Security fatigue, czyli zmęczenie nadmiarem alertów, procedur i szkoleń: dlaczego pracownicy przestają reagować

Kontekst: pracownik nie ignoruje bezpieczeństwa – próbuje wykonać swoją pracę

Dyrektywa NIS2, której obowiązki wdraża do polskiego porządku prawnego nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa, wymaga od podmiotów kluczowych i ważnych stosowania odpowiednich środków technicznych, operacyjnych i organizacyjnych. Wśród obszarów, które mają zostać objęte systemowym podejściem, znajdują się między innymi podstawowe praktyki cyberhigieny, szkolenia, bezpieczeństwo zasobów ludzkich, kontrola dostępu oraz – tam, gdzie jest to uzasadnione – uwierzytelnianie wieloskładnikowe.

Dla organizacji oznacza to konieczność budowania bezpieczeństwa daleko poza działem IT. Pracownicy mają rozpoznawać phishing, chronić dane, właściwie korzystać z dostępów, zgłaszać podejrzane zdarzenia i rozumieć konsekwencje własnych działań. Problem zaczyna się wtedy, gdy każda z tych potrzeb zostaje przełożona na osobny komunikat, kolejną procedurę, dodatkowe okno potwierdzenia, następny test i jeszcze jedno obowiązkowe szkolenie.

Z perspektywy osoby projektującej zabezpieczenia każdy element może być logiczny. Z perspektywy pracownika powstaje jednak ciąg drobnych przeszkód, które konkurują z podstawowym zadaniem: obsłużeniem klienta, przygotowaniem dokumentu, wysłaniem zamówienia, uruchomieniem maszyny albo zakończeniem raportu przed terminem. Gdy bezpieczeństwo stale przerywa pracę, wymaga interpretowania niejasnych ostrzeżeń i zmusza do podejmowania decyzji, do których użytkownik nie ma wystarczających informacji, pojawia się security fatigue – znużenie, rezygnacja i niechęć do zajmowania się bezpieczeństwem.

Nie jest to zwykły opór wobec zmiany. Pracownik może rozumieć potrzebę zabezpieczeń, zaakceptować nowe zasady i początkowo stosować je bardzo sumiennie. Z czasem jednak liczba wymagań przekracza poziom uwagi, wysiłku i czasu, który jest w stanie na nie przeznaczyć. Wtedy organizacja otrzymuje formalną zgodność, ale traci realną czujność.

Co sprawia, że pracownik zaczyna ignorować ostrzeżenia

Security fatigue nie pojawia się nagle. Narasta stopniowo, gdy pracownik dzień po dniu musi przerywać wykonywane zadania, ponownie się logować, rozszyfrowywać podobne komunikaty i decydować, czy dane ostrzeżenie sygnalizuje rzeczywiste zagrożenie, czy jest kolejnym rutynowym potwierdzeniem.

Każda taka sytuacja osobno może wydawać się drobną niedogodnością. Ich suma sprawia jednak, że pracownik zaczyna działać automatycznie: zamyka komunikaty bez czytania, wybiera opcję pozwalającą najszybciej wrócić do pracy albo omija procedurę, która utrudnia wykonanie zadania. Właśnie ten narastający stan znużenia, rezygnacji i ograniczonej czujności określa się jako security fatigue.

Koszt poznawczy każdej dodatkowej decyzji. Pracownik widzi komunikat o certyfikacie, prośbę o ponowne uwierzytelnienie, ostrzeżenie o pliku, baner dotyczący wiadomości zewnętrznej albo pytanie o klasyfikację dokumentu. Aby zareagować świadomie, musi zatrzymać podstawowe zadanie, zrozumieć komunikat, ocenić ryzyko i wybrać działanie. Jeżeli podobnych przerwań jest wiele, ludzie zaczynają korzystać ze skrótów: wybierają opcję, która najszybciej przywraca możliwość pracy, zwłaszcza gdy konsekwencje decyzji są odległe i niepewne, a presja wykonania zadania jest natychmiastowa.

Zmęczenie decyzyjne, czyli decision fatigue. Pojęcie to opisuje sytuację, w której po serii wyborów wymagających uwagi człowiek zaczyna częściej upraszczać ocenę, odkładać decyzję albo wybierać rozwiązanie wymagające najmniejszego wysiłku. W środowisku pracy może to oznaczać automatyczne kliknięcie „kontynuuj", zatwierdzenie kolejnego żądania uwierzytelnienia albo pominięcie ostrzeżenia tylko po to, aby szybciej wrócić do wykonywanego zadania.

