SAT | Security Awareness Training – Zwiększenie Świadomości Bezpieczeństwa

SAT (Security Awareness Training) — zmień pracowników w pierwszą linię obrony

Według corocznych raportów Verizon DBIR oraz ENISA element ludzki bierze udział w większości incydentów cyberbezpieczeństwa — od phishingu i przejęć kont, po nieumyślne wycieki danych. Klasyczny model „raz w roku prezentacja na 30 slajdów” tego nie zmienia. Skuteczny Security Awareness Training to powtarzalny program edukacyjny: kontrolowane symulacje phishingu, krótkie moduły szkoleniowe, ćwiczenia praktyczne i pomiar skuteczności w czasie, a nie jednorazowa kampania compliance.

Virtline projektuje i prowadzi programy SAT dla firm produkcyjnych, instytucji finansowych, ochrony zdrowia, energetyki oraz administracji publicznej. Wykorzystujemy KnowBe4, OpenText Core Security Awareness Training (dawniej Webroot) oraz autorską grę scenariuszową „Misja: Cyberbezpieczeństwo”. Integrujemy platformę szkoleniową z Active Directory i Microsoft 365 (SCIM), aby automatycznie przypisywać moduły do działów i ról, raportujemy postęp do menedżerów oraz dostarczamy raporty audytowe wymagane przez NIS2 art. 21, ISO/IEC 27001 A.6.3 oraz DORA art. 13.

Program prowadzimy w cyklu kwartalnym: krótka kampania phishingowa, dedykowane mikroszkolenie dla osób, które „kliknęły”, pomiar wskaźnika click-rate oraz report-rate (zgłoszone podejrzane e-maile), a następnie korekta programu na kolejny kwartał. Efekt jest mierzalny — po 3-6 miesiącach typowo obserwujemy spadek click-rate o połowę i wyraźny wzrost zgłaszania podejrzanych wiadomości.

Korzyści z programu SAT

 Mierzalny spadek click-rate na symulowanych phishingach — po 3-6 miesiącach typowo o połowę względem baseline.

 Wzrost zgłaszania podejrzanych wiadomości — pracownicy korzystają z przycisku „Zgłoś phishing” w Outlook, co skraca czas reakcji na realne kampanie.

 Zgodność z NIS2, ISO 27001 i DORA — udokumentowany program edukacyjny dla wszystkich pracowników, raporty audytowe na żądanie.

 Mniejsza liczba incydentów BEC — pracownicy księgowości szybciej wychwytują fałszywe polecenia płatnicze i prośby o zmianę numeru konta.

 Wyższa kultura bezpieczeństwa — pracownicy rozumieją, dlaczego MFA, polityka haseł i klasyfikacja danych mają znaczenie i nie obchodzą procedur.

 Tańsza polisa cyber — ubezpieczyciele cybernetyczni wymagają udokumentowanego programu SAT jako warunku polisy i obniżki składki.

 Lepsze przygotowanie do incydentu — pracownicy wiedzą, jak i komu zgłaszać podejrzane zdarzenia, co skraca MTTD i MTTR.

Jak prowadzimy program SAT — 4 etapy

Program prowadzimy w cyklu kwartalnym, z bazową oceną na starcie i powtarzalnymi pomiarami w trakcie. Każdy etap ma jasno zdefiniowany rezultat — od raportu baseline, po dashboard ryzyka dla zarządu.

1. Baseline i analiza ryzyka — kontrolowana kampania phishingowa bez zapowiedzi, identyfikacja działów i ról najbardziej narażonych, mapowanie potrzeb szkoleniowych na wymogi NIS2/ISO 27001/DORA, ustalenie celów programu i KPI.

2. Wdrożenie platformy i onboarding — integracja z Active Directory/Azure AD (SCIM), import użytkowników, konfiguracja modułów dla poszczególnych grup, przygotowanie komunikacji z zarządem i menedżerami, kampania startowa.

3. Cykl szkoleń i symulacji — regularne kampanie phishingowe, mikroszkolenia just-in-time dla osób, które „kliknęły”, moduły tematyczne (BEC, ransomware, ochrona danych osobowych, OT/SCADA), gra „Misja: Cyberbezpieczeństwo” dla wybranych grup.

