Usługa
Akademia Zarządzania Cyberbezpieczeństwem
Praktyczny program dla małych i średnich firm, które nie mają specjalisty od cyberbezpieczeństwa i chcą przygotować własną osobę do pełnienia tej funkcji. Uczymy, jak nie dopuścić do tego, żeby atak zatrzymał albo okradł firmę, i jak prowadzić ten temat na co dzień z zarządem i dostawcą IT.
W skrócie
- 18 spotkań online po 2 godziny, dwa razy w tygodniu
- 36 godzin zajęć, w każdym spotkaniu ćwiczenia w małych grupach
- projekt prowadzony przez cały program, z pisemną informacją zwrotną
- 3 indywidualne konsultacje z opiekunem projektu
- grupa do 15 osób
- zaświadczenie o ukończeniu po obronie projektu
Po co firmie taka osoba
W firmie bez specjalisty cyberbezpieczeństwo jest zwykle sprawą informatyka albo nikogo. Informatyk dba o to, żeby systemy działały, ale nikt nie decyduje, które ryzyka są najważniejsze, ile na nie wydać i kto odpowiada, gdy coś się stanie.
Firmę mogą zatrzymać albo okraść bardzo przyziemne zdarzenia: podmieniony numer rachunku na fakturze, przejęta skrzynka pocztowa, ransomware, który szyfruje dane, albo awaria u dostawcy, od którego zależy praca całej firmy.
Do tego dochodzą wymagania z zewnątrz. Klienci przysyłają ankiety bezpieczeństwa i wpisują wymagania do umów, ubezpieczyciele pytają o zabezpieczenia przy odnowieniu polisy, a część firm podlega ustawie o krajowym systemie cyberbezpieczeństwa. Ktoś w firmie musi umieć to poukładać i tego pilnować. Akademia przygotowuje właśnie tę osobę.
Co absolwent potrafi
Po programie absolwent umie:
- Wskazać, co realnie może zatrzymać albo okraść firmę, i zaproponować zarządowi priorytety oraz budżet.
- Ustalić, czego wymagają od firmy klienci, ubezpieczyciel, umowy i przepisy, w tym czy firma podlega ustawie o KSC.
- Opisać, co musi działać, żeby firma działała, i wskazać punkty, których awaria zatrzymuje całą firmę.
- Postawić dostawcy IT konkretne wymagania i sprawdzać, czy je spełnia.
- Wprowadzić krótkie zasady, które ludzie naprawdę stosują, i pokazać dowodami, że zabezpieczenia działają.
- Poprowadzić firmę przez pierwsze godziny incydentu i dotrzymać obowiązujących terminów zgłoszeń.
- Sprawdzić, czy kopie zapasowe pozwolą firmie wrócić do pracy w akceptowalnym czasie.
- Odpowiedzieć na ankietę klienta albo kwestionariusz ubezpieczyciela bez deklaracji, których nie da się udowodnić.
- Zaplanować działania budujące świadomość pracowników, zwłaszcza tam, gdzie firma traci pieniądze na oszustwach.
- Regularnie raportować zarządowi stan bezpieczeństwa i decyzje do podjęcia.
Co zyskuje firma
Własna osoba odpowiedzialna za cyberbezpieczeństwo
Ktoś, kto wie, jak tę funkcję pełnić, zamiast polegać wyłącznie na firmach zewnętrznych.
Partner do rozmowy z dostawcą IT
Ktoś, kto wie, o co pytać, czego wymagać i jak sprawdzić odpowiedź.
Lepsze decyzje zarządu
Priorytety i budżet uzasadnione skutkiem dla firmy, a nie ofertą handlową czy modą.
Gotowość na pytania klientów i ubezpieczycieli
Odpowiedzi oparte na dowodach, a nie na deklaracjach.
Mniej chaosu w razie incydentu
Wiadomo, kto decyduje, kogo zawiadomić i w jakim terminie.
Jak pracujemy
Akademia to praktyka pod okiem prowadzących, a nie cykl wykładów.
Mało wykładu, dużo ćwiczeń
Każde dwugodzinne spotkanie to krótka część merytoryczna z przykładami, ćwiczenie w małych grupach i zadanie do projektu na kolejne zajęcia.
Firmy przykładowe
Ćwiczymy na fikcyjnych firmach opartych na realnych sytuacjach, na przykład sieci przychodni czy biurze rachunkowym. Nikt nie ujawnia zabezpieczeń własnej firmy.
Projekt od początku do końca
Przez cały program uczestnik buduje plan zarządzania cyberbezpieczeństwem dla firmy przykładowej. Każdy moduł dokłada do niego kolejną część.