Nie oznacza to, że człowiek dysponuje dosłownym „zbiornikiem silnej woli", który opróżnia się po określonej liczbie decyzji. W przypadku security fatigue ważniejsze są przeciążenie uwagi, częste przełączanie się między zadaniami oraz konieczność wielokrotnego rozstrzygania podobnych sytuacji bez informacji pozwalających odróżnić rutynowy komunikat od rzeczywistego zagrożenia.

Ograniczony budżet zgodności. Pracownik nie dysponuje nieograniczoną ilością czasu i energii, które może przeznaczyć na realizowanie polityk bezpieczeństwa. Jeżeli procedury są liczne, niewygodne lub wzajemnie niespójne, zaczyna je nieformalnie priorytetyzować. Stosuje te, które są łatwe, zrozumiałe albo wyraźnie egzekwowane, a pozostałe omija, odkłada lub realizuje symbolicznie. Z perspektywy organizacji wygląda to jak brak dyscypliny. Z perspektywy użytkownika jest próbą wykonania pracy w systemie, w którym wszystkich wymagań nie da się jednocześnie spełnić bez utraty produktywności.

Habituacja, czyli przyzwyczajenie do ostrzeżeń. Powtarzający się bodziec stopniowo przestaje wywoływać reakcję. Jeżeli pracownik codziennie widzi dziesiątki banerów, powiadomień i okien dialogowych, uczy się je zamykać, zanim przeczyta treść. Co istotne, przyzwyczajenie może przenosić się także na nowe ostrzeżenia, jeśli wyglądają podobnie do komunikatów rutynowych. Organizacja może więc dodać kolejny alarm w przekonaniu, że zwiększa widoczność ryzyka, a w praktyce jeszcze bardziej zagęścić informacyjny szum.

Brak poczucia wpływu. Jeżeli pracownik regularnie słyszy, że ataki są coraz bardziej zaawansowane, duże organizacje również padają ich ofiarą, a jedna pomyłka może doprowadzić do poważnego incydentu, może dojść do wniosku, że jego własne działania niewiele zmieniają. Zamiast wzrostu odpowiedzialności pojawia się fatalizm: „jeżeli ktoś naprawdę będzie chciał się włamać, i tak to zrobi". W takim stanie kolejna kampania strasząca skutkami cyberataku nie zwiększa czujności. Potwierdza jedynie przekonanie, że zagrożenia są wszechobecne, a skuteczna ochrona pozostaje poza kontrolą zwykłego pracownika.

Security fatigue nie jest więc dowodem, że ludzie „nie dbają o bezpieczeństwo". Często jest informacją, że organizacja przeniosła na użytkownika zbyt wiele decyzji, których sama nie uprościła, nie zautomatyzowała albo nie uporządkowała według rzeczywistego ryzyka.

Jeżeli pracownik kilkanaście razy dziennie musi wybierać między płynnym wykonaniem zadania a zatrzymaniem się przy kolejnym zabezpieczeniu, nie można zakładać, że za każdym razem wygra procedura. To nie jest problem niewłaściwej postawy człowieka, lecz źle zaprojektowanego środowiska pracy. Kultura bezpieczeństwa nie polega na dokładaniu ludziom obowiązków bez końca. Polega na takim projektowaniu procesów, aby właściwe działanie było jednocześnie działaniem najprostszym.

Edyta Müller-Ciaś, współzałożycielka betternow.group | Chief Change & Culture Officer | dyrektorka ds. rozwoju organizacji | ekspertka ds. zarządzania zmianą i psychologii biznesu

Jak security fatigue wygląda w praktyce organizacyjnej

Pierwszym sygnałem bywa automatyczne zatwierdzanie komunikatów. Pracownicy klikają „zezwól", „kontynuuj" albo „potwierdź", zanim przeczytają treść, ponieważ wcześniejsze ostrzeżenia niemal zawsze okazywały się rutynową przeszkodą. W takiej sytuacji problemem nie jest brak komunikatu, lecz utrata jego funkcji ostrzegawczej.

Drugi wzorzec to obchodzenie zabezpieczeń, które utrudniają wykonanie podstawowej pracy. Hasła są zapisywane w miejscach łatwo dostępnych, pliki przesyłane prywatnym kanałem, a wspólne konto używane przez kilka osób, ponieważ oficjalny proces dostępu jest zbyt wolny lub zawodny. Takie zachowania bywają przedstawiane jako lekkomyślność użytkowników, choć często powstają w odpowiedzi na system, który wymaga od pracownika wyboru między zgodnością a terminową realizacją zadania.

