O szkoleniu
Po co jest to szkolenie
Incydent cyfrowy w firmie ma zawsze dwie strony. Pierwszą zajmuje się informatyk albo zewnętrzny serwis: odzyskuje dostęp, zmienia hasła, szuka luki. Druga zaczyna się w tej samej minucie i zwykle nikt nie jest za nią odpowiedzialny. Klienci piszą, że dostali od firmy prośbę o kod BLIK. Pod postem z promocją pojawia się konto łudząco podobne do profilu obsługi klienta i odpisuje ludziom, żeby podali dane karty. Dziennikarz pyta, czy to prawda, że w sieci krąży baza zamówień ze sklepu. Te pytania nie czekają, aż informatyk skończy pracę.
Na szkoleniu zajmujemy się właśnie tą drugą stroną i trzema rodzajami zdarzeń, które w prowadzonych sprawach widzimy najczęściej. Podszywanie się: fałszywy profil firmy, fałszywy sklep z jej logo, fałszywe ogłoszenie o pracy, a coraz częściej także nagranie głosu członka zarządu przygotowane przy użyciu sztucznej inteligencji, w którym „prezes” prosi księgowość o pilny przelew. Przejęcie konta: firma traci dostęp do własnego profilu, a z niego trafiają do klientów reklamy wyłudzające pieniądze. Wyciek: dane klientów albo wewnętrzna korespondencja pojawiają się w sieci, czasem z żądaniem zapłaty za niepublikowanie reszty.
W każdej z tych sytuacji firma musi szybko powiedzieć klientom, czego nigdy od nich nie żąda i gdzie są jej prawdziwe kanały, a przy tym nie wywołać paniki i nie podsunąć sprawcom wskazówek. Gdy przejęte zostaje konto, potrzebna jest zapasowa droga kontaktu, bo własnym profilem nie da się już niczego ogłosić. Przy wycieku danych osobowych dochodzą obowiązki z RODO: zgłoszenie naruszenia do Prezesa Urzędu Ochrony Danych Osobowych bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin (art. 33), a gdy ryzyko dla osób jest wysokie, także zawiadomienie tych osób (art. 34).
Pracujemy na zanonimizowanych zrzutach z prawdziwych spraw i na aktualnych ekranach zgłoszeń w serwisach, w których firmy najczęściej padają ofiarą podszywania się. Przy każdym widoku podajemy, kiedy był sprawdzany, bo formularze zmieniają się co kilka miesięcy. Ostatnia godzina to symulacja, w której trzy rodzaje incydentów nakładają się na siebie, tak jak dzieje się to w rzeczywistości.
Dla kogo
Szkolenie jest dla osób, które w razie incydentu będą mówić do klientów i do zespołu: działu komunikacji i marketingu, osób prowadzących profile firmy, obsługi klienta, kierowników i członków zarządu, a także inspektora ochrony danych, jeśli firma go ma. Wiedza techniczna nie jest potrzebna, a informatyk może uczestniczyć jako osoba, z którą reszta zespołu ćwiczy przekazywanie informacji. Największy sens ma w firmach, które sprzedają przez internet, prowadzą rozpoznawalne profile w mediach społecznościowych albo przetwarzają dane wielu klientów, oraz po pierwszym incydencie, który zaskoczył zespół.
Plan szkolenia
Plan szkolenia 4 h
- 9:00-9:1515 min
Trzy incydenty na początek
Pokazujemy trzy zanonimizowane sprawy: fałszywy profil sklepu prowadzący „konkurs” z prośbą o dane karty, przejęty profil firmy publikujący reklamy wyłudzające pieniądze i ogłoszenie sprzedaży bazy klientów. Ustalamy zasadę dnia: nie naprawiamy systemów, tylko decydujemy, kto co mówi i kiedy.
- 9:15-9:4530 min
Rozpoznawanie podszywania się
Na zestawie zrzutów uczestnicy szukają różnic między prawdziwym a fałszywym kontem: data założenia, nazwa użytkownika, liczba obserwujących, sposób pisania. Zabezpieczamy materiał tak, żeby nadawał się do zgłoszenia: adres, nazwa konta, data, kontekst. Omawiamy podstawy prawne: podszywanie się pod członka zarządu lub pracownika z użyciem jego wizerunku lub danych (art. 190a § 2 Kodeksu karnego) i oszustwo wobec klientów (art. 286).
- 9:45-10:1530 min
Ostrzeżenie dla klientów
Warsztat pisania pod zegar. Ostrzeżenie ma zmieścić się w kilku zdaniach i powiedzieć cztery rzeczy: co się dzieje, czego firma nigdy nie robi, gdzie są jej prawdziwe kanały i co zrobić, jeśli ktoś już podał dane albo zapłacił. Porównujemy wersje grup i sprawdzamy, która z nich wystraszy klientów, a która im pomoże.
