Cyberbezpieczeństwo różni się od innych kierunków tym, że temat może być nie tylko trudny, ale wprost niedopuszczalny. Badanie zabezpieczeń cudzego systemu bez pisemnej zgody właściciela jest przestępstwem, niezależnie od tego, jak szlachetne były intencje i czy praca miała trafić do promotora. To nie jest formalność do odhaczenia w rozdziale metodologicznym, tylko warunek, od którego zależy, czy pracę da się w ogóle obronić.
Drugi problem jest cichszy i dlatego groźniejszy. Student wybiera temat pracy magisterskiej z cyberbezpieczeństwa oparty na konkretnej organizacji, pisze do niej z prośbą o opis incydentów albo konfigurację zabezpieczeń, i dostaje odmowę. Nie ze złej woli. Żadna firma nie opisze własnych luk osobie z zewnątrz, bo taki dokument działa przeciwko niej. To odróżnia cyberbezpieczeństwo od logistyki, gdzie firma czasem po prostu nie ma danych. Tutaj dane są, i właśnie dlatego ich nie dostaniesz.
Trzeci problem dotyczy umiejętności. Temat brzmiący imponująco potrafi wymagać kompetencji, których student jeszcze nie ma, a odkrywa to dopiero przy próbie wykonania części praktycznej.
Ta strona porządkuje tematy według tego, co jest potrzebne do ich wykonania.
Spis treści
- Poziom 1. Tematy na danych publicznych
- Skąd bierzesz dane – przegląd źródeł
- Propozycje tematów na danych publicznych
- Poziom 2. Tematy z własnym środowiskiem testowym
- Propozycje tematów laboratoryjnych
- Poziom 3. Tematy z badaniem wśród ludzi
- Poziom 4. Tematy, które odradzam
- Jak uratować taki temat
- Legalność i etyka badania
- Licencjat, inżynierka czy magisterka
- Na koniec
Poziom 1. Tematy na danych publicznych
Najbezpieczniejszy wybór. Materiał pobierasz i zaczynasz pracę tego samego dnia, bez pytania kogokolwiek o zgodę.
Skąd bierzesz dane
CERT Polska, „Krajobraz bezpieczeństwa polskiego internetu”. Raport roczny, wydawany od lat, ostatnia edycja dotyczy 2025 roku i ukazała się w kwietniu 2026. CERT Polska działa jako CSIRT NASK w strukturach Państwowego Instytutu Badawczego NASK. Raporty zawierają statystyki zgłoszeń i incydentów, opisy kampanii przestępczych, analizy ransomware, phishingu i oszustw inwestycyjnych, a także opisy projektów badawczych zespołu.
Gotowy szereg czasowy, którego nie musisz nigdzie szukać. W 2022 roku wpłynęły 322 tysiące zgłoszeń i obsłużono 39 tysięcy incydentów. W 2025 zgłoszeń było 658 320, a unikalnych incydentów 260 783. Rozjazd między dynamiką zgłoszeń a dynamiką incydentów sam w sobie jest pytaniem badawczym.
Zespół publikuje też raporty miesięczne, przydatne, gdy potrzebujesz ujęcia bardziej szczegółowego niż roczne.
CSIRT GOV, „Raport o stanie bezpieczeństwa cyberprzestrzeni RP”. Raport roczny obejmujący zagrożenia dla krajowej infrastruktury teleinformatycznej, w tym systemów administracji państwowej. Uzupełnia obraz z raportu CERT Polska o perspektywę sektora publicznego.
Program Deckard prowadzony przez CERT Polska. Analiza bezpieczeństwa aplikacji mobilnych sektora publicznego, w ostatniej edycji objęła 283 aplikacje na Androida. Wyniki są uporządkowane według kategorii nieprawidłowości wraz z odsetkiem aplikacji, w których dana kategoria wystąpiła. To rzadka rzecz: gotowy zbiór wyników testów bezpieczeństwa, do którego masz dostęp bez niczyjej zgody.
Publiczne bazy podatności. Do tematów o cyklu życia podatności i czasie reakcji producentów. Sprawdź zakres i zasady korzystania, zanim oprzesz na tym pracę.
Propozycje tematów
- Dynamika zgłoszeń i incydentów obsługiwanych przez CERT Polska w latach 2020–2025 oraz jej uwarunkowania. Źródło: raporty roczne CERT Polska.
- Struktura zagrożeń w polskiej cyberprzestrzeni na tle zmian technologicznych. Źródło: CERT Polska, raporty roczne i miesięczne.
