Cyberbezpieczeństwo firmy nie sprowadza się do zakupu programu antywirusowego. To system wzajemnie uzupełniających się zabezpieczeń, który obejmuje dane, urządzenia, konta, pracowników, dostawców oraz sposób reagowania na incydenty. Jego celem jest ograniczenie prawdopodobieństwa ataku, zmniejszenie potencjalnych strat i umożliwienie szybkiego powrotu do pracy.
Po lekturze zrozumiesz, jakie zagrożenia są najważniejsze, jak dobierać zabezpieczenia do wielkości i profilu organizacji, które działania wdrożyć w pierwszej kolejności oraz jak sprawdzić, czy firmowy system bezpieczeństwa rzeczywiście działa.
Czym jest cyberbezpieczeństwo w firmie?
Cyberbezpieczeństwo w firmie to połączenie technologii, procedur i kompetencji służących ochronie:
- danych firmowych i danych osobowych,
- komputerów, telefonów, serwerów i innych urządzeń,
- kont pracowników i administratorów,
- poczty elektronicznej oraz komunikatorów,
- sieci lokalnej, Wi-Fi i połączeń zdalnych,
- aplikacji biznesowych i usług chmurowych,
- kopii zapasowych,
- procesów operacyjnych,
- relacji z dostawcami i partnerami.
Bezpieczeństwo nie oznacza całkowitego wyeliminowania ryzyka. W praktyce chodzi o zarządzanie ryzykiem: rozpoznanie najważniejszych zasobów, identyfikację zagrożeń, dobór zabezpieczeń oraz przygotowanie organizacji na sytuację, w której atak jednak się powiedzie.
Trzy podstawowe cele ochrony informacji
Model CIA opisuje trzy główne właściwości, które należy chronić:
- Poufność – informacje są dostępne tylko dla uprawnionych osób.
- Integralność – dane nie zostały nieautoryzowanie zmienione lub usunięte.
- Dostępność – systemy i dane są dostępne wtedy, gdy firma ich potrzebuje.
Przykładowo zaszyfrowany plik może zachować poufność, ale jeżeli firma utraci klucz deszyfrujący, nie będzie dostępny. Z kolei działający system może być dostępny, ale niebezpieczny, jeśli każdy pracownik ma w nim uprawnienia administratora.
Gdzie kończy się cyberbezpieczeństwo?
Granica między cyberbezpieczeństwem, bezpieczeństwem informacji, ochroną danych osobowych i ciągłością działania jest płynna.
Cyberbezpieczeństwo koncentruje się na systemach cyfrowych i zagrożeniach związanych z technologią. Bezpieczeństwo informacji obejmuje również dokumenty papierowe, rozmowy i fizyczny dostęp do informacji. Ochrona danych osobowych dotyczy zgodności przetwarzania danych z przepisami, a ciągłość działania – zdolności firmy do funkcjonowania po awarii, ataku lub innym zakłóceniu.
Skuteczny program bezpieczeństwa powinien łączyć wszystkie te obszary.
Od czego zacząć ochronę firmy?
Pierwszym krokiem nie powinien być zakup narzędzia, lecz ustalenie, co firma posiada, gdzie to się znajduje i jakie konsekwencje spowoduje utrata danego zasobu.
Inwentaryzacja danych, urządzeń i usług
Firma powinna prowadzić aktualną listę:
- komputerów, telefonów, serwerów i urządzeń sieciowych,
- systemów operacyjnych i najważniejszego oprogramowania,
- domen internetowych i certyfikatów,
- kont użytkowników oraz kont administracyjnych,
- skrzynek e-mail i współdzielonych zasobów,
- aplikacji SaaS i usług chmurowych,
- baz danych oraz lokalizacji kopii zapasowych,
- integracji między systemami,
- dostawców posiadających dostęp do danych lub infrastruktury.
Nie można skutecznie chronić urządzenia albo usługi, o których organizacja nie wie. Szczególnym problemem jest shadow IT, czyli korzystanie przez pracowników z aplikacji i chmur bez wiedzy działu IT.
Klasyfikacja informacji
Nie wszystkie dane wymagają identycznej ochrony. Można zastosować prosty podział:
- Dane publiczne – materiały przeznaczone do publikacji.
- Dane wewnętrzne – informacje robocze, których ujawnienie miałoby ograniczone konsekwencje.
- Dane poufne – umowy, dane klientów, informacje finansowe, dokumentacja pracownicza.
- Dane krytyczne lub ściśle poufne – tajemnice przedsiębiorstwa, klucze kryptograficzne, kopie całych baz danych, dane szczególnych kategorii.
Klasyfikacja powinna wpływać na miejsce przechowywania informacji, sposób ich udostępniania, długość retencji, zakres monitorowania oraz wymagany poziom szyfrowania.
Ocena ryzyka
Ryzyko można oceniać jako połączenie prawdopodobieństwa zdarzenia i jego skutków. W uproszczeniu warto odpowiedzieć na cztery pytania:
- Co może się wydarzyć?
- Jak prawdopodobne jest to zdarzenie?
- Jakie będą skutki finansowe, prawne i operacyjne?
- Jakie zabezpieczenia już działają?
Dla małej firmy wystarczający może być rejestr ryzyk w arkuszu kalkulacyjnym. Duża organizacja powinna stosować formalną metodykę, przypisywać właścicieli ryzyka i regularnie raportować poziom ryzyka kierownictwu.
Jak chronić konta pracowników?
