Efekt Dunninga-Krugera w cyberbezpieczeństwie, kiedy odrobina wiedzy daje zarządowi zbyt dużo pewności

Kontekst: szkolenie nie jest jeszcze kompetencją

Nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa, która weszła w życie 3 kwietnia 2026 roku, wprowadziła jednoznaczne obowiązki dla osób zarządzających podmiotami kluczowymi i ważnymi. Kierownik podmiotu oraz osoba, której powierzono jego obowiązki w zakresie cyberbezpieczeństwa, mają raz w roku przechodzić udokumentowane szkolenie obejmujące wykonywanie zadań wynikających z ustawy. Przepisy wymagają również podejmowania decyzji dotyczących systemu zarządzania bezpieczeństwem informacji, planowania adekwatnych środków finansowych, przydzielania zadań i nadzorowania ich wykonania.

To ważna zmiana. Przez lata od członków zarządu oczekiwano przede wszystkim, że powierzą kwestie techniczne odpowiednim specjalistom. Dziś samo delegowanie zadań nie wystarcza. Osoba zarządzająca powinna rozumieć ryzyko na tyle dobrze, aby ocenić przedstawione rekomendacje, dostrzec konsekwencje decyzji biznesowych i wiedzieć, kiedy potrzebuje dodatkowej opinii eksperckiej.

Pojawia się jednak problem, którego nie rozwiąże samo wpisanie szkolenia do kalendarza. Kilkugodzinne wprowadzenie do cyberbezpieczeństwa może zwiększyć wiedzę uczestnika, ale jednocześnie dać mu nieproporcjonalnie duże poczucie, że już rozumie cały obszar. Członek zarządu zaczyna rozpoznawać pojęcia takie jak ransomware, MFA, segmentacja sieci, backup offline czy podatność zero-day. Terminologia przestaje być obca, a wraz z tym znika część wcześniejszej ostrożności. Łatwo wtedy pomylić znajomość słów ze zdolnością do trafnej oceny ryzyka.

Właśnie w tym miejscu pojawia się efekt Dunninga-Krugera. Nie jako internetowy żart o ludziach „zbyt głupich, żeby wiedzieć, że są głupi", lecz jako poważne wyzwanie dla projektowania szkoleń i procesów decyzyjnych na poziomie zarządu.

Mechanizm: dlaczego nie zawsze wiemy, czego nie wiemy

Efekt Dunninga-Krugera został opisany przez Justina Krugera i Davida Dunninga w badaniach dotyczących samooceny wyników w zadaniach związanych między innymi z logiką, gramatyką i rozpoznawaniem humoru. Osoby osiągające najsłabsze wyniki często znacząco przeceniały swoją skuteczność. Autorzy tłumaczyli to „podwójnym obciążeniem": brak określonych kompetencji utrudnia nie tylko poprawne wykonanie zadania, lecz także rozpoznanie własnych błędów.

Kluczowe jest tutaj pojęcie metapoznania, czyli zdolności do obserwowania i oceniania własnego procesu myślenia. Człowiek może mieć wiedzę potrzebną do podjęcia decyzji, ale nie musi równie dobrze oceniać jej kompletności. Może znać kilka zasad bezpieczeństwa, lecz nie dostrzegać zależności między nimi, ograniczeń stosowanych zabezpieczeń ani scenariuszy, których nigdy wcześniej nie brał pod uwagę.

Efektu Dunninga-Krugera nie należy jednak traktować jako prostego prawa mówiącego, że każda osoba z małą wiedzą jest wyjątkowo pewna siebie, a każdy ekspert pełen wątpliwości. Późniejsze badania wykazały, że część klasycznego obrazu zjawiska może wynikać ze sposobu prowadzenia pomiarów, regresji do średniej i trudności związanych z globalną samooceną. Inne analizy nadal wskazują na istnienie efektu, ale sugerują, że jest on mniejszy i bardziej zależny od konkretnej dziedziny, niż wynikałoby to z jego popularnych przedstawień.

Najbezpieczniejszy praktyczny wniosek brzmi więc nie: „im mniej ktoś wie, tym bardziej jest pewny siebie". Brzmi: trafna samoocena jest odrębną kompetencją, która nie zawsze rozwija się w tym samym tempie, co wiedza merytoryczna. Nie należy też wnioskować o jakości wiedzy wyłącznie z tonu wypowiedzi.