Informacja zwrotna i konsultacje
Każdy z trzech etapów projektu prowadzący oceniają na piśmie, a opiekun projektu prowadzi z uczestnikiem trzy konsultacje po 30 minut.
Obrona
Na koniec uczestnik przedstawia plan panelowi, który pyta jak zarząd decydujący o budżecie i jak klient proszący o dowody.
Mała grupa
Do 15 osób, żeby każdy miał czas na pytania, dyskusję i pracę w podgrupach pod okiem prowadzących.
Program moduł po module
Osiem modułów prowadzi od pytania „co może zatrzymać firmę” do kwartalnego raportu dla zarządu. Każdy kończy się ćwiczeniem i kolejną częścią projektu.
- Jak naprawdę atakuje się małe i średnie firmy: oszustwo na podmieniony rachunek i „na prezesa”, przejęcie poczty w Microsoft 365, ransomware, incydent u dostawcy.
- Ile kosztuje incydent: przestój, utracone zamówienia, odpowiedzialność wobec klientów, czas zarządu, wyższa składka ubezpieczeniowa.
- Rola osoby odpowiedzialnej: co należy do zarządu, co do niej, a co do dostawcy IT.
- Skąd przychodzą wymagania: klienci, ubezpieczyciele, przetargi, RODO, ustawa o KSC. Jak sprawdzić, czy firma podlega ustawie.
Ćwiczenie: które ataki zatrzymałyby firmę ćwiczeniową na dłużej niż dzień i kto w niej za co odpowiada.
W projekcie: opis zagrożeń i wymagań dla firmy przykładowej oraz podział odpowiedzialności.
- Od usług do systemów: co musi działać, żeby firma sprzedawała.
- Ile szczegółu wystarczy w rejestrze i skąd wziąć dane.
- Zależności i punkty pojedynczej awarii: dostawcy, chmura, łącza, kluczowe osoby, wiedza w jednej głowie.
- Narzędzia używane poza wiedzą IT, w tym narzędzia AI.
Ćwiczenie: mapa zależności firmy ćwiczeniowej.
W projekcie: rejestr usług i systemów z mapą zależności.
- Ryzyko w języku firmy: skutek finansowy, przestój, dane, klienci, wymagania zewnętrzne.
- Osiem scenariuszy, które najczęściej dotyczą małych i średnich firm, i jak je ocenić.
- Co zrobić z ryzykiem: ograniczyć, ubezpieczyć, uniknąć albo świadomie zaakceptować. Kto o tym decyduje.
- Minimum techniczne, którego trzeba wymagać od IT, i proporcjonalne zestawy zabezpieczeń dla małych firm.
- Priorytety i budżet na dwa kwartały oraz jak przedstawić je zarządowi.
Ćwiczenie: ocena scenariuszy, porównanie zabezpieczeń z kwestionariuszem ubezpieczyciela, wybór priorytetów z szacunkiem kosztu.
W projekcie: analiza ryzyka, priorytety i budżet.
- Jaki minimalny zestaw zasad wystarczy firmie i dlaczego kupione szablony częściej szkodzą, niż pomagają.
- Dostęp i uprawnienia, odejścia pracowników, kopie zapasowe, aktualizacje, szyfrowanie, płatności i zmiana danych kontrahenta, praca zdalna.
- Bezpieczne korzystanie z narzędzi AI w firmie: co wolno, czego nie wklejać, jak chronić dane.
- Co jest dowodem, że zabezpieczenie działa, i jak przygotować się na audyt klienta, pytania ubezpieczyciela albo kontrolę.
Ćwiczenie: luka w uprawnieniach przy odejściu pracownika, „dowód czy deklaracja”, odpowiedź na pytania z ankiety szpitala.
W projekcie: lista zasad do wprowadzenia i kalendarz dowodów.
- Pierwsza godzina incydentu: kto decyduje, czego nie robić, jak współpracować z dostawcą IT.
- Oszustwo na rachunek: co zrobić z bankiem w pierwszych godzinach.
- Zgłoszenia: UODO, ubezpieczyciel, policja, klienci, a w firmach objętych ustawą o KSC także CSIRT.
- Jak długo firma wytrzyma przestój i czy kopie zapasowe na to pozwalają. Dlaczego tylko test odtworzenia dowodzi, że kopia działa.
- Ćwiczenie sztabowe: atak ransomware w czterech turach, z decyzjami pod presją czasu i komunikacją kryzysową.
Ćwiczenie: kwalifikacja zdarzeń, zestawienie wymagań ciągłości z raportem z kopii, ćwiczenie sztabowe.
W projekcie: procedura obsługi incydentu, wymagania ciągłości i plan testów odtworzenia.
