Szkolenia Security Awareness w 2026 r.: co mówi nauka, co działa i jak mierzyć efekt

Co pokazują badania

Najważniejsza zmiana w podejściu do awareness polega na odejściu od mierzenia obecności na szkoleniu na rzecz mierzenia zachowania i zdolności organizacji. NIST SP 800-50 Rev. 1 z 2024 r. opisuje program uczenia się jako cykl powiązany z ryzykiem, kulturą, rolami i oceną efektu, a nie jako katalog kursów do odhaczenia.^[3]

Jednym z najbardziej użytecznych badań terenowych dotyczących trwałości efektu jest praca Reinheimera i współautorów przedstawiona na SOUPS 2020. W niemieckiej organizacji administracji publicznej przebadano 409 pracowników. Bezpośrednio po programie oraz po czterech miesiącach uczestnicy istotnie lepiej rozpoznawali wiadomości phishingowe i legalne. Po sześciu miesiącach poprawa względem stanu początkowego nie była już istotna. Autorzy wskazali więc pół roku jako rozsądny moment przypomnienia w badanej organizacji.^[4]

To nie jest dowód na uniwersalny prawny obowiązek szkolenia co sześć miesięcy. Jest natomiast mocnym argumentem przeciwko założeniu, że jednorazowy kontakt z materiałem będzie skuteczny przez wiele lat.

W tym samym badaniu porównano cztery formy przypomnienia. Materiały wideo i interaktywne przykłady wypadły najlepiej, a efekt utrzymywał się przez co najmniej kolejne sześć miesięcy.^[4] Wynik wspiera programy oparte na krótkich, powtarzanych interwencjach zamiast jednego długiego szkolenia raz w roku.

Bullée i współautorzy przeanalizowali 74 opisane scenariusze skutecznych ataków socjotechnicznych. Podzielili je na 142 kroki ataku, w których zidentyfikowano 180 wystąpień zasad perswazji. Autorytet był najczęściej wykorzystywaną zasadą: jako pojedyncza zasada pojawił się w 76 ze 142 kroków, czyli w 53,5%, a po uwzględnieniu wszystkich kombinacji odpowiadał za około 63% wystąpień zasad perswazji.^[5]

To rozróżnienie jest ważne. Z tego badania nie wynika, że "63% ataków wykorzystuje autorytet". Analizowano scenariusze opisane w czterech książkach i poszczególne kroki interakcji, a nie reprezentatywną populację wszystkich incydentów. Wniosek praktyczny pozostaje jednak wartościowy: szkolenie powinno uczyć rozpoznawania mechanizmów manipulacji, takich jak presja autorytetu, a nie tylko wyglądu konkretnego e-maila.

Praca Lalliego i współautorów dotycząca ataków z okresu COVID-19 pokazuje z kolei, jak szybko przestępcy wykorzystują zmianę kontekstu społecznego i organizacyjnego.^[6] Materiał szkoleniowy powinien więc reagować na rzeczywiste kampanie, zmiany sposobu pracy i nowe technologie, a nie być przez kilka lat niezmiennym zestawem przykładów.

Czego uczyć

Dobór treści powinien wynikać z ryzyka organizacji, incydentów, zgłoszeń użytkowników, zmian technologicznych i zagrożeń sektorowych. ENISA Threat Landscape może dostarczyć kontekstu europejskiego, ale dane własnego SOC, helpdesku, poczty i zespołu reagowania są jeszcze ważniejsze, bo pokazują, co naprawdę trafia do konkretnej organizacji.^[7]

Typowy rdzeń programu obejmuje:

• socjotechnikę, w tym phishing, BEC, rozmowy telefoniczne, komunikatory i podszywanie się pod przełożonych lub dostawców;
• uwierzytelnianie, menedżery haseł, MFA i zasady postępowania z prośbami o kody lub zatwierdzenie logowania;
• bezpieczne obchodzenie się z informacjami i danymi osobowymi;
• zgłaszanie incydentów, błędów, utraty urządzenia i podejrzanych wiadomości;
• pracę zdalną i mobilną;
• korzystanie z usług chmurowych, narzędzi współdzielenia plików i aplikacji SaaS;
• bezpieczne korzystanie z generatywnej AI i zasady dotyczące danych wprowadzanych do modeli;
• treści zależne od roli, na przykład dla finansów, kadr, administratorów, helpdesku i kierownictwa.