W cyberbezpieczeństwie ma to szczególne znaczenie. Osoba znająca podstawowe zabezpieczenia może uznać, że organizacja jest dobrze chroniona, ponieważ „ma antywirusa, kopie zapasowe i uwierzytelnianie wieloskładnikowe". Ekspert patrzy na te same informacje i zaczyna zadawać kolejne pytania: czy MFA obejmuje wszystkie konta uprzywilejowane, czy kopie były testowane, czy środowisko backupowe korzysta z tych samych danych uwierzytelniających, czy sieć jest rzeczywiście podzielona, kto ma możliwość wyłączenia zabezpieczeń i jak szybko organizacja wykryje ich obejście.

Ostrożność eksperta nie musi wynikać z mniejszej pewności własnych kompetencji. Często wynika z tego, że widzi więcej zależności, możliwych punktów awarii i obszarów, dla których brakuje danych. Jednocześnie sama ostrożność również nie stanowi dowodu fachowości. Celem nie jest zamiana bezrefleksyjnej pewności na bezrefleksyjny lęk, lecz uzyskanie właściwej proporcji między jakością dowodów a poziomem przekonania.

Zarząd nie musi po szkoleniu umieć konfigurować firewalla ani analizować logów. Powinien natomiast wiedzieć, dlaczego samo posiadanie danego zabezpieczenia jeszcze nie potwierdza jego skuteczności. Najważniejszą kompetencją zarządczą jest często nie znajomość odpowiedzi, lecz umiejętność rozpoznania, że odpowiedź wymaga technicznej weryfikacji.

Kamil Ciaś, współzałożyciel betternow.group | Chief Information Security Officer | Dyrektor ds. Bezpieczeństwa Informacji / Dyrektor ds. Cyberbezpieczeństwa

Jak nadmierna pewność wygląda w praktyce decyzyjnej

Efekt Dunninga-Krugera rzadko ujawnia się na posiedzeniu zarządu jako otwarta deklaracja: „wiem o cyberbezpieczeństwie więcej niż nasi specjaliści". Znacznie częściej przybiera subtelniejsze formy.

Znajomość terminologii zastępuje rozumienie zależności. Po szkoleniu członek zarządu potrafi wymienić podstawowe zabezpieczenia, ale ocenia je pojedynczo, bez spojrzenia systemowego. Skoro firma wykonuje backup, ryzyko utraty danych zostaje uznane za opanowane. Nie padają pytania o czas odtworzenia, kompletność kopii, zależności między systemami ani wyniki ostatniego testu przywracania.

Doświadczenie biznesowe jest automatycznie przenoszone na obszar techniczny. Skuteczny menedżer przyzwyczajony do podejmowania decyzji w finansach, sprzedaży czy operacjach może zakładać, że ta sama intuicja pozwala mu trafnie ocenić ryzyko cybernetyczne. Tymczasem doświadczenie zarządcze pomaga rozumieć konsekwencje biznesowe, ale nie zastępuje wiedzy o architekturze systemów, technikach ataku czy realnej skuteczności kontroli bezpieczeństwa.

Warunkowy język eksperta przegrywa z jednoznaczną opinią. Specjalista mówi: „na podstawie obecnych danych ryzyko jest podwyższone, ale musimy zweryfikować jeszcze trzy zależności". Osoba z płytszą wiedzą odpowiada: „przecież wdrożyliśmy MFA, więc problem jest rozwiązany". W środowisku premiującym szybkość i pewność siebie druga wypowiedź może zostać odebrana jako bardziej kompetentna, choć w rzeczywistości opiera się na znacznie słabszej analizie.

Brak incydentu jest interpretowany jako dowód skuteczności. Jeżeli organizacja przez kilka lat nie odnotowała poważnego ataku, zarząd może uznać, że dotychczasowe zabezpieczenia są wystarczające. Pomija fakt, że niewykrycie incydentu nie oznacza jego braku, a dotychczasowy spokój nie mówi wiele o odporności na nowy typ zagrożenia.

Zielony status na prezentacji zastępuje pytanie o jakość danych. Dashboard pokazuje wysoki poziom zgodności, większość zabezpieczeń ma status „wdrożone", a szkolenia pracowników osiągnęły niemal stuprocentową frekwencję. Bez informacji o sposobie pomiaru zarząd może uznać temat za zamknięty. Tymczasem „wdrożone" może oznaczać zarówno realnie działający i przetestowany mechanizm, jak i samo istnienie dokumentu lub zakupionej licencji.

Jednorazowe szkolenie staje się certyfikatem własnej kompetencji. Uczestnik pamięta najważniejsze pojęcia i poprawnie odpowiada na kilka prostych pytań testowych. Na tej podstawie może nabrać przekonania, że jest przygotowany do oceny złożonych rekomendacji technicznych. Problemem nie jest samo szkolenie, lecz brak późniejszej konfrontacji wiedzy z niejednoznacznym scenariuszem decyzyjnym.