Trzeci sygnał to wysoka frekwencja szkoleniowa połączona z niskim zaangażowaniem. Kursy są odtwarzane w tle, testy zaliczane metodą prób i błędów, a pracownicy pamiętają przede wszystkim, że muszą „przeklikać cyberbezpieczeństwo" przed końcem miesiąca. Organizacja raportuje niemal stuprocentowe ukończenie szkolenia, ale nie wie, czy ktokolwiek potrafi zastosować wiedzę w realnej sytuacji.

Czwarty wzorzec pojawia się przy nadmiernie częstych lub źle komunikowanych symulacjach phishingowych. Jeżeli testy służą przede wszystkim łapaniu pracowników na błędzie, wyniki są publikowane w sposób zawstydzający, a każda pomyłka uruchamia ten sam obowiązkowy kurs, ludzie przestają traktować ćwiczenie jako wsparcie. Zaczynają podejrzewać każdą wiadomość wewnętrzną, szukać technicznych śladów testu albo wzajemnie się ostrzegać. Firma może poprawić wskaźnik kliknięć w symulacji, a jednocześnie pogorszyć zaufanie i gotowość do szybkiego zgłaszania prawdziwego incydentu.

Piąty sygnał to inflacja pilności. Każdy komunikat jest oznaczony jako ważny, każde szkolenie obowiązkowe, a każde odstępstwo opisane językiem poważnego ryzyka. Gdy wszystko jest priorytetem, nic nie jest priorytetem. Pracownik nie ma podstaw, aby odróżnić komunikat wymagający natychmiastowego działania od informacji, którą może przeczytać po zakończeniu bieżącego zadania.

Szósty wzorzec to przerzucenie odpowiedzialności na dział IT. Paradoksalnie nadmiar komunikatów o indywidualnej odpowiedzialności może prowadzić do odwrotnego efektu. Pracownik dochodzi do wniosku, że skoro nie jest w stanie ocenić wszystkich technicznych ryzyk, bezpieczeństwo powinno zostać rozwiązane przez system albo specjalistów. Zaczyna traktować procedury jako formalność narzuconą przez IT, a nie element własnej roli.

Jak ograniczać zmęczenie bezpieczeństwem bez obniżania poziomu ochrony

Rozwiązaniem nie jest rezygnacja ze szkoleń, MFA, kontroli dostępu czy ostrzeżeń. Jest nim ograniczenie liczby sytuacji, w których organizacja wymaga od pracownika samodzielnego rozstrzygnięcia problemu, który może zostać rozwiązany wcześniej przez lepszy projekt procesu lub technologii.

Zmapowanie całkowitego kosztu bezpieczeństwa po stronie użytkownika. Organizacje zwykle analizują każde zabezpieczenie oddzielnie. Warto spojrzeć na cały dzień pracy konkretnej roli: ile razy pracownik musi się logować, zmieniać kontekst, potwierdzać operację, szukać instrukcji, klasyfikować dane i reagować na komunikaty. Dopiero taki obraz pokazuje skumulowany koszt, którego nie widać w dokumentacji pojedynczego systemu.

Usuwanie zbędnych decyzji zamiast szkolenia ludzi, jak podejmować je częściej. Tam, gdzie to możliwe, bezpieczeństwo powinno działać domyślnie. Centralne zarządzanie dostępami, pojedyncze logowanie, menedżery haseł, bezpieczna konfiguracja urządzeń, automatyczne blokowanie znanych zagrożeń i uwierzytelnianie dopasowane do poziomu ryzyka ograniczają liczbę sytuacji, w których użytkownik musi samodzielnie dokonywać oceny technicznej.

Dobrym przykładem są polityki haseł. Częsta, arbitralna zmiana hasła oraz rozbudowane reguły dotyczące znaków mogą zwiększać obciążenie użytkownika, a jednocześnie prowadzić do przewidywalnych modyfikacji starych haseł, ich zapisywania albo ponownego używania. Nowoczesne podejście koncentruje się bardziej na odpowiedniej długości, blokowaniu haseł znanych z wycieków, stosowaniu dodatkowych czynników uwierzytelniania i zmianie hasła wtedy, gdy istnieją przesłanki jego przejęcia.