Nie każdy pracownik musi znać szczegóły CVSS, konfiguracji Kerberosa czy obowiązki CSIRT. Program staje się skuteczniejszy, gdy wiedza odpowiada decyzjom, które dana osoba rzeczywiście podejmuje. Księgowa potrzebuje umiejętności rozpoznania zmiany numeru rachunku w korespondencji z dostawcą, a administrator wiedzy o tym, jak wygląda próba przejęcia sesji uprzywilejowanej.

Awareness, szkolenie i ćwiczenia to różne rzeczy

Nie każda forma uczenia służy temu samemu celowi, a mieszanie ich w jednym worku jest częstym powodem rozczarowania programem.

• Krótki komunikat podnosi świadomość nowej kampanii. Nie uczy umiejętności, ale skraca czas reakcji, gdy kampania właśnie trwa.
• Szkolenie uczy konkretnej umiejętności i powinno kończyć się czynnością, którą uczestnik potrafi wykonać.
• Symulacja phishingu sprawdza reakcję w określonym scenariuszu. Jest pomiarem, nie kursem.
• Ćwiczenie tabletop bada współpracę ról podczas incydentu: kto decyduje, kto informuje, kto uruchamia procedurę.
• Cyber range sprawdza umiejętności techniczne zespołu w środowisku zbliżonym do produkcyjnego.

NIST SP 800-50 Rev. 1 traktuje te elementy jako część szerszego programu uczenia się i zaleca cykl obejmujący planowanie, realizację, ocenę i doskonalenie.^[3] Nie ma powodu, aby sprowadzać cały program do jednej platformy e-learningowej.

Symulacja phishingu i jak używać jej uczciwie

Symulacja phishingu jest narzędziem diagnostycznym, nie rankingiem pracowników. Wynik zależy od trudności scenariusza, grupy docelowej, pory wysyłki, wcześniejszych kampanii, kanału, sposobu raportowania i tego, czy użytkownicy rozpoznają wzorzec testowy.

Dlatego sam click rate jest słabym wskaźnikiem do porównań między organizacjami. Nie istnieje jeden naukowo uzasadniony próg, poniżej którego można ogłosić dojrzałość. Wynik 0% kliknięć może oznaczać bardzo dobrą odporność, ale może też oznaczać banalny scenariusz, rozpoznawalnego nadawcę symulacji albo wcześniejsze uprzedzenie uczestników. Trzeba interpretować go wraz z kontekstem.

Warto mierzyć co najmniej:

• odsetek osób, które wykonały niepożądaną czynność;
• odsetek osób, które prawidłowo zgłosiły podejrzaną wiadomość;
• czas do pierwszego i do kolejnych zgłoszeń;
• liczbę zgłoszeń fałszywie dodatnich, aby oceniać obciążenie procesu;
• zmianę wyniku tej samej klasy scenariusza w czasie;
• zachowanie w realnych incydentach, jeśli można je mierzyć bez naruszania prywatności i zaufania.

Report rate i click rate opisują różne rzeczy. Zgłoszenie jest szczególnie wartościowe operacyjnie, bo może uruchomić analizę i ochronę pozostałych użytkowników, zanim kampania rozwinie się w organizacji. Nie oznacza to jednak, że report rate zawsze jest jedyną najważniejszą metryką. Organizacja powinna mierzyć zestaw wskaźników powiązanych z własnymi celami.

Nie karać za samo zgłoszenie błędu

Program, w którym pracownik obawia się zgłoszenia własnej pomyłki, utrudnia reakcję. Jeśli ktoś kliknął link, podał hasło albo zatwierdził logowanie MFA, najważniejsze jest szybkie zgłoszenie, aby można było zmienić poświadczenia, unieważnić sesje i ograniczyć skutki. Godzina zwłoki bywa różnicą między odzyskaniem konta a incydentem wymagającym zgłoszenia organowi nadzorczemu.

