Cyberbezpieczni użytkownicy – klucz do bezpiecznego IT

10.06.2025

W 2024 roku podobnie jak w ciągu ostatnich kilku lat obserwowaliśmy znaczny wzrost ataków, których wektorem jest użytkownik końcowy. W związku z tym, że standardem w firmach i organizacjach stają się zaawansowane technologie wspierające ochronę przed zagrożeniami, coraz częściej ogólna jakość zabezpieczeń definiowana jest przez zachowania i praktyki stosowane przez pracowników.

Świadomość i wiedza na temat cyberzagrożeń powinna być traktowana podobnie jak każdy inny element systemu bezpieczeństwa. Podobnie jak Administratorzy dążą do tego, aby wdrożone w warstwie technicznej narzędzia posiadały zawsze najnowszą wersję oprogramowania oraz weryfikują je pod kątem znanych podatności, tak również w obszarze użytkowników końcowych nie należy zapominać o aktualizacji ich wiedzy oraz okresowej weryfikacji zachowań w zderzeniu z potencjalnym incydentem. Zarządzając cyberbezpieczeństwem w organizacji warto zwrócić uwagę na ten istotny aspekt tak, żeby zminimalizować ryzyko błędu ludzkiego.

1. Inwentaryzacja technologii 

Sprawdź czy dostarczasz pracownikom właściwe narzędzia do bezpiecznej pracy!

Dziś każdy z nas wykorzystuje liczne systemy informatyczne nie tylko w sferze służbowej, ale również prywatnej. Zagrożenia z jakimi stykamy się korzystając z social mediów czy prywatnej poczty są często spójne z tymi, przed którymi musimy strzec się w trakcie naszej pracy. Coraz częściej użytkownicy decydują się na wdrożenie narzędzi w obszarze cyberbezpieczeństwa do zapewnienia ochrony swoich prywatnych danych. Warto zadbać o to, żeby popularne wśród pracowników technologie zostały wdrożone również w naszej organizacji. Managery haseł czy MFA wykorzystujące aplikację w telefonie może stanowić wygodną linię obrony, a dużo łatwiej wdrożyć standard wtedy, kiedy staje się on nawykiem pracowników wykorzystywanym również „po godzinach”.

2. Zasady, regulaminy i procedury 

Bezpieczeństwo informacji i odpowiedni standard pracy!

Szczegółowa analiza incydentów bezpieczeństwa związanych z nieprawidłowymi zachowaniami użytkowników jasno wskazuje, że w większości przypadków błędem było działanie niezgodne z dobrymi praktykami bądź odbiegające od przyjętych standardów. Warto sprawdzić czy nasza organizacja nie tylko posiada precyzyjnie opisane procedury i zasady działania w sferze ochrony danych, ale również czy nasi pracownicy są z nimi zaznajomieni. Nawet najlepszy regulamin uwzględniający zarówno wymagania działu bezpieczeństwa jak i możliwości pracowników nie zagwarantuje nam odpowiedniej skuteczności wtedy, kiedy pracownicy nie będą go znać. Co więcej, precyzyjne wytyczne i ścieżka zachowań w sytuacji awaryjnej związanej z incydentem mogą w mierzalny sposób zminimalizować konsekwencje zdarzenia. Jak pokazuje praktyka – w wielu organizacjach to brak precyzyjnych wytycznych i wiedzy pracowników na ich temat ma ogromny wpływ na bezpieczeństwo.

3. Badanie świadomości użytkowników 

Czy zespół wie jak odeprzeć atak?

Wiedza i znajomość procedur to tylko jeden z aspektów, o który warto zadbać w obszarze bezpieczeństwa użytkowników końcowych. Kolejnym bardzo istotnym elementem jest umiejętność działania zgodnie z przyjętymi zasadami w sytuacjach nagłych i awaryjnych. Pracownicy biurowi każdego dnia są narażeni na wiele różnych form ataków. Wysoki poziom czujności i krytyczna analiza treści jakie są im dostarczane z zewnętrznych źródeł powinien więc stać się nawykiem, który pozwoli na skuteczne przeciwdziałanie zagrożeniom. Analiza zachowania pracowników podczas ataku pozwala na ocenę ich umiejętności wykrywania zagrożeń, wiedzy na temat najlepszych praktyk w sytuacji awaryjnej oraz wnioski dotyczące jakości ochrony w tym zakresie.  Badanie świadomości użytkowników pozwala nam na uzyskanie odpowiedzi na istotne pytania tj.

