Prawie każda firma, która przeżyła incydent bezpieczeństwa, miała już wcześniej „szkolenie z cyberbezpieczeństwa". Zwykle raz w roku, godzinna prezentacja, ktoś kliknął „dalej-dalej-dalej", zdał test, dostał certyfikat. Trzy tygodnie później ta sama osoba weszła w link „faktura od kuriera" i zaczęła się reinstalacja z backupów. To nie jest problem konkretnej osoby. To problem szkolenia, które udaje, że coś robi.
Ludzie w małych firmach nie klikają w phishing, bo są głupi. Klikają, bo mają 200 maili dziennie, terminy na wczoraj i jeden mail wygląda dokładnie jak dziesięć innych, które muszą przetworzyć. Prezentacja PowerPoint tego nie zmieni. Zmieni to program, który wygląda inaczej.
Dlaczego "szkolenie raz w roku" jest teatrem
Nasze mózgi zapominają. Krzywa zapominania Ebbinghausa mówi, że po 24 godzinach pamiętasz mniej niż połowę tego, co usłyszałeś na wykładzie. Po tygodniu — kilkanaście procent. Po miesiącu — praktycznie nic. Godzinna prezentacja o phishingu w styczniu nie ma szans obronić Cię przed czerwcowym atakiem, nawet gdyby była perfekcyjna.
Drugi problem — takie szkolenie uczy definicji, a nie odruchów. Pracownik wie, że „phishing to podszywanie się pod nadawcę", ale nie ma wyrobionego odruchu „zawsze sprawdzam domenę nadawcy przed kliknięciem załącznika finansowego". Definicje są w głowie, decyzje podejmuje ręka na myszce. Między jednym a drugim jest przepaść, której godzinna prezentacja nie przeskoczy.
Trzeci problem — nie ma sprzężenia zwrotnego. Zdałeś test, dostałeś certyfikat, koniec. Nikt nigdy nie sprawdzi, czy naprawdę potrafisz rozpoznać phishing. Firma sama sobie wystawia świadectwo dobrego ucznia i uspokaja się na kolejny rok. To działa dokładnie do momentu, w którym przestanie.
Jak powinien wyglądać realny program
Sensowny program szkoleń dla firmy 20–50 osób ma trzy elementy i żaden z nich nie jest „godzinną prezentacją raz w roku".
Micro-training co miesiąc. Piętnaście minut, jeden konkretny temat. W styczniu — jak rozpoznać podrobiony mail od kuriera. W lutym — jak sprawdzić link, zanim w niego klikniesz. W marcu — dlaczego nigdy nie wpisujesz hasła do maila w formularzu z linka. Krótkie, konkretne, jeden nawyk na raz. Ludzie faktycznie to zapamiętują, bo nie muszą łykać wszystkiego na raz.
Symulacje phishingowe co 4–6 tygodni. Nie test wiedzy — realny mail, wysłany do pracownika w normalnym dniu pracy, z realistyczną legendą. Kto kliknie, ląduje na stronie edukacyjnej, która wyjaśnia dokładnie, co przeoczył. Nikt nie zostaje wystawiony na widok publiczny, nikt nie dostaje reprymendy. Chodzi o naukę, nie o pręgierz.
Jasny kanał zgłoszeń. Przycisk „zgłoś podejrzany mail" w Outlooku (bezpośrednio w interfejsie) albo prosty adres phishing@firma.pl, do którego można przekazać wątpliwy mail w dwa kliknięcia. Każde zgłoszenie ktoś naprawdę analizuje i odpisuje pracownikowi w ciągu godziny. To druga strona tej samej medalu: uczysz ludzi rozpoznawać, ale też dajesz im drogę, żeby coś zrobili, gdy rozpoznają.
Bez tych trzech elementów jednocześnie program nie działa. Sam training bez symulacji to teoria bez praktyki. Same symulacje bez trainingu to zasadzka na pracowników. Wszystko razem bez kanału zgłoszeń oznacza, że ludzie coś zauważają, ale nie wiedzą, co z tym zrobić.
Symulacje phishingowe — jak nie zrobić z tego cyrku
Symulacje są najbardziej wrażliwą częścią programu. Zrobione źle — zniechęcą zespół, zniszczą zaufanie i zamiast uczyć, wywołają wojnę „my kontra IT". Zrobione dobrze — są najskuteczniejszym narzędziem, jakie masz.
Kilka zasad, które warto respektować:
- Nigdy nie publikujesz nazwisk osób, które kliknęły. Statystyki działowe — tak. Ranking wstydu — nigdy.
- Nigdy nie łączysz kliknięcia z premią, oceną, awansem. Kliknięcie w symulację to nie jest wykroczenie. To dane, które pokazują, gdzie potrzebujesz więcej treningu.
- Legenda musi być realistyczna, ale nie okrutna. Fałszywy mail o zwolnieniu z pracy albo o chorobie kogoś z rodziny — nie. Fałszywa faktura, fałszywa Poczta Polska, fałszywe „hasło wygasa" — tak.
- Trudność rośnie z czasem. Pierwsze symulacje niech będą do złapania na ostro (literówki, dziwne domeny). Po trzech miesiącach przechodzisz na bardziej wyrafinowane — mail od „prezesa" z prośbą o pilny przelew, mail o „nowej fakturze do zaakceptowania" wyglądający jak z Optimy.
- Zawsze jest strona lądowania edukacyjna. Kto kliknął, nie dostaje sinego ekranu, tylko krótką stronę: „to była symulacja, oto co powinno Cię zaalarmować, oto trzy rzeczy, na które zwracać uwagę następnym razem". Sześćdziesiąt sekund, konkretnie.
