Szkolenia i testy phishingowe Warszawa

Co zniknęło razem z biurem otwartym pięć dni w tygodniu

Najskuteczniejszą kontrolą w dawnym biurze nie było żadne narzędzie, tylko odległość dwóch metrów. Osoba, która dostawała dziwną wiadomość, odwracała się do sąsiada i pytała, czy on też coś takiego dostał. Odpowiedź przychodziła w kilka sekund i nie wymagała od nikogo odwagi.

Przy pracy z domu ta ścieżka zamienia się w pisanie wiadomości z opisem sytuacji i czekanie na odpowiedź. To wystarczająco dużo tarcia, żeby większość ludzi zrezygnowała, zwłaszcza gdy wiadomość wygląda w miarę wiarygodnie i dotyczy czegoś pilnego. Zamiast pytania pojawia się decyzja podjęta w pojedynkę.

Dlatego program dla zespołu rozproszonego zaczynamy od czegoś, co nie wygląda na bezpieczeństwo: od udrożnienia kanału, w którym da się zapytać, nie tracąc przy tym twarzy.

Czym zastąpić pytanie zadane przez biurko

Sytuacja	Jak sprawdzano to w biurze	Co ją zastępuje w pracy rozproszonej
Dziwna wiadomość od kontrahenta	pytanie do osoby obok	kanał zespołu, w którym wystarczy wkleić zrzut
Prośba przełożonego o pilne działanie	zajrzenie do jego pokoju	telefon pod numer z książki firmowej, nie z wiadomości
Powiadomienie o udostępnionym pliku	zapytanie autora przy kawie	sprawdzenie w narzędziu zamiast klikania w odnośnik
Nowy dostawca prosi o dane	rozmowa z osobą zamawiającą	potwierdzenie u właściciela procesu, nie u nadawcy
Zmiana numeru rachunku	podejście do księgowości	zasada potwierdzania kanałem innym niż źródło prośby
Telefon od rzekomego wsparcia IT	sprawdzenie, czy ktoś taki jest w budynku	zgłoszenie zwrotne przez oficjalny kanał wsparcia
Niepewność, czy to w ogóle coś groźnego	wzruszenie ramion i pytanie mimo wszystko	przycisk zgłoszenia w programie pocztowym

Ostatni wiersz jest najważniejszy i najtańszy. Jeśli zgłoszenie wymaga napisania wiadomości z wyjaśnieniem, większość ludzi tego nie zrobi. Jeśli wymaga jednego kliknięcia, zrobi to nawet ktoś, kto nie jest pewny, czy ma rację, i o to dokładnie chodzi.

Dlaczego scenariusze biorą się z Waszych narzędzi

Test z nieznaną marką i obcym logo niczego nie mierzy, bo nikt takiej wiadomości i tak nie oczekuje. Mierzy dopiero coś, co wygląda jak ruch, przez który zespół przechodzi codziennie: powiadomienie o pliku udostępnionym przez osobę z firmy, zaproszenie na spotkanie z odnośnikiem, prośba o ponowne zalogowanie do narzędzia, którego licencja właśnie się odnawia, komunikat z systemu kadrowego o dokumentach do podpisania.

W zespole hybrydowym takich powiadomień przychodzi kilkanaście dziennie i nikt ich nie czyta uważnie, bo są tłem pracy. To jest realny punkt wejścia i to on powinien być testowany, nawet jeśli wynik pierwszej rundy będzie nieprzyjemny.

Scenariusze przygotowujemy z Wami, ustalając wcześniej, które zespoły mają w danym tygodniu zamknięcie miesiąca albo termin przetargowy. Kampania wysłana w najgorszy możliwy dzień mierzy zmęczenie, nie czujność.

Co mierzymy poza liczbą kliknięć

Dwie podstawowe liczby to odsetek osób, które kliknęły, i odsetek osób, które zgłosiły wiadomość. Druga jest ważniejsza, bo w prawdziwym zdarzeniu liczy się czas do pierwszego sygnału, a nie to, czy ktoś się pomylił.

Trzecia liczba, rzadziej spotykana, ma w firmie rozproszonej największą wartość: czas od dostarczenia wiadomości do pierwszego zgłoszenia. Jeśli zgłoszenia pojawiają się dopiero po kilku godzinach, oznacza to zwykle, że ludzie czekali, aż ktoś inny zapyta pierwszy. Skrócenie tej liczby jest efektem pracy nad kanałem, a nie nad wiedzą.

Liczby przekazujemy w ujęciu zbiorczym, a po każdej rundzie wskazujemy jedną rzecz do poprawy. Jedną, bo pięć naraz nie zostaje wdrożonych ani razu.

Kto dostaje osobną ścieżkę

Zarząd, księgowość i osoby akceptujące płatności, bo to do nich adresowane są scenariusze z pilnym poleceniem i zmianą rachunku, a pojedynczy błąd kosztuje tam najwięcej. Ta grupa dostaje krótszą serię przykładów i jedną zasadę zapisaną tak, żeby dało się ją wykonać w trzydzieści sekund: polecenie dotyczące pieniędzy potwierdza się kanałem innym niż ten, którym przyszło.

Drugą osobną grupą są nowe osoby. W Warszawie zespół zmienia się szybciej niż kalendarz szkoleń, więc krótką naukę wpinamy w pierwszy tydzień pracy, razem z resztą wdrożenia. Nowa osoba nie musi rozpoznawać każdej sztuczki, musi wiedzieć, gdzie zapytać i że nikt jej za to nie skrytykuje.

Czego ten program nie naprawi

Nie naprawi braku filtrowania poczty, którym zajmuje się ochrona poczty. Człowiek jest ostatnią kontrolą, a nie pierwszą, i nie powinien oglądać większości tego, co przychodzi.

Nie zastąpi drugiego składnika przy logowaniu, bo nawet uważna osoba kiedyś poda hasło na dobrze przygotowanej stronie. Tym zajmuje się logowanie wieloskładnikowe. Nie zastąpi też kopii i planu powrotu opisanych przy ochronie przed ransomware.

Powtarzalne szkolenia wymieniają wprost przepisy opisane przy NIS 2, a komplet warstw prowadzi jedna umowa na bezpieczeństwo IT dla firm. Terminy zajęć ustalimy przez kontakt.

Treść sprawdzona i zaktualizowana: 2 sierpnia 2026