W skrócie
Pytania o ludzi pojawiają się w niemal każdym kwestionariuszu, bo większość incydentów zaczyna się od kliknięcia pracownika. Klient chce wiedzieć trzy rzeczy: czy szkolenia są regularne, kto je przeszedł i czy sprawdzacie skuteczność. Najmocniejszą odpowiedzią jest regularny rejestr ukończonych lekcji i raport z symulacji phishingu.
| Typowe pytanie w kwestionariuszu | Odpowiedź, która przechodzi | Dowód do załączenia |
|---|---|---|
| Czy pracownicy są szkoleni z cyberbezpieczeństwa? | Tak, co miesiąc, wszyscy z dostępem do poczty i systemów | Rejestr ukończonych lekcji z datami |
| Jak często? | Szkolenie wdrożeniowe plus ćwiczenia co miesiąc | Harmonogram kampanii na 12 miesięcy |
| Czy testujecie skuteczność? | Tak, symulacjami phishingu, z pomiarem kliknięć i zgłoszeń | Raport ze wskaźnikami kliknięć i zgłoszeń |
| Czy nowi pracownicy przechodzą szkolenie? | Tak, w pierwszym tygodniu pracy | Lista z datą zatrudnienia i datą lekcji |
| Czy macie procedurę zgłaszania incydentów? | Tak, przycisk zgłoszenia w poczcie i osoba odpowiedzialna | Opis procedury i liczba zgłoszeń |
Dlaczego odpowiedź bez dowodu nie wystarcza?
Dostawca, który napisze „szkolimy pracowników”, nie różni się dla klienta od dostawcy, który nie szkoli. Dział bezpieczeństwa klienta ma często kilkadziesiąt takich ankiet na kwartał i punktuje odpowiedzi. Zdecydowanie lepiej wypadają firmy, które odpowiadają liczbą i załączają raport. Przy braku dowodu padają pytania uzupełniające, a przy złej odpowiedzi klient może wpisać do umowy kary lub prawo audytu.
Krok pierwszy, zbierz dowody, zanim przyjdzie ankieta
Rejestr szkoleń najtrudniej odtworzyć wstecz. Jeśli ćwiczenia zaczynasz dopiero po otrzymaniu kwestionariusza, w odpowiedzi możesz napisać o pierwszej kampanii, ale nie o rocznej historii. Dlatego dobrze mieć stały cykl: miesięczne symulacje, rejestr lekcji i raport dla zarządu. Przy każdej kolejnej ankiecie wysyłasz ten sam komplet.
Krok drugi, opisz zakres konkretnie
Zamiast „pracownicy” wpisz grupę: „wszyscy 85 pracowników z kontem pocztowym, w tym dział finansów i handel”. Dodaj liczbę kampanii i okres, na przykład „12 kampanii w ciągu roku”. Konkretne liczby wyglądają wiarygodnie, a jeśli ich nie masz, lepiej nie wpisywać niczego niż zgadywać. Dane muszą zgadzać się z raportem, bo audytor porówna je ze sobą.
Krok trzeci, pokaż wynik, nie tylko samą kampanię
Sama informacja „wysłaliśmy symulacje” nic nie mówi. Klient chce zobaczyć trend: odsetek kliknięć w pierwszej kampanii, w ostatniej i odsetek zgłoszeń. Przykład ilustracyjny: w pierwszej kampanii kliknęło 24 z 100 osób, po sześciu miesiącach 7 z 100, a zgłosiło 31. Taka zmiana opowiada historię lepiej niż deklaracja.
Skąd klienci biorą te pytania?
Ankiety opierają się na normach i ustawach. Norma ISO/IEC 27001 wymaga świadomości i szkoleń personelu, a podmioty objęte ustawą o krajowym systemie cyberbezpieczeństwa przenoszą te wymagania na dostawców w łańcuchu usług. Zakres obowiązków omawiamy we wpisie czy firma musi szkolić z cyberbezpieczeństwa i na stronie szkolenie NIS2.
Ankieta od ubezpieczyciela to osobna historia
Ubezpieczyciele pytają o to samo, ale z innym skutkiem: brak szkoleń podnosi składkę albo ogranicza sumę ubezpieczenia. Pytania i dowody opisujemy we wpisie ubezpieczenie cyber a szkolenie pracowników. Warto przygotować jeden zestaw dowodów dla obu odbiorców.
Ile to kosztuje w porównaniu z utratą kontraktu?
Abonament na symulacje phishingu dla zespołu do 150 osób kosztuje 990 zł netto miesięcznie, a przy płatności rocznej 495 zł netto. Kontrakt z dużym klientem bywa wart wielokrotnie więcej. Zestawienie planów jest w cenniku, a rozbicie kosztów porównujemy we wpisie ile kosztują symulacje phishingu.
Najczęstsze błędy w odpowiedziach
- jednorazowe szkolenie z prezentacji sprzed dwóch lat podane jako „regularne”
- brak rejestru, kto przeszedł lekcję i kiedy
- szkolenie tylko dla części zespołu, a odpowiedź „wszyscy pracownicy”
- liczby w ankiecie różne od liczb w raporcie
- dowód w postaci zdjęcia z sali szkoleniowej zamiast listy z datami
Co jeszcze zwiększa wiarygodność?
Wskazanie osoby odpowiedzialnej za bezpieczeństwo, procedura zgłaszania incydentów i dowód, że zgłoszenia faktycznie wpływają. Przykład ataku, który zespół zatrzymał dzięki zgłoszeniu, działa lepiej niż ogólna deklaracja. Najczęstszy z takich ataków opisujemy na stronie oszustwa płatnicze.
Czy kwestionariusz bezpieczeństwa dostawcy jest obowiązkowy?
Prawo nie nakłada go na każdego, ale klient ma prawo go zażądać w ramach umowy. Podmioty objęte ustawą o KSC mają obowiązek zarządzania ryzykiem w łańcuchu dostaw, więc ankiety od nich są praktycznie pewne. Odmowa odpowiedzi zwykle kończy się utratą zlecenia.
Jakich dowodów szkolenia pracowników oczekują klienci?
Najczęściej rejestru ukończonych lekcji z datami, harmonogramu kampanii i raportu skuteczności z symulacji phishingu. Certyfikaty z jednorazowego szkolenia są mniej cenione niż ciągły rejestr. Raport za ostatnie 12 miesięcy zwykle wystarcza do zamknięcia pytań.
Jak często szkolić pracowników, żeby odpowiedzieć w ankiecie?
Optymalnie co miesiąc krótkimi ćwiczeniami, a nowych pracowników w pierwszym tygodniu. Częste krótkie lekcje są przekonujące dla audytora i skuteczniejsze niż coroczne wielogodzinne szkolenie. Cykl kwartalny jest minimum, które klienci akceptują, ale pytają o wyniki.
Czy raport z symulacji phishingu można dołączyć do ankiety?
Tak, i jest to najczęściej akceptowany dowód. Raport z Naiwne pokazuje wskaźniki kliknięć i zgłoszeń według działów, bez danych wrażliwych. Imiona widzi tylko administrator, a do ankiety wysyłasz wersję zbiorczą.