Narzędzia do tego są. KnowBe4, Sophos Phish Threat, Microsoft Attack Simulator wbudowany w Defender for Office 365 — wszystkie działają. Cena za użytkownika miesięcznie zwykle od kilku do kilkunastu złotych, w pakiecie z platformą do trainingów.
Przykład z życia
U jednego z naszych klientów — 22-osobowego biura rachunkowego z Warszawy, standardowy Microsoft 365, ERP Comarch Optima do fakturowania, obsługa około 180 klientów — zaczęliśmy od pomiaru wyjściowego. Wysłaliśmy symulację phishingową bez żadnego wcześniejszego trainingu, żeby zobaczyć, gdzie firma naprawdę jest.
Wynik: na 22 osoby, w 24 godziny kliknęło 9. Pięć osób poszło krok dalej i wpisało swoje dane logowania Microsoft 365 w podstawionym formularzu. Gdyby to był prawdziwy atak, atakujący miałby w ciągu dnia dostęp do skrzynek pięciu księgowych i pełnej korespondencji z klientami. Dla biura rachunkowego to praktycznie zamknięcie firmy — utrata tajemnicy zawodowej, obowiązek zgłoszenia do UODO, telefony od klientów.
Uruchomiliśmy program: 15 minut micro-trainingu w każdy pierwszy wtorek miesiąca, symulacja co 5 tygodni, przycisk „zgłoś phishing" w Outlooku. Po sześciu miesiącach powtórzyliśmy pomiar — ten sam typ symulacji, podobny poziom trudności. Kliknięć: 2 na 22 osoby. Wpisanych danych: 0. W tym samym miesiącu jedna z księgowych zgłosiła prawdziwy Business Email Compromise — mail podający się za dostawcę oprogramowania z „zaktualizowanym numerem konta bankowego". Prośba dotyczyła przelewu 47 tysięcy złotych. Zgłosiła go w 4 minuty po otwarciu. Przelew nie poszedł.
Koszt programu: około 8 zł na użytkownika miesięcznie za platformę KnowBe4 z symulacjami i biblioteką micro-trainingów, plus 2 godziny miesięcznie naszego czasu na wybór tematów i analizę wyników. W skali roku około 4 800 zł. Jeden zablokowany BEC zwrócił całą inwestycję na dziesięć lat do przodu.
Ile to naprawdę kosztuje i kto powinien to prowadzić
Dla firmy 30-osobowej realistyczny budżet wygląda tak. Platforma szkoleniowo-symulacyjna: 8–15 zł na użytkownika miesięcznie, czyli 3–6 tysięcy złotych rocznie. Osoba prowadząca program: albo wewnętrzny administrator IT (2–4 godziny miesięcznie), albo zewnętrzny partner (podobny czas w abonamencie). Sporadyczne dodatki — coroczna „większa" sesja na godzinę, aktualizacja instrukcji, przegląd polityk — kilkanaście godzin w skali roku.
Sumarycznie firma 30-osobowa zamyka się w 8–12 tysięcy złotych rocznie za program, który realnie coś zmienia. Dla porównania: pojedynczy incydent phishingowy zakończony przejęciem konta lub przelewem BEC to zwykle straty rzędu kilkudziesięciu do kilkuset tysięcy złotych, plus koszty prawne, obowiązek notyfikacji i utrata reputacji. Program spłaca się przy każdym pojedynczym zablokowanym incydencie.
Kto ma to prowadzić — najlepiej ktoś, kto nie jest tylko od IT. IT wybierze platformę, uruchomi symulacje, przygotuje raport. Ale komunikat do zespołu („to nie jest polowanie, to jest wspólny trening"), rytm miesięczny, umiejętność pochwalenia osoby, która zgłosiła prawdziwy atak — to jest praca dla kogoś, kto myśli w kategoriach kultury organizacji, nie logów. W małej firmie zwykle łączy to prezes albo dyrektor operacyjny plus wsparcie techniczne od IT (własnego lub zewnętrznego).
Od czego zacząć w Twojej firmie
Zacznij od pomiaru — nie od trainingu. Wyślij jedną symulację phishingową bez zapowiedzi, zobacz, gdzie firma naprawdę jest. To boli, ale bez tej liczby nie masz punktu odniesienia, żeby udowodnić, że program w ogóle działa.
Wybierz jedną platformę — nie porównuj pięciu przez trzy miesiące. Microsoft Attack Simulator w Defender for Office 365 jest już włączony w wielu licencjach, które i tak masz. To dobre miejsce na start.
Zaplanuj kalendarz na sześć miesięcy do przodu — sześć tematów micro-trainingu, sześć symulacji, jedna sesja zbiorcza. Wrzuć w kalendarz firmowy tak, jak spotkania zarządu. To jest praca, nie akcja jednorazowa.
Zmierz ponownie po pół roku. Porównaj z pomiarem wyjściowym. Pokaż zespołowi wykres — nie ranking wstydu, tylko trend. Ludzie lubią widzieć, że wspólnie się poprawiają. To jest ta różnica między szkoleniem, które ludzie znoszą, a programem, w który się angażują.
Godzinna prezentacja raz w roku uspokaja sumienie zarządu, ale nie chroni firmy. Chroni ją rytm: krótkie szkolenie co miesiąc, symulacja co kilka tygodni, kanał zgłoszeń w zasięgu jednego kliknięcia.