Podczas otwartego posiedzenia Komisji Cyfryzacji i Przemysłu 4.0 oraz Komisji ds. Compliance, które odbyło się 29 czerwca 2026 r., gościem specjalnym był Paweł Zegarow z NASK, który przedstawił prezentację poświęconą psychologicznym aspektom cyberbezpieczeństwa. W centrum uwagi znalazły się zagrożenia wewnętrzne (tzw. insider threats), analiza czynników ryzyka oraz sposoby budowania odporności organizacji na współczesne cyberzagrożenia.
Człowiek pozostaje najsłabszym, ale i najważniejszym ogniwem bezpieczeństwa
Prelegent zwrócił uwagę, że organizacje często koncentrują się na ochronie przed atakami zewnętrznymi, podczas gdy zagrożenia pochodzące od osób posiadających legalny dostęp do systemów i danych są równie istotne, a często znacznie trudniejsze do wykrycia. Insiderem może być nie tylko pracownik, ale również kontrahent, konsultant czy partner biznesowy mający dostęp do zasobów organizacji.
Według przywołanych danych, skutki incydentów wywołanych przez osoby wewnątrz organizacji mogą być szczególnie dotkliwe, ponieważ sprawcy posiadają wiedzę o procesach, systemach oraz mechanizmach zabezpieczeń.
Psychologia cyberzagrożeń: dlaczego ludzie podejmują ryzykowne działania?
Znaczną część wystąpienia poświęcono psychologicznym mechanizmom wpływającym na bezpieczeństwo. Paweł Zegarow wskazał, że wiele naruszeń nie wynika ze złej woli, lecz z naturalnych cech ludzkiego myślenia. Szczególnie istotne są błędy poznawcze, takie jak nadmierny optymizm, prowadzący do przekonania, że cyberataki dotyczą „innych”, a nie nas samych. Taka postawa skutkuje ignorowaniem procedur, obniżeniem percepcji ryzyka oraz nadmierną pewnością siebie.
Prelegent podkreślił również znaczenie tzw. ciemnej triady cech osobowości: narcyzmu, psychopatii i makiawelizmu. W określonych okolicznościach cechy te mogą zwiększać podatność na działania szkodliwe wobec organizacji, szczególnie gdy pojawiają się czynniki wyzwalające, takie jak poczucie niesprawiedliwości, brak awansu, konflikty z przełożonymi czy problemy osobiste.
Czerwone flagi, których nie wolno ignorować
W dyskusji podkreślono, że sygnały ostrzegawcze bardzo często są dostrzegane przez współpracowników lub przełożonych, jednak pozostają rozproszone i nie są odpowiednio analizowane. Do najważniejszych wskaźników ryzyka należą m.in.:
- gwałtowne zmiany zachowania i stylu życia,
- rosnąca frustracja i konflikty w zespole,
- wycofanie z życia organizacji,
- oznaki wypalenia zawodowego,
- nagłe zainteresowanie danymi lub zasobami wykraczającymi poza zakres obowiązków,
- nietypowe aktywności techniczne, takie jak logowania poza standardowymi godzinami czy zwiększony transfer danych.
Zdaniem eksperta pojedynczy sygnał zwykle nie świadczy o zagrożeniu. Kluczowe znaczenie ma jednak umiejętność łączenia informacji pochodzących z różnych obszarów organizacji.
Odporność organizacji zaczyna się od kultury organizacyjnej.
Jednym z najważniejszych wniosków prezentacji było stwierdzenie, że choć technologie, monitoring czy zaawansowane systemy bezpieczeństwa są niezbędne, to ostatecznie o odporności organizacji decydują ludzie i kultura organizacyjna.
Paweł Zegarow rekomendował budowę środowiska opartego na zaufaniu, otwartej komunikacji i współpracy między działami HR, IT, compliance oraz bezpieczeństwa. Szczególnie ważne jest tworzenie mechanizmów umożliwiających wczesne rozpoznawanie sygnałów ostrzegawczych bez budowania atmosfery nadmiernej kontroli czy inwigilacji.
W tym kontekście zwrócono także uwagę na potrzebę powoływania multidyscyplinarnych zespołów ds. zagrożeń wewnętrznych, które analizowałyby informacje pochodzące z różnych obszarów działalności firmy i wspólnie oceniały poziom ryzyka.
Cyberbezpieczeństwo jako element strategii biznesowej
W podsumowaniu ekspert z NASK podkreślił, że cyberbezpieczeństwo coraz wyraźniej staje się strategicznym obszarem zarządzania przedsiębiorstwem. Rosnąca liczba zagrożeń, zmiany organizacyjne, praca hybrydowa oraz dynamiczny rozwój technologii wymagają nie tylko inwestycji w narzędzia techniczne, ale także konsekwentnego wzmacniania kompetencji, świadomości i odporności psychologicznej pracowników.
Najważniejsza rekomendacja dla organizacji brzmi: skuteczne cyberbezpieczeństwo zaczyna się od ludzi, a trwałą odporność buduje kultura organizacyjna wspierająca odpowiedzialność, dialog i zaufanie.
