Punkt wyjścia: rycerz, który nie miał szans wygrać tej bitwy
Kiedy Elske van der Horst została dyrektorką ds. bezpieczeństwa informacji (CISO) w gminie Nunspeet, przejęła program podnoszenia świadomości w zakresie bezpieczeństwa, który działał już od lat: co tydzień pojawiało się jedno pytanie, zadawane przez animowaną postać o imieniu „Rycerz”, a do tego kilka modułów e-learningowych.
Na papierze program wyglądał całkiem nieźle. W praktyce jednak frekwencja spadła do około 50% i nie chciała wzrosnąć powyżej tego poziomu, bez względu na to, co próbowała zrobić Elske. Z rozmów z pracownikami szybko stało się jasne, że to podejście już nie pasowało do organizacji, zwłaszcza w momencie, gdy nowe wymagania faktycznie wymagały większego zaangażowania w kwestie bezpieczeństwa informacji i prywatności.
„Od razu wiedziałem: tej walki z Rycerzem nie wygram.”
Więc razem z ówczesnym inspektorem ds. ochrony danych Elske zaczęła szukać alternatywnego rozwiązania. Przejrzały rynek, mając jasno określone wymagania. Żadnych szkoleń opartych głównie na filmach, bo pracownicy w biurze typu open space raczej nie włączaliby dźwięku. Chciały też, żeby treści były szerokie i obejmowały nie tylko bezpieczeństwo informacji i ochronę danych, ale też takie tematy jak ustawa o sztucznej inteligencji i ustawa o otwartym rządzie.
Ważniejsza od jakiegokolwiek pojedynczego wymogu była jednak jedna rzecz: rozwiązanie musiało pasować do samej organizacji.
Kiedy Elske natknęła się na Guardey i dowiedziała się, że inna gmina już z powodzeniem z niego korzysta, Nunspeet postanowiło przeprowadzić projekt pilotażowy z udziałem ambasadorów z różnych działów organizacji. Wszyscy uczestnicy od razu byli zachwyceni. Dla Elske to był moment, w którym zdała sobie sprawę, że znaleźli idealne rozwiązanie.
Dlaczego to podejście się sprawdziło
Jedną z pierwszych rzeczy, które rzucały się w oczy, było to, jak bardzo wszystko wydawało się bliskie rzeczywistości. Zamiast odległych zdjęć stockowych ilustracje pokazują ludzi w sytuacjach, które pracownicy rozpoznają z własnego dnia pracy: sprawdzanie telefonu, siedzenie przed ekranem czy radzenie sobie z typowymi sytuacjami w miejscu pracy. Elske doceniła też różnorodność postaci – przedstawiono tu różne płcie i odcienie skóry, co sprawia, że łatwiej jest ludziom odnajść się w tym, co widzą.
Ale to, co naprawdę sprawiło, że to podejście zyskało popularność, to element gry.
Gmina Nunspeet to organizacja z natury nastawiona na rywalizację i szybko się to ujawniło. Drużyna kontra drużyna, młodsi koledzy kontra starsi, pracownicy porównujący wyniki i rzucający sobie wyzwania, żeby nadążyć. Elske nie musiała już sama nikogo gonić, bo koledzy sami się o to dbali.
Pracownicy nie tylko wypełnili ankietę i poszli dalej. Zaczęli o tym rozmawiać.
Niektórzy przyszli do Elske, bo nie rozumieli, dlaczego udzielili błędnej odpowiedzi. Inni otwarcie przyznali, że sprawdzili odpowiedź w internecie albo poprosili kolegę o pomoc. Dla Elske właśnie o to chodziło. Ludzie aktywnie zastanawiali się nad treścią, zamiast po prostu odhaczać kolejny punkt na liście wymagań szkoleniowych.
„Jesteśmy organizacją, w której panuje rywalizacja, i od razu to widać. Drużyna kontra drużyna, młodzi kontra starsi – wszyscy porównują wyniki. Nie muszę już nikogo gonić, koledzy robią to za mnie. I nie ograniczają się tylko do udzielenia odpowiedzi i przejścia dalej – naprawdę o tym rozmawiają”.
Adopcja nie dzieje się sama z siebie
Gmina Nunspeet uruchomiła Guardey w marcu 2026 roku, ale Elske wiedziała, że samo wprowadzenie nowej platformy nie spowoduje automatycznie wzrostu zaangażowania.
Wraz z CISO, inspektorem ochrony danych, inspektorem ds. prywatności, administratorem systemu, a nawet koordynatorem ds. ustawy o otwartym rządzie w gminie, starannie zaplanowała wdrożenie. Szablony komunikacyjne Guardey’a posłużyły jako punkt wyjścia, ale zespół przerobił wszystko tak, by pasowało do stylu komunikacji gminy, i w okresie poprzedzającym uruchomienie przygotował co najmniej dwa komunikaty tygodniowo.
