Obejrzyj nagranie:

https://www.youtube.com/watch?v=ZiiePfh8rvU

Kluczowe wnioski:

• Największym zagrożeniem dla organizacji nadal pozostaje niski poziom świadomości użytkowników oraz podatność na phishing i socjotechnikę.
• 94% organizacji deklaruje, że padło ofiarą ataku phishingowego, co pokazuje skalę problemu i potwierdza obawy administratorów IT.
• Cyberprzestępcy najczęściej atakują człowieka, ponieważ to tańsze, prostsze i skuteczniejsze niż łamanie zaawansowanych zabezpieczeń technologicznych.
• Ponad połowa skutecznych incydentów bezpieczeństwa wynika z niedbalstwa lub przypadkowych błędów pracowników, a nie z działań celowych.
• Edukacja pracowników realnie zwiększa cyberodporność organizacji, ponieważ ogranicza błędy wynikające z pośpiechu, braku wiedzy i rutyny.
• Socjotechnika działa głównie na emocjach - stresie, presji czasu, ciekawości, autorytecie i poczuciu wyjątkowej sytuacji.
• Phishing coraz częściej jest personalizowany. Ataki typu spear phishing bazują na wcześniejszym rekonesansie i wykorzystują konkretne informacje o ofierze.
• Wygląd strony internetowej lub numer telefonu nie są dziś wystarczającym dowodem wiarygodności. Podszywanie się pod firmy, banki i osoby prywatne jest coraz bardziej zaawansowane.
• Rozwój AI i deepfake’ów sprawia, że weryfikacja rozmówcy staje się kluczowa nawet w rozmowach głosowych i wideo.
• Najskuteczniejszą metodą ochrony kont pozostają długie, unikatowe hasła, menedżery haseł oraz uwierzytelnianie wieloskładnikowe (MFA/2FA).
• Minimalnym rekomendowanym standardem bezpieczeństwa dla hasła powinno być 14 znaków oraz brak powiązania z danymi osobistymi użytkownika.
• Firmy nadal zbyt rzadko korzystają z profesjonalnych platform security awareness i opierają edukację na pojedynczych szkoleniach lub własnych materiałach.
• Jednorazowy webinar lub szkolenie nie zmienia zachowań pracowników. Skuteczna edukacja wymaga regularnych powtórek, testów i praktycznych symulacji.
• Najlepsze programy szkoleniowe są dopasowane do realnych zagrożeń i codziennych obowiązków konkretnych grup pracowników.
• Budowanie kultury bezpieczeństwa powinno opierać się nie tylko na kontroli i testach, ale także na pozytywnym wzmacnianiu właściwych zachowań pracowników.

Transkrypcja:

Oczyszczona wersja transkrypcji

(00:00) Julia: Cześć wszystkim, jesteśmy już na żywo na webinarze Axence x SOLID.Jobs. Z tej strony Julia Szafałowicz. Dajmy jeszcze chwilę, żeby wszyscy mogli dołączyć, i za moment zaczniemy. Witam Was bardzo serdecznie na webinarze „Między kliknięciem a incydentem, czyli jak edukacja chroni przed atakiem?”.

(00:49) Julia: Naszym prelegentem jest Tomasz Domalewski z firmy Axence. Witam Cię serdecznie. Ja nazywam się Julia Szafałowicz, jestem specjalistką ds. marketingu w SOLID.Jobs. Żeby nie przedłużać, oddaję już mikrofon Tomkowi.

(01:10) Tomasz: Witam Państwa bardzo serdecznie. Nazywam się Tomasz Domalewski. Dajcie mi dosłownie chwilę, żebym poprawnie udostępnił prezentację i żeby wszystko było dobrze widoczne.

(01:46) Tomasz: Świetnie, wszystko powinno już działać. Bardzo dziękuję, że jesteście z nami i że znaleźliście czas na to poniedziałkowe spotkanie. Na początek kilka słów o mnie i o firmie, którą reprezentuję.