- 10:15-10:4530 min
Przejęte konto, czyli utrata własnego głosu
Ćwiczymy pierwsze kroki komunikacyjne, gdy firma nie ma dostępu do swojego profilu: kto informuje zarząd, obsługę klienta i osoby odbierające telefony, którymi kanałami zapasowymi mówimy do klientów i co odpowiadamy ludziom, którzy widzą podejrzane posty. Pokazujemy ścieżkę odzyskania konta w serwisie i to, co trzeba mieć przygotowane wcześniej. Nieuprawniony dostęp do konta jest przestępstwem z art. 267 Kodeksu karnego.
- 10:45-11:0015 min
Przerwa
Piętnaście minut przerwy.
- 11:00-11:3030 min
Wyciek danych: kolejność informowania
Rozpisujemy, kto dowiaduje się pierwszy: zarząd, inspektor ochrony danych, Prezes Urzędu Ochrony Danych Osobowych, osoby, których dane dotyczą, zespół, a na końcu media. Uczestnicy piszą informację dla klientów, która mówi, co wyciekło, czego jeszcze nie wiadomo, co robi firma i co klienci mogą zrobić sami, na przykład zastrzec numer PESEL w aplikacji mObywatel albo w urzędzie gminy.
- 11:30-11:5020 min
Żądanie zapłaty i groźba publikacji
Omawiamy sytuację, w której sprawcy grożą ujawnieniem kolejnych danych, jeśli firma nie zapłaci. Ustalamy, czego nie komentuje się publicznie, kto zawiadamia policję i jak odpowiedzieć dziennikarzowi, który pyta, czy firma zapłaciła. Ćwiczymy krótką wypowiedź, która nie zdradza sprawcom niczego, co mogłoby im pomóc.
- 11:50-12:3545 min
Symulacja: poniedziałek, 7:40
Symulacja w czasie rzeczywistym. Klienci zgłaszają fałszywy profil pomocy technicznej, po kwadransie okazuje się, że ktoś przejął również konto administratora profilu firmy, a chwilę później dziennikarz pyta o rzekomy wyciek danych. Uczestnicy w rolach zarządu, komunikacji, obsługi klienta i ochrony danych otrzymują kolejne zdarzenia co kilka minut.
- 12:35-12:5520 min
Omówienie symulacji
Przechodzimy przez decyzje po kolei: kiedy zespół rozpoznał podszywanie się, ile czasu minęło do pierwszego ostrzeżenia, czy obsługa klienta wiedziała, co mówić, i czy ktoś zabezpieczył materiał. Wnioski zapisujemy do raportu.
- 12:55-13:005 min
Karta pierwszej godziny
Rozdajemy kartę pierwszej godziny incydentu cyfrowego i ustalamy, kto w firmie uzupełni listę osób z dostępem do kont oraz kanały zapasowe.
Godziny są przykładowe. Kolejność bloków i proporcje dopasowujemy do wieku uczestników, planu lekcji i sytuacji w placówce, zachowując pełny czas szkolenia.
Ćwiczenia
Co uczestnicy robią na zajęciach
Prawdziwe czy podrobione
Każda grupa dostaje dwanaście zanonimizowanych zrzutów: profile, wiadomości prywatne, ogłoszenia i komentarze, z których część pochodzi od prawdziwych kont firm, a część od kont podszywających się. Uczestnicy oznaczają podróbki, zapisują, po czym je rozpoznali, i wybierają kategorię zgłoszenia w danym serwisie. Na koniec pokazujemy, jak zakończyły się zgłoszenia w prawdziwych sprawach, łącznie z tymi, które serwis za pierwszym razem odrzucił.
Ostrzeżenie w dziesięć minut
Grupa ma dziesięć minut na napisanie ostrzeżenia o fałszywym profilu do opublikowania na stronie, w mailu do klientów i w wiadomości SMS. Teksty oceniamy według prostej listy: czy klient wie, czego firma nigdy nie robi, czy zna prawdziwe kanały i czy wie, co zrobić, jeśli już podał dane. Najlepsze sformułowania trafiają do wzoru, który zostaje w firmie.
Kto ma klucze
Uczestnicy spisują z pamięci, kto w firmie ma uprawnienia administratora do każdego profilu, konta reklamowego i skrzynki, z której wysyłane są wiadomości do klientów. Zwykle już po kilku minutach okazuje się, że dostęp ma była pracownica, agencja, z którą firma przestała współpracować, albo nikt nie wie, na czyj numer telefonu założono konto. Lista staje się punktem wyjścia do uporządkowania dostępów po szkoleniu.