Przejęcie konta jest jednym z najczęstszych sposobów uzyskania dostępu do firmowych danych. Samo silne hasło nie stanowi już wystarczającego zabezpieczenia.
Uwierzytelnianie wieloskładnikowe
MFA wymaga przedstawienia co najmniej dwóch niezależnych składników, na przykład hasła oraz potwierdzenia w aplikacji.
MFA należy w pierwszej kolejności włączyć dla:
- poczty elektronicznej,
- kont administratorów,
- bankowości i systemów finansowych,
- usług chmurowych,
- systemów kadrowych i księgowych,
- paneli hostingowych i rejestratorów domen,
- VPN i innych form dostępu zdalnego,
- repozytoriów kodu oraz narzędzi deweloperskich.
Najwyższy poziom ochrony zapewniają klucze sprzętowe i mechanizmy odporne na phishing, takie jak FIDO2 oraz passkeys. Aplikacja uwierzytelniająca jest zwykle bezpieczniejsza niż kod SMS. SMS może być rozwiązaniem przejściowym, ale jest podatny między innymi na przejęcie numeru telefonu.
Hasła i menedżer haseł
Dobre hasło powinno być:
- długie,
- unikalne dla każdego systemu,
- niemożliwe do odgadnięcia na podstawie informacji o pracowniku,
- przechowywane w zatwierdzonym menedżerze haseł.
Firma nie powinna wymuszać częstej zmiany haseł bez konkretnego powodu. Taka polityka prowadzi często do tworzenia prostych wariantów tego samego hasła. Zmiana jest potrzebna po podejrzeniu wycieku, przejęciu konta lub ujawnieniu danych logowania.
Menedżer haseł umożliwia generowanie unikalnych danych logowania, bezpieczne współdzielenie dostępów oraz kontrolowane odebranie ich po zakończeniu współpracy.
Zasada najmniejszych uprawnień
Pracownik powinien mieć tylko taki dostęp, jaki jest niezbędny do wykonywania obowiązków. Uprawnienia powinny być nadawane na podstawie roli, a nie indywidualnych próśb bez terminu ważności.
Należy oddzielić:
- zwykłe konta użytkowników od kont administracyjnych,
- dostęp do środowiska testowego od produkcyjnego,
- możliwość odczytu danych od ich eksportowania i usuwania,
- zatwierdzanie płatności od ich przygotowywania.
Uprawnienia trzeba okresowo przeglądać, szczególnie po zmianie stanowiska, zakończeniu projektu lub dłuższej nieobecności.
Proces przyjęcia, zmiany roli i odejścia pracownika
Bezpieczeństwo kont powinno obejmować cały cykl zatrudnienia:
- utworzenie imiennego konta,
- nadanie dostępu zgodnego z rolą,
- przekazanie urządzenia i zasad bezpieczeństwa,
- zmianę uprawnień przy zmianie stanowiska,
- natychmiastowe zablokowanie kont po zakończeniu współpracy,
- odebranie urządzeń, kluczy i tokenów,
- zmianę wspólnych danych logowania,
- zachowanie danych służbowych zgodnie z polityką retencji.
Konta współdzielone należy ograniczać. Utrudniają ustalenie, kto wykonał określoną operację, i często pozostają aktywne mimo zmian kadrowych.
Jak zabezpieczyć komputery i telefony?
Ochrona urządzeń końcowych powinna być zarządzana centralnie. Poleganie na tym, że każdy pracownik sam zainstaluje aktualizacje i skonfiguruje system, prowadzi do nierównego poziomu bezpieczeństwa.
Aktualizacje i zarządzanie podatnościami
Aktualizować należy nie tylko system operacyjny, lecz także:
- przeglądarki internetowe,
- pakiety biurowe,
- komunikatory,
- klienty VPN,
- oprogramowanie księgowe,
- wtyczki i rozszerzenia,
- routery, zapory sieciowe i urządzenia NAS,
- aplikacje serwerowe,
- systemy CMS i ich dodatki.
Podatności aktywnie wykorzystywane przez napastników powinny być usuwane szybciej niż błędy o charakterze teoretycznym. Firma powinna ustalić terminy instalowania poprawek zależne od krytyczności systemu i ryzyka.
Antywirus, EDR i XDR
Tradycyjny antywirus wykrywa głównie znane zagrożenia na podstawie sygnatur i podstawowej analizy zachowania. EDR monitoruje aktywność urządzenia, pozwala analizować incydenty i reagować, na przykład izolując komputer od sieci.
XDR łączy sygnały z wielu źródeł: urządzeń, poczty, tożsamości, sieci i chmury.
Dla małej firmy zarządzany antywirus lub EDR może być wystarczający, jeżeli jest poprawnie skonfigurowany i monitorowany. Sam zakup rozbudowanego XDR nie poprawi bezpieczeństwa, jeżeli nikt nie analizuje alertów.
Szyfrowanie urządzeń
Dyski komputerów i pamięć urządzeń mobilnych powinny być szyfrowane. Dzięki temu utrata laptopa nie musi oznaczać ujawnienia wszystkich zapisanych na nim informacji.
Trzeba również zadbać o:
- bezpieczne przechowywanie kluczy odzyskiwania,
- automatyczną blokadę ekranu,
- PIN lub silne hasło,
- możliwość zdalnego zablokowania albo wymazania urządzenia,
- zakaz przechowywania danych firmowych na nieautoryzowanych nośnikach.
MDM i praca na urządzeniach prywatnych
System MDM pozwala centralnie konfigurować telefony i komputery, wymuszać szyfrowanie, instalować aplikacje oraz usuwać dane firmowe.