(01:57) Tomasz: Pracuję jako business consultant, czyli łączę świat biznesu, sprzedaży i potrzeb klientów z obszarem technicznym. Firma Axence, którą reprezentuję, jest polskim producentem oprogramowania. Jesteśmy obecni na rynku od ponad 20 lat. Część z Państwa może nas kojarzyć, część pewnie nie, bo najczęściej trafiamy do administratorów i osób technicznych, które szukają narzędzi do codziennej pracy.

(02:40) Tomasz: Działamy od lat na polskim rynku i odnosimy sukcesy także poza Polską. Jesteśmy firmą z Krakowa. Nie zdziwi mnie, jeśli ktoś z Państwa słyszy dziś o nas po raz pierwszy, bo nasze rozwiązania są najczęściej kierowane do specjalistów IT. Zajmujemy się m.in. bezpieczeństwem sieci, bezpieczeństwem użytkowników i szkoleniami. Stąd nasza obecność na dzisiejszym spotkaniu.

(03:00) Tomasz: Dziś porozmawiamy o tym, jak wiedza chroni przed atakami wymierzonymi w użytkowników, a w konsekwencji także w organizacje. Zaczniemy od badań, które przeprowadziliśmy. Potem przejdziemy do tego, czego warto uczyć i jakie kompetencje rozwijać. Następnie omówimy teorię szkoleń, rodzaje zagrożeń i sposoby skutecznego uczenia pracowników. Na końcu zostawimy czas na pytania.

(03:50) Tomasz: Mam nadzieję, że macie pod ręką dobrą kawę i wygodnie siedzicie. Zaczynajmy.

(04:18) Tomasz: Zacznę od badań i od pojęcia „Władców Sieci”. Oprócz produktów komercyjnych tworzymy także niekomercyjną społeczność o tej nazwie. Program powstał w 2019 roku, kiedy jako jedna z pierwszych firm w Polsce zdecydowaliśmy się przebadać administratorów i specjalistów IT pod kątem tego, jak postrzegają swoją pracę, trudności i poziom odporności branży.

(04:56) Tomasz: Okazało się, że udało nam się dotrzeć do dużej grupy osób i zobaczyć, że na polskim rynku nadal jest wiele do zrobienia. Dlatego stworzyliśmy społeczność, w której administratorzy mogą dzielić się wiedzą, doświadczeniem i praktycznymi wskazówkami. Do dziś dostarczamy im niekomercyjne treści, webinary i przestrzeń do wymiany informacji.

(05:16) Tomasz: Dzięki temu, że na co dzień współpracujemy z tą grupą, w 2025 roku uznaliśmy, że warto sprawdzić, co się zmieniło i jak ewoluował polski rynek z perspektywy administratorów, zwłaszcza w kontekście codziennej pracy i cyberbezpieczeństwa. Badanie przeprowadziliśmy na grupie ponad 500 osób.

(05:51) Tomasz: Dzięki temu mogliśmy porównać sytuację z 2019 roku z tym, jak wygląda ona obecnie. I teraz przejdźmy już do sedna, czyli do wyników. Nie chciałem pokazywać danych bez wprowadzenia, bo ważny jest kontekst.

(06:11) Tomasz: Co się okazało? Największą obawą administratorów pozostaje brak świadomości użytkowników oraz ryzyko ataków phishingowych i socjotechnicznych. To właśnie te obszary są dziś postrzegane jako największe zagrożenie dla bezpieczeństwa organizacji.

(07:03) Tomasz: Gdy spojrzymy na kwestię szkoleń, widać, że firmy radzą sobie na różne sposoby. Korzystają z własnych materiałów, z kupionych treści, z rozwiązań tworzonych wewnętrznie. Jednocześnie wyraźnie widać, że na polskim rynku nadal niedostatecznie wykorzystywane są profesjonalne platformy security awareness do szkolenia pracowników.

(07:33) Tomasz: Kiedy zestawimy to z badaniami zewnętrznymi, np. instytutu Egress, widać, że administratorzy mają rację. Obawy dotyczące niskich kompetencji użytkowników są uzasadnione. Aż 94% organizacji przyznaje, że padło ofiarą ataku phishingowego. To nie są wyimaginowane lęki, tylko bardzo realny i powszechny problem.