Poniedziałek, 7:40
Symulacja opisana w planie, prowadzona na telefonach uczestników. Zdarzenia przychodzą jako wiadomości od klientów, zrzuty, maile i telefon z redakcji, a prowadzący odgrywają także informatyka, który przez pierwsze pół godziny nie zna jeszcze przyczyny. Ćwiczenie pokazuje, czy zespół potrafi mówić do klientów, zanim wszystko zostanie wyjaśnione.
Efekty
Co uczestnicy potrafią po szkoleniu
Rozpoznaje podszywanie się pod firmę
Odróżnia fałszywy profil, sklep lub ogłoszenie od prawdziwego i zabezpiecza materiał potrzebny do zgłoszenia.
Zgłasza fałszywe konto we właściwej kategorii
Wie, gdzie w serwisie jest formularz zgłoszenia podszywania się i jak odwołać się od decyzji, którą serwis musi uzasadnić.
Pisze ostrzeżenie, które pomaga klientom
Mówi krótko, czego firma nigdy nie żąda, gdzie są jej kanały i co zrobić po podaniu danych, bez wywoływania paniki.
Mówi do klientów, gdy firma straci konto
Korzysta z przygotowanych wcześniej kanałów zapasowych i wie, kogo w firmie poinformować w pierwszej kolejności.
Układa kolejność informowania przy wycieku
Zna obowiązki wynikające z art. 33 i 34 RODO i wie, w jakiej kolejności informować inspektora, urząd, osoby, zespół i media.
Stosuje zasadę sprawdzania poleceń
Weryfikuje pilne polecenia przelewu, oddzwaniając na znany numer, zamiast ufać głosowi w słuchawce lub nagraniu.
Odpowiada mediom bez pomagania sprawcom
Mówi, co firma robi i co mają zrobić klienci, nie zdradzając szczegółów, które mogłyby ułatwić kolejny atak.
Co zostaje po szkoleniu
Po szkoleniu zostaje w firmie karta pierwszej godziny incydentu cyfrowego z podziałem ról, a także cztery wzory: ostrzeżenie o fałszywym profilu, komunikat o przejęciu konta, informacja dla klientów po wycieku danych i krótka odpowiedź dla mediów. Przekazujemy szablon mapy dostępów do kont firmy, jednostronicową zasadę sprawdzania pilnych poleceń przelewu oraz listę formularzy zgłoszeń podszywania się w najważniejszych serwisach z datą ostatniego sprawdzenia. W ciągu tygodnia przesyłamy raport z symulacji z listą luk do poprawy.
Ceny
Ile kosztuje i kto może zamówić
Szkolenie zamawiają firmy, a w swoim cenniku także instytucje i szkoły. Ceny pochodzą z aktualnych cenników Fundacji.
Firma
Zarząd, zespoły komunikacji, obsługa klienta, HR.
| Bezpieczeństwo cyfrowe od strony komunikacji, 4 h, do 20 osób | 12 000 zł |
| Instrukcja zabezpieczania dowodów dla pracowników | 1 900 zł |
Ceny netto, do każdej dolicza się podatek VAT. Pełny cennik: Cennik dla firm.
Instytucja
Urzędy, spółki komunalne, uczelnie, placówki publiczne i organizacje.
| Szkolenie całodniowe 6 h, do 25 osób | 9 000 zł |
| Szkolenie dla kadry kierowniczej, 4 h, do 15 osób | 7 500 zł |
| Trening sytuacyjny dla zespołu komunikacji instytucji, 1 dzień | 14 000 zł |
| Szkolenie dla rzecznika i osób wypowiadających się publicznie, 4 h | 8 500 zł |
Ceny netto z rozdziału o instytucjach w cenniku dla szkół i organizacji.
Organizacja
Przygotowanie i warunki
Przed szkoleniem prosimy o listę kanałów firmy: profili w mediach społecznościowych, strony, wysyłek mailowych, numerów infolinii i adresów, z których piszą Państwo do klientów. Przyda się informacja o wcześniejszych incydentach, nawet drobnych, oraz o tym, czy firma ma inspektora ochrony danych i procedurę zgłaszania naruszeń. Na sali potrzebny jest rzutnik, a każda grupa powinna mieć laptop lub tablet do pracy na zrzutach. Prosimy, żeby na szkoleniu była osoba z obsługi klienta, bo to do niej klienci zadzwonią najpierw.
Płatność
Firmy: zaliczka 50% przy zleceniu, reszta po szkoleniu. Szkoły i instytucje: przelew 14 dni po fakturze. Kwotę końcową podajemy na piśmie w ofercie.