Kierownictwo też było zaangażowane od samego początku. Każdy kierownik zespołu wysłuchał krótkiej prezentacji i wyraźnie powiedziano mu, że ma do odegrania ważną rolę w zaangażowaniu swoich zespołów. Poproszono kierownictwo, żeby wspierało tę inicjatywę poprzez komunikację wewnętrzną i – co równie ważne – żeby sami w niej uczestniczyli.
No i była jeszcze nagroda.
Gmina Nunspeet postawiła na szali grilla dla drużyny, która zdobędzie najwięcej punktów. To nie była jakaś symboliczna nagroda, tylko coś, co ludzie naprawdę chcieli wygrać. Jedzenie to w Nunspeet poważna sprawa, więc nagle wszyscy zaczęli pragnąć tego grilla. Koledzy i koleżanki aktywnie przypominali sobie nawzajem, żeby wykonywać zadania, bo chcieli, żeby ich drużyna zajęła pierwsze miejsce.
Od tamtej pory podejście to uległo zmianie. Zamiast za każdym razem nagradzać zespół, który osiągnął najlepsze wyniki, teraz nagrodę może zdobyć osoba z najwyższym wynikiem w każdym zespole, co sprzyja zdrowej rywalizacji również wewnątrz zespołów.
W połowie pierwszego sezonu Nunspeet dodał dodatkową zachętę: nagrodę motywacyjną „pośrednią” – tabliczki czekolady Tony’s Chocolonely z napisem „Winnaar Aanmoedigingsprijs Guardey”. Według Elske taka mała nagroda w połowie sezonu świetnie sprawdza się, żeby wszyscy nie przestawali trenować.
Duża nagroda pomogła rozkręcić sprawę, ale po pierwszym sezonie Elske zauważyła coś ważniejszego: pracownicy coraz mniej potrzebowali zachęty. To stało się już nawykiem. Wtorek po prostu zaczął oznaczać:„Jest wtorek, czas na Guardey’a”.
Wynik: wzrost udziału z 50% do 86%
Zanim pojawił się Guardey, frekwencja w Gemeente Nunspeet utknęła na poziomie około 50%. Dzisiaj wynosi 86%.
Elske jest bardzo zadowolona z tych wyników, zwłaszcza biorąc pod uwagę, że zawsze znajdą się pracownicy, którzy są nieobecni przez dłuższy czas, albo pracownicy zewnętrzni, którzy pracują dla gminy tylko kilka godzin w tygodniu.
Symulacje phishingu też pokazują wyraźną zmianę. Podczas pierwszej symulacji 40% pracowników wciąż klikało. Po jednym sezonie z Guardey odsetek ten spadł do 20% – to znacząca poprawa w ciągu zaledwie trzech miesięcy.
Ale największa zmiana niekoniecznie widać w liczbach.
W przeszłości pracownicy rzadko zwracali się do Elske z pytaniami o podejrzane e-maile czy incydenty związane z bezpieczeństwem. Panowało zamieszanie co do różnicy między spamem, phishingiem, incydentami bezpieczeństwa a naruszeniami danych, a pracownicy nie zgłaszali takich spraw zbyt chętnie.
Teraz koledzy dzwonią do niej albo podchodzą do jej biurka, żeby zapytać, czy jakiś e-mail jest prawdziwy. Wiedzą, że mogą zgłaszać podejrzane wiadomości w Outlooku, i rozmawiają między sobą o tym, czego nauczyli się dzięki Guardey. Czasami nawet dyskutują o tym, jak wykorzystują tę wiedzę w życiu prywatnym.
Ta dodatkowa chwila zastanowienia ma dla Elske ogromne znaczenie. Ludzie sprawdzają, zanim coś zrobią, a ona naprawdę się cieszy, kiedy tak robią. Bezpieczeństwo informacji przestało być czymś, czego po prostu oczekiwano od pracowników, a stało się po prostu częścią codziennej pracy.
Świadomość bezpieczeństwa od góry do dołu
Ta zmiana nie dotyczy tylko pracowników.
Dyrektor ds. operacyjnych bierze w tym udział co tydzień, a do Guardey dołączył teraz też nowy zarząd gminy. Jak bardzo to ważne, stało się szczególnie jasne podczas kampanii phishingowej, kiedy gmina Nunspeet zauważyła, że osoby bez konta w Guardey radziły sobie znacznie gorzej niż koledzy, którzy już przeszli szkolenie.