Jeżeli organizacja dopuszcza BYOD, czyli wykorzystywanie urządzeń prywatnych, powinna określić:
- jakie dane mogą być na nich przetwarzane,
- jakie systemy i aplikacje są dozwolone,
- czy wymagany jest profil służbowy,
- jakie informacje widzi administrator,
- kiedy firma może usunąć dane służbowe,
- kto odpowiada za aktualizacje i naprawy.
Dla danych szczególnie poufnych bezpieczniejszy jest zwykle sprzęt należący do firmy.
Jak chronić pocztę przed phishingiem i oszustwami?
Poczta elektroniczna jest jednym z najczęściej wykorzystywanych kanałów ataku. Wiadomość może prowadzić do kradzieży hasła, uruchomienia złośliwego pliku, zmiany numeru rachunku albo wykonania nieautoryzowanego przelewu.
Najczęstsze formy ataku
- phishing kierujący do fałszywej strony logowania,
- spear phishing przygotowany dla konkretnej osoby,
- podszycie się pod prezesa, dostawcę lub dział księgowości,
- przejęcie prawdziwej skrzynki kontrahenta,
- złośliwe załączniki i linki,
- fałszywa prośba o zmianę numeru rachunku,
- wyłudzenie kodu MFA,
- QR phishing, czyli umieszczenie złośliwego kodu QR w wiadomości lub dokumencie.
Nowoczesne ataki mogą być poprawne językowo i dobrze dopasowane do kontekstu. Brak błędów ortograficznych nie jest dowodem autentyczności wiadomości.
Zabezpieczenia techniczne poczty
Organizacja powinna wdrożyć:
- filtrowanie spamu, phishingu i złośliwych załączników,
- SPF, DKIM i DMARC dla własnych domen,
- blokowanie automatycznego przekazywania poczty poza organizację, jeśli nie jest potrzebne,
- alerty dotyczące podejrzanych logowań i zmian reguł skrzynki,
- oznaczenie wiadomości pochodzących spoza firmy,
- MFA dla wszystkich użytkowników,
- ograniczenie starszych protokołów uwierzytelniania.
DMARC pomaga ograniczyć bezpośrednie podszywanie się pod domenę firmy, ale nie blokuje wszystkich oszustw. Napastnik może użyć podobnej domeny, przejąć konto kontrahenta albo wysłać wiadomość z legalnej usługi.
Procedury biznesowe są równie ważne jak filtry
Zmiana rachunku bankowego, pilny przelew lub przekazanie poufnych danych powinny wymagać dodatkowej weryfikacji innym kanałem.
Pracownik nie powinien potwierdzać prośby, dzwoniąc na numer podany w podejrzanej wiadomości. Należy użyć wcześniej znanego numeru z umowy, systemu CRM lub oficjalnej strony kontrahenta.
Jak chronić dane firmowe?
Ochrona danych obejmuje cały cykl ich życia: pozyskanie, wykorzystanie, udostępnienie, archiwizację i bezpieczne usunięcie.
Minimalizacja danych
Firma powinna zbierać i przechowywać tylko informacje rzeczywiście potrzebne. Nadmiarowe dane zwiększają skutki incydentu i koszty ochrony.
Warto regularnie sprawdzać:
- czy dane mają określony cel przetwarzania,
- czy dostęp do nich nadal jest potrzebny,
- czy okres retencji nie minął,
- czy istnieją niekontrolowane kopie plików,
- czy dane można zanonimizować lub zagregować.
Szyfrowanie danych
Szyfrowanie powinno obejmować dane:
- zapisane na urządzeniach i serwerach,
- przesyłane przez internet,
- przechowywane w kopiach zapasowych,
- eksportowane na nośniki,
- przesyłane partnerom.
Szyfrowanie nie rozwiązuje wszystkich problemów. Jeżeli zalogowany użytkownik ma dostęp do danych, może je odczytać również napastnik korzystający z przejętego konta. Dlatego szyfrowanie musi być uzupełnione kontrolą dostępu, monitorowaniem i ochroną tożsamości.
Bezpieczne udostępnianie plików
Należy unikać wysyłania poufnych dokumentów jako niezaszyfrowanych załączników. Bezpieczniejsze są kontrolowane repozytoria, w których można:
- wskazać konkretnych odbiorców,
- ustawić datę wygaśnięcia dostępu,
- zablokować pobieranie,
- wycofać udostępnienie,
- sprawdzić historię aktywności.
Publiczne linki „każdy, kto ma link” powinny być stosowane tylko wtedy, gdy charakter danych na to pozwala.
Kopie zapasowe i ochrona przed ransomware
Ransomware może zaszyfrować dane, zatrzymać działalność firmy i połączyć szantaż z kradzieżą informacji. Sama kopia zapasowa nie zapobiega wyciekowi, ale może znacząco skrócić przestój.
Zasada 3-2-1
Popularna zasada zakłada posiadanie:
- co najmniej trzech kopii danych,
- na dwóch różnych typach nośników lub w odseparowanych systemach,
- z jedną kopią przechowywaną poza głównym środowiskiem.
Współcześnie warto rozszerzyć tę zasadę o kopię offline albo niemodyfikowalną oraz regularną weryfikację poprawności odtwarzania.
Backup to nie synchronizacja
Synchronizacja plików z chmurą nie zawsze jest pełnoprawną kopią zapasową. Usunięcie lub zaszyfrowanie pliku może zostać automatycznie zsynchronizowane na wszystkie urządzenia.
