WOJCIECH CHOJNACKI / CISM · EMBA
Ekspert cyberbezpieczeństwa, odporności cyfrowej oraz GRC: Governance, Risk & Compliance, czyli zarządzania, ryzyka i zgodności. Doświadczenie wyniesione z przemysłu, bankowości i energetyki, połączone z ciekawością kosmologii, astrofizyki i fizyki kwantowej.
00 / Spis treści
Strona łączy perspektywę osobistą, doświadczenie zawodowe i konkretne możliwości współpracy. Poniżej możesz przejść bezpośrednio do wybranego obszaru.
01 / Poznaj mnie
Poznaj mnie od strony, której nie da się opisać samym stanowiskiem. Cenię spokój, otwartość i partnerstwo. Kulturę bezpieczeństwa buduję przez jasne zasady, rozmowę i wzajemne zaufanie, rozumiejąc, że strach to menedżerskie załamanie funkcji falowej, które redukuje potencjał zespołu do minimum.
Doświadczenie, role i zakres praktyki opisuję osobno w sekcji „Background zawodowy”. Tutaj ważniejszy jest sposób myślenia: wpływ decyzji na ludzi, procesy, ciągłość działania i relacje w organizacji.
Perspektywa osobista
Doświadczenie zawodowe jest ważne, ale nie wyjaśnia wszystkiego. Po pracy wracam do pytań o kosmos, czas, informację i granice poznania. To one uczą mnie patrzeć szerzej, nie przywiązywać się do pierwszej odpowiedzi i szukać rozwiązań, które mają sens w większym systemie.
Otwartość. Problemy ujawnione odpowiednio wcześnie można rozwiązać, zanim staną się kryzysem.
Partnerstwo. Bezpieczeństwo jest wspólną pracą biznesu, technologii i ludzi.
Pomoc. Wiedza ma największą wartość wtedy, gdy ułatwia innym podjęcie dobrej decyzji.
02 / Background zawodowy
To część zawodowa: role, sektory i zakres praktyki w Orlen, Banku Pocztowym oraz Enei. Najcenniejsze doświadczenie powstaje na styku strategii, regulacji i sytuacji, w których trzeba podjąć decyzję bez pełnej informacji.
Orlen
Doświadczenie wyniesione ze środowiska Orlen, organizacji przemysłowej i infrastrukturalnej, w której bezpieczeństwo musi wspierać ciągłość procesów, ludzi i zasobów.
Bank Pocztowy S.A.
Dyrektor Bezpieczeństwa Systemów Teleinformatycznych i Ochrony Zasobów. Zakres pracy obejmował ochronę około 230 placówek, bezpieczeństwo ICT, wymagania KNF, SOC 24/7 oraz rozwój systemu zarządzania bezpieczeństwem informacji i ciągłością działania. Udział w zespołach roboczych Komisji Nadzoru Finansowego i Związku Banków Polskich. Obszary: DORA, NIS2, AI.
Enea / Enea Centrum
Praca w obszarze bezpieczeństwa systemów ICT dla organizacji o znaczeniu infrastrukturalnym: ryzyko ICT, dostawcy, DLP, monitoring, bezpieczeństwo IT/OT oraz wymagania UKSC, NIS2 i DORA.
Największe systemy uczą pokory. Wszechświat uczy skali. Cyberbezpieczeństwo uczy uważności.
03 / Wykształcenie i certyfikaty
Wykształcenie menedżerskie i certyfikacja bezpieczeństwa tworzą podstawę pracy, w której trzeba rozumieć zarówno decyzję zarządczą, jak i jej techniczne konsekwencje.
Dominican University Chicago
Uniwersytet Mikołaja Kopernika w Toruniu
Zarządzanie finansami
Certified Information Security Manager
ISACA
ISACA · open badge ↗
ISACA Gold Level Member
Członkostwo od 2017 r.
Praktyka obejmuje m.in. KNF, ISO 27001/27005/22301, DORA, UKSC/NIS2, NIST CSF, bezpieczeństwo Microsoft/Azure/M365, SOC, SIEM, DLP, WAF oraz ciągłość działania.
04 / Kompetencje
Łączę perspektywę zarządczą, regulacyjną i techniczną, aby rekomendacje były możliwe do wdrożenia i obrony podczas audytu.
GRC: Governance, Risk & Compliance, czyli zarządzanie, ryzyko i zgodność. Obejmuje strategię, SZBI, zarządzanie ryzykiem i raportowanie dla kierownictwa.
Obraz najważniejszych ryzyk, priorytety i decyzje inwestycyjne.
Model działania bezpieczeństwa, priorytety kontroli i mierniki skuteczności.
Katalog kontroli, rejestr ryzyka, mapowanie wymagań i dowody zgodności.