(08:14) Tomasz: Dlaczego tak się dzieje? Według wielu badań człowiek jest bardzo częstym wektorem ataku. Czasem mówi się wręcz, że jest największą podatnością. Ja będę dziś balansował między tymi dwoma spojrzeniami, bo z jednej strony człowiek faktycznie może być słabym punktem, a z drugiej po prostu najczęściej to właśnie w niego celują cyberprzestępcy.

(09:08) Tomasz: Wśród ciekawszych form ataków związanych z użytkownikami mamy ataki face-to-face, czyli zdobywanie informacji lub dostępu przez podszywanie się pod nowego pracownika, serwisanta albo inną osobę, która „ma tam być”. Słyszałem kiedyś anegdotę od audytora cyberbezpieczeństwa o budynku użyteczności publicznej, do którego dało się wejść bez większego problemu. Na pierwszym piętrze stała drukarka, a audytor mógł przez nią podłączyć się do lokalnej infrastruktury.

(10:00) Tomasz: Kiedy ktoś pytał ich, co robią, odpowiadali po prostu: „Jesteśmy od drukarki, przyszliśmy ją naprawić”. Dokładnie tak działają tego typu techniki. W tym przypadku było to działanie audytowe i w dobrej wierze, ale w taki sam sposób działają osoby o dużo gorszych intencjach.

(10:31) Tomasz: Kolejny przykład to ataki telefoniczne, czyli vishing. Sama nazwa nie jest najważniejsza. Znacznie ważniejsze jest to, żeby wiedzieć, że ktoś może próbować oszukać nas właśnie przez telefon i w ten sposób wyciągać informacje.

(10:49) Tomasz: Mamy też pretexting, czyli manipulację opartą na wiarygodnej historii. To budowanie „legendy”, która ma uwiarygodnić naszą obecność, pytania albo działania. Często wykorzystuje się tu regułę autorytetu albo społeczny dowód słuszności. W pierwszym przypadku oszust opiera się na kimś, kto ma pozycję lub władzę. W drugim gra na mechanizmie „wszyscy tak robią, więc ty też powinieneś”.

(12:04) Tomasz: Warto też rozróżnić rodzaje zagrożeń wewnętrznych. Dziś nie będę skupiał się na działaniach celowych, kiedy pracownik świadomie chce zaszkodzić firmie albo wynieść dane. Interesuje mnie przede wszystkim to, co można ograniczyć szkoleniami, czyli działania nieumyślne.

(12:45) Tomasz: Wśród działań nieumyślnych najczęściej mamy niedbałość i przypadkowość. Dobra wiadomość jest taka, że oba te obszary można w dużym stopniu ograniczyć dzięki skutecznym szkoleniom, zwiększaniu kompetencji i budowaniu długofalowej cyberodporności organizacji. Oczywiście istnieją też działania zamierzone, takie jak świadome nadużycia, zmowy czy wprowadzanie osób trzecich do organizacji, ale to temat na osobną rozmowę.

(13:20) Tomasz: Jakie ryzyka wynikają z działań insiderów? Phishing, używanie słabych haseł, wysyłanie maili do złego adresata, infekcje malware przez pendrive’y, przypadkowe usuwanie lub modyfikowanie danych oraz przekazywanie informacji osobom trzecim w rozmowach prywatnych i nieformalnych.

(14:01) Tomasz: Zatrzymam się na chwilę przy nośnikach zewnętrznych. Warto bardzo uważać na pendrive’y, karty pamięci i podobne urządzenia rozdawane na targach, konferencjach i wydarzeniach branżowych. Nie mam tu na myśli zapakowanego nośnika znanej marki od sprawdzonego dostawcy, tylko gadżety wręczane przez firmy, które dopiero chcą nawiązać kontakt albo tylko udają kontrahenta.

(14:31) Tomasz: Trzeba uważać też na wszelkiego rodzaju lampki, wiatraczki, podgrzewacze i inne gadżety podłączane do USB lub USB-C. Takie urządzenie może wyglądać niewinnie, a w praktyce zawierać moduł pamięci albo mechanizm symulujący wpisywanie klawiszy. To wystarczy, żeby uruchomić szkodliwe działanie na stacji roboczej, a czasem nawet w całej infrastrukturze.

