Cyberbezpieczeństwo testem zarządów i jakości zarządzania

Do niedawna przedsiębiorcy traktowali cyberbezpieczeństwo jako zagadnienie techniczne, które należy pozostawić działowi IT. Dziś takie podejście jest jednym z największych błędów zarządczych. Współczesny cyberatak nie jest już wyzwaniem technologicznym, lecz problemem organizacji, kultury zarządzania i kompetencji ludzi. Największym zagrożeniem nie jest bowiem brak nowoczesnego oprogramowania, ale przekonanie, że „nas to nie dotyczy”. To właśnie taka mentalność powinna odejść do historii.

dr Radosław Stojek
dziekan Wydziału Informatyki, Filia Polsko-Japońskiej Akademii Technik Komputerowych w Gdańsku

Czerwona kartka dla polskiego biznesu

Na przestrzeni ostatnich dwóch lat obserwujemy zjawisko wyjątkowo niepokojące. Paradoksalnie wraz ze wzrostem wiedzy ekspertów maleje poczucie bezpieczeństwa przedsiębiorstw. Coraz więcej osób odpowiedzialnych za bezpieczeństwo organizacji zdaje sobie sprawę, jak ogromna jest skala niewiedzy oraz jak szybko rozwijają się zagrożenia.

Powiedziałbym nawet więcej, dziś nie jesteśmy już na etapie żółtej kartki ostrzegawczej. Polski biznes otrzymał czerwoną kartkę. Dlaczego?

Ponieważ cyberprzestępcy wykorzystują sztuczną inteligencję szybciej, niż większość organizacji potrafi dostosować swoje procedury bezpieczeństwa. Ataki phishingowe, ransomware czy zaawansowana socjotechnika przestały być wyjątkami. Stały się codziennością. Nie istnieją już firmy „zbyt małe”, by stać się celem cyberprzestępców.

Jeden e-mail może zatrzymać przedsiębiorstwo

Wyobraźmy sobie sytuację, która wydarzyła się w jednej z polskich firm z sektora MŚP.

Główna księgowa otrzymuje wiadomość e-mail przypominającą korespondencję od zarządu. Polecenie wydaje się rutynowe – należy zmienić hasło do systemu. W wiadomości znajduje się odpowiedni link. Pracownica wykonuje polecenie.

Kilka minut później cyberprzestępcy przejmują dostęp do infrastruktury przedsiębiorstwa. Firma traci dane gromadzone przez wiele lat, a działalność zostaje sparaliżowana.

Nie zawiodły serwery. Nie zawiódł system operacyjny. Zawiodło zaufanie, które zostało wykorzystane przez cybersprzestępców. To klasyczny przykład skutecznej socjotechniki – znacznie bardziej niebezpiecznej niż jeszcze kilka lat temu, ponieważ wspieranej przez narzędzia sztucznej inteligencji. Ataki są precyzyjne, personalizowane, wiarygodne i coraz trudniejsze do wykrycia…

Człowiek nadal pozostaje pierwszą linią obrony

Od lat powtarzamy, że człowiek jest najsłabszym ogniwem cyberbezpieczeństwa. To zdanie stało się już niemal sloganem. Problem polega jednak na tym, że nadal pozostaje prawdziwe. Większość skutecznych incydentów bezpieczeństwa rozpoczyna się od błędu człowieka, takich jak: kliknięcia w fałszywy link, otwarcia zainfekowanego załącznika, udostępnienia danych logowania czy skorzystania z nieautoryzowanego narzędzia AI.

Nie oznacza to jednak, że pracownicy są winni. Najczęściej są oni po prostu nieprzygotowani.

Jeżeli organizacja szkoli pracowników z bezpieczeństwa i higieny pracy, to równie systemowo powinna rozwijać kompetencje w zakresie odporności cyfrowej. Cyberbezpieczeństwo powinno stać się elementem codziennej kultury organizacyjnej, a nie jednorazowym szkoleniem realizowanym wyłącznie dla spełnienia formalnych wymagań.