Prawidłowy backup powinien zapewniać:
- historię wersji,
- określony czas retencji,
- ochronę przed usunięciem przez zwykłego administratora,
- oddzielne dane uwierzytelniające,
- monitorowanie wykonania zadań,
- regularne testy odtwarzania.
Najważniejsze pytanie nie brzmi „czy wykonujemy backup?”, lecz „czy potrafimy odtworzyć dane w wymaganym czasie?”.
RPO i RTO
Dwa parametry pomagają określić wymagania biznesowe:
- RPO – maksymalna akceptowalna utrata danych wyrażona w czasie, na przykład cztery godziny.
- RTO – maksymalny akceptowalny czas przywrócenia procesu lub systemu.
Parametry te powinny wynikać z potrzeb biznesowych, a nie wyłącznie z możliwości działu IT.
Bezpieczeństwo sieci, pracy zdalnej i chmury
Segmentacja sieci
Wszystkie urządzenia nie powinny działać w jednej wspólnej sieci. Warto rozdzielić:
- komputery pracowników,
- serwery,
- urządzenia administracyjne,
- drukarki i urządzenia IoT,
- systemy produkcyjne,
- sieć dla gości.
Segmentacja ogranicza możliwość przemieszczania się napastnika po przejęciu pojedynczego urządzenia.
Wi-Fi i dostęp zdalny
Firmowe Wi-Fi powinno wykorzystywać współczesne mechanizmy szyfrowania i unikalne dane dostępowe. Sieć gościnna powinna być odseparowana od systemów wewnętrznych.
Dostęp zdalny może być realizowany przez VPN, bramę aplikacyjną lub rozwiązanie zgodne z podejściem Zero Trust. Niezależnie od technologii należy wymagać MFA, kontrolować stan urządzenia i ograniczać dostęp do konkretnych zasobów.
VPN szyfruje połączenie, ale nie sprawia automatycznie, że urządzenie jest bezpieczne. Zainfekowany komputer połączony przez VPN może stanowić zagrożenie dla sieci firmowej.
Bezpieczeństwo usług chmurowych
Dostawca chmury odpowiada za bezpieczeństwo infrastruktury, ale klient nadal odpowiada za konfigurację kont, uprawnienia, dane i sposób korzystania z usługi. Jest to model współdzielonej odpowiedzialności.
Najczęstsze problemy to:
- publicznie udostępnione zasoby,
- nadmierne uprawnienia,
- brak MFA,
- nieaktywne konta byłych pracowników,
- klucze dostępowe zapisane w kodzie,
- brak centralnych logów,
- brak kopii danych z usług SaaS.
Dostawcy, podwykonawcy i łańcuch dostaw
Firma może zostać zaatakowana przez słabiej zabezpieczonego partnera. Ocena dostawców powinna być proporcjonalna do rodzaju dostępu i znaczenia usługi.
Przed rozpoczęciem współpracy warto ustalić:
- jakie dane otrzyma dostawca,
- czy będzie miał dostęp do systemów,
- gdzie dane będą przetwarzane,
- jakie zabezpieczenia stosuje,
- jak zgłasza incydenty,
- czy korzysta z podwykonawców,
- jak usuwa dane po zakończeniu umowy,
- czy zapewnia możliwość eksportu i odtworzenia danych.
Dostęp serwisowy powinien być imienny, ograniczony czasowo, zabezpieczony MFA i rejestrowany. Stałe konta administracyjne dla zewnętrznych podmiotów zwiększają ryzyko.
Certyfikat bezpieczeństwa może być wartościowym dowodem dojrzałości dostawcy, ale nie zastępuje oceny zakresu usługi, konfiguracji oraz rzeczywistych warunków umowy.
Monitoring, logi i wykrywanie incydentów
Zapobieganie wszystkim atakom nie jest możliwe. Firma musi również umieć rozpoznać podejrzane zdarzenie.
Warto centralnie zbierać logi z:
- systemów tożsamości i logowania,
- poczty elektronicznej,
- komputerów i serwerów,
- zapór sieciowych oraz VPN,
- usług chmurowych,
- krytycznych aplikacji biznesowych,
- narzędzi administracyjnych.
Alerty powinny obejmować między innymi:
- logowanie z nietypowej lokalizacji,
- wielokrotne nieudane próby logowania,
- wyłączenie MFA lub zabezpieczeń urządzenia,
- nadanie uprawnień administracyjnych,
- utworzenie nowych reguł przekazywania poczty,
- masowe pobieranie, szyfrowanie lub usuwanie plików,
- logowanie na konto nieaktywnego pracownika.
Większa liczba alertów nie oznacza wyższego bezpieczeństwa. Każdy istotny alert musi mieć właściciela, priorytet i procedurę obsługi.
Jak przygotować firmę na incydent?
Plan reagowania powinien istnieć przed atakiem. W czasie incydentu zwykle brakuje danych, presja rośnie, a nieprzemyślane działania mogą zniszczyć dowody lub powiększyć straty.
Etapy reagowania
- Przygotowanie – role, kontakty, procedury, narzędzia i kopie zapasowe.
- Identyfikacja – ustalenie, czy rzeczywiście doszło do incydentu.
- Ograniczenie skutków – izolacja urządzeń, kont lub segmentów sieci.
- Usunięcie przyczyny – likwidacja złośliwego oprogramowania, podatności i utrzymanego dostępu.
- Odtworzenie działania – bezpieczne uruchomienie systemów i zwiększony monitoring.
