Cyfryzacja wiąże się z ogromnym udogodnieniem w prowadzeniu biznesu, ale i stwarza zagrożenia dla firmy, które rosną z roku na rok. Nie ma znaczenia, czy to duża, czy mała firma, ponieważ każda z nich może stać się celem cyberprzestępców. Ci nieustannie poszukują słabych ogniw w przedsiębiorstwach, które pozwolą im zaatakować. Niestety, problem często zaczyna się od samych pracowników. Według raportu przygotowanego przez ESET i DAGMA IT 20% badanych pracowników polskich firm przyznaje, że padło ofiarą cyberataku w miejscu pracy, a aż 2/3 używa służbowego sprzętu do celów prywatnych. Te alarmujące dane wskazują, że wiele naruszeń bezpieczeństwa wynika nie z braku technologii, lecz z nieostrożnych nawyków pracowników.

Jakie zasady cyberbezpieczeństwa łamią najczęściej pracownicy?

Najczęstsze błędy popełniane przez pracowników dotyczą podstawowych praktyk bezpieczeństwa. Do najbardziej powszechnych zagrożeń należą:

• Ignorowanie aktualizacji systemu i aplikacji – aż 24% pracowników przyznaje, że ignoruje powiadomienia o dostępnych aktualizacjach oprogramowania na służbowych komputerach. Pozostawienie systemu bez poprawek otwiera drogę do wykorzystania znanych luk bezpieczeństwa.
• Zapisywanie haseł w niebezpiecznych miejscach – 20% zatrudnionych przyznaje, że zapisuje hasła do służbowych kont w łatwo dostępnych lokalizacjach, np. w przeglądarce, plikach tekstowych czy w notatnikach. Taka praktyka umożliwia atakującym szybkie uzyskanie dostępu do firmowych zasobów.
• Używanie identycznych lub prostych haseł – 29% osób przyznaje się do używania jednego, podobnego hasła do większości służbowych kont. Gdy jedno hasło zostaje złamane, napastnicy uzyskują szybki dostęp do wielu systemów firmowych.
• Udostępnianie haseł współpracownikom – chociaż 72% badanych deklaruje, że nie dzieli się hasłami, to jednak co trzeci pracownik przyznaje, że w pewnych sytuacjach udostępnia dane dostępowe. Ujawnienie hasła nawet jednemu koledze zwiększa ryzyko wycieku.
• Klikanie podejrzanych linków i załączników – mimo że 78% pracowników uważa, że nie klika linków z nieznanych źródeł, w praktyce pozostaje około jedna czwarta zatrudnionych, którzy otwierają potencjalnie zainfekowane łącza lub podejrzane załączniki. To główne źródło wielu ataków phishingowych.

Każda z wymienionych kwestii poważnie narusza firmowe procedury bezpieczeństwa. Na przykład nieusuwanie luk systemowych czy zapisanie hasła w nieszyfrowanym pliku to prosta droga do poważnego incydentu. Dlatego firmy muszą śledzić te zachowania i przeciwdziałać im przez wdrażanie technicznych środków ochronnych i regularne kontrolowanie ich przestrzegania.

Pomimo wdrażania zasad i szkoleń, błędy ludzkie nadal mogą prowadzić do poważnych incydentów cybernetycznych skutkujących wyciekiem danych, blokadą systemów lub przerwami w działalności operacyjnej. W takich przypadkach ubezpieczenie cyber może stanowić istotne wsparcie finansowe i organizacyjne, pomagając pokryć koszty reakcji na incydent, odzyskiwania danych oraz ewentualnych roszczeń osób trzecich. Polisy cyber są projektowane tak, by kompensować straty wynikające z ataków spowodowanych błędami pracowników, o ile nie były one działaniem umyślnym, i często obejmują również pomoc ekspertów IT i obsługę prawną

Jak pracownicy korzystają ze służbowego sprzętu do celów prywatnych?

Nie bez powodu 2/3 pracowników przyznaje, że używa firmowego sprzętu prywatnie – to wygodne, ale niebezpieczne. Badania pokazują, że niemal co drugi Polak loguje się na prywatne konta w mediach społecznościowych (ok. 27%) lub przegląda portale społecznościowe na sprzęcie służbowym. Aż 36% robi na firmowym komputerze prywatne zakupy online, a 37% loguje się do bankowości internetowej. Do innych popularnych rozrywek w miejscu pracy należą przeglądanie różnych serwisów, odtwarzanie muzyki czy wysyłanie prywatnych wiadomości. Takie praktyki niosą kilka poważnych zagrożeń. Przede wszystkim prywatne aktywności nie zawsze objęte są zabezpieczeniami firmowymi – pracownik może używać niezabezpieczonej sieci Wi-Fi, klikać reklamy lub instalować niezweryfikowane wtyczki. Zainfekowanie komputera podczas prywatnego przeglądania sieci przekłada się bezpośrednio na bezpieczeństwo firmowych danych. Cyberprzestępcy wykorzystują także prywatne konta w mediach społecznościowych do ataków phishingowych – fałszywe wiadomości i linki mogą pojawić się na profilu służbowym. Jak zauważa ESET, cyberzagrożenia nie zatrzymują się na granicy między życiem prywatnym a zawodowym – te same błędy (np. kliknięcie złośliwego linku) zagrażają zarówno rodzinie pracownika, jak i danym firmy [2]. Dlatego organizacje muszą jasno komunikować zasady używania sprzętu i wprowadzać techniczne ograniczenia (np. blokowanie niezaufanych witryn), aby zminimalizować ryzyko związane z prywatnym użyciem firmowego sprzętu.