DORA, NIS2, UKSC, BCM, reagowanie na incydenty i testowanie odporności organizacji.
Ocena gotowości organizacji na zakłócenie i wpływu ryzyka na działalność.
BCM, DRP, obsługa incydentów, testy, RTO/RPO i plan doskonalenia.
Scenariusze, protokoły testów, działania korygujące i ścieżka raportowania.
Ocena ex ante, ryzyko koncentracji, klauzule, monitoring, exit plan i dowody zgodności.
Informacja, od których dostawców zależy organizacja i jakie decyzje są konieczne.
TPRM, klasyfikacja usług, monitoring ryzyka, podwykonawcy i exit plan.
Due diligence, ocena ryzyka, katalog dowodów, plan działań i klauzule.
Zależności IT/OT, infrastruktura krytyczna, segmentacja, monitoring i bezpieczeństwo usług.
Przełożenie zależności technicznych na ciągłość usług i skutki biznesowe.
Architektura, segmentacja, dostęp zdalny, monitoring i priorytety zabezpieczeń.
Rejestry aktywów i usług, ocena ryzyka, wymagania UKSC/NIS2 i dowody kontroli.
Ryzyko modeli, dane wejściowe i wyjściowe, bezpieczeństwo użycia AI oraz nadzór człowieka.
Granice akceptowalnego ryzyka AI i zasady odpowiedzialnego wykorzystania technologii.
Zatwierdzone narzędzia, tenant, tożsamość, DLP, monitoring i reagowanie na zdarzenia.
Klasyfikacja zastosowań, ocena dostawcy, rejestr modeli, dowody i przeglądy.
Rzeczowe analizy i rekomendacje możliwe do wdrożenia i obrony podczas audytu.
Krótka nota decyzyjna: problem, warianty, ryzyko, koszt i rekomendowany kierunek.
Niezależny przegląd założeń, luk, architektury lub planu działań.
Materiał audytowy: stan faktyczny, kryteria, ocena, priorytet, właściciel i dowód.
05 / Zainteresowania
To nie jest dekoracja strony. To druga część mojego sposobu myślenia: ciekawość, skala, porządek i pokora wobec tego, czego jeszcze nie rozumiemy.
01 / KOSMOLOGIA
Początek, struktura i przyszłość Wszechświata przypominają, że każdy system ma swój kontekst, granice i historię.
02 / ASTROFIZYKA
Gwiazdy, czarne dziury i fale grawitacyjne uczą cierpliwości wobec danych oraz szacunku dla tego, czego jeszcze nie widać.
03 / FIZYKA KWANTOWA
Fascynacja fizyką kwantową prowadzi do pytań o informację, pomiar i granice poznania, także w systemach tworzonych przez ludzi.
Im dalej patrzymy, tym wyraźniej widzimy, że każdy system ma swoją architekturę, granice i punkty krytyczne.
06 / Sposób pracy
Dobre doradztwo nie polega na mnożeniu dokumentów. Polega na rozpoznaniu rzeczywistego ryzyka i wskazaniu działań, które organizacja może wykonać.
Nie zastępuję zarządu, CISO ani właścicieli procesów. Pomagam uporządkować problem, pokazać warianty i przygotować wykonalny plan. Decyzje pozostają po stronie organizacji.
Co naprawdę wymaga decyzji i jaki jest kontekst biznesowy?
Oddzielamy fakty, założenia, ryzyka i wymagania.
Kończymy priorytetem, właścicielem działania i dowodem wykonania.
07 / Biblioteka wiedzy
Trzy serie tematyczne: bezpieczeństwo łańcucha dostaw ICT, zarządzanie AI oraz skuteczne cyberbezpieczeństwo i GRC. Wybierz obszar i przejdź do publikacji.
Materiały autorskie są chronione. Wykorzystanie komercyjne wymaga uprzedniej zgody Wojciecha Chojnackiego: zobacz zasady korzystania.
Od znaczenia usługi i klasyfikacji do wymagań, umowy, monitoringu i dowodów zgodności.
Zobacz serię →Zasady użycia AI, ochrona informacji i odpowiedzialność za decyzje wspierane przez modele.
Zobacz serię →Zarządzanie bezpieczeństwem, ryzykiem i zgodnością. Od deklaracji do działających kontroli.
Zobacz serię →Archiwum artykułów
W katalogu znajdziesz kolejność czytania, opracowania uzupełniające oraz planowane tematy. Każdy artykuł ma własną stronę.
09 / Współpraca ekspercka
Przyjmuję ograniczoną liczbę indywidualnych zleceń B2B z obszaru cyberbezpieczeństwa, GRC, odporności cyfrowej i ryzyka ICT.