- Którzy dostawcy są krytyczni i jak ich ocenić. Co wynika z certyfikatów i raportów dostawcy, a czego nie dowodzą.
- Chmura i Microsoft 365: za co odpowiada dostawca, a co zostaje po stronie firmy.
- Wymagania bezpieczeństwa w umowach i powierzenie danych osobowych.
- Co dostawca IT powinien raportować co miesiąc i jak z nim rozmawiać bez wiedzy technicznej.
- Firma jako dostawca: odpowiadanie na ankiety klientów i kwestionariusze ubezpieczycieli.
Ćwiczenie: ocena dostawców, analiza umowy serwisowej, odpowiedź na kwestionariusz ubezpieczyciela.
W projekcie: lista dostawców krytycznych, wymagania wobec dostawcy IT i odpowiedź na ankietę.
- Program świadomości: kogo uczyć, czego, jak często i jak mierzyć efekt.
- Socjotechnika w praktyce: podmieniony rachunek, polecenie „od prezesa”, fałszywy dział IT, telefon „z banku”.
- Kultura zgłaszania, w której pracownik nie boi się przyznać do kliknięcia.
- Jak komunikować zmiany, które pracownikom się nie spodobają.
Ćwiczenie: komunikat o wprowadzeniu uwierzytelniania wieloskładnikowego i rozmowa z księgowością o weryfikacji rachunków.
W projekcie: roczny plan świadomości i komunikacji.
- Co zarząd powinien zatwierdzać i jak często.
- Mierniki, które mają źródło danych, i raport kwartalny na jedną stronę.
- Dlaczego podstawowe zabezpieczenia nie są celem ambitnym i co trafia do celów kwartalnych.
Ćwiczenie: mierniki i raport dla firmy ćwiczeniowej, cel na kwartał z kluczowymi rezultatami.
W projekcie: mierniki, cele na dwa kwartały i struktura raportu dla zarządu.
Każdy uczestnik przedstawia plan dla swojej firmy przykładowej: 8 minut prezentacji i 5 minut pytań panelu. Na zakończenie podsumowujemy program i omawiamy, jak przenieść przećwiczoną metodę do własnej firmy.
Projekt krok po kroku
Projekt to plan zarządzania cyberbezpieczeństwem dla firmy przykładowej, budowany przez cały program w trzech etapach i domykany obroną. Uczestnik wykonuje tę samą pracę, którą po Akademii wykona we własnej firmie.
- Etap pierwszy: jakie zagrożenia i wymagania dotyczą firmy, kto za co odpowiada, jakie usługi i systemy muszą działać i od czego zależą.
- Etap drugi: analiza ryzyka na scenariuszach, priorytety i budżet na dwa kwartały.
- Etap trzeci: zasady do wprowadzenia i kalendarz dowodów, procedura obsługi incydentu, wymagania ciągłości działania, ocena dostawców i odpowiedź na ankietę klienta albo kwestionariusz ubezpieczyciela.
- Plan końcowy: program świadomości pracowników, mierniki, cele na dwa kwartały i raport dla zarządu, przedstawione na obronie.
Po każdym etapie uczestnik dostaje pisemną informację zwrotną, a między etapami ma konsultacje z opiekunem projektu. Każdy uczestnik dostaje też własny wariant firmy przykładowej, z kilkoma innymi faktami, więc projekty się nie powielają.
Format i organizacja
Spotkania
18 spotkań online po 2 godziny, dwa razy w tygodniu, w godzinach pracy.
Czas trwania
Około 9 tygodni zajęć i tydzień przerwy na dokończenie projektu przed obronami.
Forma
Zajęcia na żywo w Microsoft Teams, z pracą w podgrupach. Spotkań nie nagrywamy, bo ich wartością jest wspólna praca, a nie sam wykład.
Nakład pracy
Około 6 godzin tygodniowo, czyli 4 godziny zajęć i około 2 godzin pracy nad projektem.
Materiały
Po każdym spotkaniu slajdy w PDF, karta pracy i opis zadania do projektu.
Zaświadczenie o ukończeniu
Po udziale w co najmniej 15 z 18 spotkań, oddaniu trzech etapów projektu i obronie planu.
Termin startu ogłosimy po zebraniu grupy.
Dla kogo
Dla osoby, która w swojej firmie ma przejąć odpowiedzialność za cyberbezpieczeństwo, także bez doświadczenia w tej dziedzinie. Typowo jest to kierownik IT lub administrator, kierownik administracji lub finansów, pełnomocnik do spraw jakości, inspektor ochrony danych albo członek zarządu małej firmy.
Akademia jest też dla osób, które już mają ten obowiązek, ale nikt ich do niego nie przygotował.