Nie oznacza to braku odpowiedzialności. Powtarzające się ignorowanie jasnych zasad może wymagać działań zarządczych. W pierwszej kolejności warto jednak ustalić przyczynę: niezrozumiałą procedurę, złą konfigurację procesu, presję czasu, błędny wzorzec zachowania albo brak wiedzy. Celem awareness jest ograniczenie ryzyka, a nie poprawa statystyki kosztem ukrywania błędów.

Szkolenie po incydencie

Incydent jest dobrym materiałem edukacyjnym, jeśli organizacja potrafi go zanonimizować i wyciągnąć wnioski bez publicznego piętnowania osoby. Pracownik łatwiej rozumie scenariusz, który wydarzył się w jego środowisku, niż abstrakcyjny przykład z innego sektora.

Wnioski po incydencie powinny wpływać nie tylko na szkolenie. Jeśli użytkownik mógł wykonać niebezpieczną czynność dlatego, że proces pozwalał na nią bez dodatkowej weryfikacji, trzeba poprawić także technologię lub procedurę. Edukacja nie może być zastępstwem dla zabezpieczenia, które da się rozsądnie zautomatyzować: potwierdzenia zmiany numeru rachunku drugim kanałem nie zastąpi żadne szkolenie.

Wymagania KSC i NIS2

NIS2 rozdziela dwa poziomy. Art. 20 ust. 2 wymaga szkolenia członków organów zarządzających podmiotów kluczowych i ważnych oraz zachęca do regularnego oferowania podobnych szkoleń pracownikom. Art. 21 ust. 2 lit. g obejmuje podstawowe praktyki cyberhigieny i szkolenia w zakresie cyberbezpieczeństwa jako element zarządzania ryzykiem.^[8]

W Polsce podstawowym kryterium jest obowiązująca ustawa o krajowym systemie cyberbezpieczeństwa. Po nowelizacji obowiązującej od 3 kwietnia 2026 r. ustawa przewiduje między innymi coroczne, udokumentowane szkolenie kierownika podmiotu kluczowego lub ważnego oraz osoby, której powierzono kierowanie zadaniami z zakresu cyberbezpieczeństwa, w zakresie określonym ustawą.^[9] Nie należy z tego wyprowadzać jednego obowiązkowego czasu trwania ani jednego formatu szkolenia: przepis wskazuje cykl i zakres merytoryczny, a nie liczbę godzin.

Dla części podmiotów cyfrowych bezpośrednio stosowane rozporządzenie wykonawcze (UE) 2024/2690 idzie dalej. Wymaga programu podnoszenia świadomości zaplanowanego w czasie, powtarzanego, obejmującego nowych pracowników i aktualizowanego zgodnie ze zmianami zagrożeń. W stosownych przypadkach skuteczność programu ma być testowana.^[10] To jest już wymaganie procesowe, a nie deklaracja, i tak też powinno być badane w audycie KSC/NIS2.

KRI: szkolenia jako element systemu

§ 19 rozporządzenia w sprawie Krajowych Ram Interoperacyjności wymaga zapewnienia osobom zaangażowanym w proces przetwarzania informacji odpowiednich szkoleń dotyczących zagrożeń, skutków naruszeń, odpowiedzialności prawnej i stosowania środków zapewniających bezpieczeństwo informacji.^[11] KRI nie ustanawia jednego uniwersalnego formatu, czasu trwania ani platformy.

W audycie KRI liczy się więc dowód, że program odpowiada rolom i ryzyku, że osoby objęte obowiązkiem rzeczywiście w nim uczestniczą i że materiał jest aktualny. Lista obecności sprzed trzech lat spełnia formalną przesłankę i nie mówi nic o skuteczności.

DORA: moduły obowiązkowe w sektorze finansowym

DORA wymaga od podmiotów finansowych programów świadomości bezpieczeństwa ICT i szkoleń dotyczących cyfrowej odporności operacyjnej jako obowiązkowych modułów w programie szkolenia personelu. Obejmują one wszystkich pracowników i kadrę kierowniczą, a poziom złożoności ma odpowiadać ich funkcjom. W stosownych przypadkach program może objąć również dostawców ICT.^[12]

To wymóg bardziej konkretny niż ogólne zalecenie "szkolmy ludzi". Audyt powinien sprawdzić zakres populacji, dostosowanie do roli, aktualność treści i związek z ramami zarządzania ryzykiem ICT. Sam fakt zakupu platformy szkoleniowej nie odpowiada na żadne z tych pytań.

