CZŁOWIEK
Rozpoznaje i zgłasza
Rozpoznaje zagrożenie, weryfikuje nietypową sytuację i właściwie ją zgłasza.
Cyberzagrożenie rzadko zaczyna się od spektakularnego ataku na infrastrukturę. Znacznie częściej jego początkiem jest wiadomość, załącznik, rozmowa telefoniczna, nietypowa dyspozycja, próba logowania albo decyzja pracownika podjęta pod presją czasu.
RiskCom przygotowuje pracowników, kadrę zarządzającą i osoby odpowiedzialne za bezpieczeństwo do rozpoznawania cyberzagrożeń, właściwego reagowania na incydenty oraz podejmowania decyzji wtedy, gdy problem cyfrowy zaczyna wpływać na funkcjonowanie organizacji.
Realizujemy szkolenia Cyber Awareness dla pracowników, programy dla kadry zarządzającej, warsztaty reagowania na cyberincydenty oraz szkolenia dotyczące bezpiecznego korzystania z AI. Zakres może obejmować m.in. phishing, spear phishing, Business Email Compromise, ransomware, deepfake, socjotechnikę, ochronę informacji, KSC/NIS2, zarządzanie ryzykiem, eskalację incydentu i ciągłość działania.
Program każdorazowo dopasowujemy do charakteru organizacji, roli uczestników, poziomu odpowiedzialności oraz rzeczywistych scenariuszy ryzyka.
Organizacja może posiadać zabezpieczenia techniczne, mechanizmy uwierzytelniania, systemy monitorujące i dobrze skonfigurowaną infrastrukturę, a mimo to sprawca nadal może próbować ominąć technologię poprzez człowieka.
Wykorzystuje autorytet przełożonego, presję czasu, rutynę, emocje, zaufanie do kontrahenta albo pozornie normalny przebieg komunikacji służbowej. Fałszywa faktura może wyglądać niemal identycznie jak prawdziwa. Wiadomość może pochodzić z przejętego konta. Link może prowadzić do strony przypominającej właściwy panel logowania, a rozmówca może posługiwać się syntetycznym głosem osoby, którą pracownik zna.
Dlatego Cyber Awareness nie może sprowadzać się do komunikatu: „nie klikaj w podejrzane linki”.
Pracownik powinien rozumieć, co powinno wzbudzić jego wątpliwość, jak zweryfikować nietypową sytuację, kiedy zatrzymać proces, komu zgłosić zdarzenie i czego nie robić samodzielnie po zauważeniu incydentu.
Z perspektywy kierownictwa problem jest jeszcze szerszy. Jeżeli cyberincydent powoduje niedostępność systemów, zakłócenie procesów, utratę dostępu do informacji albo podejrzenie naruszenia danych, cyberbezpieczeństwo przestaje być wyłącznie zagadnieniem technicznym.
Staje się problemem operacyjnym, organizacyjnym i zarządczym.
Dlatego RiskCom przygotowuje organizacje na trzech poziomach:
Rozpoznaje zagrożenie, weryfikuje nietypową sytuację i właściwie ją zgłasza.
Rozumie ryzyko, odpowiedzialność i podejmuje decyzje.
Koordynuje działania, komunikuje się, ustala priorytety i utrzymuje kluczowe procesy.
Jedno szkolenie nie powinno wyglądać identycznie dla pracownika administracji, księgowości, członka zarządu oraz osoby odpowiadającej za bezpieczeństwo czy ciągłość działania.
Zakres zmieniamy zależnie od tego, z jakimi sytuacjami uczestnicy mogą zetknąć się w swojej pracy i jakie decyzje będą musieli podejmować.
Praktyczne przygotowanie użytkowników poczty, komunikatorów, dokumentów, danych i systemów do rozpoznawania phishingu, socjotechniki, Business Email Compromise, ransomware, deepfake oraz innych prób wykorzystania człowieka jako punktu wejścia do organizacji.
