Cyberbezpieczeństwo to nie „problem ludzi”

W wielu organizacjach cyberbezpieczeństwo zaczyna się i kończy na jednym zdaniu: „ludzie są najsłabszym ogniwem”. To zdanie jest wygodne, ale w praktyce prowadzi do błędnych decyzji. Przesuwa odpowiedzialność na pracowników i odsuwa ją od organizacji. Tymczasem NIS2 i UKSC bardzo wyraźnie zmieniają tę perspektywę.

Cyberhigiena nie jest zestawem dobrych nawyków pracowników. Jest rezultatem sposobu, w jaki organizacja projektuje swoje środowisko i zarządza ryzykiem. A pracownik jest jego częścią a nie jedynym zabezpieczeniem.

Rola pracodawcy

Z punktu widzenia regulacyjnego kluczowe jest jedno: to pracodawca odpowiada za stworzenie warunków bezpiecznej pracy. Oznacza to nie tylko wdrożenie narzędzi, ale również zorganizowanie całego systemu – od zasad dostępu, przez procedury reagowania, po szkolenia.

Jeżeli w organizacji brakuje podstawowych mechanizmów, takich jak wieloskładnikowe uwierzytelnianie, kopie zapasowe czy kontrola uprawnień, to problemem nie jest zachowanie pracownika. Problemem jest środowisko, które pozwala na popełnienie błędu bez żadnych zabezpieczeń.

Właśnie dlatego NIS2 wymaga podejścia opartego na ryzyku, czyli takiego, w którym organizacja najpierw projektuje system ograniczający ryzyko, a dopiero później oczekuje od użytkownika właściwych zachowań.

Rola pracownika

Dopiero na tym fundamencie pojawia się rola pracownika. I jest ona istotna, ale zupełnie inaczej, niż często się zakłada. Pracownik nie jest elementem decydującym o bezpieczeństwie, lecz uczestnikiem systemu, który:

• stosuje zasady codziennej pracy (np. korzystanie z dostępów),
• rozumie, czego unikać,
• zauważa nietypowe sytuacje,
• i przekazuje informację dalej.

To właśnie ostatni element ma największe znaczenie. W praktyce wiele incydentów nie zaczyna się od błędu technicznego, lecz od sytuacji, którą ktoś zauważył podejrzany e-mail, nietypowe zachowanie systemu czy problem z dostępem.

Jeżeli organizacja nie ma kultury zgłaszania takich zdarzeń, to nawet najlepsze zabezpieczenia przestają działać.

Cyberhigiena to system, nie zachowanie

W tym miejscu pojawia się zasadnicza różnica między świadomością a realną cyberhigieną. Świadomość to wiedza pracownika. Cyberhigiena to połączenie wiedzy, narzędzi i procesów.

Organizacja odpowiada za to, żeby:

• stworzyć środowisko, w którym ryzyko jest ograniczane technicznie,
• jasno określić zasady działania,
• i zapewnić pracownikom realną możliwość działania zgodnie z nimi.

Pracownik odpowiada za to, żeby:

• działać w ramach tych zasad,
• nie obchodzić zabezpieczeń,
• i reagować, gdy pojawia się coś niepokojącego.

Dopiero wtedy powstaje system, który jest spójny.

Najczęstszy błąd polega na tym, że organizacje próbują naprawić cyberbezpieczeństwo szkoleniami, zamiast poprawić środowisko. Drugi, że wdrażają narzędzia, ale nie włączają ludzi w ich działanie.

Oba podejścia prowadzą do tego samego efektu: deklarowane bezpieczeństwo nie przekłada się na rzeczywistość.

Dlatego w kontekście NIS2 warto zapamiętać jedną rzecz: cyberhigiena to nie zachowanie pracownika, to jakość zarządzania organizacją.