Kulturę bezpieczeństwa w placówce oświatowej buduje się nie przez jednorazowe szkolenie, lecz przez systematyczne kształtowanie zachowań, odpowiedzialności i nawyków całej społeczności szkolnej: dyrekcji, nauczycieli, pracowników administracji, uczniów, rodziców oraz podmiotów zewnętrznych.
1. Zaangażowanie dyrekcji
Dyrekcja powinna jasno komunikować, że bezpieczeństwo informacji, ochrona danych i cyberbezpieczeństwo są elementem zarządzania placówką, a nie wyłącznie zadaniem informatyka lub inspektora ochrony danych.
W praktyce oznacza to:
- wyznaczenie osób odpowiedzialnych za poszczególne obszary,
- zapewnienie czasu i środków na szkolenia oraz zabezpieczenia,
- omawianie zagrożeń podczas narad i posiedzeń rady pedagogicznej,
- reagowanie na zgłoszenia bez obwiniania pracowników,
- dawanie przykładu przez przestrzeganie zasad także przez kadrę kierowniczą.
2. Jasne i zrozumiałe zasady
Procedury bezpieczeństwa powinny być krótkie, praktyczne i dostosowane do realiów szkoły. Pracownik musi wiedzieć nie tylko, że istnieje polityka bezpieczeństwa, ale przede wszystkim:
- jak bezpiecznie korzystać z poczty elektronicznej,
- gdzie przechowywać dokumenty,
- czy może korzystać z prywatnego pendrive’a lub chmury,
- jak zabezpieczać komputer i dziennik elektroniczny,
- komu zgłosić podejrzaną wiadomość lub incydent,
- co zrobić w przypadku utraty telefonu, laptopa albo dokumentacji.
Procedury warto uzupełnić krótkimi instrukcjami, schematami postępowania i listami kontrolnymi.
3. Regularna edukacja zamiast jednorazowych szkoleń
Szkolenia powinny odbywać się cyklicznie i dotyczyć rzeczywistych sytuacji występujących w placówce. Najbardziej skuteczne są krótkie, powtarzalne formy:
- kilkunastominutowe moduły podczas zebrań,
- komunikaty dotyczące aktualnych zagrożeń,
- ćwiczenia rozpoznawania phishingu,
- instruktaże dla nowych pracowników,
- omówienia anonimowych przykładów incydentów,
- testy wiedzy i scenariusze sytuacyjne.
Inne szkolenia należy przygotować dla nauczycieli, inne dla sekretariatu, księgowości, pracowników technicznych, administratorów systemów oraz uczniów.
4. Bezpieczne zachowania w codziennej pracy
Kultura bezpieczeństwa powinna być widoczna w prostych nawykach:
- blokowaniu ekranu po odejściu od komputera,
- stosowaniu silnych i unikalnych haseł,
- korzystaniu z uwierzytelniania wieloskładnikowego,
- weryfikowaniu adresata przed wysłaniem wiadomości,
- używaniu pola UDW przy korespondencji grupowej,
- nieudostępnianiu kont i haseł,
- niszczeniu zbędnych dokumentów,
- niepozostawianiu dokumentacji w dostępnych miejscach,
- zgłaszaniu podejrzanych zdarzeń.
Bezpieczeństwo powinno być łatwiejsze niż obchodzenie zabezpieczeń. Jeżeli procedury są zbyt skomplikowane, pracownicy będą szukać skrótów.
5. Przyjazny system zgłaszania incydentów
Pracownicy muszą wiedzieć, że szybkie zgłoszenie błędu jest działaniem odpowiedzialnym, a nie powodem do ukarania.
Należy ustanowić prosty kanał zgłoszeń, np. dedykowany adres e-mail lub numer telefonu, oraz określić:
- co należy zgłaszać,
- komu,
- w jakim czasie,
- jakie informacje przekazać,
- czego nie robić samodzielnie.
Zgłaszane powinny być między innymi wiadomości phishingowe, błędnie wysłane e-maile, utrata dokumentów, podejrzane logowania, zainfekowane urządzenia i nieuprawniony dostęp do danych.
