Szkolenia z cyberbezpieczeństwa —
obowiązek, nie dobra praktyka
Edukacja z zakresu cyberbezpieczeństwa dla personelu oraz podstawowe zasady cyberhigieny to wymagania ustawowe, a nie element dobrych praktyk. Wynikają z art. 8 ust. 1 pkt 2 lit. i oraz j ustawy o krajowym systemie cyberbezpieczeństwa. W jednostkach publicznych analogiczny obowiązek nakłada § 19 ust. 2 pkt 6 rozporządzenia KRI, który dodatkowo wskazuje trzy obowiązkowe tematy: zagrożenia bezpieczeństwa informacji, skutki naruszenia zasad wraz z odpowiedzialnością prawną oraz stosowanie środków zapewniających bezpieczeństwo, w tym narzędzi minimalizujących ryzyko błędów ludzkich.
Szkolenia LYNX360
Dla kogo i z czego szkolimy
Prowadzimy szkolenia w czterech obszarach: od pracowników, przez kierownictwo, po specjalistów, i sprawdzamy efekty w praktyce. Program każdego szkolenia dopasowujemy do branży, ról uczestników i poziomu dojrzałości organizacji.
Obszar I
Pracownicy
Szkolenia świadomościowe dla wszystkich osób, które pracują z informacją i systemami.
Rozpoznaj atak: phishing i socjotechnika
Jak wyglądają dziś fałszywe wiadomości, telefony i SMS-y, po czym poznać podszywanie się pod przełożonego, bank czy dostawcę i co zrobić, gdy coś budzi wątpliwości. Na przykładach z realiów firmy, urzędu lub szpitala.
Korzyść: pracownicy rozpoznają próbę oszustwa, zanim klikną, podadzą hasło albo zlecą przelew.
Bezpieczna praca na co dzień
Hasła i uwierzytelnianie wieloskładnikowe, praca zdalna i urządzenia mobilne, poczta, nośniki i chmura oraz to, jak w praktyce stosować polityki i procedury obowiązujące w organizacji.
Korzyść: zasady cyberhigieny z art. 8 ust. 1 pkt 2 lit. j ustawy o KSC zamieniają się w codzienne nawyki.
Zgłaszanie incydentów: co robić, gdy coś się dzieje
Jak rozpoznać incydent, komu i jak szybko go zgłosić, czego nie robić do czasu reakcji zespołu IT i dlaczego liczy się czas. Bez szukania winnych.
Korzyść: szybsze zgłoszenia i mniejsze skutki incydentu dla organizacji.
Skutki naruszeń i odpowiedzialność
Co grozi organizacji i pracownikowi za naruszenie zasad bezpieczeństwa informacji i ochrony danych osobowych. To jeden z trzech tematów, które wprost wskazuje § 19 ust. 2 pkt 6 rozporządzenia KRI.
Korzyść: uczestnicy rozumieją, dlaczego procedury istnieją, a nie tylko że istnieją.
Obszar II
Kierownictwo
Szkolenia dla kierownika podmiotu, zarządu i kadry kierowniczej.
Coroczne szkolenie kierownika podmiotu
Ustawa o KSC wymaga, aby kierownik podmiotu kluczowego lub ważnego oraz osoba, której powierzono jego obowiązki w zakresie cyberbezpieczeństwa, raz w roku kalendarzowym przechodzili szkolenie (art. 8e ust. 1). Omawiamy zakres z art. 8e ust. 2, w tym wpis do wykazu, system zarządzania bezpieczeństwem informacji, obsługę i zgłaszanie incydentów oraz audyt bezpieczeństwa.
Korzyść: udokumentowane szkolenie kierownika i świadome wypełnianie obowiązków, za które odpowiada osobiście.
Zarządzanie ryzykiem i nadzór nad SZBI
Jak czytać analizę ryzyka, akceptować ryzyko szczątkowe, prowadzić przegląd zarządzania i rozliczać działania z planu postępowania z ryzykiem. W formie dopasowanej do czasu zarządu.
Korzyść: decyzje oparte na ryzyku i udokumentowany nadzór kierownictwa.
Obszar III
Specjaliści
Zespoły IT, inspektorzy ochrony danych, pełnomocnicy ds. bezpieczeństwa informacji.
Dokumentacja i utrzymanie SZBI
Polityki, procedury i rejestry systemu zarządzania bezpieczeństwem informacji: co musi się w nich znaleźć, jak je aktualizować i jak utrzymać system w działaniu między audytami.
Korzyść: dokumentacja, która odpowiada rzeczywistości i wytrzymuje kontrolę.
Analiza ryzyka w praktyce
Identyfikacja aktywów i zagrożeń, ocena ryzyka, dobór zabezpieczeń i plan postępowania z ryzykiem, na przykładach z organizacji uczestników.