Konsultacje i opracowania realizowane są na podstawie indywidualnego zlecenia lub umowy B2B, a zasady rozliczenia ustalane są odpowiednio do zakresu prac.
Możliwe formy współpracy
10 / Potencjalne możliwości
Nie oferuję jednego, sztywnego pakietu. Zakres wsparcia zależy od problemu, poziomu decyzji i materiału, który ma powstać. Poniżej pokazuję, jak moje kompetencje mogą pracować dla poszczególnych ról.
Zarządy i komitety audytu
Przekładam złożone zagadnienia bezpieczeństwa na krótką perspektywę decyzyjną: co jest najważniejsze, jaki jest wpływ biznesowy i jakie warianty działania są realne.
CISO, CIO i dyrektorzy IT
Porządkuję model operacyjny, katalog kontroli, roadmapę i zależności między bezpieczeństwem, technologią, ciągłością działania oraz wymaganiami regulacyjnymi.
Zespoły GRC i compliance
Łączę rejestr ryzyka, wymagania, kontrole i dowody w jeden spójny obraz. Każda rekomendacja ma zakres, ocenę, działanie mitygujące i sposób zamknięcia.
Organizacje energetyczne i finansowe
Pomagam przełożyć UKSC, NIS2, DORA i wymagania KNF na rozwiązania adekwatne do usług, procesów, infrastruktury IT/OT i rzeczywistego poziomu ryzyka.
Dostawcy usług ICT
Wspieram ocenę dostawcy z perspektywy usługi, danych i zależności organizacyjnej, bez konkursu na najdłuższy kwestionariusz.
Właściciele usług IT/OT
Pomagam nazwać zależności między aktywem, usługą, procesem i skutkiem biznesowym, szczególnie tam, gdzie IT wspiera środowisko operacyjne.
Właściciele rozwiązań AI
Porządkuję zasady użycia AI, ochronę danych i odpowiedzialność człowieka, tak aby ograniczać Shadow AI, ale nie blokować uzasadnionych zastosowań.
Audyt wewnętrzny i właściciele procesów
Porządkuję ustalenia tak, aby było wiadomo, czego dotyczą, jakie ryzyko ograniczają, kto prowadzi działanie, kiedy ma ono zostać wykonane i czym zostanie potwierdzone.
Nota dla zarządu, niezależny przegląd dla CISO, rejestr ryzyka i kontroli dla GRC, warsztat dla zespołu albo konkretne opracowanie dotyczące dostawcy, AI, architektury, incydentu lub odporności.
11 / Kontakt
Proszę nie przesyłać przez formularz informacji poufnych, danych osobowych osób trzecich ani materiałów objętych tajemnicą przedsiębiorstwa. Szczegóły przekazujemy dopiero po ustaleniu bezpiecznego sposobu komunikacji.
w.j.chojnacki@gmail.com12 / Informacje prawne
Strona ma charakter osobisty, ekspercki i informacyjny. Poniższe informacje porządkują zasady korzystania z treści oraz sposób postępowania z danymi przekazywanymi w związku z kontaktem.
Ostatnia aktualizacja: 15 sierpnia 2026 r.
Treści autorskie. Autorskie analizy, opracowania, teksty, zestawienia, struktura Biblioteki wiedzy, układ materiałów oraz elementy graficzne przygotowane dla tej strony stanowią własność intelektualną Wojciecha Chojnackiego, o ile przy danym materiale nie wskazano inaczej.
Ich kopiowanie, rozpowszechnianie, modyfikowanie, tworzenie opracowań lub wykorzystywanie w działalności komercyjnej wymaga uprzedniej zgody Wojciecha Chojnackiego. Zgodę można uzyskać, kontaktując się pod adresem w.j.chojnacki@gmail.com. Dozwolony użytek i cytowanie powinny odbywać się w granicach obowiązującego prawa, z podaniem autora i źródła.
Fotografie i potwierdzenia kwalifikacji: fotografie przedstawiające Wojciecha Chojnackiego są jego własnymi materiałami. Odznaka ISACA jest wykorzystywana wyłącznie jako potwierdzenie członkostwa oraz posiadanych kwalifikacji i nie oznacza, że ISACA patronuje stronie ani rekomenduje jej treści.
Informacje o ukończonych studiach i programach wynikają z posiadanych dyplomów. Logotypy Politechniki Bydgoskiej, Uniwersytetu Mikołaja Kopernika, Wyższej Szkoły Bankowej w Toruniu i Dominican University Chicago służą wyłącznie identyfikacji instytucji, których dotyczą te kwalifikacje. Logotypy, znaki towarowe i odznaki pozostają własnością odpowiednich podmiotów, a ich umieszczenie na stronie nie oznacza przeniesienia ani udzielenia licencji do dalszego wykorzystania.
