Alarm bombowy. Próba wtargnięcia do budynku. Informacja o napastniku. Podejrzana osoba fotografująca instalacje należące do spółki. Wiadomość e-mail, która wygląda jak korespondencja od przełożonego, ale prowadzi do fałszywej strony logowania.
Czy każdy pracownik wie, co w takich sytuacjach zrobić?
To pytanie jest szczególnie istotne w organizacjach, których działalność ma znaczenie dla funkcjonowania państwa, gospodarki albo dostarczania podstawowych usług. Rządowe Centrum Bezpieczeństwa przypomina, że infrastruktura krytyczna obejmuje zarówno systemy fizyczne, jak i cybernetyczne, niezbędne dla bezpieczeństwa państwa i obywateli oraz sprawnego działania administracji i przedsiębiorców (i).
Kontekst również trudno zignorować. NATO wskazuje na zagrożenia hybrydowe, w tym sabotaż infrastruktury krytycznej i cyberataki. ENISA w raporcie dotyczącym krajobrazu cyberzagrożeń za 2025 r. analizowała 4875 incydentów zarejestrowanych w ciągu 12 miesięcy w Unii Europejskiej(ii)(iii).
Są też przykłady znacznie bliższe niż anonimowe statystyki.
Agencja Bezpieczeństwa Wewnętrznego opisała śledztwo dotyczące osób werbowanych za pośrednictwem Telegrama. Jednym z ich zadań było wykonywanie i przekazywanie dokumentacji fotograficznej obiektów oraz zdobywanie informacji dotyczących infrastruktury krytycznej i innych obiektów kluczowych dla bezpieczeństwa Polski. Za realizację poleceń otrzymywały wynagrodzenie (iv).
Wyobraźmy sobie teraz pracownika, który widzi nieznaną osobę fotografującą zabezpieczenia techniczne obiektu. Czy uzna, że ktoś po prostu robi zdjęcie, czy będzie wiedział, że powinien zareagować zgodnie z wewnętrzną procedurą?
Tu właśnie zaczyna się szkolenie pracowników z bezpieczeństwa.
W dużej organizacji zasady bezpieczeństwa fizycznego i informacyjnego są opisane w procedurach, politykach, instrukcjach bezpieczeństwa czy planach reagowania. Przygotowują je specjaliści, którzy znają obiekt, procesy i ryzyka.
Jednak czy pracownicy przeczytają kilkadziesiąt stron dokumentacji, zapamiętają najważniejsze informacje, a w sytuacji zagrożenia poprawnie ją zastosują? To mało realistyczne.
Dlatego w projektach szkoleń dotyczących bezpieczeństwa zaczynamy od pytania: „Co pracownik ma zrobić, gdy…
ma przykład:
Czy szkolenie ma wbić pracownikom do głów zawartość procedur? Bynajmniej. W naszych projektach pomagaliśmy klientom przygotować setki pracowników do tego, by potrafili chronić swoje życie i zdrowie oraz informacje i zasoby organizacji.
W projektach tego rodzaju zaangażowanych było wielu różnych specjalistów – zarówno z naszej strony, jak i klienta. Ekspert ds. cyberbezpieczeństwa weryfikował treści dotyczące phishingu czy ochrony kont. Osoba odpowiedzialna za bezpieczeństwo fizyczne zna ryzyka konkretnego obiektu. Ratownik medyczny, specjalista BHP i były funkcjonariusz służb mundurowych przekładali scenariusze kryzysowe na praktyczne wskazówki. A co w tym wszystkim robi firma e-learningowa? Przygotowuje przekaz, który jest zrozumiały i angażujący dla setek pracowników.
Część zasad dotyczących bezpieczeństwa można zastosować w niemal każdej organizacji.
Przykładem jest phishing. Pracownik powinien wiedzieć, na jakie elementy wiadomości zwracać uwagę, czego nie otwierać i gdzie zgłosić podejrzenie. Sam komunikat „uważaj na phishing” niewiele zmieni. Znacznie skuteczniej można pokazać przykładową wiadomość i poprosić uczestnika, aby wskazał elementy, które powinny wzbudzić jego podejrzenia.
Inny przykład - hasła. Pracownik musi znać obowiązujące w organizacji zasady ich tworzenia, ochrony i zmiany oraz wiedzieć, czego nie robić. Można mu też wskazać, jak może tworzyć silne hasła, które sam łatwo zapamięta.
Do tego dochodzą zachowania jeszcze prostsze: blokowanie komputera przy odejściu od stanowiska, zasada czystego ekranu i czystego biurka czy odpowiednie przechowywanie dokumentów.
Może pomyślisz: to przecież podstawy. Czy naprawdę trzeba przypominać dorosłym ludziom, żeby nie zostawiali otwartego komputera?
Trzeba, jeżeli właśnie takie zachowanie może umożliwić osobie nieuprawnionej dostęp do informacji. Podstawą bezpieczeństwa są codzienne nawyki użytkowników.
Ogólne zasady tego rodzaju można rozwijać za pomocą gotowych programów szkoleniowych dotyczących cyberbezpieczeństwa. Jeżeli jednak organizacja ma własne procedury, systemy, kategorie informacji lub specyficzne zagrożenia, lepsze będzie zamówienie szkolenia szytego na miarę.
Nie każdą informację zdobywa się przez włamanie do systemu. Źródłem danych może być rozmowa, zdjęcie, pozostawiony dokument, nieostrożny wpis w mediach społecznościowych albo pracownik, który nie rozpoznaje próby pozyskania informacji.