Jak budować świadomość bez produkowania fałszywej pewności

Dobre szkolenie kadry zarządzającej nie powinno dążyć do tego, aby uczestnicy wyszli z poczuciem, że „znają się na cyberbezpieczeństwie". Powinno zwiększać ich zdolność do podejmowania odpowiedzialnych decyzji, zadawania właściwych pytań i rozpoznawania granic własnej wiedzy.

Diagnoza przed szkoleniem zamiast założenia wspólnego poziomu. Przed rozpoczęciem programu warto sprawdzić nie tylko wiedzę uczestników, ale również ich poziom pewności przy każdej odpowiedzi. Osoba udzielająca błędnej odpowiedzi z niską pewnością potrzebuje innego wsparcia niż osoba równie często myląca się, lecz przekonana o swojej racji. Dopiero zestawienie poprawności z pewnością pokazuje rzeczywistą kalibrację.

Scenariusze decyzyjne zamiast przewagi slajdów. Zarząd powinien pracować na sytuacjach, w których nie ma jednej oczywistej odpowiedzi: ograniczony budżet, sprzeczne rekomendacje, niepełne dane, presja terminu i realne konsekwencje operacyjne. Dopiero wtedy ujawnia się, czy uczestnik rozumie mechanizm ryzyka, czy tylko zapamiętał definicje.

Obowiązkowe wskazywanie założeń i brakujących informacji. Przy każdej ważnej decyzji warto pytać: na jakich danych opieramy ocenę, czego jeszcze nie wiemy, co musiałoby się wydarzyć, abyśmy zmienili zdanie, i kto może niezależnie zweryfikować rekomendację. Taki standard utrudnia podejmowanie decyzji wyłącznie na podstawie tonu wypowiedzi lub pozycji w hierarchii.

Rozdzielenie kompetencji decyzyjnej od technicznej. Zarząd odpowiada za akceptację ryzyka, priorytety, finansowanie i konsekwencje biznesowe. Ekspert odpowiada za rzetelną analizę techniczną, przedstawienie wariantów i ujawnienie ograniczeń swojej oceny. Szkolenie powinno jasno pokazywać, gdzie przebiega granica między tymi rolami. Członek zarządu nie ma zastępować CISO, a CISO nie powinien samodzielnie decydować, jaki poziom ryzyka biznes jest gotowy zaakceptować.

Regularna konfrontacja deklaracji z działaniem. Po szkoleniu potrzebne są ćwiczenia typu tabletop, testy odtwarzania systemów, symulacje phishingowe, przeglądy wcześniejszych decyzji i analiza różnic między przewidywanym a rzeczywistym wynikiem. Najskuteczniej kalibruje nie kolejna definicja, lecz informacja zwrotna pokazująca, gdzie ocena organizacji rozmijała się z faktami.

Nagradzanie trafności, nie pewności siebie. W kulturze zarządczej powinno być miejsce na komunikaty: „nie mamy jeszcze wystarczających danych", „potrzebuję opinii drugiego specjalisty" albo „moja wcześniejsza ocena była błędna". Nie oznaczają one braku decyzyjności. Oznaczają, że pewność jest dopasowywana do jakości dostępnych informacji.

Studium przypadku

Średniej wielkości producent urządzeń elektrycznych przygotowywał się do wdrożenia obowiązków wynikających ze znowelizowanej ustawy o KSC. Zarząd przeszedł ogólne szkolenie z cyberbezpieczeństwa, podczas którego omówiono najczęstsze typy ataków, znaczenie kopii zapasowych, uwierzytelnianie wieloskładnikowe i podstawowe zasady reagowania na incydenty.

Po szkoleniu członkowie zarządu oceniali poziom przygotowania firmy jako wysoki. Organizacja korzystała z zewnętrznego centrum monitorowania, wykonywała kopie zapasowe, wdrożyła MFA dla pracowników biurowych i posiadała polisę cyberubezpieczeniową. Gdy kierownik IT zaproponował dodatkową segmentację sieci produkcyjnej oraz rozbudowany test odtworzenia systemu ERP, zarząd uznał te działania za nadmierne. W jego ocenie najważniejsze zabezpieczenia już funkcjonowały, a kolejny projekt techniczny oznaczałby niepotrzebny koszt i ryzyko przestoju.