Czy pracownicy mają kompetencje w zakresie cyberbezpieczeństwa?

Według raportu ESET jedynie około 40-42% pracowników uważa, że posiada wystarczające kompetencje do rozpoznania i reagowania na zagrożenia w sieci. Zaledwie 30% deklaruje, że zna zasady bezpieczeństwa na wysokim poziomie [2]. Jednocześnie wielu zatrudnionych uważa, że za ochronę cybernetyczną odpowiadają przede wszystkim specjaliści IT – aż 40% badanych uznaje cyberbezpieczeństwo za zadanie wyłącznie działu technicznego. Często pracownicy przeceniają swoją wiedzę, a rzeczywista skala niebezpiecznych praktyk jest większa. Niepokojące jest również to, że co trzeci pracownik nie wie, do kogo w firmie zgłosić podejrzany incydent cybernetyczny. Brak jasno określonego procesu zgłaszania (np. do Działu IT lub CERT) sprawia, że wiele naruszeń może pozostać niezauważonych zbyt długo. W rezultacie luka między deklarowaną świadomością a rzeczywistym przygotowaniem nadal pozostaje istotnym problemem.

Jak zwiększać świadomość cyberzagrożeń pracowników?

Podnoszenie świadomości pracowników w obszarze cyberbezpieczeństwa to proces wielotorowy. Przede wszystkim regularne szkolenia i ćwiczenia są absolutną podstawą. Tymczasem raport ESET alarmuje, że ponad połowa pracowników nie miała żadnego szkolenia z cyberbezpieczeństwa przez ostatnie 5 lat, a tylko 26% uczestniczyło w więcej niż jednym szkoleniu w tym okresie. To za mało w obliczu rosnących zagrożeń. Skuteczną praktyką jest więc prowadzenie cyklicznych, obowiązkowych szkoleń uzupełnianych krótkimi (np. kwartalnymi) sesjami microlearningu. Z danych International Journal of Advanced Research in Science, Communication and Technology wynika, że aż 85% pracowników uważa krótkie formy nauki (microlearning) za bardziej angażujące, a 75% deklaruje lepsze zapamiętywanie informacji przekazywanych w ten sposób. Ważna jest także motywacja i kontekst. Pracownicy lepiej przyswajają wiedzę, jeśli rozumieją, dlaczego zasady są istotne. Dlatego warto łączyć szkolenia z praktycznymi przykładami cyberataków (case study) i pokazywać realne konsekwencje dla firmy. Dobrym uzupełnieniem są wewnętrzne symulacje phishingu, które pozwalają testować czujność zespołu i utrwalać bezpieczne nawyki w praktyce. Nie wolno zapominać o komunikacji codziennej. Przypominanie zasad (np. w newsletterach czy podczas spotkań działu) oraz promowanie odpowiedzialności za bezpieczeństwo pomagają utrzymać czujność. Wszystko to wzmacnia kulturę bezpieczeństwa, ponieważ sama technologia, bez odpowiedniej edukacji, nie wystarczy.

Podsumowanie

Pracownicy często są najsłabszym ogniwem w łańcuchu bezpieczeństwa firmowego – ignorowanie aktualizacji, słabe hasła i prywatne używanie firmowego sprzętu to typowe błędy, które powtarzają się w wielu firmach. Klucz do poprawy sytuacji leży w edukacji i praktycznych rozwiązaniach. Regularne szkolenia, symulacje zagrożeń oraz narzędzia wspierające bezpieczeństwo (np. menedżery haseł, 2FA) mogą znacząco zmniejszyć ryzyko. Tylko kompleksowe podejście, łączące wiedzę pracowników ze sprawnymi systemami technicznymi, pozwoli zmienić deklaracje w rzeczywiste bezpieczeństwo i zabezpieczy organizację przed typowymi błędami ludzkimi.

FAQ

Co to jest phishing i jak go rozpoznać?

Phishing to metoda oszustwa polegająca na podszywaniu się pod zaufane osoby lub instytucje w celu wyłudzenia danych. Odróżnia się go po podejrzanych linkach, błędach w tekście wiadomości i proszeniu o poufne informacje. Zawsze warto sprawdzić nadawcę oraz dokładnie zweryfikować adresy URL.

Czy używanie sprzętu służbowego do celów prywatnych zawsze jest zabronione?

Zwykle regulaminy firm zakazują prywatnego użytkowania narzędzi służbowych, ale rzeczywistość bywa inna. Najlepiej jednak ograniczać takie praktyki, bo wprowadza to dodatkowe ryzyko. Jeśli pracodawca akceptuje prywatne korzystanie z firmowego urządzenia, pracownik powinien stosować się do zasad bezpieczeństwa (aktualizacje, antywirus, silne hasła).

Jakie narzędzia dodatkowo wspierają bezpieczeństwo w firmie?

Oprócz edukacji warto korzystać z technicznych zabezpieczeń. Ważne są np. menedżery haseł i wymuszanie silnych haseł, które minimalizują ryzyko wycieku oraz uwierzytelnianie dwuskładnikowe (2FA), chroniące przed użyciem skradzionych haseł. Dobre oprogramowanie antywirusowe i firewall zabezpieczają urządzenia, a regularne testy bezpieczeństwa pomagają wykryć luki, zanim zrobią to atakujący.