Nie chodzi wyłącznie o rozpoznanie ataku. Równie ważne jest to, co pracownik zrobi później: czy zatrzyma działanie, zweryfikuje nietypową dyspozycję, właściwie zgłosi zdarzenie i uniknie działań mogących pogłębić incydent.
Zarząd i kadra kierownicza nie muszą administrować systemami bezpieczeństwa, ale muszą rozumieć ryzyko, odpowiedzialność oraz konsekwencje decyzji podejmowanych przed incydentem i podczas jego trwania.
Program może obejmować KSC/NIS2, organizację odpowiedzialności, zarządzanie ryzykiem cybernetycznym, ciągłość działania, incydenty, bezpieczeństwo łańcucha dostaw oraz współpracę kierownictwa z IT, bezpieczeństwem, compliance i pozostałymi funkcjami organizacji.
Warsztat scenariuszowy dla organizacji, które chcą przygotować kadrę i osoby funkcyjne do działania wtedy, gdy cyberincydent zaczyna wpływać na rzeczywiste procesy.
Uczestnicy otrzymują kolejne informacje, analizują rozwijającą się sytuację, ustalają priorytety, eskalują problem i podejmują decyzje przy niepełnym obrazie zdarzenia.
Program dotyczący bezpiecznego i odpowiedzialnego korzystania z generatywnej AI w środowisku pracy.
Może obejmować ochronę informacji, shadow AI, korzystanie z niezatwierdzonych narzędzi, weryfikację rezultatów, ograniczenia modeli, deepfake oraz odpowiedzialność człowieka za dalsze wykorzystanie treści generowanych przez AI.
Administracja publiczna, JST, jednostki podległe, instytucje centralne, uczelnie, placówki medyczne i inne podmioty publiczne funkcjonują w środowisku, w którym bezpieczeństwo cyfrowe musi łączyć świadomość pracowników, organizację odpowiedzialności i zdolność reagowania na incydenty.
Dla pracowników administracyjnych najważniejsze mogą być phishing, socjotechnika, bezpieczeństwo dokumentów, ochrona informacji i właściwe zgłaszanie zdarzeń.
Dla kierownictwa większe znaczenie mają zarządzanie ryzykiem, odpowiedzialność, KSC/NIS2, nadzór nad bezpieczeństwem, proces decyzyjny i ciągłość działania.
Dla osób funkcyjnych kluczowa może być natomiast współpraca pomiędzy IT, bezpieczeństwem, ochroną danych, compliance, komunikacją i kadrą zarządzającą.
RiskCom może przygotować odrębne ścieżki szkoleniowe dla pracowników, kadry kierowniczej i osób uczestniczących w reagowaniu na incydenty – również w ramach jednego projektu dla organizacji.
Pozwala to nie tylko różnicować poziom wiedzy, ale również przypisać właściwe cele poszczególnym grupom. Pracownik powinien rozpoznawać i zgłaszać. Kierownictwo powinno rozumieć ryzyko i podejmować decyzje. Osoby funkcyjne powinny wiedzieć, jak współpracować, gdy pojedynczy incydent zaczyna oddziaływać na większą część organizacji.
Zakres każdorazowo dopasowujemy do statusu podmiotu i roli uczestników. Nie zakładamy, że wszystkie instytucje podlegają identycznym obowiązkom KSC/NIS2 ani wymagają tego samego programu.
Organizacje nie zgłaszają się po szkolenie wyłącznie dlatego, że chcą przypomnieć pracownikom zasady dotyczące phishingu.
Punktem wyjścia może być konkretne zdarzenie, zmiana regulacyjna, nowa odpowiedzialność kierownictwa, wdrożenie narzędzi AI, wynik audytu albo potrzeba ujednolicenia zasad bezpieczeństwa w dużej lub rozproszonej strukturze.
Szkolenie warto rozważyć szczególnie wtedy, gdy organizacja obserwuje wzrost prób phishingu, BEC lub innych form socjotechniki, chce uporządkować proces zgłaszania incydentów albo przygotować osoby funkcyjne do współpracy podczas zakłócenia.