Program jest przeznaczony dla firm zatrudniających mniej więcej od kilkudziesięciu do 250 osób, niezależnie od branży i od tego, czy firma podlega ustawie o KSC.
Wymagania
- Wiedza techniczna nie jest potrzebna. Wystarczy ogólna orientacja w tym, jak działa firma i jej IT.
- Zgoda pracodawcy na udział w zajęciach w godzinach pracy.
- Około 6 godzin tygodniowo przez cały program.
Czego Akademia nie robi
Nie jest kursem technicznym
Nie uczy administracji systemami ani testów penetracyjnych. Absolwent stawia wymagania dostawcy IT i sprawdza ich realizację.
Nie jest kursem o przepisach
Przepisy omawiamy tam, gdzie wynikają z ryzyka i dotyczą firmy, a nie dla nich samych.
Nie wykonuje pracy w Waszej firmie
Przygotowuje osobę, która ją wykona, ćwicząc na firmach przykładowych zamiast na Waszych danych.
Nie daje certyfikatu kompetencji
Zaświadczenie potwierdza ukończenie programu. Nie jest certyfikatem kompetencji w rozumieniu ISO/IEC 17024 ani uprawnieniem do audytu z art. 15 ustawy o KSC.
Nie jest studiami podyplomowymi ani MBA
To praktyczny program szkoleniowy dla firm, skupiony na jednej roli: osobie odpowiedzialnej za cyberbezpieczeństwo.
Najczęstsze pytania
Nie. Program uczy zarządzania cyberbezpieczeństwem: decyzji, priorytetów, wymagań i nadzoru. Tam, gdzie potrzebna jest technika, uczymy, czego wymagać od dostawcy IT i jak sprawdzić, czy to zrobił.
Nie. Program jest dla każdej małej i średniej firmy, która chce mieć własną osobę odpowiedzialną za cyberbezpieczeństwo. Firmy spoza ustawy i tak dostają podobne wymagania od klientów, ubezpieczycieli i z umów.
W zakresie zarządzania tak. Program obejmuje wszystkie dziesięć obszarów środków wymaganych od podmiotów objętych ustawą, ale traktuje przepisy jako jedno ze źródeł wymagań, a nie jako cel sam w sobie. Obszary techniczne, takie jak kryptografia czy bezpieczna komunikacja, omawiamy na poziomie wymagań wobec dostawcy IT.
Nie. Ćwiczenia i projekt są oparte na firmach przykładowych. Dzięki temu nikt nie ujawnia zabezpieczeń swojej organizacji przed innymi uczestnikami, a prowadzący mogą porównać pracę wszystkich według tych samych kryteriów.
W codziennym prowadzeniu tematu tak, w zadaniach specjalistycznych nie zawsze. Absolwent jest wewnętrznym właścicielem cyberbezpieczeństwa: koordynuje, pilnuje i raportuje. Przy bardziej złożonych zadaniach nadal warto korzystać z zewnętrznego wsparcia, ale firma będzie wiedziała, czego potrzebuje i jak sprawdzić efekt.
Nie. Wartością spotkań jest wspólna praca w podgrupach i rozmowa z prowadzącymi, której nagranie nie zastąpi.
Uczestnik dostaje slajdy i notatkę prowadzącego. Do zaliczenia potrzebny jest udział w co najmniej 15 z 18 spotkań.
Absolwent dostaje numerowane zaświadczenie o ukończeniu programu. Nie jest to certyfikat kompetencji w rozumieniu normy ISO/IEC 17024 ani uprawnienie do audytu z art. 15 ustawy o KSC.
Tak. Warunki dla kilku osób z jednej firmy ustalamy indywidualnie.
Grupa rusza po zebraniu wystarczającej liczby zgłoszeń. Termin startu przekażemy wszystkim zgłoszonym osobom przed uruchomieniem grupy.
Zapisy
Zapisy są otwarte. Grupę uruchamiamy po zebraniu wystarczającej liczby zgłoszeń, a liczba miejsc jest ograniczona do 15.
- Wypełnij formularz poniżej. Zgłoszenie możesz wysłać dla jednej lub kilku osób z firmy.
- Przed uruchomieniem grupy przekażemy wszystkim zgłoszonym osobom termin startu, harmonogram i warunki udziału.
- Opłatę pobieramy dopiero po potwierdzeniu startu grupy, na podstawie faktury.
Zajęcia prowadzą praktycy, którzy na co dzień zajmują się zarządzaniem bezpieczeństwem, audytem i komunikacją. Skład prowadzących ogłosimy przed startem grupy.
Warunki zapisu i rezygnacji określa regulamin szkoleń.