Deepfake i Shadow AI – nowe oblicze zagrożeń

Rok 2025 i 2026 można uznać za moment przełomowy dla cyberbezpieczeństwa. Zmieniły się nie tylko narzędzia wykorzystywane przez przestępców, ale również charakter samych zagrożeń.

Coraz większym problemem stają się materiały typu deepfake – fałszywe nagrania audio i wideo generowane przez sztuczną inteligencję. Potrafią one imitować głos prezesa, członka zarządu czy dyrektora finansowego z wiarygodnością, która jeszcze niedawno wydawała się niemożliwa. Jednocześnie rozwija się zjawisko określane jako Shadow AI.

Pracownicy, chcąc szybciej wykonać swoje obowiązki, korzystają z publicznych modeli językowych, omijając firmowe procedury bezpieczeństwa. Kopiują dokumenty, dane klientów czy informacje biznesowe do zewnętrznych narzędzi AI, często nie zdając sobie sprawy, że wyprowadzają wrażliwe informacje poza organizację.

Badania pokazują, że znaczna część pracowników świadomie korzysta z zewnętrznych modeli AI mimo obowiązujących procedur bezpieczeństwa. Efektywność staje się ważniejsza od ostrożności. To jedno z największych wyzwań najbliższych lat.

Cyberbezpieczeństwo to nie projekt IT

W wielu przedsiębiorstwach specjalista ds. cyberbezpieczeństwa nadal podlega dyrektorowi IT. To błąd organizacyjny.

Cyberbezpieczeństwo nie jest już elementem infrastruktury informatycznej. Jest zagadnieniem strategicznym. Dlatego w każdej organizacji odpowiedzialność za cyberodporność powinna mieć rangę zarządczą. Coraz częściej mówi się o potrzebie powołania CISO (Chief Information Security Officer) posiadającego bezpośredni mandat do współpracy z zarządem. Nie dlatego, że powstaje kolejny dział, ale dlatego, że cyberbezpieczeństwo staje się elementem zarządzania ryzykiem przedsiębiorstwa. Brak odpowiednich zabezpieczeń nie powinien być traktowany jako nieszczęśliwy wypadek. W coraz większym stopniu staje się przejawem zaniedbania obowiązków zarządczych.

Odporność organizacyjna buduje przewagę konkurencyjną

Największym błędem przedsiębiorców jest przekonanie, że cyberbezpieczeństwo oznacza zakup programu antywirusowego lub wdrożenie kolejnej zapory sieciowej. To zdecydowanie za mało. Cyberbezpieczeństwo jest procesem, który nigdy się nie kończy. Obejmuje zarządzanie ryzykiem, procedury reagowania kryzysowego, edukację pracowników, testowanie odporności organizacji oraz ciągłą aktualizację wiedzy. Odporność organizacyjna staje się dziś jednym z najważniejszych elementów przewagi konkurencyjnej. Przedsiębiorstwo, które potrafi szybko wykryć incydent, ograniczyć jego skutki i sprawnie wrócić do normalnego funkcjonowania, zyskuje przewagę nie tylko operacyjną, ale również reputacyjną.

Zmienia się również filozofia budowania bezpieczeństwa cyfrowego. Coraz częściej organizacje odchodzą od myślenia polegającego na reagowaniu po wystąpieniu incydentu na rzecz projektowania systemów z uwzględnieniem bezpieczeństwa już od samego początku.

Jak podkreśla Michael Desmurs, Dyrektor w Sii Gdańsk: – Cyberbezpieczeństwo stało się dziś jednym z kluczowych priorytetów polskiego biznesu – i nie bez powodu. Według najnowszego raportu CERT Polska, w 2025 r. odnotowano ponad 260 tys. incydentów bezpieczeństwa – wzrost o ponad 150 proc. względem roku poprzedniego. Obserwujemy, że firmy coraz częściej traktują ochronę cyfrową jako inwestycję w ciągłość działania, a nie jedynie wymóg formalny. Coraz ważniejszym elementem tej układanki jest podejście security by design – wbudowywanie zabezpieczeń już na etapie projektowania systemów, nie dopiero po ich wdrożeniu. Dotyczy to szczególnie systemów embedded, które zasilają urządzenia przemysłowe, medyczne czy automotive – obszarów, gdzie luka w zabezpieczeniach może mieć konsekwencje daleko wykraczające poza utratę danych. Dodatkowym bodźcem do działania jest dyrektywa NIS2 oraz rozporządzenie Cyber Resilience Act, które wprost nakładają wymogi bezpieczeństwa na producentów urządzeń połączonych z siecią.