Obecny zakres: strona jest publiczną wizytówką ekspercką. Kontakt służy przedstawieniu tematu i rozpoczęciu rozmowy dotyczącej współpracy B2B. Strona nie prowadzi sprzedaży online, nie przyjmuje płatności, nie zawiera automatycznej rezerwacji usług, nie zakłada kont użytkowników i nie oferuje newslettera. Samo użycie formularza nie zawiera umowy o wykonanie usługi.
Konsultacje i opracowania są realizowane wyłącznie na podstawie indywidualnego zlecenia lub umowy B2B, w której strony ustalają zakres prac, wynagrodzenie, terminy, zasady odpowiedzialności, poufność i prawa do rezultatów. Jeżeli w przyszłości pojawi się sprzedaż online, usługi dla konsumentów, płatne materiały cyfrowe albo automatyczne zawieranie umów, przed uruchomieniem takiej funkcji zostanie opublikowany regulamin dostosowany do konkretnego modelu.
Administrator: Wojciech Chojnacki. Kontakt w sprawach dotyczących prywatności i danych osobowych: w.j.chojnacki@gmail.com.
Zakres przetwarzania: strona nie prowadzi kont użytkowników, newslettera, komentarzy, sklepu ani własnego panelu zapisywania danych. Dane mogą zostać przekazane dobrowolnie przez osobę, która skorzysta z adresu e-mail lub formularza kontaktowego.
Formularz kontaktowy: formularz nie wysyła danych do aplikacyjnej bazy strony. Po jego użyciu otwierane jest okno tworzenia wiadomości w Gmailu albo program pocztowy użytkownika, z adresem w.j.chojnacki@gmail.com jako odbiorcą. Jeżeli wiadomość zostanie wysłana, dane są przetwarzane w celu odpowiedzi na zapytanie, przygotowania współpracy lub podjęcia działań przed zawarciem umowy, zależnie od kontekstu, na podstawie art. 6 ust. 1 lit. b lub f RODO. Podanie danych jest dobrowolne, ale bez danych kontaktowych nie będzie możliwe udzielenie odpowiedzi.
Odbiorcy i przechowywanie: dane mogą być dostępne dla dostawcy poczty elektronicznej, hostingu oraz podmiotów zapewniających utrzymanie i bezpieczeństwo strony, wyłącznie w zakresie potrzebnym do obsługi kontaktu i infrastruktury. Hosting może przetwarzać dane techniczne i logi bezpieczeństwa, a treść wiadomości przetwarza dostawca poczty po jej wysłaniu. Jeżeli którykolwiek z tych dostawców korzysta z podmiotów poza Europejskim Obszarem Gospodarczym, transfer odbywa się z zastosowaniem mechanizmu przewidzianego w rozdziale V RODO, odpowiednio do aktualnej konfiguracji usługi. Wiadomości przechowuje się przez okres potrzebny do obsługi sprawy, co do zasady nie dłużej niż 12 miesięcy od jej zamknięcia, chyba że dłuższy okres wynika z umowy, obowiązku prawnego lub potrzeby obrony roszczeń.
Prawa osoby: przysługuje prawo dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, wniesienia sprzeciwu oraz, w przypadkach przewidzianych prawem, przenoszenia danych. Skargę można wnieść do Prezesa Urzędu Ochrony Danych Osobowych. Strona nie stosuje profilowania ani zautomatyzowanego podejmowania decyzji.
Zasada bezpieczeństwa: proszę nie przekazywać przez stronę informacji poufnych, danych szczególnie chronionych, haseł, kluczy API ani materiałów objętych tajemnicą przedsiębiorstwa. Szczegóły współpracy powinny być przekazane dopiero po ustaleniu bezpiecznego kanału komunikacji.
Własny kod strony nie stosuje analitycznych, reklamowych, marketingowych ani profilujących plików cookies i nie prowadzi śledzenia nawigacji użytkownika. Dlatego strona nie uruchamia opcjonalnego mechanizmu zgody dla takich narzędzi.
Warstwa hostingu, bezpieczeństwa lub dostępu może używać technicznych, niezbędnych plików cookies albo podobnych identyfikatorów. Służą one wyłącznie utrzymaniu działania, ochronie i obsłudze dostępu do strony. Ich wyłączenie może utrudnić korzystanie z serwisu. Jeżeli w przyszłości zostaną dodane narzędzia analityczne, marketingowe lub inne opcjonalne technologie, zostaną uruchomione dopiero po uzyskaniu wymaganej zgody i opisane w tej sekcji.
Strona zawiera odnośniki do serwisów zewnętrznych, w szczególności ISACA i UODO. Po przejściu do tych serwisów obowiązują ich własne zasady prywatności i cookies.