Czy edukacja powinna być suwerenna?

Chciałem ten post rozpocząć od pytania czy system edukacji przekłada się na podejście do innowacyjności. Tutaj ciężko o jakąkolwiek konkluzję, ponieważ same dane nie pozwalają na merytoryczną ocenę sytuacji. Polska zajmuje 23 miejsce w Europejskim Rankingu Innowacyjności, na 27 państw członkowskich. Co roku w Polsce rejestruje się około 4 tysięcy nowych startupów, to jeden na 10 000 mieszkańców. Dla porównania w stanach ten odsetek to jeden startup na 4500 mieszkańców czyli ponad dwukrotnie więcej. A wiecie w jakim wieku najczęściej zakładamy firmy? W Polsce, tuż po czterdziestce, a w Stanach, chciałoby się krzyknąć że znacznie wcześniej, ale byłaby to zwyczajnie nieprawda, ponieważ ten wiek jest bardzo zbliżony. Oczywiście jest wiele różnic jak poziom finansowania B+R, ilość funduszy, podejście do ryzyka inwestycyjnego, przyjazność prawa, itd. Jest też jedna dość spora różnica, czyli system edukacji. I tutaj zacytuję dr. Tomasza Rożka, który na swoim kanale Nauka. To Lubię na YouTube, myślę że bardzo ładnie podsumował polski system edukacyjny, a w zasadzie to pruski, który ma jeden cel – wychować pracownika powtarzalnego, który ślepo podąża za schematami. Każdy kto przeżył polską edukację może śmiało powiedzieć, że główną metodą zdawalności to wykuć i zapomnieć. Jak to się przekłada na polską innowacyjność? Coś jest na rzeczy, bo chyba lubimy te schematy, skoro Polska jest na drugim miejscu, tuż za Indiami jeśli chodzi o światowy rynek tzw. Centrów Usług Wspólnych, w których głównie wykonuje się powtarzalne procesy. W samej Warszawie jest ponad 400 takich centrów. Największe zatrudniają po kilkadziesiąt tysięcy pracowników. Ba, sam przez takie centrum się przewinąłem kilkanaście lat temu. Jedną z najczęściej spotykanych funkcji to oczywiście IT.

Rynek IT w Europie ciągle rośnie. Obecnie w EU jest około 10 milionów specjalistów ICT z czego ponad pół miliona mieszka i pracuje w Polsce. Czy to dużo? Można spokojnie powiedzieć, że jesteśmy w czołówce, natomiast statystycznie, to raptem mieścimy się w średniej EU.

A jak to się ma do suwerenności technologicznej? Amerykańskie firmy technologiczne mam wrażenie, że bardzo ładnie rozegrały cały świat dając nam, no właśnie, edukację. Odkąd na poważnie zająłem się pracą w IT, czyli jakieś 15 lat temu, najchętniej zdobywanymi certyfikatami były certyfikaty od firm Microsoft i CISCO. Do dziś się niewiele zmieniło, ponieważ najchętniej zdobywanymi certyfikatami są certy od AWS, Azure, i GCP. Każdy szanujący się dostawca IT z USA posiada program edukacyjny. Jak na tym tle wygląda Europa? Największy dostawca chmury czyli OVH ma program edukacyjny dla… sprzedawców. Oczywiście mamy też kilkanaście szkoleń ze stajni Linuxa no i oczywiście SAP. Amerykańskie certyfikaty kompetencji produktowych możemy liczyć w tysiącach, Europejskich w dziesiątkach. Dosłownie.

Podobną sytuacje mamy w cyberbezpieczeństwie. Najchętniej zdobywane certyfikaty kompetencji to ISC2, ISACA, EC-Council, SANS, …. Wszystkie Amerykańskie. Ktoś mógłby się teraz przyczepić, że przecież jest ISO. I tu przepraszam za to stwierdzenie – jako Audytor Wiodący Normy ISO27001 - bez wcześniej zdobytej wiedzy nie miałbym bladego pojęcia czym jest bezpieczeństwo informacji, ponieważ to jest certyfikat potwierdzający umiejętność prowadzenia audytów konkretnego systemu zarządzania a nie kompetencji tematycznej. A no i pamiętajmy ISO nie jest Europejskie tylko Międzynarodowe. A słyszeliście kiedyś o ścieżce edukacyjnej EITCA/IS? No właśnie. To Europejski certyfikat kompetencji cyfrowych z zakresu bezpieczeństwa informacji złożony z 12 kursów tematycznych, zakwalifikowany na poziomie Studiów Podyplomowych. To maluje bardzo ponury obraz gdzie jesteśmy jako Europa jeśli chodzi o suwerenną edukację IT a w szczególności cyber.

Ale… Tata mi zawsze wbijał do głowy „Synu nie zaczyna się zdania od ale.” . Skłamałbym, że ten obraz jest tak ciemny. Przecież mamy świetnych edukatorów, genialne kursy, które się sprzedają na całym świecie i praktyków, którzy przecież tak chętnie dzielą się swoją wiedzą. Tylko jest jeden zasadniczy problem. Żaden z tych kursów nie potwierdza nabytych kompetencji w taki sposób aby jakikolwiek urząd go uznał jako wartościowy. I to nie ja to mówię, tylko Europejska Agencja Cyberbezpieczeństwa (ENISA). Jeśli sprawdzimy sobie European Cybersecurity Skills Framework (ECSF) to na liście organizacji wydających certyfikaty potwierdzające kompetencje w tych ramach, mamy CompTIA, ISACA, ISC2, SANS, CREST, EC-Council, FORTINET i HackTheBox. I to jest niezły paradoks, że na tej liście nie ma ani jednej organizacji z Unii Europejskiej. I to ma bezpośrednie przełożenie na to jak rynkowi eksperci funkcjonują.