(15:36) Tomasz: Przypadkowe skasowanie danych czy ich modyfikacja też się zdarzają. Szkolenia nie eliminują takich sytuacji w 100%, ale zmniejszają ich liczbę. To działa podobnie jak w BHP: im częściej utrwalamy właściwe nawyki, tym rzadziej dochodzi do błędów.

(16:04) Tomasz: Warto też wyraźnie zaznaczać pracownikom, które informacje są naprawdę poufne i nie powinny wychodzić poza organizację. Czasem niewinna rozmowa może mieć bardzo poważne konsekwencje.

(16:47) Tomasz: Dobra wiadomość jest taka, że 55% skutecznych ataków wynika właśnie z niedbalstwa i przypadkowych błędów pracowników. To oznacza, że ponad połowę takich incydentów można ograniczyć dzięki odpowiednim szkoleniom i budowaniu kompetencji.

(17:18) Tomasz: Można więc powiedzieć, że dbając o edukację pracowników, zwiększamy bezpieczeństwo organizacji nawet o 55%. Ale to działa też prywatnie. Te same kompetencje chronią nasze pieniądze, dane i tożsamość poza pracą.

(18:20) Tomasz: Jak się przed tym bronić? Zacznijmy od socjotechnik. To temat, który pojawia się niemal przy każdym szkoleniu z cyberbezpieczeństwa. W centrum jest zawsze jakaś wartość, najczęściej pieniądze. Przestępcy chcą zdobyć coś, co można sprzedać albo wykorzystać.

(18:49) Tomasz: W darknecie można kupić np. konto „na słupa” ze skanem dowodu, kartą płatniczą, numerem telefonu, loginem, hasłem czy PIN-em. Można kupić także bazy danych klientów konkretnych banków. Dla cyberprzestępców to ogromna wartość, bo jeśli wiedzą, jak dana osoba się nazywa, znają jej numer telefonu, PESEL i mają przesłanki, że na koncie są pieniądze, to wiedzą też, że jest o co walczyć.

(20:16) Tomasz: Czasem jeden rekord kosztuje kilka złotych. Przy większej bazie to nadal niewielki koszt, który może bardzo szybko się zwrócić. Dlatego trzeba być na to bardzo wyczulonym.

(20:54) Tomasz: Kevin Mitnick, jedna z najbardziej znanych postaci związanych z cyberbezpieczeństwem, powtarzał, że odporność organizacji jest tak duża, jak odporność jej najsłabszego ogniwa. W praktyce oznacza to, że nie ma znaczenia, ile firma wyda na zabezpieczenia technologiczne, jeśli da się wejść przez jednego nieprzeszkolonego użytkownika.

(21:56) Tomasz: Dlaczego socjotechnika działa tak skutecznie? Bo uderza w to, co bardzo ludzkie. Gra na emocjach. Może wywoływać stres, presję czasu, poczucie zagrożenia, ale może też działać przez ekscytację, radość i obietnicę nagrody. Chodzi o to, żebyśmy przestali spokojnie analizować sytuację.

(22:32) Tomasz: Do tego dochodzi ludzka ciekawość i budowanie zależności. Porównuję to czasem do targowania się na bazarze, gdzie sprzedawca jest bardzo życzliwy, buduje relację i sprawia, że coraz trudniej nam odmówić. Cyberprzestępcy robią dokładnie to samo, tylko w innym środowisku.

(23:24) Tomasz: Często tworzą też wrażenie sytuacji wyjątkowej. Na codzienne schematy jesteśmy przygotowani. Ale kiedy ktoś mówi, że nasz bliski miał wypadek albo ktoś właśnie włamuje się na nasze konto, reagujemy inaczej. I właśnie na tej zmianie zachowania im zależy.

(23:47) Tomasz: Wykorzystują zasady wzajemności, zaangażowania, sympatii, niedostępności, konsekwencji, autorytetu i społecznego dowodu słuszności. To klasyczne mechanizmy wpływu, tylko zastosowane w złym celu.

(24:44) Tomasz: Prosty przykład? Ktoś w firmie dostaje wiadomość rzekomo od przełożonego z pytaniem o kurs złotego do euro. To nie brzmi groźnie. Jeśli pracownik odpisze, choćby z lekką irytacją, że przecież dało się to sprawdzić w Google, to przestępca już wie, że trafił na osobę skłonną wejść w interakcję bez weryfikacji nadawcy.

