E-learning cyberbezpieczeństwo

E-learning z cyberbezpieczeństwa to forma nauki online, w której pracownik samodzielnie przechodzi moduły o cyberzagrożeniach i zasadach bezpiecznej pracy, udostępnione na platformie szkoleniowej i dostępne w dowolnym momencie, bez udziału trenera prowadzącego zajęcia na żywo. Kurs łączy krótkie lekcje wideo z testami wiedzy, a każde ukończenie zapisuje się w systemie jako dokumentacja przebytego szkolenia.

Ta forma edukacji w zakresie cyberbezpieczeństwa odpowiada za przekazanie podstaw cyberbezpieczeństwa – rozpoznawania prób ataku, higieny haseł, ochrony danych i reagowania na incydenty. Szkolenia cybersecurity w tym formacie skalują się na całą organizację i wyrównują standard bezpieczeństwa cyfrowego między zespołami.

Czym jest e-learning z cyberbezpieczeństwa?

E-learning, czyli nauczanie z wykorzystaniem środków elektronicznych, oznacza każdą formę nauki, w której materiał dostarcza komputer lub telefon, a osoba ucząca się przechodzi go w swoim tempie i bez fizycznej obecności wykładowcy. Model ten funkcjonuje w edukacji akademickiej, w onboardingu i w obowiązkowych szkoleniach pracowniczych, takich jak BHP. E-learning z cyberbezpieczeństwa stosuje ten sam mechanizm do wiedzy o cyberzagrożeniach – pracownik przechodzi zestaw modułów o technikach ataków i zasadach bezpiecznej pracy, a platforma szkoleniowa rejestruje jego postęp oraz wyniki testów.

E-learning różni się od klasycznego szkolenia online z cyberbezpieczeństwa sposobem dostępu do wiedzy:

• Szkolenie online to zwykle spotkanie w wyznaczonym terminie – trener prowadzi je zdalnie, na platformie umożliwiającej połączenie audio i wideo, a wszyscy uczestnicy muszą być dostępni w tej samej godzinie.
• E-learning daje pracownikowi konto na platformie szkoleniowej, na której moduły czekają przez cały okres dostępu. Pracownik przechodzi je samodzielnie, w wybranym przez siebie momencie, wraca do wybranych rozdziałów i na bieżąco monitoruje swój postęp oraz wyniki testów wiedzy.

Szkolenia cybersecurity prowadzone na żywo i kursy online odpowiadają na różne potrzeby. Tryb asynchroniczny pozwala przeszkolić kilkuset pracowników bez logistyki, w dowolnych godzinach i z identycznym zakresem dla każdego uczestnika, co wyrównuje poziom podstaw bezpieczeństwa cyfrowego w całej organizacji. Szkolenia i warsztaty prowadzone przez trenera sprawdzają się tam, gdzie potrzebna jest dyskusja nad konkretnym przypadkiem, ćwiczenie decyzji w zespole albo wąska specjalizacja, na przykład dla działu finansowego czy kadry zarządzającej. Obie formy zwykle występują obok siebie, przy czym e-learning obejmuje wszystkich, a szkolenie z trenerem wybrane grupy.

E-learningowa forma edukacji w zakresie cyberbezpieczeństwa bywa mylona z całym programem budowania świadomości. E-learning stanowi tylko jeden z jego formatów: dostarcza wiedzę, ale nie sprawdza, jak pracownik zachowa się pod presją, nie utrzymuje tematu w obiegu przez cały rok i nie mierzy realnej reakcji na atak. Tymi elementami zajmuje się Security Awareness Training (SAT), który obejmuje również testy, komunikację wewnętrzną i cykliczny pomiar. Moduły e-learningowe pełnią w takim programie rolę warstwy wiedzy, nie jego zamiennika.

Co obejmuje program e-learningu z cyberbezpieczeństwa?

