Szkolenie: Cyberzagrożenia i RODO w podmiotach gospodarczych

Grupę docelową usługi stanowią właściciele przedsiębiorstw, osoby prowadzące działalność gospodarczą, kadra zarządzająca, kierownicy i koordynatorzy zespołów, a także pracownicy administracyjni, biurowi, HR, kadr, księgowości i finansów. Szkolenie skierowane jest również do osób odpowiedzialnych za obsługę klientów i kontrahentów, systemy informatyczne, bezpieczeństwo informacji i ochronę danych osobowych oraz pracowników mających dostęp do danych, informacji poufnych lub dokumentacji przedsiębiorstwa. Uczestnikami mogą być także osoby korzystające z poczty elektronicznej, chmury, systemów IT i urządzeń mobilnych oraz współpracujące z podwykonawcami i dostawcami. Szkolenie przeznaczone jest dla podmiotów gospodarczych niezależnie od branży i wielkości. Nie jest wymagane specjalistyczne przygotowanie informatyczne.

Usługa przygotuje uczestnika do samodzielnego identyfikowania zagrożeń cyberbezpieczeństwa i ryzyk związanych z przetwarzaniem danych osobowych oraz właściwego reagowania na incydenty. Uczestnik nauczy się rozpoznawać phishing, BEC, wyłudzenia i zagrożenia związane z AI, stosować zasady bezpieczeństwa kont, urządzeń i danych, rozpoznawać naruszenia ochrony danych oraz podejmować pierwsze działania i przygotowywać podstawowe procedury bezpieczeństwa.

Zakres tematyczny szkolenia:

DZIEŃ 1 – Cyberzagrożenia i bezpieczeństwo cyfrowe przedsiębiorstwa

Moduł 1. Współczesne cyberzagrożenia w podmiotach gospodarczych

• najczęściej występujące cyberzagrożenia i sposoby działania cyberprzestępców
• socjotechnika, phishing, spear phishing, smishing i vishing
• fałszywe strony internetowe, wiadomości SMS, linki i złośliwe załączniki
• przejmowanie skrzynek pocztowych i kont użytkowników
• kradzież danych uwierzytelniających
• złośliwe oprogramowanie i ransomware
• sposoby rozpoznawania podejrzanych wiadomości i stron internetowych

Moduł 2. BEC, fałszywe faktury i podszywanie się pod kontrahentów

• Business Email Compromise (BEC)
• podszywanie się pod członka zarządu, przełożonego, pracownika lub kontrahenta
• fałszywe faktury i próby zmiany numeru rachunku bankowego
• wiadomości dotyczące pilnych przelewów i wyłudzania informacji finansowych
• zasady weryfikacji zmiany rachunku bankowego
• procedury potwierdzania nietypowych dyspozycji
• działania po dokonaniu błędnego przelewu

Moduł 3. Bezpieczeństwo kont, haseł i dostępów

• zasady tworzenia i przechowywania haseł
• menedżery haseł i uwierzytelnianie wieloskładnikowe (MFA)
• indywidualne i współdzielone konta użytkowników
• zasada najmniejszych uprawnień
• nadawanie i okresowa weryfikacja dostępów
• odbieranie dostępów po zakończeniu współpracy
• konta administratorów i dostęp podwykonawców

Moduł 4. Urządzenia, poczta elektroniczna i praca zdalna

• bezpieczeństwo komputerów służbowych, telefonów i tabletów
• aktualizacje, blokada urządzenia i szyfrowanie
• bezpieczne korzystanie z Wi‑Fi i zagrożenia publicznych sieci
• praca zdalna i korzystanie z prywatnego sprzętu do celów służbowych
• utrata lub kradzież telefonu albo laptopa
• pierwsze działania po utracie urządzenia

Warsztat 1. Rozpoznawanie cyberzagrożeń

Uczestnicy analizują przykładowe sytuacje: wiadomość phishingową, fałszywą fakturę, próbę zmiany rachunku bankowego, wiadomość od rzekomego członka zarządu, podejrzany załącznik, fałszywy link oraz próbę przejęcia konta.