- Bezpieczeństwo aplikacji mobilnych sektora publicznego w świetle wyników programu Deckard. Źródło: raport roczny CERT Polska 2025.
- Zagrożenia dla infrastruktury teleinformatycznej administracji publicznej w Polsce. Źródło: CSIRT GOV.
- Phishing jako dominująca kategoria incydentów, ewolucja technik i skuteczność przeciwdziałania. Źródło: CERT Polska, kolejne edycje raportu.
- Ransomware w polskiej cyberprzestrzeni, skala zjawiska i wzorce działania grup przestępczych. Źródło: CERT Polska oraz CSIRT GOV.
Masz temat z tej grupy, ale nie wiesz, jak przełożyć raporty na rozdział badawczy? Pomoc przy pracy magisterskiej obejmuje zaprojektowanie części empirycznej na danych publicznych.
Poziom 2. Tematy z własnym środowiskiem testowym
To wariant charakterystyczny dla cyberbezpieczeństwa i najbezpieczniejszy prawnie, bo badasz wyłącznie własną infrastrukturę.
Budujesz maszyny wirtualne, celowo podatną aplikację albo pułapkę sieciową, przeprowadzasz testy i opisujesz wyniki. Nikogo o nic nie prosisz, niczyjego systemu nie dotykasz, a rozdział badawczy ma realną treść.
Sprawdź uczciwie dwie rzeczy, zanim wybierzesz taki temat. Czy potrafisz to zestawić samodzielnie, bo pomoc promotora bywa ograniczona do konsultacji merytorycznych. Oraz czy masz sprzęt, bo niektóre konfiguracje wymagają więcej pamięci, niż ma przeciętny laptop.
Propozycje tematów
- Analiza porównawcza narzędzi do wykrywania podatności aplikacji webowych na przykładzie celowo podatnego środowiska.
- Skuteczność mechanizmów uwierzytelniania wieloskładnikowego wobec wybranych scenariuszy ataku, badanie w środowisku laboratoryjnym.
- Wykorzystanie pułapek sieciowych do rozpoznawania automatycznych skanów i prób logowania.
- Ocena skuteczności statycznej analizy kodu w wykrywaniu błędów bezpieczeństwa aplikacji webowych.
- Konfiguracja i testy systemu wykrywania włamań w środowisku wirtualnym.
- Bezpieczeństwo domyślnych ustawień wybranych urządzeń internetu rzeczy.
Utknąłeś na etapie, gdy środowisko działa, a nie wiesz, jak opisać wyniki po akademicku? To częsty moment. Zobacz zakres wsparcia.
Poziom 3. Tematy z badaniem wśród ludzi
Człowiek jako ogniwo bezpieczeństwa to obszar, w którym nie potrzebujesz ani laboratorium, ani dostępu do systemów. Wystarczy kwestionariusz i grupa respondentów.
Uwaga na jedną rzecz. Badanie świadomości pracowników konkretnej firmy wymaga zgody pracodawcy, bo dotyczy potencjalnych słabości jego organizacji. Jeśli takiej zgody nie masz, wybierz grupę rozproszoną, dostępną bez pośrednika.
Liczby, które warto znać zawczasu. Realny czas zbierania odpowiedzi to od sześciu do dziesięciu tygodni. Na analizy opisowe wystarczy około stu odpowiedzi, przy testach statystycznych z podziałem na grupy potrzebujesz stu pięćdziesięciu i więcej.
Propozycje tematów
- Świadomość zagrożeń phishingowych wśród użytkowników bankowości elektronicznej.
- Zachowania ryzykowne w sieci wśród studentów i ich uwarunkowania.
- Praktyki zarządzania hasłami wśród użytkowników indywidualnych.
- Postrzeganie bezpieczeństwa danych osobowych przez klientów sklepów internetowych.
- Podatność użytkowników na techniki socjotechniczne w komunikacji elektronicznej. Badanie deklaratywne, nie prowokacyjne, o czym niżej.
Poziom 4. Tematy, które odradzam
Poniższe brzmią profesjonalnie i dlatego są wybierane najczęściej. Kończą się kłopotem, choć z różnych powodów.
Sześć tematów, które kończą się kłopotem
- Analiza zabezpieczeń systemu informatycznego firmy X. Wymaga dostępu do konfiguracji, czyli dokumentu opisującego, gdzie firma jest słaba. Nikt takiego dokumentu nie wyda osobie z zewnątrz. Jeśli mimo wszystko dostaniesz zgodę, potrzebujesz jej na piśmie, z określonym zakresem, i to jeszcze przed rozpoczęciem jakichkolwiek testów.