Program e-learningu z cyberbezpieczeństwa obejmuje ten zakres cyberbezpieczeństwa, który dotyczy codziennej pracy pracownika – rozpoznawanie prób ataku, ochronę tożsamości i danych, bezpieczne korzystanie ze sprzętu oraz postępowanie po zauważeniu czegoś podejrzanego. Kolejność bloków w dobrze ułożonym kursie wynika ze sposobu, w jaki przebiega atak: najpierw kontakt z człowiekiem, potem przejęcie danych uwierzytelniających lub uruchomienie złośliwego kodu, na końcu skutki dla organizacji. Zagadnienia rozkładają się zwykle na pięć obszarów:

• socjotechnika i rozpoznawanie prób ataku – techniki manipulacji w kanale e-mail, telefonicznym i przez media społecznościowe,
• bezpieczeństwo haseł, danych i uwierzytelniania – higiena haseł, uwierzytelnianie wieloskładnikowe, ochrona informacji przed ujawnieniem,
• złośliwe oprogramowanie i zagrożenia na urządzeniach – załączniki, pobierane pliki, przeglądarka, praca zdalna i urządzenia przenośne,
• ochrona danych osobowych i zgodność z regulacjami – zasady przetwarzania danych i obowiązki pracownika,
• reagowanie na incydenty i zgłaszanie podejrzeń – co robić w pierwszych minutach po zauważeniu ataku.

Platforma e-learningowa „Cyberbezpieczeństwo w organizacji” Secawa porządkuje ten zakres w 15 kursach ułożonych w cztery bloki – podstawy cyberświadomości i podstawy obrony, wektory cyberataków, metody obrony oraz osobny kurs o zagrożeniach związanych ze sztuczną inteligencją i bezpiecznym korzystaniu z niej. Dostępne są także kursy dopasowane do konkretnych rol w organizacji i szczebli zarządzania.

Socjotechnika i rozpoznawanie prób ataku

Socjotechnika obejmuje techniki, w których napastnik nakłania człowieka do wykonania czynności szkodliwej dla organizacji, zamiast łamać zabezpieczenia techniczne. Moduł o socjotechnice tłumaczy dźwignie psychologiczne wykorzystywane w takich atakach – presję czasu, strach, ekscytację i odwołanie do autorytetu – a następnie pokazuje je w konkretnych kanałach: phishing w poczcie elektronicznej i vishing w rozmowie telefonicznej.

Wartość tej części kursu zależy od tego, czy pracownik wychodzi z niej z gotowym schematem decyzyjnym. Kursy Secawa dotyczące manipulacji uczą analizy nadawcy i linków, ośmiu zasad rozpoznawania ataku oraz zasady 3² – trzech sekund i trzech pytań przed reakcją na wiadomość. Osobno omawiane są scenariusze, w których napastnik podszywa się pod przełożonego, czyli Business Email Compromise (BEC) i CEO Fraud, oraz klonowanie głosu bliskiej osoby przy użyciu sztucznej inteligencji. Wiedza z tego bloku daje się później sprawdzić w testach phishingowych.

Bezpieczeństwo haseł, danych i uwierzytelniania

Bezpieczeństwo haseł w szkoleniu dla pracowników sprowadza się do trzech rozstrzygnięć: jak zbudować hasło, gdzie je przechowywać i czym uzupełnić je poza samym hasłem. Moduł wyjaśnia, dlaczego to samo hasło użyte w serwisie społecznościowym i w bankowości oznacza, że przejęcie jednego konta otwiera drogę do pozostałych, oraz jak działa menedżer haseł. Dalsza część dotyczy uwierzytelniania wieloskładnikowego i różnic w odporności jego metod, od kodu SMS przez aplikację generującą kody jednorazowe aż po klucz sprzętowy i passkey.

Praktyczna ochrona danych zaczyna się w tym samym miejscu, bo przejęte poświadczenia są najczęstszą drogą do informacji firmowych, a stamtąd do sytuacji, którą organizacja musi zgłosić jako wyciek danych. Skala takich zdarzeń bywa zaskakująca również dla działów IT, co pokazuje sprawa opisana w analizie Jak hakerzy przekonali chatbota Meta AI, by zresetował hasła? – dlatego kurs „Hasła i MFA” jest w programie Secawa oddzielnym modułem, a nie akapitem w lekcji o podstawach.