Walidacja (15 minut)

DZIEŃ 2 – RODO, bezpieczeństwo danych i naruszenia ochrony danych

Moduł 5. RODO w codziennym funkcjonowaniu przedsiębiorstwa

• pojęcie danych osobowych
• zasady przetwarzania danych: zgodność z prawem, ograniczenie celu, minimalizacja, prawidłowość, ograniczenie przechowywania, integralność i poufność oraz rozliczalność
• obowiązki administratora danych i odpowiedzialność pracowników
• upoważnienia do przetwarzania danych i dostęp zgodny z zakresem obowiązków
• ochrona danych klientów, pracowników i kontrahentów

Moduł 6. Bezpieczeństwo danych osobowych – środki organizacyjne i techniczne

• wymagania wynikające z art. 32 RODO
• ocena ryzyka i dobór adekwatnych zabezpieczeń
• poufność, integralność, dostępność i odporność systemów
• kontrola dostępu i zabezpieczenie dokumentacji papierowej
• zasada czystego biurka i czystego ekranu
• bezpieczne przesyłanie dokumentów pocztą elektroniczną
• szyfrowanie, pseudonimizacja, niszczenie dokumentacji i archiwizacja
• kopie zapasowe i testowanie zabezpieczeń

Moduł 7. Naruszenie ochrony danych osobowych

• pojęcie naruszenia ochrony danych osobowych
• różnica pomiędzy incydentem cyberbezpieczeństwa a naruszeniem danych
• naruszenie poufności, integralności i dostępności
• omyłkowa wysyłka wiadomości, utrata dokumentacji, zgubienie laptopa lub telefonu
• przejęcie konta pocztowego, ujawnienie danych osobie nieuprawnionej, ransomware
• dokumentowanie naruszenia

Moduł 8. Ocena ryzyka oraz zgłoszenie naruszenia do Prezesa UODO

• analiza charakteru naruszenia, zakresu danych i liczby osób
• możliwe konsekwencje i prawdopodobieństwo wystąpienia szkody
• ocena ryzyka dla praw i wolności osób fizycznych
• przesłanki zgłoszenia naruszenia Prezesowi UODO
• termin 72 godzin
• przesłanki zawiadomienia osoby, której dane dotyczą
• dokumentowanie decyzji o zgłoszeniu albo braku zgłoszenia
• działania ograniczające skutki naruszenia

Warsztat 2. Analiza naruszenia ochrony danych osobowych

Uczestnicy analizują kilka przypadków, m.in. wiadomość wysłaną do niewłaściwego odbiorcy, zgubiony laptop, skradziony telefon służbowy, przejętą skrzynkę e‑mail, ujawnienie dokumentu, atak ransomware oraz udostępnienie pliku poprzez publiczny link.

Uczestnicy określają rodzaj naruszenia, zakres danych, możliwe konsekwencje, poziom ryzyka, konieczność zgłoszenia Prezesowi UODO, konieczność zawiadomienia osoby oraz działania naprawcze.

Walidacja (15 minut)

DZIEŃ 3 – AI, podwykonawcy i system bezpieczeństwa w organizacji

Moduł 9. AI, deepfake i nowe cyberzagrożenia

• wykorzystanie sztucznej inteligencji przez cyberprzestępców
• automatyzacja phishingu i generowanie wiarygodnych fałszywych wiadomości
• tworzenie fałszywych dokumentów
• deepfake obrazu i wideo
• klonowanie głosu
• podszywanie się pod członków kierownictwa, pracowników i kontrahentów
• weryfikowanie nietypowych dyspozycji i tożsamości rozmówcy

Moduł 10. Bezpieczne wykorzystywanie AI przez pracowników

• narzędzia generatywnej AI w przedsiębiorstwie
• ryzyko przekazywania danych osobowych do narzędzi AI
• ryzyko ujawnienia tajemnicy przedsiębiorstwa i informacji poufnych
• dane klientów, kontrahentów i pracowników
• zasady korzystania z publicznych narzędzi AI
• podstawowe elementy polityki korzystania z AI
• kontrola wyników generowanych przez AI i problem halucynacji