Korzyść: analiza ryzyka jako narzędzie pracy, a nie jednorazowy dokument.
Obsługa i zgłaszanie incydentów
Procedura od wykrycia do zamknięcia incydentu: klasyfikacja, dokumentowanie, komunikacja oraz terminy zgłoszeń do CSIRT, czyli wczesne ostrzeżenie w 24 godziny, zgłoszenie w 72 godziny i sprawozdanie końcowe. Omawiamy też, do którego CSIRT zgłaszać w okresie przejściowym.
Korzyść: zespół wie, co robić i w jakich terminach, zanim incydent się wydarzy.
Audyt wewnętrzny SZBI i wymagania ISO/IEC 27001
Wymagania normy ISO/IEC 27001 i zabezpieczenia z załącznika A, a na ich podstawie planowanie i prowadzenie audytu wewnętrznego, dokumentowanie niezgodności i raport dla kierownictwa.
Korzyść: kompetencje do samodzielnego audytu wewnętrznego i przygotowania do audytu zewnętrznego.
Obszar IV
Sprawdzenie w praktyce
Test reakcji zespołu na realny atak.
Symulacje phishingu
Kontrolowane kampanie phishingowe w Twojej organizacji, uzgodnione z kierownictwem. Pracownicy otrzymują wiadomości przypominające prawdziwy atak, a organizacja dostaje raport ze zbiorczymi wynikami.
Korzyść: wiadomo, jak zespół naprawdę reaguje i czego powinno dotyczyć kolejne szkolenie.
Test wiedzy i plan uzupełnień
Po szkoleniu sprawdzamy przyswojenie materiału krótkim testem, a wyniki zestawiamy według tematów. Tematy z niskim wynikiem trafiają do kolejnej edycji, a osoby nieprzeszkolone do rejestru zaległości.
Korzyść: dowód skuteczności szkolenia mocniejszy niż lista obecności.
Forma
Jak prowadzimy szkolenia
Formę dobieramy do liczby uczestników, ich lokalizacji i celu szkolenia. Formy można łączyć, na przykład szkolenie na żywo dla kierownictwa i e-learning dla wszystkich pracowników.
Stacjonarnie u klienta
W siedzibie firmy, urzędu lub szpitala, z przykładami z Waszego środowiska pracy i czasem na pytania uczestników.
Online na żywo
Szkolenie z prowadzącym przez internet, z możliwością zadawania pytań. Wygodne dla zespołów pracujących w kilku lokalizacjach.
E-learning w aplikacji LYNX360
Pakiet 32 mikroszkoleń z testami wiedzy, przypisywanych pracownikom z terminem wykonania. Daty ukończenia i wyniki zapisują się w systemie jako dowód na audyt. Zobacz w demo
Podstawa
Czego dokładnie wymagają przepisy
Rozporządzenie KRI jest w tej sprawie bardziej szczegółowe niż ustawa. § 19 ust. 2 pkt 6 wymaga zapewnienia szkolenia osób zaangażowanych w proces przetwarzania informacji, ze szczególnym uwzględnieniem trzech zagadnień:
zagrożeń bezpieczeństwa informacji — czyli tego, jak wyglądają realne ataki i błędy, nie definicji podręcznikowych;
skutków naruszenia zasad bezpieczeństwa informacji, w tym odpowiedzialności prawnej — element najczęściej pomijany, a to on zmienia nastawienie uczestników;
stosowania środków zapewniających bezpieczeństwo informacji, w tym urządzeń i oprogramowania minimalizujących ryzyko błędów ludzkich — czyli praktycznej obsługi narzędzi, z których pracownik korzysta.
Ustawa o krajowym systemie cyberbezpieczeństwa dokłada do tego wymóg podstawowych zasad cyberhigieny (art. 8 ust. 1 pkt 2 lit. j), a więc powtarzalnych nawyków: aktualizacji, haseł, uwierzytelniania wieloskładnikowego, ostrożności wobec załączników i nośników.
Program
Zakres tematów, który pokrywa wymagania
Program minimalny dla pracownika bez funkcji technicznych. Osoby z uprawnieniami administracyjnymi wymagają rozszerzenia o tematy techniczne.