Złośliwe oprogramowanie i zagrożenia na urządzeniach

Złośliwe oprogramowanie to kod uruchamiany na urządzeniu bez wiedzy użytkownika, najczęściej w celu wykradzenia danych, przejęcia kontroli nad stacją roboczą albo zaszyfrowania plików i wymuszenia okupu w ataku ransomware. Moduł pokazuje, jak taki kod trafia do firmy: przez załącznik w wiadomości, plik pobrany z podrobionej strony, nośnik USB albo mechanizm w przeglądarce, który wykorzystuje zaufanie użytkownika do znanego mu interfejsu.

Program Secawa rozdziela te zagadnienia na kilka kursów – „Załączniki”, „Linki i adresy URL”, „Malware i inne rodzaje ataków” oraz „Zaawansowane ataki przeglądarkowe” – a osobno omawia urządzenia przenośne i pracę zdalną. Do tego dochodzą dobre praktyki bezpieczeństwa po stronie użytkownika, takie jak włączone automatyczne aktualizacje systemu, przeglądarki i aplikacji, oraz praktyczny przegląd narzędzi, z których pracownik może korzystać samodzielnie.

Ochrona danych osobowych i zgodność z regulacjami

Zakres ochrony danych w kursie e-learningowym dotyczy czynności, które pracownik wykonuje sam: klasyfikowania informacji, wysyłania jej właściwym kanałem i zabezpieczania nośników. Moduł tłumaczy zasady bezpiecznego korzystania z poczty i dysków współdzielonych, wskazuje, kiedy przetwarzanie danych osobowych wymaga szczególnej ostrożności, i pokazuje typowe błędy, od wysyłki załącznika do niewłaściwego adresata po pozostawienie dokumentów na biurku.

Ochrona informacji ma też wymiar fizyczny, dlatego kursy Secawa obejmują bezpieczeństwo fizyczne, w tym wpuszczanie nieznanych osób do strefy chronionej, oraz formularze i wyłudzanie danych jako oddzielny wektor ataku. Przykłady w lekcjach odwołują się do polskich instytucji wykorzystywanych jako przynęta i do polskich regulacji, co ułatwia przełożenie treści na obowiązki obowiązujące w konkretnej organizacji.

Reagowanie na incydenty i zgłaszanie podejrzeń

Reagowanie na poziomie pracownika sprowadza się do trzech kroków: przerwać interakcję, nie usuwać dowodów i zgłosić zdarzenie wyznaczoną ścieżką. Moduł wyjaśnia, czym jest incydent bezpieczeństwa, jakie sygnały uzasadniają zgłoszenie i dlaczego kliknięcie w link nie zwalnia z obowiązku poinformowania zespołu – im później dotrze informacja, tym mniej opcji ma osoba prowadząca zarządzanie incydentami bezpieczeństwa.

Skuteczność tej części kursu zależy od jasnej ścieżki zgłoszeniowej i od tego, czy pracownik wie, że fałszywy alarm nie pociąga za sobą konsekwencji. Kurs „Podstawy obrony” otwiera w programie Secawa całą sekwencję szkoleniową, a scenariusze z życia zebrane w module o innych manipulacjach służą do przećwiczenia decyzji w sytuacjach, w których nie ma pewności, czy chodzi o atak.

Jak wygląda dobrze zaprojektowany kurs e-learningowy?

Dobrze zaprojektowany kurs e-learningowy z cyberbezpieczeństwa da się ukończyć w krótkich odcinkach, sprawdza wiedzę na końcu każdego modułu i zostawia po sobie dane, którymi organizacja potwierdzi przebyte szkolenie. Różnica między kursem, który pracownicy kończą, a takim, który porzucają w połowie, rzadko wynika z tematyki – decyduje forma podania i długość pojedynczej lekcji. Praktyczne szkolenie online odróżnia od prezentacji przerobionej na wideo sześć cech:

1. Zróżnicowane formaty modułów szkoleniowych – lekcja wideo z lektorem, materiał wizualny odtwarzający realny wygląd wiadomości czy interfejsu oraz scenariusze sytuacyjne działają inaczej niż ekran z tekstem do przeczytania, bo pokazują atak w postaci, w jakiej pracownik go zobaczy.
2. Długość lekcji dopasowana do uwagi, nie do objętości materiału – kilkuminutowe lekcje zebrane w rozdziały pozwalają przerwać naukę i wrócić do niej bez utraty wątku, co ma znaczenie przy szkoleniu w godzinach pracy.
3. Interaktywne ćwiczenia i test wiedzy po każdym module – pytania jednokrotnego i wielokrotnego wyboru, zadania prawda/fałsz oraz uzupełnianie luk sprawdzają rozpoznanie sytuacji, a nie zapamiętanie definicji; widoczny próg zaliczenia porządkuje, kiedy modułu nie można uznać za ukończony.
4. Zgodność ze standardem SCORM przy własnym LMS – e-learning SCORM oznacza paczkę kursu, którą organizacja uruchamia we własnym systemie zarządzania szkoleniami i zbiera wyniki w jednym miejscu z pozostałymi szkoleniami pracowniczymi. Organizacje korzystające z własnego LMS powinny potwierdzić tę zgodność u dostawcy kursu, bo nie każdy program jest w tym standardzie dostarczany.
5. Certyfikat cyfrowy z unikalnym identyfikatorem – dokument z datą, zakresem i liczbą godzin szkolenia pełni dwie funkcje: potwierdza wiedzę uczestnikowi i stanowi dowód należytej staranności dla audytora.
6. Raportowanie postępów w trakcie, nie po zakończeniu – wskaźnik ukończeń, średni postęp, czas nauki i wyniki testów pokazywane na bieżąco pozwalają zareagować na zaległości, zamiast odkryć je po terminie.

Platforma e-learningowa Secawa realizuje ten model przez prosty panel użytkownika, w którym kursy dzielą się na rozdziały złożone z krótkich lekcji wideo z lektorem. Każdy rozdział zamyka quiz utrwalający, a moduł kończy test wiedzy z wynikiem punktowym i progiem zaliczenia. Pytania mieszają formaty, od jednokrotnego wyboru przez ocenę prawdziwości twierdzeń aż po uzupełnianie luk w zdaniach o kategoriach ataków, dzięki czemu uczestnik nie zalicza testu na pamięć układu odpowiedzi.

Ukończenie kursu potwierdzają dwa dokumenty. Uczestnik otrzymuje imienny certyfikat ukończenia szkolenia z zakresu świadomości bezpieczeństwa, z datą, liczbą godzin i unikalnym identyfikatorem, a organizacja osobny certyfikat zbiorczy, wskazujący liczbę przeszkolonych pracowników i łączny czas szkolenia. Taki zestaw odpowiada na dwie różne potrzeby, bo pracownik dostaje dowód zdobytej wiedzy, a osoba odpowiedzialna za compliance dokument do teczki audytowej.

Kurs jest udostępniany i rozliczany w Platformie Security Awareness, gdzie gromadzą się dane o ukończeniach, średnim postępie, czasie nauki i wynikach quizów. Metryki są zbierane w formie gotowej do raportu dla zarządu i działu compliance, co skraca drogę od zakończenia szkolenia do udokumentowania jego realizacji.

Dla kogo jest e-learning z cyberbezpieczeństwa?

E-learning z cyberbezpieczeństwa jest kierowany do każdego pracownika, który korzysta ze służbowej poczty, komputera lub telefonu, niezależnie od stanowiska i stażu. Kryterium doboru odbiorców stanowi dostęp do firmowych danych i systemów, a nie poziom zaawansowania technicznego. Odbiorcy dzielą się zwykle na cztery grupy:

• Wszyscy pracownicy z dostępem do firmowych narzędzi – szkolenia pracowników w formacie online obejmują jednocześnie biura, produkcję i zespoły pracujące zdalnie, dając każdemu ten sam zakres podstaw niezależnie od lokalizacji.
• Osoby nowo zatrudnione i podwykonawcy – kurs przypisany na starcie skraca cyber-onboarding i wprowadza jeden standard postępowania od pierwszych dni współpracy, także tam, gdzie zewnętrzne firmy mają dostęp do systemów zamawiającego.
• Role o podwyższonym ryzyku i kadra zarządzająca – działy finansowe, HR i zarząd są celem ataków ukierunkowanych, dlatego Secawa udostępnia także kursy dopasowane do konkretnych rol w organizacji i szczebli zarządzania.
• Organizacje w sektorach objętych nadzorem – w finansach, przemyśle i elektroenergetyce bezpieczeństwo firm podlega wymogom regulacyjnym, a w podmiotach realizujących ochronę infrastruktury krytycznej udokumentowane szkolenie personelu jest elementem oceny stanu bezpieczeństwa IT.

Za dobór kursów, terminów i grup odbiorców odpowiada w większości organizacji CISO albo kierownik IT, który rozlicza realizację szkolenia z jednego miejsca. Kurs dla użytkowników nie zastępuje jednak specjalistycznych szkoleń IT dla administratorów i zespołów technicznych, bo bezpieczeństwo informatyczne po stronie infrastruktury wymaga innego przygotowania niż budowanie czujności pracownika.

E-learning a wymogi RODO, NIS2 i ISO 27001

Ani RODO, ani NIS2, ani ISO 27001 nie narzucają formy szkolenia z cyberbezpieczeństwa – wymagają, żeby personel miał wiedzę adekwatną do ryzyka, a organizacja potrafiła to wykazać. Zgodność z regulacjami rozstrzyga się więc nie na poziomie wyboru między kursem online a warsztatem, lecz na poziomie dokumentacji: kto został przeszkolony, z jakiego zakresu, kiedy i z jakim wynikiem. Kurs e-learningowy odpowiada na ten wymóg dlatego, że rejestruje przebieg szkolenia automatycznie, bez ręcznego prowadzenia list obecności.

• RODO wymaga zapewnienia bezpieczeństwa przetwarzania danych osobowych przez środki techniczne i organizacyjne odpowiednie do ryzyka, a budowanie świadomości osób upoważnionych do przetwarzania danych należy właśnie do środków organizacyjnych. Regularne szkolenie z cyberbezpieczeństwa i RODO wpisuje się w zasadę rozliczalności, bo administrator danych musi umieć wykazać, że pracownicy znali zasady postępowania z danymi w momencie zdarzenia. Przy analizie naruszenia data ukończenia kursu przez konkretną osobę bywa jednym z pierwszych sprawdzanych faktów.
• NIS2 i wdrażająca ją krajowa nowelizacja przepisów o krajowym systemie cyberbezpieczeństwa nakładają na podmioty kluczowe i ważne obowiązek prowadzenia szkoleń z cyberbezpieczeństwa, powiązany z zarządzaniem ryzykiem w całej organizacji. Zakres tych obowiązków dla poszczególnych kategorii podmiotów porządkuje hasło KSC 2.0, a rozłożony w czasie harmonogram sankcji bywa błędnie czytany jako odroczenie samych obowiązków, co rozkłada na czynniki analiza Wdrożenie UKSC/NIS2: dlaczego brak kar do 2028 roku to pułapka?.
  Nowością wobec wcześniejszego stanu prawnego jest objęcie obowiązkiem szkoleniowym również kadry zarządzającej, która odpowiada za nadzór nad zarządzaniem bezpieczeństwem informacji, a nie tylko za jego finansowanie. Konsekwencje tej zmiany dla podziału odpowiedzialności w organizacji omawiają prawnicy w rozmowie Jak UKSC/NIS2 wpływa na rolę CISO?. Kursy przypisane osobno zarządowi i osobno pracownikom pozwalają udokumentować oba poziomy szkolenia niezależnie.
• ISO 27001 wymaga, żeby personel był świadomy obowiązujących zasad, przechodził odpowiednią edukację i szkolenia oraz żeby przebieg tych szkoleń był udokumentowany. Audytor pyta o dowody, nie o intencje, dlatego raport z platformy szkoleniowej z listą ukończeń, wynikami testów i datami oraz certyfikaty ukończenia stanowią materiał, który zamyka ten obszar systemu zarządzania bezpieczeństwem informacji. Ta sama dokumentacja obsługuje jednocześnie wszystkie trzy reżimy, bo wymóg dowodu jest w nich zbieżny, nawet jeśli podstawa prawna różna.