Istotnym momentem jest również przygotowanie kadry zarządzającej do wymagań KSC/NIS2 oraz do decyzji, które mogą być konieczne, gdy problem techniczny zaczyna wpływać na działalność organizacji.
Podobna potrzeba pojawia się podczas wdrażania generatywnej AI. Jeżeli pracownicy zaczynają wykorzystywać nowe narzędzia szybciej, niż organizacja ustala zasady ich stosowania, szkolenie może pomóc zbudować bezpieczniejsze zachowania i świadomość odpowiedzialności.
W dużych organizacjach punktem wyjścia może być również potrzeba rozdzielenia programu na kilka grup. Innego przygotowania wymaga ogół pracowników, innego osoby realizujące płatności czy pracujące z informacjami wrażliwymi, a jeszcze innego zarząd i zespół uczestniczący w reagowaniu na incydent.
Punktem wyjścia nie musi być gotowy temat szkolenia. Możemy najpierw ustalić, która grupa wymaga przygotowania, jakie ryzyka mają największe znaczenie i jaki efekt organizacja chce osiągnąć.
Omów potrzeby organizacji →Program Cyber Awareness koncentruje się na sytuacjach, które mogą prowadzić do utraty pieniędzy, danych, dostępu do systemów albo zakłócenia działalności poprzez zachowanie użytkownika.
Nie każdy projekt musi obejmować wszystkie moduły w identycznym zakresie. Dobieramy je do odbiorców, sposobu pracy oraz profilu ryzyka organizacji.
Uczestnicy analizują fałszywe wiadomości, SMS-y, linki, załączniki i strony logowania. Uczą się zwracać uwagę na elementy, które powinny wzbudzić wątpliwość również wtedy, gdy komunikat wygląda profesjonalnie, wykorzystuje prawdziwe dane albo nawiązuje do bieżącej działalności organizacji.
Celem nie jest nauczenie pracowników mechanicznego wyszukiwania jednej cechy „fałszywego maila”. Ważniejsza jest umiejętność oceny kontekstu i zatrzymania działania wtedy, gdy coś nie pasuje do normalnego procesu.
Cyberatak może rozpocząć się od rozmowy, nie od złośliwego pliku.
Omawiamy mechanizmy manipulacji oparte na presji czasu, autorytecie, emocjach, rutynie i zaufaniu. Uczestnik powinien rozumieć, w jaki sposób sprawca może próbować skłonić go do ujawnienia informacji, wykonania nietypowej czynności albo obejścia normalnej procedury.
BEC ma szczególne znaczenie dla działów finansowych, księgowości, administracji oraz osób podejmujących decyzje finansowe.
Scenariusz może polegać na podszyciu się pod kontrahenta, przejęciu rzeczywistej korespondencji, zmianie numeru rachunku albo wysłaniu fałszywej dyspozycji.
Szkolenie pokazuje nie tylko mechanizm ataku, ale również znaczenie niezależnej weryfikacji nietypowej zmiany i respektowania procesu autoryzacji.
Pracownik nie musi rozumieć wszystkich technicznych szczegółów działania złośliwego oprogramowania.
Powinien natomiast wiedzieć, jak rozpoznać potencjalny problem, kiedy przerwać działanie, co zgłosić i czego nie podejmować samodzielnie, aby nie pogłębić skutków zdarzenia.
Rozwój narzędzi generatywnych zwiększa możliwości podszywania się pod inne osoby.
Fałszywy głos, obraz lub materiał wideo może zostać wykorzystany do budowania wiarygodnego kontekstu dla próby wyłudzenia pieniędzy, danych albo wykonania nietypowej dyspozycji.
Dlatego istotna staje się nie tylko ocena samego komunikatu, ale również weryfikacja kanałem niezależnym od tego, którym przyszło żądanie.
Program może obejmować uwierzytelnianie wieloskładnikowe (MFA), przejęcie konta, SIM swapping, QRishing, fałszywe strony logowania oraz zachowania użytkownika wpływające na ochronę tożsamości cyfrowej.
