Usługi wdrożeniowe
Cyberbezpieczeństwo: szkolenia
Szkolenie z cyberbezpieczeństwa jest jedynym zabezpieczeniem, które trzeba odnawiać w ludziach, a nie w systemie. Prowadzimy je na przykładach z Waszej branży i Waszych narzędzi, bo prezentacja o zagrożeniach w ogóle nie zmienia niczyjego zachowania w poniedziałek rano.
Dwa różne szkolenia, nie jedno
Zespół i kierownictwo potrzebują innej treści, bo podejmują inne decyzje. Rozdzielenie tych dwóch grup jest też wprost widoczne w przepisach:
- Zespół: rozpoznawanie prób wyłudzenia, bezpieczna praca z pocztą i plikami, hasła i uwierzytelnianie wieloskładnikowe, praca zdalna, zgłaszanie podejrzeń bez obawy o konsekwencje.
- Kierownictwo: odpowiedzialność za bezpieczeństwo w organizacji, decyzje o ryzyku, obowiązki wynikające z przepisów, przebieg reakcji na poważny incydent.
Kiedy szkolenie jest obowiązkiem, nie dobrą praktyką
W kilku miejscach przepisy wymagają szkolenia wprost i wymagają też dowodu, że się odbyło. Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa nakłada na kierownika podmiotu kluczowego lub ważnego oraz na osobę, której powierzono obowiązki w zakresie cyberbezpieczeństwa, obowiązek szkolenia raz w roku kalendarzowym. Art. 4 AI Act wymaga zapewnienia kompetencji w zakresie AI wszystkim osobom, które w firmie korzystają z narzędzi AI; ten temat prowadzimy w ramach szkoleń AI. Jeżeli szkolenie ma pełnić rolę dowodu, dokumentacja jest częścią usługi, nie dodatkiem.
Jak prowadzimy zajęcia
Przed szkoleniem pytamy o realia: z jakich narzędzi korzysta zespół, jak wygląda obieg faktur, kto ma dostęp do płatności, czy zdarzały się już próby wyłudzenia. Z tego powstają scenariusze omawiane na zajęciach. Zajęcia prowadzimy stacjonarnie albo online, w grupach na tyle małych, żeby dało się zadawać pytania. Kończymy sprawdzianem, bo bez niego nie ma ani dowodu, ani informacji zwrotnej o tym, co nie zostało zrozumiane.
Kontrolowane testy phishingowe
Na życzenie prowadzimy kontrolowaną kampanię testową, żeby zmierzyć realną podatność zespołu przed szkoleniem i po nim. Robimy to wyłącznie na podstawie pisemnego zlecenia od pracodawcy, po uzgodnieniu zasad informowania pracowników i z wynikami raportowanymi zbiorczo, nie imiennie. Test, który służy do wskazywania winnych, uczy wyłącznie tego, żeby nie zgłaszać incydentów.
Co dostajesz
- Program szkolenia dopasowany do Waszych narzędzi i procesów, ustalony przed zajęciami.
- Zajęcia dla zespołu i osobne dla kierownictwa, stacjonarnie albo online.
- Materiały do samodzielnego powtórzenia po szkoleniu, w języku polskim.
- Sprawdzian wiedzy wraz z wynikiem zbiorczym dla organizacji.
- Listę obecności z datą i imienne potwierdzenia udziału.
- Krótkie podsumowanie dla kierownictwa: co zespół umie, a co wymaga powtórzenia.
Przebieg współpracy
Etap 1
Rozpoznanie realiów
Krótka rozmowa o narzędziach, procesach i wcześniejszych incydentach. Bez tego szkolenie byłoby zbiorem ogólnych porad.
Etap 2
Program
Ustalamy zakres, podział na grupy, formę i terminy. Jeśli szkolenie ma pełnić rolę dowodu, ustalamy też sposób dokumentowania.
Etap 3
Zajęcia
Szkolenie zespołu i osobne dla kierownictwa. Scenariusze pochodzą z Waszej branży, nie z ogólnego katalogu zagrożeń.
Etap 4
Sprawdzian i dokumentacja
Sprawdzian wiedzy, potwierdzenia udziału, lista obecności i podsumowanie dla kierownictwa razem z rekomendacją, co powtórzyć.
Zapytaj o wycenę
Wycena jest indywidualna i zależy od zakresu. Po wypełnieniu formularza odzywamy się z pytaniami uzupełniającymi albo od razu z propozycją zakresu.
Zapytaj o szkolenie
Wycena zależy od wielkości grupy i zakresu. Te pola pozwolą nam przygotować konkretną propozycję.
Zgłoszenie przyjęte.
Odezwiemy się z propozycją programu i terminów albo z pytaniami, które pozwolą je doprecyzować.
Najczęściej zadawane pytania
Ile trwa szkolenie?
Zależy od zakresu i wielkości grupy, dlatego ustalamy to po rozmowie o realiach. Krótsza forma dla zespołu obejmuje zwykle podstawy rozpoznawania wyłudzeń i bezpiecznej pracy z pocztą. Szersza dodaje pracę zdalną, obsługę danych klientów i procedurę zgłaszania incydentów. Kierownictwo ma osobne, krótsze zajęcia o innej treści.
Czy potwierdzenie udziału to certyfikat urzędowy?
Nie. To dokument wystawiony przez nas, potwierdzający udział w szkoleniu i jego zakres. Nie jest to certyfikat państwowy ani dokument wydany przez organ nadzoru i nie ma takiej mocy. Ma natomiast realną wartość jako element dokumentacji: pokazuje, kiedy i czego szkolenie dotyczyło.
Czy szkolimy też osoby nietechniczne?
Tak, i to jest zwykle najważniejsza grupa. Większość realnych naruszeń zaczyna się w księgowości, sprzedaży albo w sekretariacie, a nie w zespole IT. Zajęcia prowadzimy bez żargonu i bez zakładania wiedzy technicznej.
Jak często powtarzać szkolenie?
Tam, gdzie przepis to określa, rytm wynika z przepisu: nowelizacja ustawy o KSC wymaga szkolenia kierownictwa raz w roku kalendarzowym. Poza tym warto wracać do tematu przy zmianie narzędzi, po incydencie i przy większej rotacji w zespole. Nie podajemy tu innej liczby jako reguły, bo byłaby wymyślona.