6. Ochrona uczniów
W placówkach oświatowych bezpieczeństwo musi obejmować również dobrostan cyfrowy dzieci i młodzieży. Ważne obszary to:
- cyberprzemoc,
- sexting i szantaż cyfrowy,
- przejmowanie kont,
- publikowanie wizerunku bez zgody,
- niebezpieczne kontakty w internecie,
- dezinformacja,
- oszustwa internetowe,
- uzależnienie od urządzeń,
- odpowiedzialne korzystanie z narzędzi sztucznej inteligencji.
Uczniowie powinni wiedzieć, gdzie mogą uzyskać pomoc i że zgłoszenie problemu nie spowoduje automatycznie kary lub odebrania telefonu.
7. Współpraca z rodzicami
Rodzice powinni otrzymywać konkretne informacje, a nie wyłącznie ogólne ostrzeżenia. Warto organizować krótkie spotkania lub przekazywać materiały dotyczące:
- ustawień prywatności,
- kontroli rodzicielskiej,
- zabezpieczania kont,
- rozpoznawania cyberprzemocy,
- reagowania na publikację kompromitujących materiałów,
- zasad używania urządzeń w domu,
- zagrożeń wynikających z udostępniania wizerunku dzieci.
8. Zarządzanie dostępami i sprzętem
Każdy użytkownik powinien mieć wyłącznie taki dostęp, jaki jest mu potrzebny do wykonywania obowiązków. Należy regularnie przeglądać:
- konta pracowników,
- uprawnienia do dziennika elektronicznego,
- dostęp do dokumentów i dysków sieciowych,
- konta byłych pracowników,
- urządzenia służbowe,
- kopie zapasowe,
- aktualizacje systemów,
- zabezpieczenia sieci bezprzewodowej.
Szczególnie ważne jest szybkie odbieranie dostępów po ustaniu zatrudnienia lub zmianie zakresu obowiązków.
9. Bezpieczeństwo dostawców
Szkoły korzystają z dzienników elektronicznych, usług chmurowych, platform edukacyjnych, monitoringu, firm serwisowych i systemów kadrowo-płacowych. Przed wdrożeniem usługi należy ocenić:
- jakie dane będą przetwarzane,
- gdzie są przechowywane,
- kto ma do nich dostęp,
- czy wykonywane są kopie zapasowe,
- jak zgłaszane są incydenty,
- co dzieje się z danymi po zakończeniu umowy,
- czy dostawca zapewnia odpowiednie zabezpieczenia.
10. Ćwiczenia i doskonalenie
Placówka powinna okresowo przeprowadzać praktyczne ćwiczenia, np.:
- symulację wiadomości phishingowej,
- scenariusz utraty laptopa,
- próbę odtworzenia danych z kopii zapasowej,
- ćwiczenie reakcji na awarię dziennika elektronicznego,
- analizę przypadku ujawnienia danych uczniów,
- symulację niedostępności systemów informatycznych.
Po każdym zdarzeniu należy ustalić nie tylko, kto popełnił błąd, lecz przede wszystkim: dlaczego zabezpieczenia organizacyjne lub techniczne nie zapobiegły zdarzeniu.
11. Mierzenie kultury bezpieczeństwa
Skuteczność działań można oceniać poprzez:
- liczbę zgłoszonych podejrzanych wiadomości,
- czas od wykrycia do zgłoszenia incydentu,
- udział pracowników w szkoleniach,
- wyniki krótkich testów,
- liczbę nieaktywnych kont,
- poziom stosowania uwierzytelniania wieloskładnikowego,
- terminowość aktualizacji,
- wyniki audytów i przeglądów uprawnień,
- liczbę powtarzających się incydentów.
Wzrost liczby zgłoszeń na początku nie musi oznaczać pogorszenia bezpieczeństwa. Często świadczy o większej świadomości i zaufaniu do systemu zgłaszania.
Najważniejsza zasada
Dojrzała kultura bezpieczeństwa istnieje wtedy, gdy pracownik lub uczeń w sytuacji zagrożenia nie zastanawia się, czy zgłoszenie problemu narazi go na krytykę, lecz wie:
„Zgłaszam natychmiast, ponieważ chronię w ten sposób siebie, innych i całą placówkę”.
Najlepsze rezultaty daje połączenie podejścia opartego na ryzyku, zgodnego z ISO/IEC 27001, z edukacją, prostymi procedurami, właściwymi zabezpieczeniami technicznymi oraz kulturą otwartego zgłaszania błędów.