Okazuje się, że dla większości pracowników wcale nie jest oczywiste, jakie informacje mogą przekazywać, np. na temat obiektów lub procesów. W jednym ze szkoleń, których odbiorcami byli pracownicy odpowiedzialni za infrastrukturę krytyczną, pokazaliśmy, jak rozpoznać i reagować na metody i środki w działaniach dywersyjnych oraz techniki wykorzystywane przez obce służby wywiadowcze.
Pracownik przykłada kartę do czytnika i otwiera drzwi. Tuż za nim wchodzi nieznana osoba. „Dziękuję”, mówi i pewnym krokiem idzie dalej.
Czy pracownik powinien ją zatrzymać? Zapytać o identyfikator? Zawiadomić ochronę? Odpowiedź zależy oczywiście od procedur konkretnej organizacji. Właśnie dlatego szkolenie z bezpieczeństwa fizycznego powinno być dedykowane, a nie ograniczać się do zestawu uniwersalnych porad.
Podobnie jest z uszkodzonym ogrodzeniem, otwartymi drzwiami do pomieszczenia technicznego, pozostawionym bez nadzoru pakunkiem albo fotografowaniem obiektu. Pracownik nie musi sam oceniać, czy ma do czynienia z przygotowaniem do sabotażu. Ma jednak obowiązek rozpoznawać sytuacje, których nie należy ignorować, i wiedzieć, komu i w jaki sposób ją zgłosić.
To ma szczególne znaczenie tam, gdzie bezpieczeństwo infrastruktury krytycznej zależy od wielu warstw zabezpieczeń. Sam monitoring nie zastąpi pracownika, który zauważy nietypową sytuację. Pracownik z kolei nie zastąpi ochrony czy służb. Musi wiedzieć, kiedy i jak przekazać im informację.
Najtrudniejsza część szkolenia dotyczy sytuacji, których nikt nie chce doświadczyć: alarmu bombowego, wtargnięcia napastnika, wzięcia zakładników czy innego bezpośredniego zagrożenia życia.
Tutaj szczególnie łatwo popełnić błąd szkoleniowy. Można przygotować kilka ekranów tekstu z instrukcją i uznać temat za zamknięty.
Tylko czy pracownik przypomni sobie punkt 7.3 procedury, gdy usłyszy strzały?
W tego typu treściach lepiej sprawdzają się krótkie scenariusze, wizualizacje i filmy pokazujące kolejność działań. Jednym z modeli reagowania na zagrożenie ze strony napastnika jest schemat UCIEKAJ – CHOWAJ SIĘ – WALCZ. Jego sens można przedstawić uczestnikowi nie jako hasło do zapamiętania, ale jako logikę podejmowania decyzji zależną od sytuacji.
Równie ważne są zasady powiadamiania i współpracy ze służbami. W sytuacji kryzysowej pracownik powinien wiedzieć między innymi, gdzie szukać aktualnych instrukcji organizacji i w jaki sposób przekazać informacje osobom odpowiedzialnym za bezpieczeństwo.
Szkolenie nie zastąpi oczywiście ćwiczeń praktycznych, zabezpieczeń technicznych ani odpowiednio przygotowanych służb. Może jednak spowodować, że pracownik pierwszy raz nie będzie zastanawiał się nad właściwym zachowaniem dopiero wtedy, gdy wydarzy się coś niebezpiecznego.
W projektach szkoleń obowiązkowych wielokrotnie widzimy podobne wyzwanie: organizacja ma dużo ważnej wiedzy, ale uczestnik potrzebuje przede wszystkim wiedzieć, co ma robić. Dlatego szkolenie e-learningowe nie powinno być cyfrową kopią procedury.
W przypadku szkolenia z bezpieczeństwa można wykorzystać kilka prostych metod.
To jeden z powodów, dla których e-learning dobrze sprawdza się jako element programu bezpieczeństwa w dużej organizacji. Nie zastępuje procedur, ćwiczeń ani specjalistów. Pozwala natomiast dotrzeć z ich wiedzą do wszystkich pracowników i zamienić skomplikowane dokumenty w konkretne sytuacje, decyzje i zachowania.
Bezpieczeństwo fizyczne, ochrona informacji i cyberbezpieczeństwo coraz trudniej traktować jako trzy osobne światy. Przykład osoby fotografującej obiekt jest zagrożeniem fizycznym, ale dotyczy też informacji. Phishing zaczyna się w świecie cyfrowym, lecz jego konsekwencją może być uzyskanie dostępu do rzeczywistych systemów organizacji. Sabotaż infrastruktury może łączyć działania fizyczne, informacyjne i cybernetyczne.
Dlatego również szkolenie pracowników powinno pokazywać te zależności.
Nie każdy pracownik zostanie ekspertem od bezpieczeństwa, ale zauważy to, czego nie powinien zignorować, i będzie wiedział, co zrobić dalej.
Procedura bezpieczeństwa nie powinna kończyć życia w pliku PDF. Jeśli chcesz przełożyć ją na konkretne sytuacje, decyzje i zachowania pracowników, porozmawiaj z nami o szkoleniu dedykowanym.
![Od pracownika sklepu do kierownika. Jak przygotować nowych managerów w sieci sklepów? [case study]](https://cdn.prod.website-files.com/611f53c184b128f131dd3b2c/6aab8a9d3fac9fdbbdf73a0d_od%20pracownika%20do%20kierownika.webp)