| Temat | Czego uczy | Wymaganie |
|---|---|---|
| Phishing i socjotechnika | Rozpoznawanie prób wyłudzenia, weryfikacja nadawcy, postępowanie przy podejrzeniu | § 19 ust. 2 pkt 6 lit. a KRI |
| Hasła i uwierzytelnianie | Zasady tworzenia haseł, menedżer haseł, uwierzytelnianie wieloskładnikowe | art. 8 ust. 1 pkt 2 lit. j UoKSC |
| Bezpieczna praca z pocztą i plikami | Załączniki, linki, udostępnianie, szyfrowanie wrażliwej korespondencji | § 19 ust. 2 pkt 6 lit. c KRI |
| Praca zdalna i urządzenia mobilne | Sieci publiczne, zabezpieczenie sprzętu, praca z dokumentami poza biurem | § 19 ust. 2 pkt 8 i 11 KRI |
| Ochrona danych osobowych | Zasady przetwarzania, minimalizacja, zgłaszanie naruszeń | RODO, § 19 ust. 2 pkt 6 lit. b KRI |
| Zgłaszanie incydentów | Co jest incydentem, komu i jak szybko zgłosić, czego nie robić samodzielnie | art. 8 ust. 1 pkt 4 UoKSC, § 19 ust. 2 pkt 13 KRI |
| Odpowiedzialność prawna | Konsekwencje naruszenia zasad dla pracownika i dla organizacji | § 19 ust. 2 pkt 6 lit. b KRI |
| Cyberhigiena na co dzień | Aktualizacje, blokowanie stacji, nośniki zewnętrzne, czyste biurko | art. 8 ust. 1 pkt 2 lit. j UoKSC |
Dowody
Co musi zostać po szkoleniu
Przeprowadzone szkolenie, po którym nie ma śladu, jest z punktu widzenia audytu równoważne szkoleniu nieprzeprowadzonemu. Komplet dowodów obejmuje:
- program szkolenia z wykazem tematów — pozwala wykazać pokrycie wymagań z § 19 ust. 2 pkt 6,
- listę uczestników z datami, obejmującą również osoby nowo zatrudnione,
- potwierdzenia zapoznania się z zasadami lub wyniki testu wiedzy,
- rejestr osób, które szkolenia nie ukończyły, wraz z terminem uzupełnienia.
Ostatni punkt bywa pomijany, a to właśnie on pokazuje, że proces jest kontrolowany, a nie jednorazowy. Audytorzy zwracają też uwagę na moment przeszkolenia nowego pracownika — szkolenie po pół roku od zatrudnienia trudno uznać za realizację obowiązku.
Skuteczność
Jak sprawdzić, czy szkolenie cokolwiek zmieniło
Obowiązek da się spełnić formalnie — przeprowadzić szkolenie, zebrać podpisy i odłożyć dokumentację. Problem w tym, że przy incydencie liczy się wyłącznie to, jak zachowa się pracownik, a nie ile list obecności leży w segregatorze. Warto więc mierzyć skutek, a nie fakt.
Wyniki testów wiedzy pokazują, które tematy nie zostały przyswojone. Powtarzający się niski wynik z jednego zagadnienia jest wskazówką do zmiany materiału, nie do karania uczestników.
Kontrolowane symulacje phishingu dają najbardziej wiarygodny obraz, bo mierzą zachowanie, a nie deklarację. Kluczowa zasada: celem jest nauka, nie przyłapanie — wyniki analizuje się zbiorczo, a osoba, która kliknęła, powinna od razu dostać materiał wyjaśniający.
Liczba zgłoszonych podejrzeń bywa lepszym wskaźnikiem niż liczba kliknięć. Wzrost zgłoszeń oznacza, że pracownicy zaczęli reagować — nawet jeśli część zgłoszeń okaże się fałszywym alarmem.
Czas od zdarzenia do zgłoszenia mierzony przy realnych incydentach pokazuje, czy ścieżka zgłaszania jest znana i czy nikt nie boi się z niej skorzystać.
Organizacja
Jak zbudować roczny plan szkoleń
Ustal grupy odbiorców
Inny zakres dotyczy pracownika administracyjnego, inny osoby z uprawnieniami administracyjnymi, a jeszcze inny kierownictwa, które odpowiada za system i podejmuje decyzje o ryzyku.
Zaplanuj szkolenie wstępne
Nowy pracownik powinien przejść szkolenie przed dopuszczeniem do przetwarzania informacji, a nie przy okazji najbliższej edycji grupowej. To jedno z częstszych ustaleń audytowych.
Rozłóż tematy na rok
Krótkie moduły co kilka tygodni działają lepiej niż jedno długie szkolenie raz do roku — wiedza z jednorazowej sesji zanika w ciągu kilku miesięcy.
Sprawdź przyswojenie
Test wiedzy lub krótkie sprawdzenie po module daje dowód mocniejszy niż lista obecności i pokazuje, które tematy wymagają powtórzenia.
Reaguj na zdarzenia
Po incydencie, próbie phishingu albo zmianie przepisów warto wysłać materiał uzupełniający. To najlepiej zapamiętywana forma szkolenia, bo ma bezpośredni kontekst.
Udokumentuj całość
Program, lista uczestników, wyniki i rejestr zaległości trafiają do dokumentacji audytowej. Bez tego szkolenie formalnie się nie odbyło.