4. Pomiar i optymalizacja — kwartalny raport z trendów click-rate, report-rate, frequency-rate, comparative benchmark z branżą, korekta programu na kolejny kwartał, prezentacja wyników zarządowi i komitetowi audytu.

Integracje platformy SAT, które wdrażamy

Platforma szkoleniowa musi żyć w ekosystemie tożsamości i poczty firmowej, inaczej wymaga ręcznej obsługi. Standardowo wdrażamy następujące integracje:

• Active Directory / Azure AD / Entra ID — automatyczna synchronizacja użytkowników, ról i działów przez SCIM oraz logowanie SSO przez SAML 2.0 lub OIDC
• Microsoft 365 — przycisk „Zgłoś phishing” w Outlook, integracja z Defender for Office 365, raportowanie kliknięć z symulacji
• Google Workspace — integracja z Gmail i directory, raportowanie zgłoszeń podejrzanych wiadomości
• Email Security Gateway — koordynacja z bramą pocztową (np. WatchGuard, GFI MailEssentials, PhishTitan, ClearSwift), aby symulacje docierały do skrzynek
• SIEM — eksport zdarzeń (kliknięcia, zgłoszenia, ukończenia szkoleń) do SIEM/SOC, korelacja z innymi sygnałami
• HR i LMS — wymiana statusów ukończenia z systemami HR (Workday, SAP SuccessFactors) oraz korporacyjnym LMS, jeśli organizacja go używa

SAT a NIS2, ISO 27001 i DORA — mapowanie wymogów

Świadomość i szkolenia personelu są wprost wymagane przez aktualne regulacje cyberbezpieczeństwa. Audytorzy najczęściej powołują się na poniższe odniesienia:

• Dyrektywa NIS2 (art. 21 ust. 2 lit. g) — wśród minimalnych środków zarządzania ryzykiem cyberbezpieczeństwa wymaga „podstawowych praktyk cyberhigieny i szkoleń w zakresie cyberbezpieczeństwa”. Dotyczy podmiotów kluczowych i ważnych oraz ich kierownictwa.
• ISO/IEC 27001:2022 — Załącznik A — kontrola A.6.3 Information security awareness, education and training (program świadomości i szkoleń dla wszystkich pracowników i kontrahentów) oraz A.6.5 Responsibilities after termination or change of employment.
• Rozporządzenie DORA (art. 13) — wymaga programu uczenia się i szkoleń w zakresie ICT dla całego personelu, w tym kadry zarządzającej, oraz dla kluczowych dostawców usług ICT podmiotu finansowego.
• RODO (motyw 39, art. 39 ust. 1 lit. b) — szkolenie personelu uczestniczącego w operacjach przetwarzania danych osobowych jako element rozliczalności i jeden z obowiązków IOD.

Dla kogo prowadzimy SAT?

Programy SAT prowadzimy zarówno dla dużych podmiotów regulowanych, jak i dla mniejszych firm, które dopiero budują kulturę cyberbezpieczeństwa. Najczęściej pracujemy z organizacjami z następujących sektorów:

• Sektor finansowy — banki, SKOK-i, instytucje pożyczkowe, ubezpieczyciele i podmioty objęte DORA
• Ochrona zdrowia — szpitale, przychodnie i laboratoria, gdzie pracownicy medyczni i administracja klikają w fałszywe e-skierowania i wezwania NFZ
• Produkcja i przemysł — zakłady produkcyjne, gdzie SAT pokrywa zarówno biuro (BEC, fałszywe faktury), jak i działy utrzymania ruchu (ataki na konta serwisowe OT/SCADA)
• Energetyka i sektor utilities — operatorzy sieci i podmioty objęte NIS2 jako kluczowe
• Administracja publiczna — urzędy, jednostki samorządu terytorialnego i podmioty objęte KSC oraz KSB 3.15
• Sektor usług profesjonalnych — kancelarie prawne, firmy doradcze i biura księgowe pracujące na danych klientów