Sytuacja zmieniła się podczas ćwiczenia typu tabletop. Scenariusz zakładał przejęcie konta uprzywilejowanego i zaszyfrowanie części infrastruktury. W trakcie symulacji okazało się, że MFA nie obejmowało kilku kont technicznych, środowisko kopii zapasowych korzystało z tej samej usługi katalogowej co systemy produkcyjne, a procedura odtworzenia ERP zakładała dostęp do dokumentacji zapisanej na serwerze objętym scenariuszem awarii. Zewnętrzne centrum monitorowania było w stanie wykryć część aktywności, ale nie miało uprawnień do natychmiastowego odizolowania systemów bez zgody wyznaczonej osoby po stronie firmy.

Żadne z zabezpieczeń wymienianych wcześniej przez zarząd nie było fikcyjne. Każde rzeczywiście istniało. Problem polegał na tym, że ich obecność została utożsamiona z odpornością całego środowiska, zanim ktokolwiek sprawdził, jak zadziałają razem w konkretnym scenariuszu.

Po ćwiczeniu firma nie zareagowała kolejnym ogólnym szkoleniem. Wprowadziła cykliczne sesje decyzyjne oparte na scenariuszach, podczas których członkowie zarządu przed poznaniem wyników oceniali prawdopodobieństwo powodzenia określonych działań. Następnie porównywano te przewidywania z rezultatami testów technicznych. Raporty dla zarządu rozszerzono o informacje dotyczące przyjętych założeń, jakości danych, ostatniej daty testu i obszarów, których skuteczności jeszcze nie potwierdzono.

Zmienił się również sposób rozmowy z kierownikiem IT. Zarząd nie przyjmował już automatycznie każdej rekomendacji, ale przestał też odrzucać ją dlatego, że na pierwszy rzut oka wydawała się zbyt ostrożna. Zamiast pytać wyłącznie „ile to będzie kosztować", zaczął pytać: „jakiego scenariusza to zabezpieczenie dotyczy, skąd wiemy, że obecny mechanizm nie wystarcza i jak sprawdzimy efekt po wdrożeniu".

Dobre szkolenie zarządu nie powinno kończyć się przekonaniem: „teraz rozumiem cyberbezpieczeństwo". Powinno kończyć się świadomością: „wiem, za jakie decyzje odpowiadam, o co muszę zapytać i w którym miejscu kończy się moja wiedza". Pokora poznawcza nie odbiera liderowi autorytetu. Chroni go przed podejmowaniem bardzo pewnych decyzji na podstawie bardzo niepełnego obrazu.

Edyta Müller-Ciaś, współzałożycielka betternow.group | Chief Change & Culture Officer | dyrektorka ds. rozwoju organizacji | ekspertka ds. zarządzania zmianą i psychologii biznesu

Wnioski praktyczne

• Coroczne i udokumentowane szkolenie osób zarządzających jest wymogiem prawnym, ale sama obecność na szkoleniu nie potwierdza jeszcze zdolności do trafnej oceny ryzyka cybernetycznego.
• Warto mierzyć nie tylko liczbę poprawnych odpowiedzi, lecz również pewność, z jaką są udzielane. Największego ryzyka nie tworzy każda luka w wiedzy, ale luka połączona z przekonaniem, że temat został już wystarczająco dobrze zrozumiany.
• Szkolenia dla zarządu powinny koncentrować się na scenariuszach decyzyjnych, zależnościach biznesowych i jakości pytań, a nie na próbie przekazania skróconej wersji wiedzy technicznej specjalistów.
• Jednoznaczny ton wypowiedzi nie jest dowodem kompetencji, podobnie jak ostrożność eksperta nie oznacza braku wiedzy. Decyzje powinny być oceniane według jakości danych, założeń i możliwości weryfikacji.
• Ćwiczenia, testy odtworzeniowe i analiza wcześniejszych prognoz są skuteczniejszym narzędziem kalibracji niż samo powtarzanie materiału teoretycznego.
• Najważniejszym rezultatem szkolenia nie jest zarząd, który zna odpowiedź na każde pytanie, lecz zarząd, który potrafi rozpoznać, kiedy odpowiedzi jeszcze nie ma.

Zastanawiasz się, czy szkolenia kadry zarządzającej w Twojej organizacji budują realną zdolność oceny ryzyka, czy tylko poszerzają słownik pojęć? BetterNow.Group łączy wiedzę techniczną z zakresu cyberbezpieczeństwa z doświadczeniem w projektowaniu procesów rozwojowych i decyzyjnych, które zwiększają świadomość bez tworzenia złudzenia kompetencji. Skontaktuj się z nami.