Szkolenia z cyberbezpieczeństwa —
obowiązek, nie dobra praktyka

Rozporządzenie KRI jest w tej sprawie bardziej szczegółowe niż ustawa. § 19 ust. 2 pkt 6 wymaga zapewnienia szkolenia osób zaangażowanych w proces przetwarzania informacji, ze szczególnym uwzględnieniem trzech zagadnień:

zagrożeń bezpieczeństwa informacji — czyli tego, jak wyglądają realne ataki i błędy, nie definicji podręcznikowych;

skutków naruszenia zasad bezpieczeństwa informacji, w tym odpowiedzialności prawnej — element najczęściej pomijany, a to on zmienia nastawienie uczestników;

stosowania środków zapewniających bezpieczeństwo informacji, w tym urządzeń i oprogramowania minimalizujących ryzyko błędów ludzkich — czyli praktycznej obsługi narzędzi, z których pracownik korzysta.

Ustawa o krajowym systemie cyberbezpieczeństwa dokłada do tego wymóg podstawowych zasad cyberhigieny (art. 8 ust. 1 pkt 2 lit. j), a więc powtarzalnych nawyków: aktualizacji, haseł, uwierzytelniania wieloskładnikowego, ostrożności wobec załączników i nośników.

Przeprowadzone szkolenie, po którym nie ma śladu, jest z punktu widzenia audytu równoważne szkoleniu nieprzeprowadzonemu. Komplet dowodów obejmuje:

• program szkolenia z wykazem tematów — pozwala wykazać pokrycie wymagań z § 19 ust. 2 pkt 6,
• listę uczestników z datami, obejmującą również osoby nowo zatrudnione,
• potwierdzenia zapoznania się z zasadami lub wyniki testu wiedzy,
• rejestr osób, które szkolenia nie ukończyły, wraz z terminem uzupełnienia.

Ostatni punkt bywa pomijany, a to właśnie on pokazuje, że proces jest kontrolowany, a nie jednorazowy. Audytorzy zwracają też uwagę na moment przeszkolenia nowego pracownika — szkolenie po pół roku od zatrudnienia trudno uznać za realizację obowiązku.

Obowiązek da się spełnić formalnie — przeprowadzić szkolenie, zebrać podpisy i odłożyć dokumentację. Problem w tym, że przy incydencie liczy się wyłącznie to, jak zachowa się pracownik, a nie ile list obecności leży w segregatorze. Warto więc mierzyć skutek, a nie fakt.

Wyniki testów wiedzy pokazują, które tematy nie zostały przyswojone. Powtarzający się niski wynik z jednego zagadnienia jest wskazówką do zmiany materiału, nie do karania uczestników.

Kontrolowane symulacje phishingu dają najbardziej wiarygodny obraz, bo mierzą zachowanie, a nie deklarację. Kluczowa zasada: celem jest nauka, nie przyłapanie — wyniki analizuje się zbiorczo, a osoba, która kliknęła, powinna od razu dostać materiał wyjaśniający.

Liczba zgłoszonych podejrzeń bywa lepszym wskaźnikiem niż liczba kliknięć. Wzrost zgłoszeń oznacza, że pracownicy zaczęli reagować — nawet jeśli część zgłoszeń okaże się fałszywym alarmem.

Czas od zdarzenia do zgłoszenia mierzony przy realnych incydentach pokazuje, czy ścieżka zgłaszania jest znana i czy nikt nie boi się z niej skorzystać.