Co do produktowych ścieżek kompetencyjnych oczywiście uczymy się obsługiwać konkretnych technologii. Sam odbyłem kilkanaście takich szkoleń, przeważnie od firmy Microsoft. Cała firma, w której pracowałem stała na Microsofcie więc nic dziwnego, że tego się właśnie uczyliśmy. Jak się zdawało egzaminy? Metoda dobrze nam znana wykucie na blachę schematów, bardzo często zdobyte wcześniej zestawy pytań i odpowiedzi. Jak to się później przekładało na kompetencje? Nijak, bo środowisko w którym się pracowało było nijak podobne do schematu ze szkolenia czy egzaminu. Tak jest do dnia dzisiejszego. Ba poszło to już w tą stronę, że w trakcie egzaminu można korzystać z materiałów na stronie Microsoft Learn. No i to jest kolejny aspekt, wiedza produktowa jest za darmo, szkolenia, poradniki, dostęp do forum. Jedyne za co się płaci to licencje produktowe. Koszt przywiązania zerowy. Microsft ma nawet program MVP, dla największych swoich fanów. I nie ma w tym nic złego, skoro ktoś jest w czymś dobry to powinien być doceniany. No właśnie a słyszeliście o Linux MVP albo SAP? Tu jest trochę gorzej i można co najwyżej dostać złotego laura sprzedawcy.

W cyberbezpieczeństwie jest trochę inaczej, gdyż tu większość certyfikatów to te non-vendor czyli nie skojarzone z żadnym dostawcą. Prym wiodą ISC2 oraz ISACA oraz ich certyfikaty CISSP czy CISM. Prócz samej wiedzy jak działają konkretne mechanizmy bezpieczeństwa nauczymy się również tego czym jest SOX, FTC Act, HIPAA czy NIST. Czasami ktoś coś wspomni o RODO. No więc cyberbezpieczeństwa uczymy się the American Way. Nic więc dziwnego, że i w Europie mamy takie podejście cyberbezpieczeństwa. O ile certyfikaty wyżej wspomnianych organizacji również zdaje się schematycznie, tak niektóre jak CIPM (Certified Information Privacy Manager) przyznawany przez Amerykański IAPP, wymaga już pracy analitycznej bo są konkretne scenariusze gdzie trzeba sobie pewne rzeczy rozpisać i odpowiednio ocenić. Nie mniej odpowiedzi są dalej A B C D. Ponieważ sam zdawałem ten egzamin (udało mi się za drugim razem), to mogę powiedzieć, że wiedza praktyczna dalej schodzi na bok i liczy się schemat wiedzy książkowej. Jedyny egzamin, do którego podchodziłem gdzie faktycznie, trzeba było ocenić sytuację i uzasadnić podjętą decyzję to był właśnie Lead Auditor normy ISO 27001. Jeśli uzasadnienie podjętej decyzji było wystarczające to zdobywało się komplet punktów, i tu już schematy schodziły na bok, bo liczy się ocena sytuacji. I to również przekłada się na praktykę. Bo wynik końcowy audytu zależy od samego audytora. Tak więc te schematy jednak się do czegoś przydają.

Czemu zatem twierdzę, że aby powstała suwerenna europejska technologia to musi być suwerenna edukacja? Ponad 90% pracowników branży IT posiada minimum jeden certyfikat branżowy. Zważywszy, że 99% możliwych do zdobycia certyfikatów pochodzi z Ameryki to możemy spokojnie powiedzieć, że edukacja specjalistyczna branży IT jest amerykańska, to przekłada się na to, że eksperci chętniej kupują i operują w środowiskach, które znają. Cytując klasyka inżyniera Mamonia, „Ja lubię te piosenki, które już znam, które już słyszałem”.

Te schematy także widać w miejscach wymiany wiedzy, czyli na konferencjach. W Polsce mam wrażenie, że już mamy przesyt eventów o cyberbezpieczeństwie, W okresie jesiennym czy wiosennym te konferencje już nakładają się na siebie, co za tym idzie jakość przekazywanej wiedzy zwyczajnie spada. W Stanach jest jedna duża konferencja czyli RSAC, która trwa 4 dni, a w 2026 roku odwiedziło ją ponad 43 tysiące odwiedzających. Połączone z konferencją są targi i uwierzcie mi tam się ciągle coś dzieje. Tak samo jest w przypadku konferencji technologicznych. Jeśli jesteście fanami firmy Microsoft to czekacie na coroczny Ignite, gdzie zapowiadane są wszystkie nowinki ze stajni z Redmond. Kolejny event, który trwa 4 dni. Pamiętam w 2019 roku w Orlando pojawiło się tam prawie 30 tysięcy osób a przed ostatniego dnia w ramach rozrywki wynajęty został cały Park Universal Studios, łącznie z tym, że jedzenie i picie było rozdawane. Najbliżej takich eventów, jeśli chodzi o skalę, w Europie jest Web Summit, który się odbywa w Lizbonie i przyciąga ponad 70 tysięcy uczestników rocznie.

Jaki wniosek z tego płynie? Schematy pokazują skalę sukcesu danego przedsięwzięcia. Z punktu widzenia edukacji, warto korzystać z tych schematów, które działają i dostosować je do lokalnych potrzeb. Dlatego warto zadbać i zacząć budować własne schematy edukacji na nasze potrzeby, zarówno te edukacji powszechnej jak i specjalistycznej. Bo bez suwerennej edukacji nie będzie suwerennej technologii.