Program security awareness w JST — od pierwszego dnia w pracy do KPI skuteczności

Zabezpieczenia techniczne nie wystarczą, jeśli pracownik poda hasło na fałszywej stronie albo otworzy niebezpieczny załącznik. Program budowania świadomości bezpieczeństwa (security awareness) w JST pomaga ćwiczyć rozpoznawanie zagrożeń i właściwe zgłaszanie incydentów. KRI wymaga szkolenia osób zaangażowanych w przetwarzanie informacji. Poniżej pokazujemy, jak zaplanować program i sprawdzać jego skuteczność.

Dlaczego szkolenia „raz w roku" nie działają

Jednorazowe szkolenie przy zatrudnieniu nie daje kierownictwu odpowiedzi, czy pracownicy potrafią rozpoznać nowe metody oszustwa i wiedzą, komu zgłosić podejrzaną wiadomość. Dlatego warto planować krótkie przypomnienia, ćwiczenia i ocenę zachowań w czasie, zamiast ograniczać się do odnotowania obecności na kursie.

Program awareness działa wtedy, gdy jest ciągły, praktyczny i mierzalny. Trzy warunki, których nie zastąpi żadna liczba slajdów.

Fundament programu — obowiązki wynikające z KSC i KRI

§ 19 ust. 2 pkt 6 rozporządzenia KRI wprost wymaga „zapewnienia szkolenia osób zaangażowanych w proces przetwarzania informacji". Ustawa o KSC nakłada obowiązek podnoszenia świadomości pracowników w zakresie cyberbezpieczeństwa. To nie jest dobra praktyka — to obowiązek prawny, którego brak realizacji jest wykazywany w audytach.

Program awareness w JST powinien obejmować wszystkich pracowników — od kierownictwa po pracowników obsługi — z modułami dostosowanymi do roli: inny zakres dla skarbnika, inny dla informatyka, inny dla pracownika biura obsługi mieszkańca.

Roczny kalendarz szkoleń — konkretny przykład

Styczeń — szkolenie wstępne dla nowych pracowników

60 minut, obligatoryjne w pierwszym tygodniu pracy: hasła, klauzula poufności, klasyfikacja informacji, zgłaszanie incydentów, korzystanie z poczty i BYOD. Zaliczenie testu wiedzy z progiem 80%.

Marzec — kampania phishingowa

Symulowany phishing wysłany do całego urzędu. Osoby, które kliknęły w link lub podały dane, otrzymują natychmiastową „stronę edukacyjną" i mikrokurs uzupełniający.

Maj — szkolenie kierownictwa

90 minut dla wójta/burmistrza, kierowników wydziałów, skarbnika: odpowiedzialność wynikająca z KSC, „whaling" i BEC (business e-mail compromise), decyzje w trakcie incydentu, komunikacja z mediami.

Wrzesień — kampania dot. haseł i MFA

Warsztat online 30 minut + wymuszona zmiana haseł i włączenie MFA. Pokaz technik łamania haseł, znaczenie menedżera haseł, ryzyko współdzielenia kont.

Listopad — druga kampania phishingowa

Trudniejszy scenariusz, np. fałszywy komunikat od RIO albo od dostawcy systemu EZD. Porównanie wyniku z marcem — pomiar postępu.

W ciągu całego roku — mikrolearning

Comiesięczny 3-minutowy materiał wideo lub 1-stronicowy „security tip" wysyłany mailem: aktualne oszustwa, nowe techniki phishingu, przypomnienie o czystym biurku, bezpieczne korzystanie z Wi-Fi. Regularność ma większe znaczenie niż długość.

Symulacje phishingowe — jak je prowadzić, żeby nie zniechęcić ludzi

Cel symulacji to uczenie, nie karanie. Zasady, które sprawdzają się w JST:

• Osoby, które kliknęły, otrzymują edukację — nie nagany. Nazwiska nie trafiają do kierownika, tylko statystyki zbiorcze.
• Kilka poziomów trudności — od oczywistych scenariuszy po dobrze przygotowane, dopasowane do lokalnego kontekstu.
• Rotacja tematów: faktury, przesyłki, systemy urzędu, portale rządowe, komunikaty od banku.
• Osoby, które zgłaszają phishing przez dedykowany przycisk lub adres — są publicznie chwalone (bez ujawniania szczegółów sprawy).

Wskaźniki KPI programu awareness

Bez pomiaru program się rozpłynie. Minimalny zestaw wskaźników:

• Wskaźnik klikalności w symulowany phishing — porównuj wynik kolejnych kampanii z poziomem wyjściowym, uwzględniając trudność scenariuszy.
• Wskaźnik zgłoszeń — jaki procent podejrzanych wiadomości pracownicy zgłaszają. Cel: wzrost.
• Pokrycie szkoleniami — procent osób, które ukończyły szkolenie wymagane dla ich roli w przyjętym okresie.
• Wynik testów wiedzy — porównuj wyniki przed szkoleniem i po nim, aby wskazać tematy wymagające powtórzenia.
• Czas od otrzymania phishingu do jego zgłoszenia — obserwuj zmianę mediany między kolejnymi ćwiczeniami.

Wskaźniki są raportowane kierownikowi jednostki raz na kwartał i stanowią materiał dla audytu KSC.

Budowanie kultury, nie tylko zgodności

Najsilniejsze programy awareness w JST łączą szkolenia z widocznym zaangażowaniem kierownictwa: wójt/burmistrz otwiera doroczną kampanię, wysyła własny mail do pracowników, sam przechodzi test. Kiedy szeregowy pracownik widzi, że skarbnik zgłosił phishing i został pochwalony, chętniej robi to samo.

Jeśli w Twoim urzędzie brakuje kalendarza szkoleń lub symulacji phishingowych, zobacz szkolenia i ćwiczenia Idealdata. Możemy pomóc dobrać program do ról pracowników i istniejącego SZBI oraz ustalić sposób mierzenia efektów.