RODO i prywatność

RODO nie ustanawia ogólnego, corocznego kursu privacy awareness dla każdego pracownika. Szkolenie może jednak być ważnym środkiem organizacyjnym z art. 24 i 32. Ponadto do zadań inspektora ochrony danych należy między innymi zwiększanie świadomości i szkolenie personelu uczestniczącego w operacjach przetwarzania oraz powiązane z tym audyty.^[13]

Treść powinna być dopasowana do roli. Dział HR potrzebuje wiedzy o danych kandydatów i pracowników, marketing o podstawach komunikacji i profilowania, a administrator systemu o dostępie, logowaniu, kopiach i incydentach. Jeden wspólny kurs "RODO dla wszystkich" zwykle nie odpowiada na żadne z tych pytań w sposób umożliwiający podjęcie decyzji.

AI literacy a security awareness

Art. 4 AI Act wymaga od dostawców i podmiotów stosujących systemy AI podejmowania środków zapewniających, w możliwie największym zakresie, odpowiedni poziom kompetencji w zakresie AI personelu i innych osób zajmujących się obsługą i używaniem systemów AI w ich imieniu. Przepis stosuje się od 2 lutego 2025 r.^[14]

W 2026 r. zmieniono terminy stosowania części przepisów dotyczących systemów wysokiego ryzyka, ale zmiana ta nie odsunęła art. 4, który znajduje się w rozdziale I.^[15] Kompetencje w zakresie AI są więc wymagane już teraz, niezależnie od przesunięć w rozdziale III.

AI literacy i security awareness mają część wspólną, ale nie są tym samym. W module bezpieczeństwa warto omówić:

• jakie informacje wolno wprowadzać do zatwierdzonych narzędzi AI;
• ryzyko ujawnienia danych, tajemnic i kodu źródłowego;
• możliwość prompt injection i manipulacji treścią pochodzącą z zewnętrznych źródeł;
• konieczność weryfikacji odpowiedzi modelu;
• uprawnienia agentów i integracji wykonujących działania w systemach;
• proces zgłaszania niebezpiecznego zachowania narzędzia.

Nie należy jednak przedstawiać tych tematów jako pełnej realizacji wszystkich obowiązków AI Act. Art. 4 obejmuje kompetencje w zakresie AI szerzej niż samo bezpieczeństwo informacji.

Jak szkolić kierownictwo

Kierownictwo nie potrzebuje skróconej wersji szkolenia pracownika. Potrzebuje wiedzy koniecznej do podejmowania decyzji: profilu ryzyka, odpowiedzialności, skutków biznesowych, zależności od dostawców, ciągłości działania, terminów raportowania i sposobu oceny skuteczności zabezpieczeń.

Dobrze działa format oparty na scenariuszu. Zamiast omawiać definicje, można przedstawić sytuację: sobota, godzina 03:20, podejrzenie szyfrowania serwerów, brak pewności, czy doszło do wycieku danych, a dostawca SOC prosi o zgodę na izolację krytycznego systemu. Kierownictwo musi zdecydować, kto ma mandat, kto uruchamia procedurę, jakie informacje są potrzebne i jakie zegary prawne mogą się właśnie rozpoczynać.

Nie ma podstaw do twierdzenia, że ustawowo szkolenie zarządu ma trwać dwie, cztery albo osiem godzin. Czas powinien wynikać z zakresu, roli i celu, a dowodem nie jest faktura, lecz dokumentacja pozwalająca wykazać uczestników, termin i zakres merytoryczny.