- Wnioski – analiza przyczyn oraz wdrożenie działań naprawczych.
Co powinien zawierać plan?
- sposób zgłaszania podejrzanych zdarzeń,
- listę osób decyzyjnych i ich zastępców,
- kontakty do dostawców IT, prawników, ubezpieczyciela i specjalistów reagowania,
- procedury odłączania urządzeń i blokowania kont,
- zasady zabezpieczenia dowodów,
- plan komunikacji z pracownikami, klientami i mediami,
- kryteria zgłoszeń do właściwych organów,
- scenariusze dla ransomware, wycieku danych, oszustwa finansowego i awarii chmury.
Plan należy ćwiczyć. Ćwiczenie typu tabletop, podczas którego osoby odpowiedzialne omawiają symulowany incydent, często ujawnia brakujące kontakty i niejasne kompetencje bez wyłączania systemów produkcyjnych.
Co powinien zrobić pracownik po zauważeniu ataku?
Pracownik powinien:
- przerwać podejrzaną czynność,
- nie usuwać samodzielnie wiadomości ani plików istotnych dla analizy,
- zgłosić zdarzenie określonym kanałem,
- w razie podejrzenia infekcji odłączyć urządzenie od sieci zgodnie z procedurą,
- przekazać czas zdarzenia i opis wykonanych działań,
- nie komunikować incydentu publicznie bez upoważnienia.
Jeśli pracownik wpisał hasło na fałszywej stronie, liczy się szybkość zgłoszenia. Kara za uczciwe zgłoszenie błędu zniechęca ludzi do informowania o kolejnych zdarzeniach.
Szkolenia i kultura bezpieczeństwa
Jednorazowe szkolenie raz w roku nie wystarczy. Program powinien odpowiadać na rzeczywiste ryzyko i rolę pracownika.
Innego zakresu potrzebują:
- księgowość i osoby zatwierdzające płatności,
- administratorzy,
- zarząd,
- dział sprzedaży pracujący z danymi klientów,
- programiści,
- osoby obsługujące kadry,
- pracownicy terenowi i zdalni.
Skuteczne szkolenia są krótkie, regularne i oparte na realnych sytuacjach. Powinny obejmować phishing, bezpieczne udostępnianie danych, korzystanie z haseł, pracę poza biurem oraz zgłaszanie incydentów.
Symulacje phishingu warto traktować jako narzędzie diagnostyczne, a nie metodę zawstydzania pracowników. Ważniejsze od samego wskaźnika kliknięć jest to, ilu pracowników prawidłowo zgłasza podejrzane wiadomości.
Cyberbezpieczeństwo a zgodność z przepisami
Firma może podlegać między innymi wymaganiom wynikającym z:
- RODO,
- przepisów wdrażających dyrektywę NIS2,
- rozporządzenia DORA w sektorze finansowym,
- regulacji branżowych,
- umów z klientami,
- standardów takich jak ISO/IEC 27001,
- wymagań dotyczących kart płatniczych, takich jak PCI DSS.
Zgodność nie jest równoznaczna z bezpieczeństwem. Organizacja może posiadać komplet dokumentów, a jednocześnie nie instalować aktualizacji lub nie testować kopii zapasowych. Z drugiej strony dobre zabezpieczenia techniczne nie zwalniają z obowiązków prawnych, dokumentacyjnych i informacyjnych.
Zakres obowiązków oraz terminy zgłoszeń należy każdorazowo ustalać z uwzględnieniem rodzaju incydentu, danych i regulacji dotyczących danej organizacji.
Tabela decyzyjna: jakie zabezpieczenia wdrożyć?
| Sytuacja | Najważniejsze ryzyko | Priorytetowe działania | Kolejny poziom dojrzałości |
|---|---|---|---|
| Mikrofirmy korzystające głównie z poczty i chmury | Przejęcie skrzynki, utrata plików, oszustwo płatnicze | MFA, menedżer haseł, aktualizacje, backup, procedura potwierdzania przelewów | Zarządzane urządzenia, filtrowanie poczty, centralne logi |
| Firma zatrudniająca pracowników zdalnych | Utrata urządzenia, niezabezpieczone Wi-Fi, dostęp z prywatnego sprzętu | Szyfrowanie dysków, MFA, MDM, zasady pracy zdalnej | Dostęp warunkowy, EDR, Zero Trust |
| Firma przetwarzająca dużo danych klientów | Wyciek, nadmierne uprawnienia, błędne udostępnienie | Klasyfikacja danych, kontrola dostępu, szyfrowanie, retencja | DLP, monitoring eksportów, cykliczne przeglądy uprawnień |
| Sklep internetowy | Przejęcie panelu, podatność aplikacji, wyciek danych płatniczych | MFA administratorów, aktualizacje, backup, bezpieczna bramka płatnicza | WAF, testy bezpieczeństwa, monitoring integralności |
| Firma produkcyjna | Przestój, atak na systemy OT, dostęp serwisowy | Segmentacja, kopie konfiguracji, kontrola dostawców | Monitoring OT, dedykowane stacje administracyjne, ćwiczenia awaryjne |
| Organizacja korzystająca z wielu usług SaaS | Shadow IT, nieaktywne konta, nadmierne udostępnienia | Inwentaryzacja SaaS, centralna tożsamość, MFA, proces odejścia | SSO, automatyczne nadawanie i odbieranie dostępów, CASB |
| Software house | Kradzież kodu i sekretów, atak na łańcuch dostaw | MFA, ochrona repozytoriów, skanowanie sekretów, przeglądy kodu | SAST, DAST, SBOM, podpisywanie artefaktów |
| Organizacja regulowana | Brak zgodności, niewystarczające dowody kontroli | Analiza wymagań, właściciele kontroli, rejestry i procedury | Audyty, testy odporności, ciągłe monitorowanie zgodności |
Jak ustalać priorytety inwestycji?