W LYNX360
Szkolenia w systemie
System zawiera gotowy zestaw mikroszkoleń dla pracowników, przygotowany pod wymagania ustawy o KSC i rozporządzenia KRI.
Gotowe mikroszkolenia
Krótkie moduły tematyczne do przypisania pracownikom — bez konieczności budowania programu od zera.
Przypisanie i terminy
Szkolenia przypisywane osobom lub rolom, z terminem wykonania i automatycznym przypomnieniem.
Testy wiedzy
Sprawdzenie przyswojenia materiału wraz z zapisem wyniku — mocniejszy dowód niż lista obecności.
Rejestr i statusy
Widok osób przeszkolonych, zaległych i nowo zatrudnionych oczekujących na szkolenie wstępne.
Dowód na audyt
Raport z programem, listą uczestników i wynikami, gotowy do dołączenia do dokumentacji audytowej.
Cykliczność
Powtarzanie szkoleń w ustalonym cyklu, tak by obowiązek nie wygasał po pierwszym roku.
Najczęściej zadawane pytania
FAQ
Czy szkolenia z cyberbezpieczeństwa są obowiązkowe?
Tak. Dla podmiotów kluczowych i ważnych obowiązek wynika z art. 8 ust. 1 pkt 2 lit. i ustawy o krajowym systemie cyberbezpieczeństwa, który wymaga edukacji z zakresu cyberbezpieczeństwa dla personelu, oraz z lit. j dotyczącej podstawowych zasad cyberhigieny. Podmioty realizujące zadania publiczne mają analogiczny obowiązek na podstawie § 19 ust. 2 pkt 6 rozporządzenia o Krajowych Ramach Interoperacyjności.
Czy kierownik podmiotu musi przejść szkolenie z cyberbezpieczeństwa?
Tak. Zgodnie z art. 8e ust. 1 ustawy o krajowym systemie cyberbezpieczeństwa kierownik podmiotu kluczowego lub ważnego oraz osoba, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa, raz w roku kalendarzowym przechodzi szkolenie. Zakres szkolenia określa art. 8e ust. 2, a udział w szkoleniu musi być udokumentowany (art. 8e ust. 3).
Czy program szkolenia można dopasować do naszej organizacji?
Tak. Zakres, przykłady i formę dobieramy do branży, ról uczestników i poziomu dojrzałości organizacji. Inne zagadnienia są ważne dla pracowników urzędu, inne dla zespołu IT, a jeszcze inne dla zarządu.
Na czym polega symulacja phishingu?
Po uzgodnieniu z kierownictwem pracownicy otrzymują kontrolowane wiadomości przypominające prawdziwy atak. Organizacja dostaje raport ze zbiorczymi wynikami, który pokazuje, jak zespół reaguje na podejrzane wiadomości, i pomaga zaplanować kolejne szkolenia.
Jak często powtarzać szkolenia z bezpieczeństwa informacji?
Przepisy nie wskazują częstotliwości. Praktyką, która broni się przy audycie, jest szkolenie wstępne dla nowych pracowników przed dopuszczeniem do przetwarzania informacji oraz powtórzenie dla wszystkich co najmniej raz w roku, a dodatkowo po istotnej zmianie zagrożeń, systemów lub przepisów.
Kto musi zostać przeszkolony?
Rozporządzenie KRI mówi o osobach zaangażowanych w proces przetwarzania informacji, co obejmuje praktycznie wszystkich pracowników mających dostęp do systemów i dokumentów, nie tylko dział informatyczny. Osobom z uprawnieniami administracyjnymi należy zapewnić szkolenie rozszerzone o zagadnienia techniczne.
Jak udokumentować szkolenie na potrzeby audytu?
Potrzebny jest program z wykazem tematów, lista uczestników z datami, potwierdzenia zapoznania się z zasadami lub wyniki testu wiedzy oraz rejestr osób, które szkolenia jeszcze nie ukończyły, z terminem uzupełnienia. Sam fakt przeprowadzenia szkolenia bez dokumentacji nie jest uznawany za spełnienie obowiązku.
Czy szkolenie e-learningowe spełnia wymagania przepisów?
Tak, przepisy nie narzucają formy. Liczy się zakres tematów, objęcie właściwych osób i udokumentowanie. Forma elektroniczna ma tę przewagę, że dowody powstają automatycznie — data ukończenia i wynik testu zapisują się same, bez prowadzenia papierowych list.
Powiązane tematy
Czytaj dalej
Aplikacja SZBI
Szkolenia jako element systemu zarządzania bezpieczeństwem informacji.
Audyt KRI
Szkolenia to jeden z 14 obszarów sprawdzanych podczas rocznego audytu.
LYNX360 dla podmiotów publicznych
Wymagania KRI w urzędzie i jednostkach organizacyjnych.
Ostatni przegląd treści: