Alarmująca luka kompetencyjna w Polsce. Dlaczego jesteśmy tak łatwym celem dla hakerów?

Zdjęcie: luka kompetencyjna

Polska gospodarka znajduje się w samym sercu cyfrowego paradoksu. Z jednej strony, kraj dynamicznie umacnia swoją pozycję jako najważniejszy hub technologiczny w Europie, przyciągając globalne inwestycje i aspirując do roli regionalnego lidera. Z drugiej strony, twarde dane malują obraz państwa na cyfrowej linii frontu. Raport Microsoftu plasuje Polskę na trzecim miejscu w Europie pod względem narażenia na ataki sponsorowane przez obce państwa, głównie z Rosji. Ten kontrast odsłania głęboką, strukturalną słabość, która może podważyć fundamenty cyfrowego rozwoju kraju: pogłębiającą się lukę kompetencyjną w dziedzinie cyberbezpieczeństwa. To nie jest jedynie problem rekrutacyjny, ale strategiczne zagrożenie dla całej gospodarki.

Polska na celowniku

Skala zagrożenia, z jakim mierzy się Polska, jest bezprecedensowa. W 2024 roku krajowe zespoły reagowania na incydenty (CSIRT) odnotowały rekordowy, 60-procentowy wzrost liczby zgłoszeń o naruszeniach, co przełożyło się na 23-procentowy wzrost liczby realnie zidentyfikowanych incydentów. Każdego dnia zespół CERT Polska obsługiwał średnio blisko 300 ataków. Dane Eurostatu są jeszcze bardziej alarmujące: aż 32% polskich firm doświadczyło w minionym roku incydentów cyberbezpieczeństwa, co plasuje Polskę na drugim, niechlubnym miejscu w całej Unii Europejskiej.

Te zewnętrzne zagrożenia trafiają na wyjątkowo podatny grunt. Badanie Grant Thornton z 2024 roku, zatytułowane “Zamek z papieru”, ujawnia alarmująco niski poziom dojrzałości cybernetycznej polskich przedsiębiorstw. Mimo iż 40% firm doświadczyło ataku, niemal połowa (48%) nie skanuje regularnie swoich systemów w poszukiwaniu luk w zabezpieczeniach ani nie rejestruje zmian w systemach IT. Większość opiera swoją obronę na podstawowych narzędziach, jak antywirus i firewall, podczas gdy zaawansowane systemy monitorowania (SIEM, XDR) posiada zaledwie 10-15% firm. Istnieje więc niebezpieczna iluzja bezpieczeństwa: zarządy deklarują, iż cyberbezpieczeństwo jest priorytetem , ale brak kompetentnych kadr uniemożliwia przełożenie tej świadomości na realne działania.

Deficyt obrońców

Problem niedoboru specjalistów jest zjawiskiem globalnym – na świecie brakuje ponad 4 milionów wykwalifikowanych pracowników w tej dziedzinie. Jednak w Polsce presja jest odczuwalna szczególnie dotkliwie. Popyt na umiejętności związane z cyberbezpieczeństwem wzrósł tu w ciągu ostatniego roku o 36% – to najwyższy wskaźnik w Europie.

Szacunki dotyczące skali deficytu w Polsce wahają się od 10 tysięcy (według Polskiej Izby Informatyki i Telekomunikacji) do 17,5 tysiąca specjalistów. Jednak te liczby, oparte głównie na otwartych wakatach, nie oddają pełni obrazu. Dane Agencji UE ds. Cyberbezpieczeństwa (ENISA) pokazują, iż aż 39% polskich firm nie zatrudnia ani jednego pracownika odpowiedzialnego za cyberbezpieczeństwo, a kolejne 45% ma tylko jedną taką osobę. Oznacza to istnienie ogromnego, utajonego popytu. Wiele firm, zwłaszcza z sektora MŚP, nie tworzy wakatów, bo nie zdaje sobie jeszcze w pełni sprawy z konieczności posiadania takich kompetencji. W miarę jak nowe regulacje, takie jak dyrektywa NIS2, zaczną obowiązywać, ten ukryty popyt gwałtownie się ujawni, powodując szok na rynku pracy.

Wysokie koszty bezbronności

Luka kompetencyjna przekłada się na bardzo konkretne straty. Istnieje bezpośredni związek między niedoborem umiejętności a rosnącą liczbą udanych włamań. Aż 87% menedżerów przyznało, iż ich firma doświadczyła co najmniej jednego włamania, które można częściowo przypisać właśnie brakowi odpowiednich umiejętności w zespole.

Konsekwencje są dotkliwe. Ponad połowa firm, które padły ofiarą ataku, poniosła straty finansowe przekraczające 1 milion dolarów. Co więcej, rośnie trend pociągania do osobistej odpowiedzialności kadry zarządzającej – w 51% przypadków po ataku osoby na stanowiskach kierowniczych zostały ukarane grzywną, utratą stanowiska, a choćby karą więzienia.

Poza bezpośrednimi kosztami, luka kompetencyjna działa jak cichy sabotażysta, hamując innowacje. Firmy obawiają się wdrażania nowych technologii, takich jak chmura obliczeniowa czy AI, ponieważ nie mają kadr, które potrafiłyby je skutecznie zabezpieczyć. Ten paraliż innowacyjny ma realne skutki: 20% firm z sektora IT musiało odmawiać realizacji nowych projektów z powodu braku specjalistów. W dłuższej perspektywie osłabia to pozycję konkurencyjną całej polskiej gospodarki.

Rynek pracy w stanie oblężenia

Nierównowaga między popytem a podażą winduje wynagrodzenia do poziomów niespotykanych w innych segmentach IT. Doświadczeni profesjonaliści mogą liczyć na pensje sięgające od 20 tys. do choćby 42 tys. złotych miesięcznie. Tak wysokie stawki tworzą dwubiegunowy rynek. Duże, międzynarodowe korporacje stać na konkurowanie o najlepsze talenty, skutecznie “drenując” je z rynku. W efekcie kręgosłup polskiej gospodarki – sektor małych i średnich przedsiębiorstw – pozostaje praktycznie bezbronny, co tworzy systemowe ryzyko dla całego kraju.

Największe zapotrzebowanie dotyczy analityków, inżynierów oraz architektów bezpieczeństwa, ze szczególnym uwzględnieniem specjalistów od bezpieczeństwa chmury i reagowania na incydenty.

W poszukiwaniu cyfrowej armii

Jak zatem wypełnić tę lukę? Działania są podejmowane na wielu frontach, jednak ich skuteczność jest ograniczona. System edukacji formalnej nie nadąża za potrzebami rynku. Pracodawcy wskazują, iż absolwentom uczelni, choć posiadają solidną wiedzę teoretyczną, często brakuje kluczowych umiejętności praktycznych. W efekcie rynek “hackuje” system edukacji – firmy i kandydaci tworzą własne, równoległe systemy kształcenia oparte na certyfikatach branżowych, bootcampach oraz programach przekwalifikowania (reskilling) i podnoszenia kompetencji (upskilling).

Coraz więcej firm inwestuje w rozwój wewnętrznych talentów, co jest często tańsze i szybsze niż rekrutacja zewnętrzna. Równocześnie państwo intensyfikuje swoje działania, tworząc wyspecjalizowane jednostki, takie jak Wojska Obrony Cyberprzestrzeni, oraz sektorowe zespoły reagowania, np. CSIRT KNF dla branży finansowej. To krok w dobrym kierunku, ale niesie ryzyko dalszego drenażu talentów z ogólnodostępnego rynku.