Jeżeli budżet jest ograniczony, warto zacząć od zabezpieczeń zmniejszających wiele rodzajów ryzyka jednocześnie:
- Inwentaryzacja urządzeń, kont, danych i usług.
- MFA dla poczty, chmury, administratorów i dostępu zdalnego.
- Menedżer haseł oraz eliminacja współdzielonych kont.
- Automatyczne aktualizacje i usuwanie nieobsługiwanego oprogramowania.
- Szyfrowanie laptopów i telefonów.
- Kopie zapasowe odporne na usunięcie oraz testy odtwarzania.
- Ochrona poczty i procedury weryfikacji płatności.
- Proces blokowania kont i odbierania dostępów.
- EDR lub inne zarządzane zabezpieczenie urządzeń.
- Plan reagowania na incydenty i ćwiczenia.
Dopiero po zbudowaniu fundamentów warto rozwijać zaawansowane systemy SIEM, SOAR, DLP lub rozbudowane platformy XDR. Narzędzia te wymagają danych, integracji i ludzi zdolnych do ich obsługi.
Najczęstsze błędy firm
Brak właściciela bezpieczeństwa
Jeśli odpowiedzialność jest rozproszona, ważne zadania pozostają niewykonane. Nawet mała firma powinna wyznaczyć osobę koordynującą bezpieczeństwo, budżet i kontakty z dostawcami.
Kupowanie narzędzi bez procesu obsługi
System może generować alerty, ale nie rozwiąże problemu samodzielnie. Trzeba ustalić, kto analizuje powiadomienia, w jakim czasie i jakie działania może podjąć.
Nadawanie zbyt szerokich uprawnień
Dostęp „na wszelki wypadek” zwiększa skutki przejęcia konta. Szczególnie niebezpieczne jest codzienne korzystanie z kont administratora.
Brak testów odtwarzania
Informacja o poprawnym wykonaniu zadania backupu nie potwierdza, że dane da się odtworzyć. Test powinien obejmować zarówno pojedyncze pliki, jak i krytyczne systemy.
Pomijanie usług chmurowych
Przeniesienie systemu do chmury zmienia podział odpowiedzialności, ale nie usuwa ryzyka. Błędna konfiguracja konta administratora może narazić wszystkie dane.
Karanie pracowników za zgłoszenia
Pracownik, który obawia się konsekwencji, może ukryć kliknięcie w link lub wysłanie dokumentu do niewłaściwej osoby. Opóźnienie utrudnia ograniczenie skutków incydentu.
Brak planu działania bez systemów IT
Firma powinna wiedzieć, jak realizować krytyczne procesy w czasie awarii poczty, księgowości, systemu magazynowego lub platformy sprzedażowej.
Porównania: które rozwiązanie wybrać?
MFA przez SMS, aplikację czy klucz sprzętowy?
| Metoda | Poziom ochrony | Wygoda | Typowe zastosowanie |
|---|---|---|---|
| Kod SMS | Podstawowy | Wysoka | Rozwiązanie przejściowe, gdy brak innych opcji |
| Aplikacja z kodem | Dobry | Wysoka | Większość kont pracowniczych |
| Powiadomienie push | Dobry, jeśli wymaga dopasowania numeru | Bardzo wysoka | Codzienna praca użytkowników |
| Passkey lub klucz FIDO2 | Bardzo wysoki, odporny na phishing | Wysoka po wdrożeniu | Administratorzy, finanse, konta wysokiego ryzyka |
Antywirus czy EDR?
Antywirus może wystarczyć dla prostego, dobrze zarządzanego środowiska o niskim ryzyku. EDR jest właściwszy, gdy firma posiada wiele urządzeń, pracuje zdalnie, przechowuje cenne dane albo potrzebuje możliwości analizy i izolowania zaatakowanych komputerów.
Kluczowe znaczenie ma jednak monitoring. Nadzorowany antywirus może być skuteczniejszy niż EDR, którego alertów nikt nie analizuje.
VPN czy Zero Trust?
VPN daje urządzeniu dostęp do określonej części sieci po zestawieniu tunelu. Zero Trust ocenia każdą próbę dostępu na podstawie użytkownika, urządzenia, lokalizacji i poziomu ryzyka.
Nie każda firma musi natychmiast zastępować VPN. Jeżeli jest zabezpieczony MFA, aktualizowany i daje dostęp tylko do potrzebnych zasobów, może nadal spełniać swoją funkcję.
Własna obsługa czy outsourcing bezpieczeństwa?
Wewnętrzny zespół daje większą znajomość organizacji i kontrolę. Dostawca zewnętrzny może zapewnić specjalistów, monitoring całodobowy i szybszy dostęp do kompetencji.
Model zewnętrzny nie przenosi całej odpowiedzialności. Firma nadal musi określić wymagania, nadzorować usługę i podejmować decyzje biznesowe.
Mity dotyczące cyberbezpieczeństwa
„Jesteśmy za mali, żeby ktoś nas zaatakował”
Wiele ataków jest automatycznych i nie wybiera ofiar na podstawie wielkości. Napastnicy masowo skanują internet, wysyłają phishing i wykorzystują znane podatności.