Moduł 11. Podwykonawcy, kontrahenci i dostawcy usług

• dostęp kontrahentów do danych i systemów
• nadawanie i odbieranie dostępów podmiotom zewnętrznym
• powierzenie przetwarzania danych osobowych
• podstawowe wymagania wobec podmiotów przetwarzających
• dostawcy usług chmurowych, IT, biura rachunkowe i firmy serwisowe
• weryfikacja bezpieczeństwa dostawców

Moduł 12. Budowa systemu bezpieczeństwa w przedsiębiorstwie

• podział odpowiedzialności za bezpieczeństwo
• obowiązki kierownictwa i pracowników
• procedura zarządzania dostępami
• procedura reagowania na incydenty i zgłaszania naruszeń
• zasady wykonywania kopii zapasowych
• zasady bezpiecznej poczty elektronicznej i korzystania z urządzeń mobilnych
• praca zdalna i polityka haseł
• odbieranie dostępów po zakończeniu współpracy
• bezpieczeństwo podwykonawców
• polityka korzystania z AI
• szkolenia i budowanie świadomości pracowników
• okresowa kontrola stosowanych zabezpieczeń

Warsztat 3. Symulacja incydentu w przedsiębiorstwie

Scenariusz: pracownik działu księgowego otrzymuje wiadomość wyglądającą jak wiadomość od stałego kontrahenta. Wiadomość zawiera informację o zmianie rachunku bankowego oraz fakturę. Po dokonaniu przelewu okazuje się, że konto kontrahenta zostało przejęte. Jednocześnie stwierdzono, że pracownik otworzył link z wiadomości i podał dane logowania do służbowej poczty.

Uczestnicy identyfikują zagrożenie, określają rodzaj incydentu, ustalają kolejność działań, wskazują konta wymagające zabezpieczenia, ustalają zakres potencjalnego dostępu osoby nieuprawnionej, oceniają możliwość wystąpienia naruszenia ochrony danych osobowych i przygotowują działania naprawcze.

Rezultat warsztatu: checklista reagowania na cyberincydent

Walidacja (15 minut)

Walidacja odbędzie się poprzez wywiad swobodny z kursantami oraz obserwację w warunkach rzeczywistych. Osoba przeprowadzająca walidacje dołączy pod koniec warsztatu. Osoba walidująca będzie obecna na sali, obserwując prace uczestniczek, nie ingerując w proces edukacyjny. Po części edukacyjnej osoba walidująca przeprowadzi z kursantami wywiad swobodny. Na wywiad swobodny przewidziane jest 15 minut na każdego uczestnika.

Obecność kursanta sprawdzana jest na podstawie listy obecności.

Usługa prowadzona jest maksymalnie w grupie 5 osobowej. W czasie trwania szkolenia kursanci siedzą przy stole podczas, gdy wykładowca omawia prezentację wyświetlaną na telewizorze.

Uczestnicy otrzymają:

• materiały szkoleniowe
• checklistę analizy procesów przetwarzania danych,
• checklistę marketingu i zgód,
• checklistę podstaw cyberbezpieczeństwa w małej firmie,
• schemat postępowania w przypadku incydentu lub naruszenia danych.

Zapisując się na usługę wyrażasz zgodę na rejestrowanie/nagrywanie swojego wizerunku na potrzeby monitoringu, kontroli oraz w celu utrwalenia efektów uczenia się.

Usługa może być zwolniona z VAT dla Uczestników, których poziom dofinansowania wynosi co najmniej 70% na podstawie § 3 ust. 1 pkt. 14 Rozporządzenia Ministrów Finansów z 20 grudnia 2013 r. w sprawie zwolnień od podatku od towarów i usług oraz warunków stosowania tych zwolnień.