Nie jest to kurs techniczny dla administratorów. Chodzi o zrozumienie, w jaki sposób codzienne decyzje pracownika wpływają na bezpieczeństwo dostępu.
Cyberbezpieczeństwo obejmuje również sposób korzystania z dokumentów, danych osobowych, informacji poufnych, urządzeń mobilnych, pracy zdalnej oraz narzędzi cyfrowych.
Uczestnicy uczą się rozpoznawać sytuacje, w których wygodne lub rutynowe działanie może prowadzić do niezamierzonego ujawnienia informacji.
Ostatnim elementem jest odpowiedź na pytanie:
Szybkie przekazanie właściwej informacji może mieć równie duże znaczenie jak uniknięcie kliknięcia.
Uczestnik powinien wiedzieć, kiedy zatrzymać działanie, jaki kanał zgłoszenia wykorzystać, jakie informacje przekazać oraz czego nie próbować naprawiać samodzielnie.
Szkolenie nie powinno kończyć się na slajdach przedstawiających rodzaje ataków.
W wariancie warsztatowym wykorzystujemy przykłady komunikacji, sytuacje decyzyjne, fałszywe wiadomości, próby manipulacji i scenariusze odnoszące się do rzeczywistego środowiska pracy.
Uczestnik otrzymuje sytuację i musi ocenić:
Model pracy może wyglądać następująco:
Scenariusz może dotyczyć fałszywej faktury, zmiany danych kontrahenta, rzekomego polecenia osoby decyzyjnej, podejrzanego logowania, spreparowanego formularza, syntetycznego głosu albo ujawnienia informacji do niewłaściwego narzędzia.
Praktyka pozwala również pokazać różnicę pomiędzy wiedzą deklaratywną a decyzją podejmowaną w sytuacji, która na pierwszy rzut oka wygląda normalnie. Uczestnik może znać definicję phishingu, a mimo to zareagować inaczej, gdy wiadomość odnosi się do prawdziwego kontrahenta, rzeczywistego procesu i presji czasu.
Celem nie jest stworzenie przekonania, że każda wiadomość jest atakiem.
Celem jest rozwijanie właściwego sposobu myślenia, weryfikowania nietypowych sytuacji i podejmowania bezpieczniejszych decyzji.
Cyberbezpieczeństwo nie może pozostawać wyłącznie odpowiedzialnością zespołu IT.
Kadra zarządzająca odpowiada za decyzje dotyczące ryzyka, priorytetów, zasobów oraz sposobu funkcjonowania organizacji. W przypadku podmiotów objętych KSC/NIS2 rola kierownictwa ma również wymiar wynikający z obowiązujących regulacji.
Program może obejmować m.in. zarządzanie ryzykiem, organizację odpowiedzialności, system zarządzania bezpieczeństwem informacji (SZBI), reagowanie i zgłaszanie incydentów, cyberhigienę, ciągłość działania, bezpieczeństwo łańcucha dostaw oraz współpracę z właściwymi zespołami reagowania na incydenty bezpieczeństwa komputerowego (CSIRT).
Nie chodzi o to, aby zarząd znał konfigurację systemów.
Powinien natomiast rozumieć:
Takie podejście pozwala oddzielić rolę specjalistów technicznych od odpowiedzialności zarządczej. Kierownictwo nie zastępuje zespołu IT, ale powinno posiadać wystarczającą świadomość, aby właściwie nadzorować ryzyko i działać wtedy, gdy incydent zaczyna wpływać na funkcjonowanie organizacji.
Cyberincydent może rozpocząć się od pozornie niewielkiego sygnału: problemu z logowaniem, zgłoszenia pracownika, niedostępności jednego systemu albo podejrzanej aktywności zauważonej przez zespół techniczny.
Kolejne informacje mogą jednak całkowicie zmienić obraz sytuacji.
