Bezpieczeństwo danych w małej firmie – najczęstsze zagrożenia i zabezpieczenia

Bezpieczeństwo danych w małej firmie nie wymaga od razu rozbudowanego działu IT ani kosztownych systemów klasy enterprise. Wymaga natomiast wiedzy o tym, jakie dane firma posiada, kto ma do nich dostęp, gdzie są przechowywane oraz jak można przywrócić działalność po awarii lub ataku.

Po lekturze zrozumiesz, jakie zagrożenia są najczęstsze, które zabezpieczenia wdrożyć w pierwszej kolejności, jak oceniać ryzyko oraz jak przygotować firmę na utratę danych, phishing, ransomware, przejęcie konta i naruszenie ochrony danych osobowych.

Czym jest bezpieczeństwo danych w małej firmie?

Bezpieczeństwo danych to zbiór zasad, procesów i zabezpieczeń technicznych, których celem jest ochrona informacji przed:

• dostępem osób nieuprawnionych,
• przypadkowym lub celowym usunięciem,
• nieautoryzowaną zmianą,
• ujawnieniem,
• kradzieżą,
• zaszyfrowaniem przez ransomware,
• utratą dostępności,
• wykorzystaniem niezgodnym z prawem lub celem biznesowym.

Podstawą bezpieczeństwa informacji są trzy właściwości:

• poufność – dane są dostępne wyłącznie dla uprawnionych osób,
• integralność – dane są poprawne i nie zostały nieautoryzowanie zmienione,
• dostępność – firma może korzystać z danych wtedy, gdy są potrzebne.

W przypadku danych osobowych dochodzą jeszcze wymagania związane z legalnością przetwarzania, ograniczeniem celu, minimalizacją danych i okresem ich przechowywania.

Bezpieczeństwo danych a cyberbezpieczeństwo

Pojęcia te są powiązane, ale nie są tożsame.

Cyberbezpieczeństwo koncentruje się na ochronie systemów, urządzeń, kont, sieci i usług cyfrowych. Bezpieczeństwo danych obejmuje również informacje przechowywane poza systemami informatycznymi, na przykład dokumenty papierowe, wydruki, umowy, notatki czy archiwa.

Firma może mieć aktualny program antywirusowy, a jednocześnie nie chronić danych, jeżeli:

• pracownicy współdzielą hasła,
• każdy ma dostęp do wszystkich folderów,
• kopie zapasowe nie są testowane,
• dokumenty klientów leżą na ogólnodostępnym biurku,
• były pracownik nadal może zalogować się do poczty,
• poufne pliki są przesyłane przez prywatne komunikatory.

Bezpieczeństwo danych a zgodność z RODO

RODO jest ważną częścią bezpieczeństwa, ale samo spełnienie obowiązków formalnych nie gwarantuje ochrony firmy.

RODO dotyczy danych osobowych. Firma może jednak posiadać również inne informacje wymagające ochrony:

• tajemnice przedsiębiorstwa,
• cenniki i warunki handlowe,
• dokumentację techniczną,
• dane finansowe,
• hasła i klucze dostępowe,
• bazy produktów,
• kod źródłowy,
• strategie sprzedaży,
• informacje objęte umową o poufności.

Bezpieczeństwo danych powinno zatem obejmować zarówno dane osobowe, jak i wszystkie informacje istotne dla ciągłości oraz konkurencyjności firmy.

Jakie dane powinna chronić mała firma?

Pierwszym krokiem nie jest zakup programu zabezpieczającego, lecz ustalenie, jakie dane firma rzeczywiście posiada.

Najczęściej są to:

• dane klientów i potencjalnych klientów,
• dane pracowników i kandydatów,
• umowy, faktury i dokumentacja księgowa,
• wiadomości e-mail,
• dane dostępowe do bankowości, hostingu i usług chmurowych,
• dokumentacja projektowa,
• dane kontrahentów,
• informacje handlowe,
• kopie dokumentów tożsamości, jeżeli firma ma podstawę do ich przetwarzania,
• dane dotyczące zdrowia lub inne dane szczególnej kategorii,
• nagrania monitoringu,
• dane z systemów CRM, ERP i programów księgowych,
• dokumenty przechowywane na komputerach, serwerach, telefonach i w chmurze.

Inwentaryzacja danych

Inwentaryzacja powinna odpowiedzieć na sześć pytań:

1. Jakie dane posiadamy?
2. Gdzie są przechowywane?
3. Kto ma do nich dostęp?
4. W jakim celu są wykorzystywane?
5. Jak długo musimy je przechowywać?
6. Co się stanie, jeżeli zostaną utracone, ujawnione albo zmienione?