Elske wykorzystała tę spostrzeżenie wewnątrz firmy, by podkreślić prosty przekaz: każdy musi się zaangażować, łącznie z zarządem i dyrektorami. Każdy z nas może być tym słabym ogniwem, a im więcej ćwiczysz, tym mniejsze jest ryzyko, że dasz się nabrać na atak.
To zaangażowanie kierownictwa pomogło sprawić, że świadomość bezpieczeństwa stała się obowiązkiem całej organizacji, a nie tylko zadaniem CISO.
„Zanim zaczęliśmy korzystać z Guardey, przeprowadziliśmy test phishingowy i czterdzieści procent naszych pracowników kliknęło w link. Po jednym sezonie cotygodniowych wyzwań w Guardey zrobiliśmy ten sam test jeszcze raz i tym razem kliknęło tylko dwadzieścia procent. To spadek o połowę w ciągu trzech miesięcy. Wtedy właśnie zrozumiałem, że to podejście naprawdę działa, a nie tylko w teorii”.
Wykorzystuj to, co się sprawdza
Gmina Nunspeet wykorzystuje teraz analizy Guardey, żeby jeszcze bardziej doprecyzować swoje szeroko zakrojone działania w zakresie podnoszenia świadomości na temat bezpieczeństwa.
Na przykład przy symulacjach phishingu zespół ds. bezpieczeństwa może korzystać z konkretnych szablonów dostosowanych do różnych grup i analizować wyniki, żeby sprawdzić, gdzie trzeba poświęcić więcej uwagi. Zespoły, które mają trudności z konkretnym zagadnieniem, mogą wtedy przejść bardziej ukierunkowane szkolenie.
Elske nadal łączy cotygodniowe wyzwania Guardey z sesjami zespołowymi i ukierunkowanymi szkoleniami dla konkretnych stanowisk. Nie chodzi tylko o to, żeby po prostu ukończyć szkolenie, ale żeby aktualizować wiedzę i ciągle ćwiczyć sytuacje, z którymi pracownicy mogą się faktycznie spotkać w pracy.
Jej rada dla innych organizacji, które zaczynają wdrażać program podnoszenia świadomości w zakresie bezpieczeństwa, wynika bezpośrednio z tego, co sprawdziło się w Gemeente Nunspeet: nie traktuj wdrażania jako czegoś drugorzędnego. Wybierz zachętę, o którą ludzie naprawdę będą chcieli rywalizować, i od samego początku zaangażuj kierownictwo, żeby program nie stał się „projektem CISO”.
Warto też zaangażować ambasadorów z różnych działów organizacji. Mogą oni dzielić się własnymi doświadczeniami ze współpracownikami, co – jak twierdzi Elske – często działa lepiej niż samo przesłanie od CISO.
Kiedy rozmowa przy ekspresie do kawy kręci się wokół bezpieczeństwa
Może najbardziej oczywistym znakiem postępu wcale nie jest to, co widać na pulpicie kontrolnym. Znajdziesz go przy ekspresie do kawy.
Pracownicy porównują wyniki, rozmawiają o pytaniach, na które odpowiedzieli błędnie, i przypominają sobie nawzajem, żeby wykonać cotygodniowe zadanie. Świadomość bezpieczeństwa stała się tematem, o którym koledzy rozmawiają między sobą, a nie czymś, do czego Elske musi ciągle ich zachęcać.
W dzisiejszych czasach rozmowy przy ekspresie do kawy częściej dotyczą tego, czy już ukończyłeś wyzwanie Guardey’ego, albo co sądzisz o tym jednym podchwytliwym pytaniu.
I właśnie o to chodzi Elske’owi, jeśli chodzi o świadomość bezpieczeństwa: żeby była częścią rozmów, częścią codziennej pracy i czymś, za co cała organizacja bierze wspólną odpowiedzialność.
„Największa zmiana nie dotyczy panelu kontrolnego, tylko mojego biurka. Zanim pojawił się Guardey, nikt nigdy nie pytał mnie, czy dany e-mail wygląda na wiarygodny. Ludzie nawet nie odróżniali spamu od prawdziwego incydentu bezpieczeństwa. Teraz koledzy wpadają do mnie albo dzwonią, żeby się upewnić, zanim coś klikną, i rozmawiają między sobą o tym, czego się nauczyli, a czasem nawet o tym, jak to pomaga im w życiu prywatnym”.
Ciekawi cię, jak mogłaby wyglądać 86-procentowa aktywność w twojej firmie? Umów się na prezentację, a pokażemy ci to, albo skorzystaj z bezpłatnej wersji próbnej i przekonaj się sam.