Pracownicy tracą dostęp do następnych usług. Część procesów nie może być realizowana. Klienci zaczynają zgłaszać problemy. Pojawia się pytanie, czy doszło do naruszenia informacji, czy można nadal korzystać z systemów, jakie procesy mają pierwszeństwo i czy trzeba uruchomić rozwiązania zastępcze.
W tym momencie cyberincydent staje się sytuacją wymagającą decyzji organizacyjnych.
RiskCom może przygotować warsztat scenariuszowy, w którym uczestnicy otrzymują kolejne informacje w miarę rozwoju zdarzenia. Muszą określić moment eskalacji, ustalić priorytety, wskazać osoby odpowiedzialne za decyzje i zdecydować, jakie działania należy uruchomić.
Model ćwiczenia może wyglądać następująco:
W zależności od celu projektu ćwiczenie może obejmować współpracę pomiędzy kadrą zarządzającą, IT, bezpieczeństwem, compliance, komunikacją i właścicielami procesów.
Scenariusz nie musi od razu rozpoczynać się od poważnego ransomware. Może zacząć się od pojedynczej informacji, której znaczenie początkowo jest niejasne. Kolejne komunikaty zmieniają sytuację i wymuszają ponowną ocenę priorytetów.
To właśnie wtedy można sprawdzić, czy organizacja wie, kto powinien zostać poinformowany, kto podejmuje decyzję, jakie procesy wymagają pierwszeństwa, kto odpowiada za komunikację i kiedy należy przejść do rozwiązań zastępczych.
Nie chodzi o techniczną ocenę pracy administratorów.
Sprawdzamy przede wszystkim system decyzyjny organizacji: odpowiedzialność, eskalację, przepływ informacji, priorytety i zdolność działania przy niepełnym obrazie sytuacji.
Po scenariuszu następuje omówienie decyzji i obserwacji. Jeżeli zakres projektu to przewiduje, wnioski mogą zostać przełożone na rekomendacje dotyczące procedur, komunikacji, odpowiedzialności, ciągłości działania albo dalszych ćwiczeń.
Przygotowujemy kadrę nie do technicznego usuwania malware, lecz do zarządzania konsekwencjami cyberincydentu.
Generatywna AI coraz częściej pojawia się w codziennej pracy szybciej, niż organizacje zdążą uporządkować zasady jej wykorzystania.
Pracownicy używają narzędzi AI do tworzenia tekstów, analizy dokumentów, researchu, tłumaczeń, przygotowywania prezentacji, kodu czy pracy z informacjami.
Z perspektywy bezpieczeństwa istotne są jednak pytania o dane przekazywane do narzędzia, dopuszczone aplikacje, weryfikację rezultatu i odpowiedzialność za sposób wykorzystania wygenerowanej treści.
Jakie informacje można przekazać do zewnętrznego systemu? Czy pracownik może korzystać z prywatnego konta? Kto zatwierdza stosowane rozwiązania? Jak weryfikować wynik modelu? Co zrobić po przypadkowym ujawnieniu informacji? Jak reagować na deepfake albo inne treści wygenerowane przy użyciu AI?
Program AI literacy może obejmować ochronę informacji, shadow AI, korzystanie z GenAI, ograniczenia modeli, weryfikację wyników, deepfake oraz odpowiedzialność człowieka.
Dobrze przygotowane szkolenie nie gwarantuje, że pracownik nigdy nie popełni błędu.
Jego zadaniem jest zwiększenie prawdopodobieństwa, że rozpozna nietypową sytuację, zatrzyma się przed wykonaniem ryzykownej czynności, zweryfikuje żądanie i właściwie zgłosi zdarzenie.
Dla kadry zarządzającej efekt wygląda inaczej. Kierownictwo lepiej rozumie relację pomiędzy cyberzagrożeniem, ryzykiem operacyjnym, odpowiedzialnością i ciągłością działania.
Dla całej organizacji szkolenie może być punktem wyjścia do dalszego porządkowania procedur, komunikacji, ścieżek eskalacji i programu rozwijania świadomości.
Pracownicy zwracają większą uwagę na nietypowe komunikaty, żądania i sytuacje wymagające dodatkowej weryfikacji.