E-learning jako element kultury bezpieczeństwa, a nie jednorazowe szkolenie

Jednorazowe szkolenie z cyberbezpieczeństwa podnosi wiedzę, ale nie utrwala zachowania, bo umiejętność rozpoznania ataku zanika, jeśli pracownik nie zmierzy się z nim ponownie w warunkach zbliżonych do realnych. Do tego dochodzą dwa czynniki niezależne od jakości samego kursu:

• rotacja kadry, która co roku wprowadza do organizacji osoby nieprzeszkolone,
• zmiana technik napastników, przez którą przykłady sprzed dwóch lat przestają być rozpoznawalne.

Wskaźnik ukończeń mówi więc o realizacji obowiązku, a nie o gotowości zespołu.

Powtarzalny cykl szkoleń i regularna komunikacja o zagrożeniach należą do warunków, na których opiera się kultura cyberbezpieczeństwa w organizacji. Pojedynczy kurs jest jej częścią, ale sam jej nie zbuduje, bo o zachowaniach zespołu decyduje również to, czy pracownik potrafi rozpoznać zagrożenie w chwili presji i jak szybko przełożony reaguje na jego zgłoszenie.

Wiedzę z modułów teoretycznych weryfikuje dopiero praktyka, dlatego kolejnym krokiem po kursie są testy phishingowe, których nierozłącznym elementem są symulacje phishingu. Wyniki takiego pomiaru pokazują różnicę między wiedzą deklarowaną w quizie a decyzją podjętą w skrzynce odbiorczej i zasilają ocenę ryzyka konkretnymi danymi o zachowaniu zespołów, zamiast szacunków opartych na liczbie przeszkolonych osób.

Takie połączenie porządkuje cały program – e-learning buduje szeroką cyberświadomość, od technik cyberprzestępców po zasady cyberhigieny, a Praktyczny Trening Antyphishingowy przenosi tę wiedzę na realistyczne scenariusze ataków i utrzymuje czujność do momentu, w którym staje się ona nawykiem widocznym w wynikach. Zwiększenie odporności organizacji następuje wtedy stopniowo, bez dodatkowego obciążania działu IT, a statystyki i raporty z całego cyklu są gotowe do audytu.

Najczęstsze pytania o e-learning z cyberbezpieczeństwa

Ile trwa kurs e-learningowy z cyberbezpieczeństwa?

Czas trwania zależy od liczby przypisanych kursów, bo materiał jest dzielony na krótkie odcinki, a nie na jedno długie szkolenie. Pojedyncza lekcja wideo zajmuje kilka minut, rozdział składa się z kilku lekcji i quizu, a moduł zamyka test wiedzy. Pracownik może przerwać naukę i wrócić do niej w innym momencie, dlatego kurs rozkłada się zwykle na kilka krótkich sesji w ciągu tygodnia lub miesiąca. Łączny czas nauki zlicza platforma i wykazuje go na certyfikacie ukończenia w postaci liczby godzin szkolenia.

Czy e-learning z cyberbezpieczeństwa kończy się certyfikatem?

Tak, ukończenie kursu potwierdza certyfikat z unikalnym identyfikatorem. Platforma e-learningowa Secawa wystawia dwa dokumenty: imienny certyfikat ukończenia szkolenia z zakresu świadomości bezpieczeństwa, z datą i liczbą godzin, oraz certyfikat zbiorczy dla organizacji, wskazujący liczbę przeszkolonych pracowników i łączny czas szkolenia. Pierwszy jest dowodem zdobytej wiedzy dla uczestnika, drugi potwierdzeniem należytej staranności przy nadzorze nad szkoleniami, przydatnym w rozmowie z audytorem.

Czym e-learning różni się od szkolenia stacjonarnego?

