Cyberhigiena w firmie: 12 zasad dla każdego pracownika

Cyberhigiena to zestaw prostych, powtarzalnych nawyków, dzięki którym pracownik nie otwiera drzwi atakującym: sprawdza nadawcę, zanim kliknie, potwierdza przelewy drugim kanałem, używa menedżera haseł i od razu zgłasza podejrzane sytuacje. Poniżej znajdziesz 12 zasad, które da się wytłumaczyć każdemu w zespole, od księgowości po magazyn, a przy każdej z nich krótkie ćwiczenie do przeprowadzenia na spotkaniu lub w ramach szkolenia z cyberbezpieczeństwa dla pracowników.

Czym jest cyberhigiena w firmie i dlaczego dotyczy każdego

Cyberhigiena w firmie oznacza, że każdy pracownik zna kilka podstawowych reguł bezpiecznej pracy z pocztą, telefonem, hasłami i danymi, i stosuje je bez zastanawiania się. Działa jak mycie rąk w szpitalu: pojedynczy gest wydaje się drobny, ale to on decyduje, czy problem się rozprzestrzeni.

Dane pokazują, gdzie leży ryzyko. CERT Polska w raporcie za 2025 rok opisuje 260 783 zarejestrowane incydenty, z czego 253 238 to oszustwa komputerowe. Najczęstszym rodzajem był phishing, czyli wyłudzanie loginów i haseł do poczty, banków i serwisów społecznościowych. Globalnie Verizon w raporcie DBIR 2026 wskazuje, że czynnik ludzki był obecny w 62% analizowanych naruszeń danych.

260 783

incydentów zarejestrowanych przez CERT Polska w 2025 r., z czego 97% to oszustwa komputerowe

CERT Polska, Raport roczny 2025

62%

naruszeń danych z udziałem czynnika ludzkiego

Verizon, DBIR 2026

40%

wyższa mediana kliknięć w symulacjach przez SMS i telefon niż przez e-mail

Verizon, DBIR 2026

Cyberhigiena w ustawie o KSC

Znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252, obowiązuje od kwietnia 2026 r.) w nowym art. 8 ust. 1 pkt 2 wymienia środki, które podmiot kluczowy lub ważny wdraża w systemie zarządzania bezpieczeństwem informacji. Pod literą i) wymienia „edukację z zakresu cyberbezpieczeństwa dla personelu podmiotu”, a pod literą j) „podstawowe zasady cyberhigieny”.

Dla podmiotów ważnych będących podmiotami publicznymi załącznik nr 4 idzie dalej. Wymaga stosowania zasad cyberhigieny przez pracowników, „w tym kierownika podmiotu”, oraz szkoleń obejmujących rodzaje cyberzagrożeń, zasady cyberhigieny, reagowanie na incydent i świadomość skutków naruszeń. Wśród środków dodatkowych wymienia też testowanie zasad cyberhigieny przez pracowników i określenie zasad korzystania z ogólnodostępnych dużych modeli generatywnej AI. Szerzej o obowiązkach piszemy w artykule o szkoleniach pod NIS2 i KSC, a o specyfice urzędów w tekście o szkoleniach dla samorządów.

Nawet jeśli Twoja firma nie podlega ustawie, ta lista jest dobrym punktem odniesienia. Klienci i partnerzy objęci KSC coraz częściej pytają dostawców o to samo. Czy podlega, wstępnie sprawdzisz w teście „Czy moja organizacja podlega KSC?”, a kogo obejmuje ustawa, wyjaśnia artykuł NIS2 i ustawa o KSC: kogo dotyczy.

12 zasad cyberhigieny dla pracowników

Każda zasada ma dwie części: co robić na co dzień i jak to przećwiczyć w zespole. Ćwiczenia zajmują od 5 do 20 minut.

1. SMS o dopłacie do paczki: zatrzymaj się, zanim klikniesz

Wiadomości o „wstrzymanej przesyłce” i „dopłacie 1,99 zł” to jeden z najstarszych i wciąż skutecznych schematów. CERT Polska opisuje kampanie podszywające się pod InPost i Pocztę Polską, które kierują na fałszywe strony wyłudzające dane kart. Opisuje też wariant, w którym oszuści proszą o odpowiedź na SMS, bo to odblokowuje link w telefonie.

Co robić: nie klikać linków z SMS-ów o paczkach, status sprawdzać w aplikacji przewoźnika, a podejrzaną wiadomość przekazać bezpłatnie na numer 8080 (trafia do CERT Polska).

Jak przećwiczyć: pokaż trzy zrzuty SMS-ów, w tym jeden prawdziwy. Zespół wskazuje, który jest fałszywy i po czym to poznał. Potem każdy zapisuje 8080 w kontaktach.

