Deepfake w 2 min? Co z naszym bezpieczeństwem

Michał Nowakowski · 6 września 2026

Żadnego obchodzenia zabezpieczeń modelu. Jedno krótkie zapytanie z prośbą o zdjęcie na potrzeby szkolenia cyberbezpieczeństwa i deepfake. 2 minuty generowania przez powszechnie dostępny model i oczywiście bez zamazanych twarzy, znaczących postaci.

Potencjalne skutki? Z moją osobą pewnie niewielkie, ale przy tych znanych? Sami wiecie. Ale ja wcale nie mam zamiaru pisać o Meta i oszukańczych kampaniach. Tym żył ostatnio Linkedin, ale viralowość zagadnienia chyba spadła. Ale pozostańmy w obszarze bezpieczeństwa.

Dzisiaj często ignorujemy fakt, że nierównowaga sił stale rośnie. Brak inwestycji w systemy zarządzania cyberbezpieczeństwem i jego optymalizacji jest najprostszą drogą do tego, aby za chwilę organizować nocne spotkania zarządu z bezpiecznikami. Choć zdjęcie to deepfake i raczej kampanii dezinformacyjnych czy phisingowych, to fakt, że takie cudo może wspierać naszych adwersarzy powinno nam dać do myślenia.

OSINT, czyli biały wywiad (a nawet z elementami mniej "niewinnego") można dzisiaj wykonać szybko i sprawnie, a nawet modele "frontier" słuchają, pomimo swoich zabezpieczeń. Rozpoznanie to wartość. Dobre rozpoznanie to klucz do dalszych działań.

I teraz powstaje pytanie - czy nasze systemy są gotowe na nowe (stare) zagrożenia? Czy w sposób optymalny kreujemy nasze strategie cyberbezpieczeństwa? Czy dobrze alokujemy budżety i prawidłowo klasyfikujemy podatności "w pierwszej kolejności"? Czy podejmujemy decyzje, które są efektywne? Czy mamy dobrze opisane zasady zarządzania ryzykami?

I wreszcie - czy jesteśmy na tyle elastyczni, że w świetle dynamiki zagrożeń jesteśmy w stanie odpowiednio szybko dostosować się i poprawić?

To nie jest kwestia przepisów. Nie jest to kwestia kar i odszkodowań. Raz utracone zaufanie trudno (o ile w ogóle) odbudować. I potknięcia, także o dużej skali, mogą się zdarzyć. Wtedy jednak ktoś mówi sprawdzam. Przychodzi audyt lub nadzorca, który weryfikuje co zostało zrobione, co tylko trochę, a co działało perfekcyjnie. I będzie to oceniał, a wraz z oceną przyjdą konsekwencje.

Nie straszę. Nieustannie staram się Wam pokazać, że krajobraz cyberbezpieczeństwa zmienia się. Stajemy przed ogromnymi wyzwaniami, które nie zawsze dobrze rozumiemy. I dlatego powinniśmy stawiać na ludzi. Kompetentnych, wykwalifikowanych i żądnych wiedzy.

W art. 8e ustawy o krajowym systemie cyberbezpieczeństwa wpisano coś takiego - kierownik podmiotu kluczowego lub podmiotu ważnego oraz osoba, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa, raz w roku kalendarzowym przechodzi szkolenie. Za mało.

W załączniku 4 wskazano, że podmiot musi stosować środki minimalizujące wystąpienie incydentów przez szkolenie osób zaangażowanych w proces przetwarzania informacji. Regularnie, z naciskiem na praktykę i scenariusze zgodne z działalnością.

System zarządzania bezpieczeństwem informacji (art. 8) musi uwzględniać edukację z zakresu cyberbezpieczeństwa dla personelu podmiotu. Dopasowaną do ludzi. Kropka.