Hierarchia komunikatów i ostrzeżeń. Ostrzeżenie powinno pojawiać się wtedy, gdy użytkownik rzeczywiście musi podjąć działanie. Powinno jasno odpowiadać na trzy pytania: co się wydarzyło, jakie ryzyko z tego wynika i co należy teraz zrobić. Komunikaty informacyjne, techniczne i krytyczne nie powinny wyglądać tak samo ani korzystać z identycznego języka pilności.

Jeżeli system wyświetla dziesiątki komunikatów, z których niemal wszystkie kończą się kliknięciem „kontynuuj", sam uczy użytkownika, że ostrzeżeń nie trzeba czytać. Zabezpieczenie techniczne nie powinno przerzucać na pracownika decyzji, której nie jest on w stanie rzetelnie ocenić. Tam, gdzie ryzyko można rozstrzygnąć po stronie systemu, należy je zablokować albo obsłużyć automatycznie. Komunikat powinien pojawiać się przede wszystkim wtedy, gdy człowiek rzeczywiście ma wystarczające informacje i realny wybór.

Kamil Ciaś, współzałożyciel betternow.group | Chief Information Security Officer | Dyrektor ds. Bezpieczeństwa Informacji / Dyrektor ds. Cyberbezpieczeństwa

Szkolenia dopasowane do roli i momentu działania. Pracownik księgowości, administrator systemu, handlowiec i członek zarządu nie potrzebują tego samego zakresu treści. Zamiast dokładać kolejne ogólne szkolenie całej organizacji, warto przekazywać krótsze i konkretniejsze treści związane z realnymi decyzjami danej grupy. Część wiedzy najlepiej podać tuż przed wykonaniem rzadkiej, ryzykownej czynności, a nie kilka miesięcy wcześniej w uniwersalnym kursie.

Symulacje phishingowe jako narzędzie uczenia, nie dyscyplinowania. Test powinien sprawdzać konkretny mechanizm ryzyka i prowadzić do szybkiej, rzeczowej informacji zwrotnej. Należy mierzyć nie tylko kliknięcia, lecz także liczbę i szybkość zgłoszeń, trafność rozpoznania oraz to, czy pracownicy wiedzą, jak zareagować po zauważeniu własnego błędu. Zawstydzanie użytkowników może poprawić ostrożność podczas kolejnego testu, ale pogorszyć zachowanie podczas prawdziwego zdarzenia.

Kontrola liczby inicjatyw kierowanych do pracowników. Dział bezpieczeństwa, IT, compliance, ochrona danych i HR mogą niezależnie planować własne kampanie, szkolenia i potwierdzenia. Dla odbiorcy tworzą one jednak jeden wspólny strumień obowiązków. Potrzebny jest właściciel całego doświadczenia pracownika w obszarze bezpieczeństwa, który oceni, czy nowy wymóg nie powiela istniejącego, nie pojawia się w złym momencie i nie zwiększa obciążenia bez proporcjonalnej korzyści.

Pomiar zachowania i tarcia, nie tylko wykonania obowiązku. Sama liczba ukończonych szkoleń, wyświetlonych komunikatów czy wdrożonych polityk nie pokazuje skuteczności. Warto analizować liczbę obejść procedur, zgłoszeń do helpdesku, resetów dostępu, fałszywych alarmów, porzuconych procesów oraz czas potrzebny do bezpiecznego wykonania typowych zadań. Jeżeli zabezpieczenie działa poprawnie wyłącznie wtedy, gdy pracownik nie ma presji czasu, nie jest jeszcze zabezpieczeniem odpornym organizacyjnie.

Studium przypadku

Operator usług kurierskich zatrudniający około 300 osób porządkował system bezpieczeństwa po objęciu organizacji obowiązkami znowelizowanej ustawy o KSC. Organizacja szybko rozbudowała program bezpieczeństwa: wprowadziła dodatkowe potwierdzenia logowania, cykliczne zmiany haseł w kilku niezintegrowanych systemach, comiesięczne symulacje phishingowe oraz trzy obowiązkowe kursy prowadzone przez różne działy. Każdy element miał osobnego właściciela i uzasadnienie. Nikt nie analizował ich łącznego wpływu na pracę użytkownika.