(25:41) Tomasz: Wtedy może iść krok dalej. Np. poprosić o szybki przelew, bo pojawiła się świetna okazja zakupowa i trzeba działać natychmiast. Mechanizm jest prosty: najpierw test, potem wykorzystanie zaufania.

(26:17) Tomasz: Socjotechnika jest skuteczna również dlatego, że wykorzystuje zasadę najsłabszego ogniwa. Wystarczy jeden stażysta z sensownym dostępem, którego nikt jeszcze nie przeszkolił. To może wystarczyć, żeby wejść do organizacji.

(26:50) Tomasz: Jest też tania, prosta i nie wymaga zaawansowanych kompetencji technicznych. Wystarczą dane, telefon i ktoś, kto potrafi prowadzić rozmowę. Często taka osoba działa z innego kraju i jest trudna do namierzenia. A jednocześnie może obchodzić zabezpieczenia, które kosztowały firmę ogromne pieniądze.

(27:45) Tomasz: Kolejna forma ataku to phishing. Nie bez powodu uchodzi za jedno z największych zagrożeń. W 2023 roku odpowiadał za 65% oszustw komputerowych. To obszar, na który naprawdę trzeba uważać.

(28:18) Tomasz: Celem phishingu jest wyłudzanie haseł, danych logowania do banków, numerów kart płatniczych, kodów do płatności, haseł do mediów społecznościowych, haseł do poczty i innych danych dostępowych. Szczególnie ważna jest tu poczta mailowa, bo często stanowi bramę do wielu innych usług.

(29:18) Tomasz: W klasycznym scenariuszu phishingowym dostajemy mail od znanej firmy. Nadawca wydaje się wiarygodny, treść sugeruje konieczność zalogowania, a my mamy kliknąć link. Najlepiej tego nie robić. Jeżeli rzeczywiście musimy coś sprawdzić, warto samodzielnie wejść na stronę z nowej karty albo przez aplikację i tam zweryfikować, czy faktycznie coś się dzieje.

(30:11) Tomasz: Istnieje też spear phishing, czyli phishing celowany. Tutaj atak poprzedzony jest rekonesansem informacyjnym. Przestępca wie, do kogo pisze i po co. Wiadomość jest osadzona w konkretnym kontekście, np. nawiązuje do naszego ogłoszenia sprzedażowego, ostatniego zakupu albo sytuacji zawodowej.

(31:53) Tomasz: Na co zwracać uwagę? Przede wszystkim na adresy i linki. Jeśli w jednym URL-u widzimy nazwy kilku banków naraz, to prawie na pewno coś jest nie tak. Warto też uważać na mylące domeny, literówki, podstawianie cyfr zamiast liter i używanie znaków z obcych alfabetów, które wyglądają niemal identycznie jak nasze litery.

(33:35) Tomasz: Dodatkowo nasz mózg często czyta słowo „po całości”, a nie litera po literze. Jeśli pierwsza i ostatnia litera są na właściwym miejscu, łatwo przeoczyć zmianę w środku wyrazu. To właśnie wykorzystują cyberprzestępcy.

(34:00) Tomasz: Dlatego nie oceniamy strony po wyglądzie. Strona może być świetnie podrobiona. Zawsze weryfikujemy domenę, szczegóły i wszelkie nieścisłości. I nigdy nie podajemy poufnych danych, jeśli nie mamy pewności, z kim rozmawiamy i gdzie trafiamy.

(34:48) Tomasz: Przejdźmy do haseł. Najważniejsza sprawa to długość. Gdybyście po dzisiejszym spotkaniu mieli zapamiętać jedną liczbę, to niech będzie to 14. Hasło od 14 znaków wzwyż uznajmy za bezpieczne minimum. Gdy używamy małych i wielkich liter, cyfr i znaków specjalnych, może być krótsze, ale 14 daje nam dobry margines.

(36:10) Tomasz: To nie znaczy, że takie hasło jest niemożliwe do złamania. Oznacza raczej, że jego łamanie staje się nieopłacalne metodą brute force, czyli sprawdzania znak po znaku. Problem polega jednak na tym, że wielu użytkowników nadal korzysta z haseł słownikowych.