2. Faktura ze zmienionym numerem konta: potwierdź drugim kanałem

Fałszywa faktura albo mail „od dostawcy” z informacją o nowym rachunku to klasyczny sposób na przekierowanie przelewu. Wiadomość może przyjść nawet z prawdziwej, przejętej skrzynki kontrahenta.

Co robić: każdą zmianę numeru konta potwierdzić telefonicznie pod numerem z umowy lub wcześniejszej korespondencji, nigdy z numeru podanego w tej samej wiadomości. Dla przelewów powyżej ustalonej kwoty wymagać drugiej osoby do akceptacji.

Jak przećwiczyć: scenka dla działu finansów: „dostawca” przysyła PDF z nowym numerem konta i pilnym terminem. Uczestnicy opisują kolejne kroki, a na koniec spisujecie procedurę na jednej stronie.

3. Telefon „z banku” lub „z działu IT”: rozłącz się i oddzwoń

Numer na wyświetlaczu można podrobić (spoofing). Ministerstwo Cyfryzacji przypomina, że połączenie może być sfałszowane nawet wtedy, gdy numer zgadza się z oficjalnym, a pracownik banku nigdy nie poprosi o hasła, kody ani instalację programu.

Co robić: zakończyć rozmowę i samodzielnie zadzwonić na numer z karty lub strony banku. Tę samą regułę stosować przy telefonach „z IT”: nie instalować programów do zdalnego pulpitu na prośbę rozmówcy.

Jak przećwiczyć: pięciominutowe odgrywanie ról w parach. Jedna osoba jest „konsultantem” i naciska, druga ćwiczy grzeczne zakończenie rozmowy. Najtrudniejsze okazuje się samo przerwanie rozmowy, więc warto je powtórzyć.

4. Głos szefa może być podrobiony

Narzędzia do klonowania głosu są łatwo dostępne, a do stworzenia przekonującej imitacji wystarczy nagranie z wystąpienia lub filmu w sieci. Verizon zwraca uwagę, że pretexting, czyli budowanie zaufania wymyślonym scenariuszem, często prowadzony głosowo, staje się coraz częstszym wejściem do ataków ransomware i wymuszeń.

Co robić: żadnej pilnej, poufnej prośby o przelew lub dane nie realizować wyłącznie na podstawie rozmowy czy wiadomości głosowej. Oddzwonić na znany numer albo potwierdzić w innym kanale.

Jak przećwiczyć: ustalcie w zarządzie i finansach procedurę weryfikacji próśb o przelew, np. oddzwonienie i pytanie kontrolne. Raz na kwartał sprawdźcie, czy wszyscy ją pamiętają.

5. MFA wszędzie i nigdy nie zatwierdzaj logowania, którego nie zaczynasz

Uwierzytelnianie wieloskładnikowe mocno utrudnia przejęcie konta, ale atakujący znaleźli obejście: MFA fatigue. Amerykańska agencja CISA opisuje to jako zasypywanie użytkownika powiadomieniami push, aż zatwierdzi jedno przez pomyłkę lub ze zmęczenia.

Co robić: włączyć MFA w poczcie, VPN i systemach chmurowych. Odrzucać każde powiadomienie, którego nie wywołało się samemu, i zgłaszać serię takich próśb, bo oznacza, że ktoś zna hasło. Po stronie IT CISA zaleca dopasowanie numerów (number matching), a docelowo metody odporne na phishing, np. klucze sprzętowe FIDO2.

Jak przećwiczyć: pokaż na ekranie, jak wygląda prośba o zatwierdzenie z dopasowaniem numerów. Zapytaj: „Dostajesz trzecie powiadomienie o 23:00. Co robisz?”. Poprawna odpowiedź to odrzucić, zgłosić i zmienić hasło.

6. Jedno konto, jedno hasło, a pamięta je menedżer haseł

To samo hasło w firmowej poczcie i w sklepie internetowym oznacza, że wyciek ze sklepu otwiera skrzynkę służbową. Ludzka pamięć nie udźwignie kilkudziesięciu unikalnych haseł, dlatego potrzebne jest narzędzie.

Co robić: używać firmowego menedżera haseł, długich fraz zamiast krótkich haseł ze znakami specjalnymi i nigdy nie zapisywać haseł w notatkach czy plikach.

Jak przećwiczyć: 20-minutowy warsztat: każdy instaluje menedżera, przenosi do niego trzy najważniejsze konta i włącza w nich MFA. Wychodzi się z gotowym efektem.

7. Aktualizacje instaluj od razu, restart też

Według Verizon DBIR 2026 wykorzystanie podatności w oprogramowaniu (31% naruszeń) wyprzedziło kradzież danych logowania jako najczęstszy sposób wejścia do systemów. Część z tych luk ma już dostępne łatki, których nikt nie zainstalował.