  • Czy użytkownicy potrafią rozpoznawać znane i proste formy ataków socjotechnicznych?
  • Czy są odporni na wybraną formę zagrożenia?
  • Czy wiedzą w jaki sposób, zgodnie z procedurą należy postępować w sytuacji, w której atak zostanie wykryty?

Sama weryfikacja może przybierać wiele form. Ta najpopularniejsza to symulacja ataku phishingowego z wykorzystaniem poczty elektronicznej, która pozwala na objęcie badaniem największą grupę użytkowników. Warto jednak rozszerzyć katalog stosowanych symulacji o inne rodzaje zagrożeń jak np.

  • Vishing – metoda polegająca na podszyciu się pod instytucję bądź inną osobę w celu nakłonienia do udzielenia informacji,
  • Smishing – atak phishingowy z wykorzystaniem wiadomości SMS,
  • USB Killer – umieszczenie w otwartej przestrzeni pendrive z plikiem rejestrującym lokalizację i czas jego uruchomienia
    ailgating – próba wejścia do zamkniętej strefy firmy przez osoby nieuprawnione,
  • Quid Pro Quo – kontakt niezautoryzowanej osoby, która oferuje korzyść w zamian za przekazanie danych dostępowych.

Symulacja ataku to metoda coraz częściej stosowana również jako uzupełnienie szkoleń w zakresie cyberbezpieczeństwa stanowiąc formę weryfikacji nabytej wiedzy i umiejętność wykorzystania jej w praktyce.

4. Szkolenia z cyberbezpieczeństwa

Aktualizacja wiedzy i dostęp do najnowszych informacji w zakresie cyberbezpieczeństwa
Najpopularniejszą metodą podniesienia kompetencji pracowników w zakresie ochrony przed atakami socjotechnicznymi są szkolenia z cyberbezpieczeństwa. Niestety często ich forma i sposób organizacji sprawia, że nie stanowią dużej wartości dla użytkowników, a są odbierane jako obowiązek i formalność. Planując szkolenia w obszarze cyberbezpieczeństwa warto zwrócić uwagę na kilka istotnych elementów:

  • Forma szkoleń – spotkania z trenerem „na żywo” pozwalają skupić znacznie większą uwagę uczestników niż szkolenia online. Również ich udział w takim spotkaniu może być znacznie większy. Choć koszt szkoleń w siedzibie firmy może być nieco wyższy to taka forma pozwala na uzyskanie znacznie lepszych efektów.
  • Czas trwania szkolenia – wygospodarowanie odpowiedniej ilości czasu w ciągu dnia to zawsze spore wyzwanie dla zajętej swoimi codziennymi obowiązkami kadry. Czas trwania spotkań z trenerem powinien uwzględniać takie czynniki jak dostępność pracowników i ich możliwości czasowe, ale jednocześnie pozwalać na szczegółowe omówienie zagadnień.
  • Merytoryka szkolenia – tematyka szkolenia powinna uwzględniać wszelkie zagadnienia z jakimi pracownik może spotkać się w swojej codziennej pracy. Warto wziąć pod uwagę narzędzia z jakich użytkownicy korzystają oraz zasady i standardy do których powinni się stosować.
    Interakcja z zespołem – nikt lepiej nie zna metodyki pracy konkretnego zespołu niż jego członkowie. W  trakcie szkoleń warto zadbać o to, żeby mogli oni wyrazić swoją opinię i zadać pytania w kwestiach szczególnie dla nich istotnych.
  • Ocena wiedzy po szkoleniu – analiza skuteczności szkolenia to bardzo istotny element, który może mieć duży wpływ na formę szkoleń w przyszłości. Warto sprawdzić czy spotkanie pozwoliło realnie podnieść poziom wiedzy pracowników np. poprzez test wiedzy bądź otwartą dyskusję na tematy poruszone podczas spotkania.
  • Cykliczność szkoleń – dynamiczna ewolucja cyberzagrożeń sprawia, że wiedza jaką przekażemy pracownikom w ramach jednego cyklu spotkań może się bardzo szybko dezaktualizować. W tym obszarze niezbędna okazuje się regularna aktualizacja wiedzy.

Świadomość i wiedza użytkowników może stanowić najbardziej wydajną formę zabezpieczenia, a jednocześnie ta warstwa zabezpieczeń jest często pomijana w organizacjach. Warto pamiętać o tym, że jakość cyberbezpieczeństwa budowana jest nie tylko przez obszar techniczny czy organizacyjny, ale również przez świadomą kadrę użytkowników końcowych.