(37:03) Tomasz: Hasła słownikowe to nie tylko zwykłe słowa z języka polskiego czy angielskiego. To także imiona, nazwy miejsc, nazwy marek, daty, popularne kombinacje oraz hasła, które pojawiły się już w wyciekach. Jeśli nasze hasło kiedyś wyciekło z innego serwisu, przestaje być bezpieczne, nawet jeśli wydaje się „nasze”.

(38:16) Tomasz: Trzeba uważać też na hasła klawiaturowe, czyli wzory tworzone przez ruch po klawiaturze. Dla użytkownika mogą wyglądać losowo, ale dla przestępcy to dobrze znany schemat.

(39:00) Tomasz: Bezpieczne hasło powinno być niesłownikowe, zawierać znaki z różnych grup, mieć co najmniej 10 znaków przy pełnej złożoności, a najlepiej 14 lub więcej. Ważne, żeby dało się je zapamiętać, ale żeby nie było powiązane z naszą osobą. Imię zwierzaka czy data urodzenia bliskiej osoby to zły pomysł.

(40:00) Tomasz: Pomocne są menedżery haseł. Nie robię tu reklamy żadnej konkretnej firmie, ale to rozwiązania, które pozwalają bezpiecznie przechowywać i generować silne, losowe hasła. Dzięki nim nie musimy pamiętać wszystkich kombinacji samodzielnie.

(41:31) Tomasz: Poza tym wszędzie, gdzie się da, warto włączyć uwierzytelnianie wieloskładnikowe, czyli 2FA albo MFA. Dodatkowa warstwa ochrony naprawdę robi różnicę.

(42:13) Tomasz: Podsumowując hasła: warto je zmieniać, zwłaszcza gdy podejrzewamy wyciek. Używajmy długich, unikatowych haseł, korzystajmy z menedżerów haseł i uruchamiajmy autoryzację wieloskładnikową.

(43:07) Tomasz: Kolejny temat to spoofing, czyli podszywanie się pod zaufanego nadawcę, np. numer telefonu. Dziś jest to trudniejsze niż kiedyś, ale nadal możliwe. Ktoś dzwoni, numer wygląda znajomo, a rozmówca próbuje wyciągnąć informacje albo skłonić nas do działania.

(44:03) Tomasz: Bardzo często taki atak zaczyna się od rekonesansu informacyjnego. Ktoś może zadzwonić raz i poprosić o fragment danych. Za tydzień zadzwoni ponownie i poprosi o kolejny element. Potem połączy wszystko i przedstawi się jako pracownik banku, który „przecież zna nasze dane”, więc musi być prawdziwy. To bardzo niebezpieczny mechanizm.

(45:00) Tomasz: Dochodzimy też do coraz częstszych ataków wykorzystujących AI, deep learning i deepfake. To już nie są futurystyczne scenariusze. Jeśli ofiarami takich działań mogą padać liderzy państw i osoby publiczne, to tym bardziej mogą paść nimi zwykli użytkownicy.

(45:45) Tomasz: Dlatego zawsze trzeba weryfikować osobę po drugiej stronie. Nawet jeśli dzwoni do nas bliska osoba, mówi znajomym głosem i brzmi wiarygodnie, a sytuacja jest nagła i emocjonalna, trzeba sprawdzić, czy naprawdę z nią rozmawiamy.

(46:16) Tomasz: Jak to zrobić? Można zapytać o wspólne doświadczenie, ustalić rodzinne hasło bezpieczeństwa albo przerwać rozmowę i oddzwonić. Ważne, żeby nie działać odruchowo.

(47:13) Tomasz: Popularne są też oszustwa „na policjanta” albo „na wsparcie techniczne”. Ktoś dzwoni, buduje zaufanie, każe nam wszystko weryfikować, po czym wyciąga od nas kod BLIK albo namawia do zainstalowania aplikacji zdalnego dostępu. Efekt jest jeden: przejęcie pieniędzy albo urządzenia.