Co robić: nie odkładać aktualizacji systemu, przeglądarki i aplikacji. Restartować komputer, gdy o to prosi, a nie raz w miesiącu.

Jak przećwiczyć: pięć minut na początku spotkania: każdy sprawdza, czy ma oczekujące aktualizacje. Tak sprawdzisz, ile urządzeń realnie czeka na łatki.

8. Pliki trzymaj tam, gdzie robi się kopie zapasowe

Kopia zapasowa chroni przed ransomware, awarią dysku i przypadkowym usunięciem, ale tylko dla plików, które się w niej znalazły. Pulpit laptopa zwykle nie jest objęty backupem.

Co robić: zapisywać dokumenty na firmowym dysku sieciowym lub w chmurze objętej kopią, a nie lokalnie. Zgłaszać, gdy jakiś zespół trzyma ważne dane poza tymi miejscami.

Jak przećwiczyć: poproś IT o pokaz odzyskania usuniętego pliku z kopii. Pracownicy widzą, że to działa, a IT sprawdza przy okazji procedurę odtwarzania (ustawa o KSC wymaga jej testowania od podmiotów publicznych).

9. Publiczne Wi-Fi i praca poza biurem

Kawiarnia, hotel czy pociąg to sieci, nad którymi nie masz kontroli. Do tego dochodzą osoby, które widzą ekran przez ramię.

Co robić: łączyć się przez firmowy VPN albo hotspot z telefonu, blokować ekran przy każdym odejściu od laptopa (Windows + L, na Macu Control + Command + Q) i nie prowadzić poufnych rozmów w miejscach publicznych.

Jak przećwiczyć: quiz sytuacyjny z trzema scenami: lotnisko, hotel, pociąg. Przy każdej pytanie: co włączasz najpierw?

10. Nieznany nośnik USB nie trafia do komputera

Znaleziony pendrive, „gadżet z konferencji” albo kabel do ładowania od obcej osoby mogą zawierać złośliwe oprogramowanie.

Co robić: nie podłączać nośników nieznanego pochodzenia, a znalezione oddawać do IT. Do przenoszenia plików używać firmowej chmury.

Jak przećwiczyć: wskaż konkretną osobę lub miejsce, gdzie oddaje się znalezione nośniki. Zasada bez adresata zwykle kończy się tym, że ktoś „tylko sprawdzi, czyj to pendrive”.

11. ChatGPT i inne narzędzia AI: nie wklejaj danych firmowych

W Verizon DBIR 2026 45% pracowników regularnie korzysta z AI na służbowych urządzeniach (rok wcześniej 15%), a 67% używa do tego prywatnych kont. Najczęściej trafiającym do zewnętrznych modeli typem danych był kod źródłowy.

Co robić: korzystać tylko z narzędzi AI zatwierdzonych przez firmę i nie wklejać do nich danych osobowych klientów, umów, haseł, kodu ani dokumentów wewnętrznych. W razie wątpliwości zapytać przełożonego lub IT.

Jak przećwiczyć: rozdaj 10 przykładowych promptów i poproś o podział na „można” i „nie można”. Dyskusja przy przykładach granicznych, np. anonimizowany fragment umowy, uczy więcej niż sam zakaz.

12. Zgłaszaj szybko i bez obawy o konsekwencje

Każda z poprzednich zasad kiedyś zawiedzie. Wtedy liczy się czas: im szybciej IT lub SOC dowie się o kliknięciu, tym mniejsze szkody. Pracownik, który boi się reprymendy, zwleka.

Co robić: znać jeden kanał zgłoszeń (przycisk w poczcie, adres, telefon) i zgłaszać także własne pomyłki. Przełożeni dziękują za zgłoszenie, nawet fałszywy alarm.

Jak przećwiczyć: po każdej symulacji phishingu pokaż zespołowi nie tylko odsetek kliknięć, ale też liczbę zgłoszeń i czas do pierwszego zgłoszenia. To wskaźnik, który warto poprawiać.

Dlaczego jednorazowe szkolenie nie wystarcza

Jedno dwugodzinne szkolenie raz w roku daje podpis na liście obecności, ale niewiele zmienia w zachowaniu. Uczestnicy zapamiętują ogólne wrażenie, a szczegóły, takie jak numer 8080 czy procedura weryfikacji faktury, zacierają się w ciągu kilku tygodni. Oszuści tymczasem zmieniają scenariusze: raport CERT Polska pokazuje, jak kampanie SMS dostosowują się do nowych zabezpieczeń telefonów.

Nawyk powstaje przez powtarzanie w krótkich odstępach i ćwiczenie na realistycznych przykładach. Dlatego lepiej sprawdza się nauka rozłożona w czasie:

• Krótko: mikrolekcja 3–5 minut zamiast wykładu.
• Regularnie: jedna zasada w miesiącu, przypomniana po kilku tygodniach quizem.
• Praktycznie: symulacja phishingu lub scenka, po której pracownik od razu dostaje wyjaśnienie.
• Z pomiarem: wyniki quizów, odsetek kliknięć i zgłoszeń w czasie, a nie sama frekwencja.