To podejście doskonale wpisuje się w kierunek zmian, który obserwujemy w całej gospodarce. Cyberbezpieczeństwo przestaje być dodatkiem do infrastruktury IT, a staje się integralnym elementem projektowania procesów biznesowych. O bezpieczeństwie nie można myśleć dopiero po wdrożeniu systemu ani po pierwszym incydencie. Musi ono zostać wpisane w strategię organizacji od pierwszego etapu projektowania technologii, procesów i odpowiedzialności ludzi.

Regulacje nie powinny być jedyną motywacją

Choć wdrażanie nowych regulacji, takich jak dyrektywa NIS2 czy przepisy dotyczące odporności cyfrowej, niewątpliwie zwiększy poziom inwestycji w cyberbezpieczeństwo, nie powinny one być jedyną motywacją do działania. Znacznie dojrzalszym podejściem jest traktowanie bezpieczeństwa jako inwestycji chroniącej wartość przedsiębiorstwa, a nie kosztu wymuszonego przez ustawodawcę. Równie istotne jak nowoczesne technologie są bowiem kompetencje ludzi – nawet najbardziej zaawansowane rozwiązania nie zapewnią skutecznej ochrony bez odpowiednio przygotowanych pracowników. Cyberbezpieczeństwo wymaga ciągłego uczenia się i zaangażowania całej organizacji – od zarządów i menedżerów po działy księgowości, sprzedaży, administracji oraz wszystkich użytkowników systemów informatycznych. W świecie permanentnie zmieniających się zagrożeń nie wystarczy jednorazowo wdrożyć procedur – trzeba je stale aktualizować, testować i rozwijać wraz z ewolucją ryzyka.

To nie jest pytanie „czy”, lecz „kiedy”

Ponad 85 proc. przedsiębiorstw w Polsce deklaruje, że w ciągu ostatniego roku doświadczyło incydentu związanego z cyberbezpieczeństwem. W sektorze MŚP rzeczywista skala może być jeszcze większa, ponieważ wiele zdarzeń nigdy nie zostaje oficjalnie zgłoszonych.

Jednocześnie liczba prób cyberataków liczona jest już nie w tysiącach, lecz w milionach. Globalne platformy technologiczne każdego dnia odpierają niewyobrażalną liczbę prób włamań i wyłudzeń. Pokazuje to jedno – cyberprzestrzeń stała się pełnoprawnym polem nieustannej walki. Dlatego współczesny przedsiębiorca powinien przyjąć prostą zasadę: cyberatak nie jest pytaniem o to, czy nastąpi, lecz kiedy.

Koszt braku przygotowania liczony jest nie tylko w setkach tysięcy czy milionach złotych. To również utrata zaufania klientów, reputacji, przewagi konkurencyjnej i – w skrajnych przypadkach – całego dorobku firmy. Najlepszą inwestycją w cyberbezpieczeństwo nie jest dziś kolejna technologia. Najlepszą inwestycją są świadomi ludzie, odpowiedzialne zarządzanie i organizacja, która rozumie, że bezpieczeństwo cyfrowe jest integralnym elementem strategii biznesowej.

Odpowiedzią na wciąż poszerzającą się lukę kompetencyjną są studia z zakresu cyberbezpieczeństwa systemów informatycznych i telekomunikacyjnych, dedykowane przyszłym ekspertom oraz decydentom odpowiedzialnym za architekturę ochrony w organizacjach. W nowoczesnym społeczeństwie to informacja stanowi nadrzędne dobro definiujące pozycję rynkową, a opanowanie praktycznych technik obrony infrastruktury jest bezwzględnym warunkiem koniecznym dla przetrwania każdego biznesu.