Po kilku miesiącach wskaźniki formalne wyglądały dobrze. Większość pracowników kończyła szkolenia w terminie, a wyniki pierwszych testów wiedzy były wysokie. Jednocześnie helpdesk odnotowywał coraz więcej próśb o reset haseł, pracownicy oddziałów korzystali z nieformalnych sposobów przekazywania plików, a liczba zgłaszanych podejrzanych wiadomości zaczęła spadać. Podczas rozmów fokusowych pracownicy przyznawali, że nie czytają już części ostrzeżeń, ponieważ podobne komunikaty pojawiają się przy rutynowych operacjach. Część osób traktowała każdą nietypową wiadomość jako kolejny test działu bezpieczeństwa, a nie potencjalny incydent.

Organizacja początkowo planowała zwiększyć częstotliwość szkoleń. Zamiast tego przeprowadzono analizę pełnej ścieżki użytkownika. Okazało się, że pracownik biurowy w typowym dniu korzystał z kilku systemów wymagających odrębnego logowania, a część aplikacji ponawiała żądanie uwierzytelnienia niezależnie od poziomu ryzyka operacji. Różne działy wysyłały w tym samym kwartale osobne komunikaty dotyczące haseł, ochrony danych, phishingu i pracy zdalnej, używając podobnego języka pilności.

Firma zintegrowała część procesów logowania, wdrożyła menedżer haseł, ograniczyła arbitralne zmiany haseł i uporządkowała zasady ponownego uwierzytelniania. Ostrzeżenia podzielono według poziomu ryzyka, a komunikaty krytyczne otrzymały odrębną formę i jednoznaczną instrukcję działania. Ogólne kursy zastąpiono krótszymi modułami przygotowanymi dla konkretnych ról. Symulacje phishingowe pozostały elementem programu, ale przestały być używane jako narzędzie indywidualnego zawstydzania; większy nacisk położono na szybkość zgłoszenia i prawidłową reakcję po kliknięciu.

Po zmianach nie zniknęły wszystkie błędy użytkowników. Zmienił się jednak wzorzec zachowania. Pracownicy częściej zgłaszali podejrzane sytuacje, rzadziej szukali obejść procesu dostępu i lepiej rozróżniali rutynową informację od ostrzeżenia wymagającego natychmiastowego działania. Organizacja nie osiągnęła tego przez obniżenie wymagań, lecz przez usunięcie części zbędnego tarcia i odzyskanie uwagi pracowników dla sytuacji naprawdę istotnych.

Wnioski praktyczne

• Security fatigue nie jest tym samym co opór wobec zmiany ani wypalenie zawodowe. Może pojawić się u pracowników, którzy rozumieją potrzebę zabezpieczeń i chcą postępować właściwie, ale są przeciążeni liczbą wymagań, komunikatów i decyzji.
• Każde zabezpieczenie wykorzystuje część ograniczonego budżetu uwagi, czasu i wysiłku użytkownika. Organizacja powinna oceniać nie tylko skuteczność pojedynczej kontroli, lecz także łączny koszt wszystkich kontroli dla konkretnej roli.
• Powtarzane ostrzeżenia nie zawsze zwiększają czujność. Jeżeli komunikatów jest zbyt wiele albo wszystkie wyglądają podobnie, użytkownicy uczą się je automatycznie pomijać.
• Wysoka frekwencja na szkoleniach i niski poziom kliknięć w symulacji phishingowej nie są wystarczającym dowodem dojrzałej kultury bezpieczeństwa. Trzeba również mierzyć zgłaszanie, jakość reakcji, liczbę obejść i łatwość bezpiecznego wykonania pracy.
• Najskuteczniejszym sposobem ograniczenia zmęczenia bezpieczeństwem jest zmniejszenie liczby decyzji przenoszonych na użytkownika: automatyzacja, bezpieczne ustawienia domyślne, spójne procesy dostępu i komunikaty pojawiające się tylko wtedy, gdy rzeczywiście wymagają działania.
• NIS2 i KSC wymagają budowania cyberhigieny, kompetencji oraz adekwatnych środków organizacyjnych. Nie oznacza to maksymalizacji liczby procedur i szkoleń. Środki powinny być proporcjonalne, skuteczne i możliwe do stosowania w realnych warunkach pracy.

Czy system bezpieczeństwa w Twojej organizacji pomaga pracownikom podejmować właściwe decyzje, czy codziennie zużywa ich uwagę na komunikaty i procedury o podobnym znaczeniu? BetterNow.Group łączy wiedzę techniczną z zakresu cyberbezpieczeństwa z doświadczeniem w projektowaniu procesów, komunikacji i rozwoju kompetencji, które budują bezpieczeństwo możliwe do stosowania w praktyce. Skontaktuj się z nami.