(48:22) Tomasz: Jak weryfikować rozmówcę? Sam numer telefonu nie wystarcza. Głos również nie. Jeśli rozmawiamy z kimś bliskim, wykorzystujemy wspólne doświadczenia. Jeśli to kontrahent, sprawdzamy dane w innej komunikacji, np. w mailu albo dokumentach. Najbezpieczniej jest się rozłączyć i oddzwonić samodzielnie.

(49:29) Tomasz: Nie dajmy się też „weryfikować” przez kogoś, kto sam do nas zadzwonił. I jeśli mamy choć cień podejrzenia, że mogliśmy być celem ataku, zgłaszajmy to odpowiednim służbom albo wewnętrznym zespołom bezpieczeństwa.

(50:06) Tomasz: Ciekawą opcją są też hasła zwrotne w bankach. Coraz więcej instytucji oferuje mechanizmy, które pozwalają potwierdzić, że rozmówca rzeczywiście pochodzi z banku. Można też wprowadzać firmowe procedury, np. podwójną akceptację przelewów.

(50:25) Tomasz: Podsumowując: można podszyć się pod numer telefonu, głos, a nawet obraz w rozmowie wideo. Dlatego nie wykonujemy żadnych działań pochopnie i nigdy nie opieramy decyzji wyłącznie na emocjach.

(51:12) Tomasz: Skoro mamy za sobą ten wstęp z podstaw cyberbezpieczeństwa, przejdźmy do tego, jak forma szkolenia wpływa na jego skuteczność. Dzisiejsze spotkanie jest dobrym przykładem.

(51:39) Tomasz: Jeżeli nie powtórzycie tego materiału, to za miesiąc będziecie pamiętać mniej niż 20% tego, co dziś powiedziałem. To nie kwestia mojej formy ani Państwa skupienia. Po prostu tak działa pamięć. Już po kilku dniach poziom zapamiętania spada bardzo mocno.

(52:05) Tomasz: Co z tego wynika? Żeby szkolenia były skuteczne, muszą być powtarzalne. Jednorazowy webinar nie wystarczy. Trzeba budować długofalowy proces zwiększania kompetencji.

(52:29) Tomasz: Warto zaczynać od insiderów, bo to temat często pomijany. Program szkoleniowy powinien być dopasowany do realnych ryzyk, potrzeb i możliwości pracowników. Nie ma sensu szkolić pracownika biurowego z tematów, z którymi nigdy nie będzie miał styczności. Treść szkolenia musi odpowiadać na realne zagrożenia.

(53:14) Tomasz: Trzeba też pamiętać, że dojrzałość procesów bezpieczeństwa rośnie w czasie. Zmiana zachowań pracowników nie trwa miesiąc. To zwykle lata regularnej pracy. Dlatego z jednej strony trzeba dać sobie czas, a z drugiej regularnie mierzyć postępy.

(53:38) Tomasz: Skuteczne szkolenie powinno angażować i łączyć teorię z praktyką. Warto uwzględniać czynniki behawioralne i organizacyjne. Ktoś może znać procedurę, ale w stresie, pod presją przełożonego albo grupy, i tak popełni błąd. To trzeba brać pod uwagę.

(54:29) Tomasz: Jak wygląda skuteczny proces szkoleniowy? Zaczynamy od audytu, czyli od sprawdzenia punktu wyjścia. Potem prowadzimy szkolenie dopasowane do potrzeb. Następnie na bieżąco weryfikujemy kompetencje, organizujemy testy praktyczne, podsumowujemy efekty i porównujemy je z wynikiem początkowym. Na tej podstawie planujemy kolejny etap działań.

(55:29) Tomasz: Z jakich obszarów warto szkolić? Z socjotechnik, haseł, bezpieczeństwa poczty, phishingu i ataków z wykorzystaniem nośników. Do tego dochodzą zagrożenia związane z sieciami Wi-Fi, podróżami służbowymi, mediami społecznościowymi, prywatnością w sieci oraz sztuczną inteligencją i deepfake’ami.

(55:56) Tomasz: A jak weryfikować wiedzę? Przez testy, kampanie phishingowe, symulacje SMS-owe, ewaluacje i ćwiczenia w prawdziwym świecie. Jednym z klasycznych przykładów jest audyt polegający na podrzuceniu pendrive’a np. przy wejściu do firmy albo w toalecie.