Różnica dotyczy trybu i skali. Szkolenie stacjonarne odbywa się w wyznaczonym terminie, w jednym miejscu i dla ograniczonej liczby uczestników, a jego wartością jest dyskusja z trenerem i ćwiczenie decyzji w grupie. Kurs e-learningowy jest dostępny przez cały okres przypisania, obejmuje jednocześnie całą organizację i przekazuje każdemu identyczny zakres materiału, do którego można wrócić po kilku miesiącach. Organizacje zwykle łączą obie formy, kierując e-learning do wszystkich pracowników, a zajęcia z trenerem do wybranych zespołów i kadry zarządzającej.

Jak często powtarzać e-learning z cyberbezpieczeństwa?

Cykl roczny sprawdza się w większości organizacji: kurs wprowadzający przypisany nowej osobie w pierwszych dniach pracy, kolejne moduły w odstępach kilku tygodni i powtórka najważniejszych zagadnień po dwunastu miesiącach. Odstęp trzeba skrócić, gdy w organizacji zachodzą zmiany zwiększające ryzyko, na przykład wdrożenie nowych narzędzi, przejście części zespołu na pracę zdalną albo pojawienie się kampanii ataków wykorzystujących świeży schemat. Rotacja pracowników wymusza natomiast szkolenie w trybie ciągłym, niezależnie od kalendarza szkoleń dla całej firmy.

Czy e-learning spełnia wymogi RODO i NIS2?

Wymogu nie spełnia sam kurs, lecz udokumentowana realizacja szkolenia. RODO wymaga budowania świadomości osób przetwarzających dane osobowe jako jednego ze środków organizacyjnych, a przepisy wdrażające NIS2, opisane w haśle KSC 2.0, nakładają obowiązek szkoleń na podmioty kluczowe i ważne, obejmując nim również kadrę zarządzającą. E-learning odpowiada na te wymogi wtedy, gdy organizacja potrafi wykazać, kto ukończył kurs, z jakiego zakresu, kiedy i z jakim wynikiem. Raport z platformy szkoleniowej wraz z certyfikatami stanowi taki materiał dowodowy.

Jakie tematy obejmuje e-learning Secawa?

Program „Cyberbezpieczeństwo w organizacji” składa się z 15 kursów ułożonych w cztery bloki. Podstawy obejmują cyberświadomość i podstawy obrony, blok o wektorach cyberataków dotyczy załączników, linków i adresów URL, formularzy i wyłudzania danych, manipulacji w scenariuszach z życia, malware oraz zaawansowanych ataków przeglądarkowych, a metody obrony to bezpieczeństwo poczty elektronicznej, bezpieczeństwo fizyczne, hasła i MFA, przegląd narzędzi oraz urządzenia przenośne i praca zdalna. Osobny kurs dotyczy zagrożeń związanych ze sztuczną inteligencją i bezpiecznego korzystania z niej. Dostępne są także kursy dopasowane do konkretnych rol i szczebli zarządzania.

Czy e-learning można udostępnić podwykonawcom?

Tak, i w wielu organizacjach jest to potrzebne bardziej niż kolejne szkolenie dla własnych zespołów. Firmy zewnętrzne często mają dostęp do systemów, poczty albo pomieszczeń zamawiającego, a nie podlegają jego wewnętrznym szkoleniom. Przypisanie kursu podwykonawcom wprowadza jeden standard postępowania po obu stronach umowy od pierwszych dni współpracy i pozwala udokumentować, że wymóg szkoleniowy objął wszystkie osoby z dostępem do zasobów, nie tylko pracowników etatowych.

Jak zmierzyć, czy e-learning przynosi efekt?

Pomiar rozkłada się na dwa poziomy. Platforma pokazuje realizację szkolenia, czyli wskaźnik ukończeń, średni postęp, czas nauki i wyniki testów wiedzy, co odpowiada na pytanie, czy program został wykonany. Zmianę zachowania pokazują natomiast testy phishingowe prowadzone po kursie, bo dopiero one sprawdzają decyzję pracownika w sytuacji, której nie rozpoznaje jako ćwiczenia. Zestawienie obu zbiorów danych pokazuje, które zespoły mają wysokie wyniki quizów przy słabej reakcji na realną wiadomość, i wskazuje, gdzie powtórzyć moduł.