więc odróżnia Security Awareness od niezliczonej liczby szkoleń jakie oferuje rynek? Zdaniem lidera programu, chodzi przede wszystkim o dopasowanie treści i metod do danej organizacji, a nawet ściślej: jej konkretnych działów.
„We współpracy uwzględniamy specyfikę danego przedsiębiorstwa, charakter jego funkcjonowania czy przyjęte polityki bezpieczeństwa, zawierające unikalne procedury, wymogi, potrzeby. Inaczej uczymy i testujemy pracowników zakładu produkcyjnego, firmy usługowej czy portu lotniczego” – wyjaśnia ekspert.
Istotę programu zawsze jednak stanowią wypróbowane i sprawdzające się od lat narzędzia. Chodzi przede wszystkim o e-learning i zindywidualizowane ścieżki szkoleniowe, quizy, testowy phishing. Program podzielony jest na bloki tematyczne (co miesiąc nowy), korespondujący z aktualnymi wyzwaniami stawianymi przez naszych przeciwników, czyli cyberprzestępców.
„Rozwijamy się i dojrzewamy wraz z osobami biorącymi udział w szkoleniu. Zaczynamy oczywiście od rzeczy podstawowych, przysłowiowego maila od saudyjskiego księcia, by stopniowo przechodzić do bardziej złożonej materii. Najważniejszy pozostaje jednak element sprawdzania zdobytej już wiedzy w praktyce — stąd chociażby pozornie autentyczne maile czy „zagubione” pendrive’y” – podkreśla lider programu Security Awareness.
Użycie tzw. Phish Alert Button, czyli „przycisku” alarmującego dedykowany dział o możliwej próbie cyberataku, to oczywiście optymalna i pożądana reakcja. Jednak kliknięcie nie jest uznawane przez autorów programu za porażkę, tylko inspirację i motywację do dalszej nauki.
„Otworzenie trefnego pliku czy podanie wrażliwych danych przenosi użytkownika na specjalną stronę, na której na czerwono zaznaczono czynniki potencjalnego ryzyka — niepozorną literówkę, niezgodność polecenia z regulaminem firmy, brak odpowiedniej weryfikacji” – wyjaśnia Mateusz Glamowski.
„Program idzie także z duchem czasu i coraz istotniejszą rolę w szkoleniach odgrywają także tematy związane z wykorzystywaniem w pracy sztucznej inteligencji. A dokładniej: jakimi informacjami czy danymi możemy podzielić się z asystentem sztucznej inteligencji, prosząc np. o ich streszczenie czy uporządkowanie, a jakimi absolutnie nie powinniśmy operować” – dodaje.
Liczby mówią same za siebie: statystycznie wskaźnik zaangażowania w firmach objętych programem w ciągu jednego roku zwiększa się z 59 proc. do 98 proc. proc. Z kolei klikalność z poziomu 28 proc. spada do zaledwie 3 proc.
„Żadne szkolenie nie ma sensu, jeśli pracownicy uważają je za przykry, a do tego nudny, obowiązek. Dlatego oferujemy im nie tylko wiedzę, ale także nowoczesne i atrakcyjne metody jej pozyskiwania oraz utrwalania. Jedną z nich jest serial, którego kolejne, siedmiominutowe odcinki pojawiają się co miesiąc na platformie learningowej. Zabawny, a jednocześnie trzymający w napięciu, nie tylko „przemyca” informacje zawarte w ramach kursu, ale też jest przedmiotem ożywionych dyskusji podczas przerw w pracy, a na następne epizody wszyscy czekają z zapartym tchem” – mówi ekspert T-Mobile.
Z kolei zarząd z pewnością ucieszy fakt, że skorzystanie z programu pozwala na skupienie się na innych, strategicznych elementach prowadzenia biznesu. Klient dostaje bowiem gotowy produkt, nie musi przejmować się jego wdrożeniem ani prowadzeniem. Kursy, testy i ewaluacja prowadzone są przez specjalistów, za którymi stoi globalne i wszechstronne doświadczenie jednej z czołowych firm technologicznych.
„Oczywiście można próbować własnych sił i tworzyć autorskie rozwiązania. Tak właśnie postanowił jeden z naszych klientów i… po ośmiu miesiącach do nas powrócił. Nie tylko przygotowanie, ale koordynacja i stałe ulepszanie tego typu programu wymaga jednak olbrzymiej wiedzy, znaczących zasobów oraz mnóstwa czasu” – przekonuje Mateusz Glamowski.
Droga nie skróty to pewna kolizja z prawem
Minimalizowanie ryzyka, budowa dojrzałej kultury bezpieczeństwa, utrwalanie pozytywnego wizerunku firmy — to wszystko rzeczy bardzo istotne, jednak nie należy zapominać, że w kontekście szkoleń i podnoszenia kompetencji cyfrowych pracowników polskie firmy funkcjonują w określonych ramach prawnych.
Tymczasem nowe regulacje sprawiają, że cyberbezpieczeństwo i cyberodporność przestają być wyłącznie obszarem technologicznym. Zgodność z wymaganiami cyberbezpieczeństwa jest dziś nie tylko obowiązkiem prawnym, ale także warunkiem uczestnictwa w wielu łańcuchach dostaw i projektach biznesowych. Chodzi oczywiście przede wszystkim o ustawę o krajowym systemie cyberbezpieczeństwa (KSC), która implementuje dyrektywę NIS2.
Art. 8 ust. 1 ustawy o KSC nakłada obowiązek wdrożenia systemu zarządzania bezpieczeństwem informacji. W punkcie 2 ustawa wylicza środki techniczne i organizacyjne, które taki system musi obejmować, a wśród nich: edukację z zakresu cyberbezpieczeństwa dla personelu podmiotu oraz podstawowych zasad cyberhigieny. Środki do osiągnięcia tego celu mają być „odpowiednie i proporcjonalne do oszacowanego ryzyka”, co pozwala dobrać zakres szkolenia do skali organizacji, ale uniemożliwia jego pominięcie.
„Nowe regulacje wyraźnie wskazują, że odpowiedzialność za cyberbezpieczeństwo nie spoczywa wyłącznie na działach IT. Coraz większą rolę odgrywa kadra zarządzająca, która musi aktywnie uczestniczyć w procesie zarządzania ryzykiem. Jeżeli więc incydent bezpieczeństwa okaże się wynikiem niedopatrzenia czy zaniedbania ze strony osób kierujących organizacją — to właśnie one muszą się liczyć z poważnymi konsekwencjami prawno-finansowymi” – przestrzega ekspert T-Mobile.
Dodaje przy tym, że decyzja o dołączeniu do programu Security Awareness ma charakter także czysto pragmatyczny.
„Skoro prawodawca i tak nakłada takie obowiązki, a zainwestowanie w szkolenia pracowników stają się obligatoryjnie — logicznym jest sięgnięcie po sprawdzone i od lat przynoszące wymierne rezultaty programy, a nie wątpliwie skuteczne, niezweryfikowane kursy. Zarówno nam, jak i przedsiębiorcom, chodzi przecież o to samo, czyli zbudowanie naprawdę efektywnej zapory przed hakerami opartej na świadomych, wyedukowanych, czujnych pracownikach” – konkluduje Mateusz Glamowski.
Data publikacji: 02.11.2026