Jak mierzyć cały program

Najbardziej użyteczny zestaw metryk łączy dane o zasięgu, zachowaniu i wyniku:

• pokrycie populacji i ról wymagających szkolenia;
• terminowość ukończenia wymaganych modułów;
• wyniki kontroli wiedzy, ale nie jako jedyny wskaźnik;
• zachowanie w kontrolowanych symulacjach;
• odsetek i czas zgłoszeń;
• jakość zgłoszeń i obciążenie procesu triage;
• liczbę incydentów, w których czynnik ludzki odegrał rolę, z rozróżnieniem rodzaju błędu;
• realizację działań naprawczych po incydentach;
• wyniki powtórnych pomiarów wiedzy lub zachowania w czasie.

Metryka powinna prowadzić do decyzji. Jeśli organizacja od lat raportuje, że "100% pracowników ukończyło szkolenie", ale nie zmienia treści po nowych incydentach i nie mierzy zachowania, wskaźnik potwierdza wyłącznie administracyjne wykonanie zadania. Taki program przechodzi kontrolę dokumentów i nie zmienia ryzyka.

Częstotliwość: nie ma jednej liczby dla wszystkich

Badanie Reinheimera uzasadnia przypomnienie około sześciu miesięcy po określonym programie w badanej administracji.^[4] NIST zaleca podejście cykliczne i dostosowane do ryzyka.^[3] DORA i część regulacji wykonawczych do NIS2 wymagają programów powtarzanych lub regularnych.^[10][12] KSC ustanawia roczny cykl dla szkolenia kierownictwa w zakresie określonym ustawą.^[9]

Z tych źródeł nie wynika jednak jeden uniwersalny harmonogram dla całego programu. Rozsądny model może łączyć onboarding, krótkie komunikaty reagujące na bieżące kampanie, okresowe moduły, ćwiczenia i szkolenie zależne od roli. Częstotliwość należy zwiększyć po istotnych zmianach organizacyjnych lub technologicznych oraz wtedy, gdy pomiar pokazuje zanik efektu.

Język i dostępność

Nie istnieje ogólny przepis cyberbezpieczeństwa mówiący, że każde szkolenie pracownika wykonującego pracę w Polsce musi być prowadzone wyłącznie po polsku. Materiał musi być zrozumiały dla odbiorców i pozwalać im prawidłowo wykonywać obowiązki. W organizacji wielojęzycznej naturalnym rozwiązaniem jest przygotowanie wersji odpowiadających rzeczywistym językom pracy.

Audyt powinien pytać nie o formalną obecność polskiej wersji, lecz o to, czy osoby objęte programem rzeczywiście rozumieją wymagania, kanały zgłoszeń i oczekiwane zachowanie. To samo dotyczy dostępności: materiał, którego nie da się obejrzeć na telefonie służbowym w hali produkcyjnej, nie dotrze do części pracowników niezależnie od języka.

Najczęstsze błędy

1. Jedna długa prezentacja raz w roku bez pomiaru utrzymania efektu. Badania pokazują, że efekt słabnie w miarę upływu miesięcy, a nie po dwunastu miesiącach naraz.
2. Program zbudowany wyłącznie wokół phishingu. Phishing pozostaje ważny, lecz czynnik ludzki obejmuje także błędy konfiguracji, niewłaściwe udostępnianie, obsługę danych, korzystanie z urządzeń, zgłaszanie incydentów i zachowanie administratorów.
3. Szkolenie identyczne dla wszystkich ról. Kierownik, księgowy, administrator i recepcja podejmują inne decyzje i potrzebują innych umiejętności.
4. Uzależnienie oceny programu od jednego click rate. Ten wskaźnik zależy od trudności scenariusza i sam z siebie nie opisuje odporności organizacji.
5. Karanie w sposób, który zniechęca do szybkiego zgłoszenia błędu. Cichy błąd jest znacznie droższy niż zgłoszony.
6. Kupienie platformy i uznanie, że sama platforma stanowi program. Narzędzie może automatyzować dystrybucję, kampanie i raportowanie, ale nie wybierze za organizację właściwych zachowań, ról i reakcji.
7. Używanie benchmarków dostawcy jako naukowego progu dojrzałości. Dane dostawcy mogą być przydatne operacyjnie, ale opisują określoną populację klientów i metodykę. Własny trend oraz badania recenzowane dają uczciwszą podstawę wnioskowania.