Przykładowy plan na 12 miesięcy

Nowe osoby przechodzą skrócony pakiet wszystkich 12 zasad w pierwszym tygodniu pracy, a potem dołączają do cyklu. Jeśli podlegacie KSC, zachowujcie wyniki z każdego etapu: audytor zapyta o dowody edukacji personelu, a nie o samą deklarację. Listę dowodów, o które zapyta audytor, zebraliśmy w checkliście NIS2/KSC.

Jak sprawdzić, czy to działa

Zmierz punkt wyjścia: przeprowadź jedną symulację phishingu przed startem programu i powtarzaj ją co kwartał z innym scenariuszem. Obserwuj trzy liczby: odsetek kliknięć, odsetek zgłoszeń i czas do pierwszego zgłoszenia. Dobry program obniża pierwszą i podnosi dwie pozostałe. Szybki sprawdzian poziomu wiedzy możesz zrobić też naszym krótkim quizem.

Jak to wygląda w Akademii ZeroLayer

Akademia ZeroLayer układa te zasady w cykl zdalnych szkoleń: mikrolekcje wideo, gry i quizy, symulacje phishingu wzorowane na realnych kampaniach, oraz certyfikaty dla pracowników. Panel dyrektora pokazuje postępy zespołów i generuje raporty ze szkoleń, a ścieżka onboardingowa obejmuje nowych pracowników od pierwszego dnia. Pełną listę zagadnień znajdziesz w sekcji tematy szkoleń. Dostępne warianty, od pilotażu dla jednego działu, znajdziesz w sekcji Warianty.

Najczęściej zadawane pytania

Jakie są podstawowe zasady cyberhigieny w pracy?

Podstawowe zasady cyberhigieny w pracy to: nie klikać linków z SMS-ów o paczkach, każdą zmianę numeru konta i pilną prośbę potwierdzać drugim kanałem, oddzwaniać na znany numer, włączyć MFA i odrzucać powiadomienia, których się nie zainicjowało, używać menedżera haseł, od razu instalować aktualizacje, trzymać pliki tam, gdzie jest kopia zapasowa, poza biurem łączyć się przez VPN, nie podłączać obcych nośników USB, nie wklejać danych firmowych do niezatwierdzonych narzędzi AI i szybko zgłaszać incydenty.

Czym różni się cyberhigiena od cyberbezpieczeństwa?

Cyberbezpieczeństwo w firmie obejmuje całość: technologię, procesy, monitorowanie i reagowanie na incydenty. Cyberhigiena to jego część dotycząca codziennych nawyków użytkowników, takich jak weryfikacja nadawcy, hasła, aktualizacje i zgłaszanie podejrzanych sytuacji.

Czy ustawa o KSC wymaga szkoleń z cyberhigieny?

Tak, dla podmiotów kluczowych i ważnych. Art. 8 ust. 1 pkt 2 znowelizowanej ustawy (Dz.U. 2026 poz. 252) wymienia edukację personelu w zakresie cyberbezpieczeństwa (lit. i) i podstawowe zasady cyberhigieny (lit. j). Dla podmiotów publicznych załącznik nr 4 dodatkowo wskazuje tematy szkoleń.

Jak często szkolić pracowników z cyberbezpieczeństwa?

Lepiej krótko i regularnie niż raz w roku. Sprawdza się jedna mikrolekcja lub ćwiczenie w miesiącu, kwartalne symulacje phishingu i coroczne podsumowanie z testem. Nowi pracownicy powinni przejść podstawy w pierwszym tygodniu.

Czy symulacje phishingu nie zniechęcają pracowników?

Mogą, jeśli służą do wytykania błędów. Dobrze zaprojektowana symulacja kończy się natychmiastowym wyjaśnieniem, co było sygnałem ostrzegawczym, a wyniki omawia się zbiorczo, bez wskazywania osób. Nagradzanie zgłoszeń buduje zaufanie do programu.

Źródła

• Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252) — Dziennik Ustaw RP, 2 marca 2026
• Raport roczny z działalności CERT Polska w 2025 roku — CERT Polska / NASK, 8 kwietnia 2026
• 2026 Data Breach Investigations Report: Executive Summary — Verizon Business, 2026
• Breach entry point, 2026 DBIR finds (informacja prasowa) — Verizon, 19 maja 2026
• Implementing Number Matching in MFA Applications — CISA, 31 października 2022
• Czym jest spoofing, jak go rozpoznać i nie dać się nabrać — Ministerstwo Cyfryzacji, gov.pl, 4 sierpnia 2022