- Testy penetracyjne wybranego serwisu internetowego. Bez pisemnego upoważnienia właściciela jest to działanie bezprawne, a fakt pisania pracy dyplomowej niczego nie zmienia. Promotorzy coraz częściej odrzucają takie tematy od razu, żeby nie narażać ani studenta, ani uczelni.
- Symulowana kampania phishingowa wśród pracowników. Nawet gdy pracodawca się zgadza, badanie polega na wprowadzaniu ludzi w błąd bez ich wiedzy, a to wymaga zgody komisji etycznej. Wersja deklaratywna, czyli ankieta o rozpoznawaniu prób oszustwa, daje podobny materiał bez tego problemu.
- Analiza incydentu bezpieczeństwa w przedsiębiorstwie X. Organizacje nie opisują własnych incydentów na zewnątrz, bo bywa to obowiązkiem zgłoszeniowym wobec organów, a nie materiałem do udostępniania studentom.
- Zastosowanie sztucznej inteligencji w cyberbezpieczeństwie. Bez konkretnego wdrożenia albo własnego eksperymentu kończy się przeglądem artykułów z internetu, czyli pracą bez części empirycznej.
- Temat wymagający umiejętności, których jeszcze nie masz. Analiza złośliwego oprogramowania, inżynieria wsteczna, badanie protokołów niskopoziomowych. To są dobre tematy dla kogoś, kto już to robi. Jeśli nie robisz, praca zatrzyma się na rozdziale drugim.
Jak uratować taki temat
Przenieś badanie z cudzego systemu na własne środowisko. Zamiast analizować zabezpieczenia firmy X, zbuduj konfigurację odwzorowującą typowe rozwiązanie w tej branży i zbadaj ją u siebie. Tytuł zmienia się nieznacznie, a problem prawny i dostępowy znika.
Drugi sposób to przesunięcie z systemu na człowieka. Zamiast badać zabezpieczenia organizacji, zbadaj świadomość i praktyki osób, które z nich korzystają.
Trzeci to zestawienie jednej organizacji z danymi publicznymi. Firma opowiada Ci ogólnie o swoim podejściu, a tło budujesz na raportach CERT Polska. Nie prosisz o nic wrażliwego, a część empiryczna istnieje.
Legalność i etyka badania
W cyberbezpieczeństwie to nie jest sekcja do odhaczenia, tylko warunek dopuszczenia pracy.
Trzy zasady, od których nie ma odstępstw
- Testy tylko na infrastrukturze własnej albo objętej upoważnieniem. Upoważnienie musi być pisemne, z określonym zakresem i terminem, oraz wcześniejsze niż badanie, bo zgoda udzielona po fakcie nie działa wstecz.
- Badania z udziałem ludzi wymagają zgody komisji etycznej. Dotyczy to zwłaszcza sytuacji, w których uczestnik nie wie, że bierze udział w eksperymencie. Sprawdź procedurę na swoim wydziale, zanim zaplanujesz metodę, a nie po.
- Dane z rzeczywistych incydentów podlegają anonimizacji. Nie publikujesz ich w postaci umożliwiającej identyfikację organizacji ani osób. Anonimizacja jest tu standardem, nie uprzejmością.
Licencjat, inżynierka czy magisterka
Reguły są te same, różni się skala i charakter części praktycznej. Na licencjacie wystarczy zwykle jedna metoda i węższy zakres. Inżynierka wymaga elementu projektowego, czyli czegoś zbudowanego albo skonfigurowanego, a nie samej analizy. Na magisterce oczekuje się wyraźnego pytania badawczego oraz zestawienia co najmniej dwóch metod.
Źródła są identyczne na każdym poziomie, bierzesz z nich tylko mniejszy albo większy wycinek.
Jeśli piszesz licencjat lub inżynierkę, zobacz zakres wsparcia.
Na koniec
Wybór tematu w cyberbezpieczeństwie ma jedną dodatkową konsekwencję, której nie ma gdzie indziej. Zły wybór nie kończy się tylko słabą pracą, ale może oznaczać, że badania nie wolno przeprowadzić.
Jeśli masz temat i nie wiesz, czy jest wykonalny i dopuszczalny, napisz. Ocena zajmuje mi zwykle kwadrans i nic nie kosztuje.