Firmy szkolą pracowników z cyberbezpieczeństwa, ale wciąż nie są gotowe na ataki z użyciem AI

Rozwój sztucznej inteligencji zwiększył w firmach świadomość znaczenia bezpieczeństwa cyfrowego, ale nie przełożył się jeszcze na pełne przygotowanie pracowników do nowych zagrożeń. Z raportu Fortinet „Security Awareness and Training Global 2025” wynika, że blisko dziewięć na dziesięć firm zauważa wzrost tej świadomości, jednak tylko około 40 proc. przedsiębiorstw uważa, że ich personel jest faktycznie gotowy na ataki wykorzystujące AI.

Jednocześnie 88 proc. badanych firm prowadzi programy edukacyjne dopasowane do różnych grup pracowników. Najczęściej impulsem do ich rozwijania są zagrożenia zewnętrzne. 41 proc. przedsiębiorstw wskazuje, że do inwestycji w szkolenia skłoniły je wcześniejsze incydenty bezpieczeństwa, naruszenia danych lub głośne ataki w branży.

Coraz częściej firmy zwracają też uwagę na ryzyka wewnętrzne. Już 27 proc. przedsiębiorstw deklaruje, że wdrożyło szkolenia z myślą o ograniczeniu takich zagrożeń, jak wysłanie poufnych danych na niewłaściwy adres mailowy czy nierozpoznanie phishingu. Rok wcześniej odsetek ten wynosił około 4 proc.

– To ponad sześciokrotny wzrost rok do roku, który pokazuje, że zrozumienie roli zagrożeń wewnętrznych dla funkcjonowania biznesu rośnie gwałtownie. Zwłaszcza w kontekście rosnącej popularności narzędzi bazujących na sztucznej inteligencji, jakich pracownicy używają na co dzień – mówi Szymon Poliński, Systems Engineering Manager w Fortinet. Jak dodaje, brak jasnych zasad korzystania z takich rozwiązań może zwiększać ryzyko niekontrolowanego udostępniania poufnych informacji, dlatego firmy coraz częściej łączą szkolenia z wdrażaniem konkretnych procedur dotyczących użycia AI.

Z danych Fortinet wynika też, że szkolenia przynoszą wymierne efekty. 67 proc. firm odnotowało umiarkowany lub znaczący spadek liczby incydentów bezpieczeństwa po uruchomieniu takich programów. Coraz częściej obejmują one symulacje ataków, testy wiedzy i regularne przypominanie dobrych praktyk. W wielu organizacjach szkolenia dotyczą również bezpiecznego korzystania z narzędzi generatywnej sztucznej inteligencji. Takie działania prowadzi już 53 proc. firm, które uczą pracowników właściwego korzystania z tych rozwiązań oraz monitorują lub ograniczają możliwość udostępniania za ich pośrednictwem wrażliwych danych.

Raport pokazuje jednak także słabe punkty tych działań. Tylko 6 proc. firm deklaruje pełne ukończenie szkoleń przez wszystkich pracowników. Niemal siedmiu na dziesięciu liderów IT i bezpieczeństwa uważa z kolei, że poziom świadomości cyberzagrożeń wśród personelu nadal jest niewystarczający.

– To pokazuje, jak dużym wyzwaniem jest nie tylko samo wdrożenie programów edukacyjnych, ale przede wszystkim ich skuteczność w praktyce – mówi Szymon Poliński. Zwraca uwagę, że pracownicy funkcjonują w środowisku pełnym komunikatów, procedur i alertów bezpieczeństwa, a jednocześnie działają pod presją czasu. W takich warunkach trudno utrzymać stałą czujność, dlatego nawet dobrze zaprojektowane szkolenia nie zawsze przekładają się na zmianę codziennych zachowań.

Wnioski z raportu pokazują, że szkolenia z cyberbezpieczeństwa przestają być traktowane wyłącznie jako formalny obowiązek. Coraz częściej stają się elementem zarządzania ryzykiem. O ich skuteczności decyduje jednak nie sama obecność programu, lecz także jego jakość, regularność i sposób prowadzenia.