Uczestnicy lepiej rozumieją, kiedy mogą działać zgodnie z normalnym procesem, kiedy powinni go zatrzymać i kiedy eskalować problem.
Informacja o potencjalnym zagrożeniu może szybciej dotrzeć do osób zdolnych właściwie zareagować.
Program rozwija czujność szczególnie w obszarze płatności, dostępu, dokumentów, danych i komunikacji.
Kierownictwo lepiej rozumie swoją rolę podczas incydentu oraz w systemie zarządzania ryzykiem cybernetycznym.
Wnioski ze szkolenia lub warsztatu mogą wskazać potrzebę dalszej pracy nad procedurami, kompetencjami kolejnych grup, ćwiczeniami albo ciągłością działania.
Program zamkniętego szkolenia powinien wynikać z rzeczywistych potrzeb klienta, a nie z gotowej listy tematów.
Dlatego przed realizacją ustalamy kogo przygotowujemy, z jakim problemem mierzy się organizacja oraz jakie zachowanie, kompetencję lub zdolność decyzyjną chcemy rozwinąć.
Ustalamy cel projektu, grupę uczestników, charakter organizacji, formę realizacji i główne oczekiwania zamawiającego.
Inaczej wygląda ekspozycja działu finansowego, inaczej administracji, a jeszcze inaczej członka zarządu albo osoby uczestniczącej w obsłudze incydentu.
Wybieramy te zagadnienia, które odpowiadają potrzebom grupy. Nie dokładamy kolejnych modułów tylko po to, aby program był dłuższy.
W warsztatach możemy wykorzystywać sytuacje zbliżone do środowiska pracy uczestników: komunikację, proces płatniczy, eskalację incydentu albo współpracę różnych funkcji.
Łączymy część merytoryczną z analizą przypadków, decyzjami uczestników i dyskusją nad właściwym sposobem reagowania.
Jeżeli charakter projektu to uzasadnia, po szkoleniu omawiamy obserwacje i wskazujemy obszary, które warto dalej rozwijać.
W przypadku warsztatu cyberincydentu etap przygotowawczy może dodatkowo obejmować zebranie informacji o sposobie eskalacji, odpowiedzialności, procesach istotnych dla organizacji i dostępnych rozwiązaniach zastępczych — w zakresie uzgodnionym z klientem i potrzebnym do przygotowania scenariusza.
Nie jest osobnym produktem ani dodatkową usługą. W szkoleniach cyber pozwala utrzymać związek pomiędzy zakresem programu, rzeczywistą rolą uczestników i sposobem funkcjonowania organizacji.
Programy realizuje zespół RiskCom dobierany do charakteru i zakresu projektu.
W zależności od tematyki szkolenia mogą uczestniczyć w nim specjaliści posiadający doświadczenie związane z cyberprzestępczością, ochroną informacji, analizą OSINT, regulacjami, bezpieczeństwem organizacji oraz reagowaniem na incydenty.
W programach dla pracowników szczególne znaczenie ma praktyczne rozumienie mechanizmów phishingu, socjotechniki, manipulacji i zachowania użytkowników.
W szkoleniach dla kadry zarządzającej większy nacisk kładziemy na ryzyko cybernetyczne, odpowiedzialność, KSC/NIS2, proces decyzyjny, reagowanie na incydenty i ciągłość działania.
Przy projektach łączących kilka obszarów skład zespołu może zostać dopasowany do celu szkolenia i grup uczestników.
Zakres zależy od wybranego wariantu, ale projekt może obejmować więcej niż sam czas pracy trenera podczas szkolenia.
Zakres dopasowany do odbiorców, celu projektu i charakteru organizacji.
Dobór przykładów, przypadków i ćwiczeń odpowiadających ustalonemu zakresowi.
Stacjonarnie, online albo hybrydowo, zgodnie z uzgodnionym formatem.
Materiały podsumowujące lub pomagające utrwalać najważniejsze zasady, jeżeli obejmuje je wybrany wariant.
