W skrócie
Dla firmy od 20 do 150 osób najlepiej sprawdza się ciągły program: krótkie lekcje i comiesięczne symulacje phishingu z raportem. Szkolenie grupowe z trenerem daje wiedzę na jeden dzień, e-learning daje certyfikat bez sprawdzenia zachowania. Symulacje pokazują, czy pracownicy faktycznie rozpoznają atak.
| Model | Typowy koszt | Mocna strona | Słaba strona |
|---|---|---|---|
| Szkolenie z trenerem | około 2 900 zł netto za 4 godziny dla 20 osób | Rozmowa, pytania, integracja zespołu | Jednorazowe, nie mierzy zachowania |
| E-learning | zależy od dostawcy, zwykle licencja na osobę | Wygodny, tani w skali | Nikt nie sprawdza, czy wiedza działa w skrzynce |
| Symulacje phishingu z lekcją | abonament, w Naiwne od 390 zł netto miesięcznie | Mierzy zachowanie, powtarza się co miesiąc | Wymaga cyklu, a nie jednego terminu |
Jak wybrać szkolenie z cyberbezpieczeństwa dla pracowników?
Zacznij od pytania, co ma się zmienić w zachowaniu ludzi. Jeśli problemem są fałszywe faktury i podmienione rachunki, potrzebujesz ćwiczeń na wiadomościach, a nie wykładu o wirusach. Jeśli audytor pyta o dowód szkolenia, potrzebujesz rejestru i raportu. Dopiero potem porównuj cenę.
Ile kosztuje szkolenie z cyberbezpieczeństwa dla firmy?
Cena zależy od modelu. Szkolenie grupowe z trenerem wyceniane jest za godzinę lub grupę, więc przy 60 pracownikach potrzebujesz trzech terminów. Abonament liczy się za pakiet, bez względu na liczbę spotkań. W Naiwne plan Start kosztuje 390 zł netto miesięcznie (do 30 osób), plan Firma 990 zł netto (do 150 osób), a przy płatności rocznej miesiąc kosztuje o połowę mniej. Pełne zestawienie jest w cenniku.
Gdzie ukrywają się dodatkowe koszty?
- godziny pracy zespołu, które tracisz na sali szkoleniowej
- powtórka po roku, bo wiedza z jednego dnia wygasa
- raport dla zarządu i audytora, który trzeba przygotować samemu, jeśli dostawca go nie daje
- koszt jednej udanej próby wyłudzenia, który przy przelewie kilkudziesięciu tysięcy złotych przewyższa roczny abonament
Ostatni punkt policzysz sam. Kalkulator na stronie dla zarządu mnoży liczbę osób z uprawnieniem do przelewów przez największy pojedynczy przelew i pokazuje kwotę narażoną z Twoich danych.
Jakie szkolenie uznaje audytor?
Audytor nie ocenia, czy szkolenie było przyjemne. Pyta, czy odbyło się regularnie, kogo objęło i co z niego wynika. Przydają się: lista osób, daty, zakres tematyczny, wynik testu i trend wyników symulacji. Szkolenie jednorazowe z listą obecności wystarcza na pierwszy rok, ale przy kolejnym audycie pojawia się pytanie o ciągłość.
Co z NIS2 i ustawą o KSC?
Jeśli firma jest dostawcą podmiotu objętego ustawą o krajowym systemie cyberbezpieczeństwa, odbiorca często wymaga w umowie programu szkoleń dla pracowników. Co z tego wynika w praktyce i jak wygląda rejestr szkoleń, opisujemy na stronie szkolenie NIS2.
Czego nie pomijać przy wyborze?
Szkolenie powinno obejmować nie tylko e-mail. Oszuści dzwonią i piszą SMS-y, a pracownik, który rozpoznaje mail, nadal bywa bezradny wobec telefonu. Sprawdź, czy dostawca ćwiczy także smishing i vishing, a nie tylko pocztę. Przejdź też przez listę pytań:
- czy lekcje są po polsku i trwają kilka minut
- czy po kliknięciu pracownik uczy się, zamiast być karany
- czy symulacje nie zbierają haseł
- czy raport pokazuje działy, a nie nazwiska na tablicy
- czy dostawca podpisuje umowę powierzenia przetwarzania danych
Czy szkolenie z cyberbezpieczeństwa wystarczy, żeby zabezpieczyć firmę?
Nie samo. Ludzie to jeden element obok aktualizacji, kopii zapasowych i kontroli dostępów. Dobrze działa podział odpowiedzialności: dział IT dba o systemy, a program szkoleniowy o nawyki ludzi. Warto też zadbać o stronę firmową, bo atakujący szukają najsłabszego miejsca. Jeśli nikt nie pilnuje aktualizacji witryny na WordPressie, stała opieka nad stroną i jej aktualizacjami odciąży zespół IT i zamknie jedną z bocznych furtek.
Jak zacząć bez dużego zobowiązania?
Załóż konto bez karty, wskaż pierwszy dział (zwykle finanse lub sekretariat) i ustaw pierwszą kampanię. Po miesiącu dostaniesz raport z własnego punktu odniesienia. Jeśli pracujesz w księgowości, zobacz też szkolenie dla księgowych, a o samym programie przeczytasz na stronie szkolenie z cyberbezpieczeństwa dla pracowników.
Ile trwa wdrożenie szkolenia z cyberbezpieczeństwa w firmie?
W modelu abonamentowym pierwsza symulacja może wyjść w tym samym tygodniu, w którym zakładasz konto. Potrzebujesz listy pracowników i wskazania pierwszego działu. Szkolenie z trenerem wymaga uzgodnienia terminu, sali i zastępstw, więc zwykle zajmuje kilka tygodni. Pełny efekt w trendzie wyników widać po trzech do sześciu miesiącach regularnych ćwiczeń.
Kto w firmie powinien odpowiadać za szkolenia z cyberbezpieczeństwa?
Najczęściej dyrektor operacyjny, finansowy albo osoba odpowiedzialna za IT lub zgodność. Nie musi być specjalistą od bezpieczeństwa. Ważne, żeby miała dostęp do raportu i mogła pokazać go zarządowi. W firmach do 150 osób zwykle wystarcza jedna osoba poświęcająca godzinę miesięcznie na przegląd wyników.
Czy szkolenie z cyberbezpieczeństwa jest obowiązkowe?
Nie ma ogólnego obowiązku dla każdej firmy. Obowiązek lub wymóg umowny pojawia się u podmiotów objętych ustawą o KSC oraz u ich dostawców, a także w wymaganiach niektórych klientów i ubezpieczycieli. Dlatego warto mieć raport, nawet jeśli dziś nikt o niego nie pyta. Porównanie cen modeli znajdziesz we wpisie o tym, ile kosztują symulacje phishingu, a odpowiedź dla konkretnej branży w sekcji szkolenie dla księgowych.