(56:27) Tomasz: Na takim nośniku może znajdować się jeden plik opisany jako „Premie dla zarządu” albo „Lista osób do zwolnienia”. Bardzo często pracownicy podłączają taki pendrive i otwierają plik. Lepiej, jeśli to test audytora. Znacznie gorzej, jeśli to realny malware.

(57:00) Tomasz: Warto też stosować pozytywne wzmocnienia. Ludzie lubią wiedzieć, że zrobili coś dobrze. Jeśli ktoś nie dał się złapać na phishing, pochwalcie go. To naprawdę działa.

(57:28) Tomasz: Na koniec mała autopromocja. Większość materiałów wykorzystanych podczas dzisiejszego spotkania pochodzi z naszej platformy szkoleniowej Secure Team. Jeśli taka forma szkoleń do Państwa trafia, zapraszam na stronę Axence. Tam można przetestować platformę bezpłatnie.

(57:44) Tomasz: Z mojej strony to wszystko. Bardzo dziękuję za uwagę. Wyszło trochę dłużej, niż planowałem, ale bardzo dobrze mi się do Państwa mówiło. Teraz przejdziemy do sesji pytań i odpowiedzi.

(58:05) Julia: Ja też już wracam. Jeśli pojawią się pytania, to za chwilę je przeczytamy. Ja mam od siebie jedno pytanie. Czy portale, które posiadają konta użytkowników, mogą same wdrażać dodatkowe rozwiązania zwiększające bezpieczeństwo użytkownika, poza weryfikacją dwuetapową, o której wspominałeś?

(58:38) Tomasz: Z perspektywy portalu bardzo ważne są wszystkie rzeczy, których użytkownik nie widzi. Mam na myśli szyfrowanie baz danych, szyfrowanie komunikacji, odpowiednie zabezpieczenie i odseparowanie danych od elementów dostępnych z zewnątrz. Drugi obszar to edukowanie użytkownika podczas logowania, np. sugerowanie włączenia autoryzacji wieloetapowej albo zmiany zbyt słabego hasła.

(59:25) Julia: Drugie pytanie dotyczy haseł i logowania przez konto Google albo Apple. Często podczas zakładania konta pojawia się opcja „zaloguj się przez Google” albo „zaloguj się przez Apple”. Jak bezpieczne jest takie rozwiązanie?

(59:45) Tomasz: To rozwiązanie jest tak bezpieczne, jak bezpieczne jest konto Google albo Apple, którego używamy do logowania. Jeśli tam mamy dobrze zabezpieczony dostęp, silne hasło i dodatkową autoryzację, to jest to dobre rozwiązanie. Jeśli jednak używamy słabego hasła powtarzanego w wielu innych miejscach, bezpieczeństwo spada.

(1:00:07) Julia: Czyli jeśli dobrze chronimy to główne konto Google albo Apple, to nie powinno wydarzyć się nic złego? Czy wracamy tu do zasady 14 znaków i dobrego zabezpieczenia?

(1:00:32) Tomasz: Dokładnie tak. Zwłaszcza że te firmy same mocno dbają o bezpieczeństwo i często wymuszają dodatkowe potwierdzenia, np. przez smartfon albo inne natywne mechanizmy autoryzacji.

(1:00:32) Julia: Dziękuję Ci bardzo za odpowiedź. Widzę, że więcej pytań się nie pojawiło, więc myślę, że możemy powoli kończyć. Chciałabym serdecznie podziękować wszystkim, którzy byli dziś z nami. Mam nadzieję, że materiał był dla Was ciekawy. Zachęcam też do przesłuchania naszych innych webinarów związanych z IT i rynkiem pracy, które znajdziecie na profilu SOLID.Jobs na YouTubie i LinkedInie. Tomku, Tobie bardzo dziękuję za wystąpienie i mam nadzieję, że to nie było nasze ostatnie spotkanie.

(1:01:06) Tomasz: Ja również bardzo dziękuję. Było mi niezwykle miło. Życzę Państwu wspaniałego popołudnia. Dziękuję i do zobaczenia.

(1:01:06) Julia: Do usłyszenia.