Uczestnicy mogą otrzymać imienne certyfikaty RiskCom potwierdzające udział w szkoleniu.
W wariantach warsztatowych i scenariuszowych projekt może obejmować podsumowanie najważniejszych obserwacji.
Jeżeli zostały uzgodnione w zakresie projektu, mogą dotyczyć np. procedur, dalszego programu Cyber Awareness, przygotowania kolejnych grup, e-learningu albo kolejnych ćwiczeń.
Szkolenie może zostać przeprowadzone stacjonarnie, online lub hybrydowo.
W zależności od potrzeb może mieć formę krótszego modułu Cyber Awareness, szkolenia jednodniowego, warsztatu dla kadry zarządzającej albo projektu obejmującego różne grupy w jednej organizacji.
W większych lub rozproszonych strukturach szkolenie może zostać uzupełnione e-learningiem, co pozwala rozwijać wspólny poziom świadomości w większej liczbie zespołów.
Wariant warsztatowy może obejmować analizę przypadków, komunikatów i wiadomości, ćwiczenia decyzyjne oraz pracę na scenariuszach.
Czas trwania, liczebność grupy, proporcje części merytorycznej i warsztatowej oraz szczegółowy zakres ustalamy z klientem w zależności od celu projektu.
Tak. Program Cyber Awareness jest projektowany przede wszystkim dla osób korzystających z poczty, systemów, dokumentów i danych. Uczestnik nie musi posiadać wiedzy administratora IT.
Tak. W wariancie warsztatowym uczestnicy analizują przykłady wiadomości, sytuacje decyzyjne i próby manipulacji oraz uczą się sposobu weryfikowania i zgłaszania podejrzanych zdarzeń.
Tak. Program dla kierownictwa może koncentrować się na zarządzaniu ryzykiem cybernetycznym, odpowiedzialności, KSC/NIS2, reagowaniu na incydent i ciągłości działania.
Tak. Zakres może zostać przygotowany oddzielnie dla pracowników, kadry kierowniczej, osób funkcyjnych i zespołów uczestniczących w reagowaniu na incydenty.
Tak, jeżeli odpowiada to potrzebom klienta i statusowi podmiotu. Program może wspierać zrozumienie obowiązków, ryzyka i odpowiedzialności, ale nie jest audytem zgodności ani automatycznym potwierdzeniem spełnienia wymagań.
Tak. Program może uwzględniać AI literacy, bezpieczne korzystanie z GenAI, ochronę informacji, shadow AI, deepfake oraz weryfikację rezultatów.
Nie. Szkolenie może wspierać rozwój kompetencji personelu i bezpiecznych praktyk, ale udział w nim nie jest certyfikacją ani pełnym potwierdzeniem zgodności organizacji z AI Act.
Tak. Możemy przygotować warsztat scenariuszowy, w którym incydent stopniowo wpływa na działalność organizacji i wymaga decyzji kadry zarządzającej oraz współpracy osób funkcyjnych.
Tak. Możliwe jest zaprojektowanie kilku ścieżek w ramach jednego projektu, np. Cyber Awareness dla pracowników, osobnego modułu dla kadry zarządzającej oraz warsztatu dotyczącego reagowania na cyberincydent.
Tak. Przy większych lub rozproszonych organizacjach program warsztatowy może zostać uzupełniony e-learningiem, który pomaga utrwalać najważniejsze zasady w szerszej grupie pracowników.
Nie każda organizacja potrzebuje tego samego programu.
Dla jednej właściwym punktem wyjścia będzie Cyber Awareness dla pracowników. Inna potrzebuje warsztatu dla kadry zarządzającej, programu uwzględniającego KSC/NIS2 albo ćwiczenia dotyczącego cyberincydentu i ciągłości działania.
Zespół RiskCom pomoże określić odbiorców, cel, zakres i właściwą formę szkolenia, tak aby program odpowiadał rzeczywistemu ryzyku i sposobowi funkcjonowania organizacji.
Omów program szkolenia →