Dojazd
Od Krakowa: 2,50 zł netto za kilometr w obie strony i 150 zł netto za godzinę czasu dojazdu. Szkolenie online bez kosztów dojazdu.
Termin poza dniami roboczymi
Praca w weekend lub święto: dopłata 100% dla firm. Szkoły i instytucje według swojego cennika.
Poufność
Nie omawiamy publicznie przebiegu szkoleń ani błędów z symulacji. Raport poszkoleniowy trafia tylko do osób, które Państwo wskażą.
Uczciwie
Czego to szkolenie nie daje
To nie jest szkolenie z zabezpieczeń technicznych. Nie konfigurujemy kont ani systemów, nie przeprowadzamy audytu informatycznego i nie uczymy rozpoznawania złośliwego oprogramowania. Nie zastępujemy też inspektora ochrony danych ani prawnika przy ocenie, czy dane naruszenie wymaga zgłoszenia, i nie obiecujemy, że serwis usunie fałszywy profil w ciągu godziny. Szkolenie podnosi umiejętności i ułatwia rozpoznanie incydentu na wczesnym etapie, ale każdy przypadek przebiega inaczej, a sposoby oszustów zmieniają się szybciej niż w jakiejkolwiek innej dziedzinie. Ekrany serwisów i metody podszywania się trzeba śledzić na bieżąco, a wiedzę odświeżać przynajmniej raz w roku.
Pytania
Pytania przed zamówieniem
Czy to szkolenie jest dla działu informatycznego?
Nie przede wszystkim. Uczestnikami są osoby, które mówią do klientów, zespołu i mediów, a dział informatyczny jest dla nich partnerem, od którego trzeba szybko dostać kilka informacji. Informatyk na sali bardzo się przydaje, bo w symulacji ćwiczy przekazywanie wiedzy w zrozumiałej formie. Konfiguracji i zabezpieczeń technicznych nie uczymy.
Ktoś właśnie podszywa się pod naszą firmę. Czy szkolenie to rozwiąże?
Szkolenie nie zastąpi działania w trwającej sprawie. Fałszywy profil trzeba zgłosić, zabezpieczyć materiał, ostrzec klientów i czasem zawiadomić policję, a to robimy w ramach osobnej pomocy. Prosimy wtedy o kontakt z infolinią 222 900 142 albo pod adresem biuro@usuwaniehejtu.pl. Szkolenie ma sens przed takim zdarzeniem albo po nim, gdy zespół chce wyciągnąć wnioski.
Czy omawiacie fałszywe nagrania z wizerunkiem lub głosem zarządu?
Tak, z dwóch stron. Pierwsza to oszustwo wewnętrzne, w którym ktoś głosem podobnym do prezesa prosi o przelew, i tu uczymy zasady sprawdzania poleceń przez oddzwonienie na znany numer. Druga to nagranie, które krąży publicznie i przypisuje członkowi zarządu słowa, których nie wypowiedział. Tu ćwiczymy komunikat, zgłoszenie w serwisie i kolejność działań.
Czy po wycieku danych trzeba od razu informować klientów?
Zależy od ryzyka. RODO wymaga zgłoszenia naruszenia do Prezesa Urzędu Ochrony Danych Osobowych bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od jego stwierdzenia, a zawiadomienia osób, których dane dotyczą, wtedy, gdy naruszenie może powodować wysokie ryzyko dla ich praw. Decyzję podejmuje administrator danych razem z inspektorem ochrony danych. My uczymy, jak taką informację napisać i w jakiej kolejności ją przekazać.
Czy pokażecie konkretne formularze zgłoszeń?
Tak. Pokazujemy aktualne ekrany zgłoszeń podszywania się i przejęcia konta w serwisach, z których korzystają Państwa klienci, z datą sprawdzenia przy każdym widoku. Omawiamy też, czego można oczekiwać po zgłoszeniu: zgodnie z aktem o usługach cyfrowych platforma musi uzasadnić swoją decyzję i umożliwić odwołanie, a zgłoszenia zaufanych podmiotów sygnalizujących rozpatruje priorytetowo.
Czy scenariusz symulacji można dopasować do naszej branży?
Tak i zawsze to robimy. Sklep internetowy ćwiczy zwykle fałszywe sklepy i prośby o kod BLIK, przychodnia wyciek wyników badań, biuro podróży fałszywe oferty wyjazdów w okazyjnej cenie, a firma usługowa podszywanie się pod jej konsultantów. Przed szkoleniem pytamy, z jakich kanałów korzystają Państwa klienci, i z tego budujemy zdarzenia symulacji.