„Dane są w chmurze, więc nie potrzebujemy kopii”
Dostawca może chronić dostępność platformy, ale klient nadal może przypadkowo usunąć dane, nadpisać pliki albo utracić konto. Zakres wbudowanej retencji należy sprawdzić w warunkach konkretnej usługi.
„MFA rozwiązuje problem przejęcia kont”
MFA znacząco ogranicza ryzyko, ale atakujący może wyłudzić zatwierdzenie powiadomienia, przejąć aktywną sesję lub wykorzystać mechanizm odzyskiwania konta. Najlepszą ochronę zapewniają metody odporne na phishing.
„Pracownik jest najsłabszym ogniwem”
Pracownik może popełnić błąd, ale system powinien być zaprojektowany tak, aby pojedynczy błąd nie prowadził do katastrofy. Ludzie mogą być również ważnym źródłem wykrywania ataków, jeżeli wiedzą, jak je zgłaszać.
„Zgodność z normą oznacza pełne bezpieczeństwo”
Audyt i certyfikacja potwierdzają określony zakres kontroli w określonym czasie. Nie gwarantują braku podatności ani skuteczności każdego procesu.
Liczby i statystyki dotyczące cyberbezpieczeństwa
Statystyki należy interpretować w kontekście metodologii, regionu, branży i definicji incydentu. Nie powinny zastępować indywidualnej oceny ryzyka.
- W raporcie Verizon Data Breach Investigations Report 2024 czynnik ludzki występował w około 68% analizowanych naruszeń, z wyłączeniem przypadków złośliwego nadużycia uprawnień.
- Według IBM Cost of a Data Breach Report 2024 średni globalny koszt naruszenia danych wyniósł 4,88 mln dolarów, co oznaczało wzrost o około 10% względem poprzedniego raportu.
- FBI IC3 odnotowało w 2023 roku zgłoszone straty związane z cyberprzestępczością przekraczające 12,5 mld dolarów.
- Zgłoszone do FBI straty związane z oszustwami typu Business Email Compromise wyniosły w 2023 roku około 2,9 mld dolarów.
- CERT Polska zarejestrował w 2023 roku 80 267 incydentów bezpieczeństwa, ponad dwukrotnie więcej niż rok wcześniej.
- Wśród incydentów obsłużonych przez CERT Polska w 2023 roku dominował phishing – odnotowano ponad 51 tys. takich przypadków.
- Globalna mediana czasu, przez jaki napastnik pozostawał w środowisku przed wykryciem, wynosiła według M-Trends 2024 około 10 dni dla zdarzeń analizowanych w 2023 roku.
Dla pojedynczej firmy ważniejsze od globalnej średniej są własne wskaźniki: czas blokowania kont, poziom wdrożenia MFA, terminowość aktualizacji, skuteczność odtwarzania kopii oraz czas reakcji na alert.
Jak mierzyć skuteczność cyberbezpieczeństwa?
Przydatne wskaźniki obejmują:
- odsetek kont objętych MFA,
- odsetek zaszyfrowanych urządzeń,
- liczbę nieaktywnych kont,
- czas instalacji krytycznych poprawek,
- liczbę urządzeń z nieobsługiwanym oprogramowaniem,
- skuteczność wykonywania i odtwarzania kopii,
- czas od wykrycia do ograniczenia incydentu,
- liczbę zgłoszeń phishingu przez pracowników,
- liczbę uprawnień administracyjnych,
- poziom pokrycia logowaniem i monitoringiem,
- liczbę dostawców z dostępem do danych krytycznych,
- stopień realizacji działań po audytach i incydentach.
Nie należy opierać oceny na jednym wskaźniku. Spadek liczby zgłoszeń może oznaczać mniej ataków, ale również to, że pracownicy przestali je raportować.
Plan wdrożenia cyberbezpieczeństwa w 90 dni
Pierwsze 30 dni: kontrola podstaw
- wykonaj inwentaryzację urządzeń, kont i usług,
- włącz MFA dla najważniejszych systemów,
- usuń nieaktywne konta,
- sprawdź aktualizacje systemów internetowych,
- zidentyfikuj dane krytyczne,
- zweryfikuj, czy kopie zapasowe rzeczywiście się wykonują,
- ustal kanał zgłaszania incydentów.
Dni 31–60: standaryzacja
- wdroż menedżer haseł,
- zaszyfruj urządzenia,
- skonfiguruj centralne zarządzanie komputerami i telefonami,
- uporządkuj role oraz uprawnienia,
- zabezpiecz domenę mechanizmami SPF, DKIM i DMARC,
- opisz proces przyjmowania i odchodzenia pracowników,
- przeprowadź test odtworzenia kopii.
Dni 61–90: wykrywanie i odporność
- włącz centralne logi i alerty,
- wdroż zarządzany EDR lub równoważną ochronę,
- przygotuj plan reagowania na incydenty,
- przeprowadź ćwiczenie ransomware lub przejęcia poczty,
- oceń kluczowych dostawców,
- ustal mierniki i harmonogram przeglądów,
- przygotuj plan dalszego rozwoju zabezpieczeń.
Tematy do rozwinięcia w artykułach klastrowych
Ta strona może pełnić funkcję huba prowadzącego do szczegółowych poradników:
- Jak wdrożyć MFA w firmie?
- Jak wybrać firmowy menedżer haseł?
- Backup 3-2-1 krok po kroku
- Jak rozpoznać phishing i fałszywą wiadomość?
