Krzywa zapominania Ebbinghausa

Dla pracownika praktyczna sprawa polega na tym, by nie zdawać się na samą pamięć. Szkolenie odbyte raz nie zastąpi prostego gestu, który jest pod ręką.

NCSC podaje przykład: zgłoszenie wiadomości phishingowej. Według jego strony zgłoszenie jest bezpłatne i zajmuje tylko minutę: « Reporting a scam is free and only takes a minute. »⁵ NCSC wyjaśnia, że takie zgłoszenia zmniejszają liczbę otrzymywanych oszukańczych wiadomości, utrudniają bycie celem i chronią innych⁵. Służba mówi też, że ma uprawnienia do badania oszukańczych adresów i stron oraz do doprowadzenia do ich usunięcia⁵.

NCSC dodaje nawyk, który nie wymaga żadnego szkolenia: przestępcy wykorzystują informacje dostępne w sieci, także w mediach społecznościowych, by ich wiadomości były bardziej przekonujące. Zastanowienie się nad tym, co się publikuje, i przegląd ustawień prywatności zmniejszają ryzyko, że ktoś stanie się celem⁵.

CISA podsumowuje podstawowe działania w czterech punktach, przedstawianych podczas Miesiąca Cyberbezpieczeństwa, w październiku: unikać phishingu i go zgłaszać, stosować silne hasła, włączyć uwierzytelnianie wieloskładnikowe z menedżerem haseł, aktualizować oprogramowanie⁶. Każde przypomnienie (plakat, wiadomość wewnętrzna, krótka odprawa w zespole) może dotyczyć tylko jednego z nich.

Dla zarządu przejrzane źródła zmierzają ku mierzeniu skutków, a nie ku samemu liczeniu uczestników. NIST wskazuje, że jego poradnik zawiera proponowane wskaźniki i metody oceny, aby regularnie ulepszać program³. Zaznacza też, że zalecenia można dostosować, zarówno do dużych, jak i małych organizacji, także tych, które budują program od zera³.

NIST przedstawia swój program jako proces, który obejmuje uświadamianie, szkolenie i edukację dla zróżnicowanych grup pracowników federalnych³. Drugi publiczny projekt z 2013 r., od tamtej pory zastąpiony, opisywał model szkolenia opartego na rolach, dla osób z istotnymi obowiązkami w informatyce lub cyberbezpieczeństwie⁴. W tej karcie wnioskuje się, że identyczny moduł roczny dla wszystkich słabo odpowiada tej różnorodności odbiorców, ale żadne źródło tego nie twierdzi.

CISA ze swej strony proponuje zestaw narzędzi na Miesiąc Cyberbezpieczeństwa 2026, z materiałami graficznymi i prezentacjami, które organizacje mogą wykorzystać we własnych kampaniach⁶. ENISA opisuje polityki państw członkowskich Unii według czterech celów: uświadamianie, szkolenie, wyzwania i ćwiczenia². Uświadamianie jest tam jednym z celów, obok szkolenia i ćwiczeń.

Żadna z tych stron nie ustala progu częstotliwości, na przykład liczby przypomnień w roku. Karta go więc nie podaje.

Głównym przejrzanym dokumentem jest publikacja NIST SP 800-50 rewizja 1, zatytułowana « Building a Cybersecurity and Privacy Learning Program ». Dostarcza ona amerykańskim agencjom federalnym i organizacjom wskazówek, jak zbudować program nauczania w zakresie cyberbezpieczeństwa i ochrony prywatności w podejściu opartym na cyklu życia³. Opiera się na powszechnie przyjętych normach, regulacjach, aktach prawnych i dobrych praktykach³.

Ta publikacja zastępuje SP 800-50 z 2003 r. i SP 800-16 z 1998 r.³. Strona wymienia Cybersecurity Enhancement Act i okólnik OMB A-130 wśród powiązanych ustaw i regulacji³.

Wcześniejsza wersja SP 800-16 rewizja 1, datowana na październik 2013 r., opisuje model szkolenia oparty na rolach. Zaznacza, że każda osoba, która posiada informacje, korzysta z nich lub nimi zarządza, musi dobrze rozumieć swoje obowiązki w zakresie bezpieczeństwa⁴. Ta wersja jest drugim publicznym projektem, a strona wskazuje, że 14 marca 2014 r. zastąpił ją trzeci projekt⁴.

Raport ENISA z 2021 r. formułuje natomiast pięć zaleceń dotyczących niedoboru kompetencji w cyberbezpieczeństwie w Unii. Przejrzane strony nie podają ich treści².

Przejrzane dokumenty są poradnikami. Strony nie wspominają o obowiązku prawnym szkolenia pracowników z określoną częstotliwością w przedsiębiorstwie prywatnym, a karta żadnego takiego obowiązku nie twierdzi.

Po stronie amerykańskiej wersja końcowa SP 800-50 rewizja 1 pochodzi z września 2024 r., po dwóch projektach opublikowanych we wrześniu 2021 r. i w sierpniu 2023 r.³. Jest skierowana do agencji federalnych i organizacji³.

Po stronie europejskiej strona ENISA o kulturze cyberbezpieczeństwa zalicza raport z 2019 r. do treści napisanych dla sektora prywatnego¹. Wymienia też wydarzenia: trzecią europejską konferencję o uświadamianiu, zaplanowaną na 11 listopada 2026 r.¹. Strony nie mówią, które organizacje stosują te poradniki ani z jakimi wynikami.

Główna myśl tej karty wymaga jeszcze sprawdzenia w osobnym źródle. Pomiar rzeczywistych zachowań, na przykład odsetka zgłaszanych podejrzanych wiadomości, jest zgodny z wytycznymi NIST. Żaden z przejrzanych dokumentów nie podaje go liczbowo.