Najdroższy firewall nie ochroni urzędu przed pracownikiem, który kliknie w załącznik od „Ministerstwa Finansów”. Statystyki są bezwzględne: ponad 80% skutecznych włamań do organizacji publicznych zaczyna się od phishingu lub błędu użytkownika. Dlatego program budowania świadomości bezpieczeństwa (security awareness) w JST jest inwestycją o jednym z najwyższych zwrotów spośród wszystkich działań cyberbezpieczeństwa. Poniżej pokazujemy, jak taki program zaplanować, wdrożyć i zmierzyć jego skuteczność.

Dlaczego szkolenia „raz w roku” nie działają

Klasyczny model — jednogodzinne szkolenie e-learningowe przy zatrudnieniu, powtarzane raz na rok — daje niską retencję (spadek wiedzy do 20% po 6 tygodniach) i nie zmienia zachowań. Audyty KSC i KRI wykazują, że w urzędach, które ograniczają się do e-learningu, wskaźnik klikalności w symulowane phishingi bywa dwucyfrowy.

Program awareness działa wtedy, gdy jest ciągły, praktyczny i mierzalny. Trzy warunki, których nie zastąpi żadna liczba slajdów.

Fundament programu — obowiązki wynikające z KSC i KRI

§ 20 ust. 2 pkt 1 rozporządzenia KRI wprost wymaga „zapewnienia szkolenia osób zaangażowanych w proces przetwarzania informacji”. Ustawa o KSC nakłada obowiązek podnoszenia świadomości pracowników w zakresie cyberbezpieczeństwa. To nie jest dobra praktyka — to obowiązek prawny, którego brak realizacji jest wykazywany w audytach.

Program awareness w JST powinien obejmować wszystkich pracowników — od kierownictwa po pracowników obsługi — z modułami dostosowanymi do roli: inny zakres dla skarbnika, inny dla informatyka, inny dla pracownika biura obsługi mieszkańca.

Roczny kalendarz szkoleń — konkretny przykład

Styczeń — szkolenie wstępne dla nowych pracowników

60 minut, obligatoryjne w pierwszym tygodniu pracy: hasła, klauzula poufności, klasyfikacja informacji, zgłaszanie incydentów, korzystanie z poczty i BYOD. Zaliczenie testu wiedzy z progiem 80%.

Marzec — kampania phishingowa

Symulowany phishing wysłany do całego urzędu. Osoby, które kliknęły w link lub podały dane, otrzymują natychmiastową „stronę edukacyjną” i mikrokurs uzupełniający.

Maj — szkolenie kierownictwa

90 minut dla wójta/burmistrza, kierowników wydziałów, skarbnika: odpowiedzialność wynikająca z KSC, „whaling” i BEC (business e-mail compromise), decyzje w trakcie incydentu, komunikacja z mediami.

Wrzesień — kampania dot. haseł i MFA

Warsztat online 30 minut + wymuszona zmiana haseł i włączenie MFA. Pokaz technik łamania haseł, znaczenie menedżera haseł, ryzyko współdzielenia kont.

Listopad — druga kampania phishingowa

Trudniejszy scenariusz, np. fałszywy komunikat od RIO albo od dostawcy systemu EZD. Porównanie wyniku z marcem — pomiar postępu.

W ciągu całego roku — mikrolearning

Comiesięczny 3-minutowy materiał wideo lub 1-stronicowy „security tip” wysyłany mailem: aktualne oszustwa, nowe techniki phishingu, przypomnienie o czystym biurku, bezpieczne korzystanie z Wi-Fi. Regularność ma większe znaczenie niż długość.

Symulacje phishingowe — jak je prowadzić, żeby nie zniechęcić ludzi

Cel symulacji to uczenie, nie karanie. Zasady, które sprawdzają się w JST:

• Osoby, które kliknęły, otrzymują edukację — nie nagany. Nazwiska nie trafiają do kierownika, tylko statystyki zbiorcze.
• Kilka poziomów trudności — od oczywistych scenariuszy po dobrze przygotowane, dopasowane do lokalnego kontekstu.
• Rotacja tematów: faktury, przesyłki, systemy urzędu, portale rządowe, komunikaty od banku.
• Osoby, które zgłaszają phishing przez dedykowany przycisk lub adres — są publicznie chwalone (bez ujawniania szczegółów sprawy).

Wskaźniki KPI programu awareness

Bez pomiaru program się rozpłynie. Minimalny zestaw wskaźników:

• Wskaźnik klikalności w symulowany phishing — cel: spadek z 20% do <5% w ciągu 12 miesięcy.
• Wskaźnik zgłoszeń — jaki procent podejrzanych wiadomości pracownicy zgłaszają. Cel: wzrost.
• Pokrycie szkoleniami — procent pracowników z aktualnym szkoleniem (nie starszym niż 12 miesięcy). Cel: 100%.
• Średni wynik testów wiedzy — cel: ≥ 85%.
• Czas od otrzymania phishingu do jego zgłoszenia — cel: mediana < 5 minut.

Wskaźniki są raportowane kierownikowi jednostki raz na kwartał i stanowią materiał dla audytu KSC.

Budowanie kultury, nie tylko zgodności

Najsilniejsze programy awareness w JST łączą szkolenia z widocznym zaangażowaniem kierownictwa: wójt/burmistrz otwiera doroczną kampanię, wysyła własny mail do pracowników, sam przechodzi test. Kiedy szeregowy pracownik widzi, że skarbnik zgłosił phishing i został pochwalony, chętniej robi to samo.

Jeśli w Twoim urzędzie brakuje kalendarza szkoleń, symulacji phishingowych lub systemu pomiaru — pomożemy zbudować program awareness od zera lub uzupełnić istniejący o brakujące elementy, tak aby spełniał wymagania KSC i realnie obniżał ryzyko.