- Polityka bezpieczeństwa informacji – wzór i zakres
- Jak zabezpieczyć pracę zdalną?
- Antywirus, EDR i XDR – różnice
- Jak przygotować plan reagowania na incydenty?
- Cyberbezpieczeństwo usług chmurowych
- Jak przeprowadzić audyt uprawnień?
- Bezpieczeństwo dostawców i podwykonawców
- Ransomware – zapobieganie i reagowanie
- Jak zabezpieczyć pocztę za pomocą SPF, DKIM i DMARC?
- Jak testować kopie zapasowe?
- NIS2, RODO i DORA a obowiązki firmy
FAQ
Jakie są najważniejsze zabezpieczenia dla małej firmy?
Najwyższy priorytet mają MFA, unikalne hasła przechowywane w menedżerze, aktualizacje, szyfrowanie urządzeń, sprawdzone kopie zapasowe oraz procedura potwierdzania płatności i zmian rachunków bankowych.
Ile firma powinna wydawać na cyberbezpieczeństwo?
Nie istnieje uniwersalny procent budżetu. Wydatki powinny wynikać z wartości danych, kosztu przestoju, wymagań prawnych, liczby urządzeń i poziomu zagrożenia. Najpierw należy określić ryzyko i priorytety, a dopiero później dobierać narzędzia.
Czy program antywirusowy wystarczy?
Nie. Antywirus jest tylko jedną z warstw ochrony. Nie zastępuje MFA, aktualizacji, kontroli uprawnień, kopii zapasowych, ochrony poczty ani planu reagowania.
Czy każdy pracownik musi używać MFA?
MFA powinno obejmować wszystkich użytkowników wszędzie tam, gdzie system je obsługuje. Bezwzględny priorytet mają poczta, konta administratorów, chmura, finanse oraz dostęp zdalny.
Jak często należy wykonywać kopie zapasowe?
Częstotliwość powinna wynikać z RPO, czyli akceptowalnej utraty danych. Dla jednego procesu backup raz dziennie może być wystarczający, a dla innego konieczne będą kopie wykonywane co kilkanaście minut.
Jak często testować odtwarzanie danych?
Krytyczne kopie warto testować regularnie, na przykład kwartalnie, oraz po większych zmianach infrastruktury. Częstotliwość powinna zależeć od znaczenia systemu i wymaganego czasu odtworzenia.
Co zrobić po kliknięciu w podejrzany link?
Należy natychmiast zgłosić zdarzenie. Jeśli podano dane logowania, trzeba zablokować lub zabezpieczyć konto, zmienić hasło, zakończyć aktywne sesje i sprawdzić ustawienia MFA. W przypadku uruchomienia pliku urządzenie powinno zostać odizolowane zgodnie z procedurą.
Czy firma powinna zapłacić okup po ataku ransomware?
Zapłata nie gwarantuje odzyskania danych ani ich nieujawnienia. Może również wiązać się z ryzykiem prawnym i finansowaniem działalności przestępczej. Decyzja wymaga analizy technicznej, prawnej i biznesowej oraz konsultacji ze specjalistami i właściwymi podmiotami.
Czy można bezpiecznie korzystać z prywatnych komputerów?
Można, ale wymaga to jasno określonych zasad, aktualnego systemu, szyfrowania, oddzielenia danych służbowych, MFA i możliwości zarządzania dostępem. Dla informacji krytycznych bezpieczniejsze są urządzenia firmowe.
Jak często szkolić pracowników?
Lepiej prowadzić krótkie szkolenia kilka razy w roku niż jedno długie szkolenie roczne. Dodatkowe szkolenie powinno odbywać się po zmianie roli, wdrożeniu nowego systemu lub wystąpieniu incydentu.
Kto odpowiada za cyberbezpieczeństwo w firmie?
Kierownictwo odpowiada za zarządzanie ryzykiem i zapewnienie zasobów. Dział IT wdraża część zabezpieczeń, właściciele procesów określają wymagania, a pracownicy stosują ustalone zasady. Odpowiedzialności powinny być formalnie przypisane.
Jak sprawdzić, czy firma jest dobrze zabezpieczona?
Należy połączyć audyt konfiguracji, przegląd uprawnień, skanowanie podatności, testy kopii zapasowych, analizę logów, ćwiczenia incydentowe oraz testy bezpieczeństwa adekwatne do ryzyka. Sam formularz kontrolny nie potwierdza, że zabezpieczenia działają.
Czy test penetracyjny jest potrzebny każdej firmie?
Nie zawsze jest pierwszym krokiem. Najpierw trzeba uporządkować podstawy: aktualizacje, MFA, konta, backup i konfigurację usług. Test penetracyjny jest szczególnie przydatny dla aplikacji internetowych, systemów krytycznych i środowisk o podwyższonym ryzyku.
Jak często wykonywać przegląd uprawnień?
Dostęp do systemów krytycznych warto przeglądać co najmniej kwartalnie, a pozostałe uprawnienia według poziomu ryzyka. Dodatkowy przegląd jest konieczny po zmianie stanowiska, zakończeniu projektu i odejściu pracownika.
Czy ubezpieczenie cybernetyczne zastępuje zabezpieczenia?
Nie. Polisa może ograniczyć część skutków finansowych i zapewnić wsparcie specjalistów, ale nie zapobiega przestojowi, utracie reputacji ani odpowiedzialności organizacji. Ubezpieczyciel może również wymagać konkretnych zabezpieczeń, takich jak MFA, EDR i kopie zapasowe.
2 comments