W praktyce wystarczy na początek prosty rejestr w arkuszu kalkulacyjnym. Powinien zawierać nazwę zbioru, właściciela biznesowego, lokalizację, kategorię danych, osoby z dostępem, okres przechowywania i sposób wykonywania kopii zapasowej.

Prosta klasyfikacja informacji

Mała firma może zastosować cztery poziomy klasyfikacji:

• publiczne – informacje przeznaczone do publikacji,
• wewnętrzne – dane robocze, których ujawnienie nie spowoduje poważnych szkód,
• poufne – dane klientów, pracowników, finanse, umowy i informacje handlowe,
• krytyczne – dane dostępowe, kopie dokumentów, dane szczególnej kategorii, klucze kryptograficzne i informacje niezbędne do działania firmy.

Im wyższa kategoria, tym bardziej restrykcyjne powinny być zasady dostępu, przesyłania, przechowywania i usuwania.

Najczęstsze zagrożenia dla danych w małej firmie

Phishing i przejęcie konta

Phishing polega na podszywaniu się pod zaufaną osobę lub organizację. Celem może być wyłudzenie hasła, uruchomienie złośliwego załącznika, zmiana numeru rachunku na fakturze albo nakłonienie pracownika do wykonania przelewu.

Typowe scenariusze to:

• wiadomość o rzekomym wygaśnięciu hasła,
• fałszywe powiadomienie z usługi chmurowej,
• załącznik udający fakturę,
• prośba prezesa o pilny przelew,
• wiadomość od kontrahenta ze zmienionym numerem konta,
• kod QR prowadzący do fałszywej strony logowania,
• telefon od osoby podającej się za bank, księgowość lub pomoc techniczną.

Przejęcie skrzynki e-mail jest szczególnie niebezpieczne. Przestępca może analizować korespondencję, przejmować resetowanie haseł i podszywać się pod firmę w kontaktach z klientami.

Słabe, powtarzane i współdzielone hasła

Jedno hasło używane w wielu usługach sprawia, że wyciek z jednego serwisu może doprowadzić do przejęcia poczty, chmury, systemu księgowego lub mediów społecznościowych.

Ryzyko zwiększają:

• krótkie hasła,
• przewidywalne schematy,
• przechowywanie haseł w przeglądarce na współdzielonym komputerze,
• wysyłanie danych dostępowych e-mailem,
• wspólne konto dla kilku pracowników,
• brak uwierzytelniania wieloskładnikowego,
• brak zmiany dostępu po odejściu pracownika.

Ransomware i inne złośliwe oprogramowanie

Ransomware szyfruje dane lub blokuje dostęp do systemu. Coraz częściej atakujący najpierw kopiują informacje, a następnie grożą ich publikacją.

Do infekcji może dojść przez:

• załącznik w wiadomości,
• nieaktualne oprogramowanie,
• przejęte konto zdalnego dostępu,
• złośliwą reklamę,
• piracki program,
• zainfekowany instalator,
• urządzenie bez aktualnych zabezpieczeń.

Zapłata okupu nie gwarantuje odzyskania danych ani ich usunięcia przez przestępców.

Błędy pracowników i przypadkowa utrata danych

Nie każde naruszenie jest wynikiem zaawansowanego ataku. Częstymi przyczynami problemów są:

• wysłanie wiadomości do niewłaściwego odbiorcy,
• umieszczenie adresatów w polu „Do” zamiast „UDW”,
• usunięcie folderu,
• nadpisanie pliku,
• przypadkowe publiczne udostępnienie dokumentu,
• zgubienie telefonu lub laptopa,
• pozostawienie wydruku w drukarce,
• skopiowanie danych na prywatny nośnik.

Dlatego procedury powinny chronić firmę także przed zwykłymi pomyłkami.

Nieaktualne systemy i urządzenia

Brak aktualizacji pozostawia znane podatności, dla których często istnieją gotowe narzędzia ataku.

Szczególnego nadzoru wymagają:

• systemy operacyjne,
• przeglądarki,
• pakiety biurowe,
• systemy CMS i wtyczki,
• routery,
• urządzenia NAS,
• programy do zdalnego dostępu,
• aplikacje księgowe,
• serwery pocztowe,
• telefony służbowe.

System, który nie otrzymuje już aktualizacji bezpieczeństwa, powinien zostać wymieniony, odizolowany lub objęty dodatkowymi zabezpieczeniami.

Nadmierne uprawnienia

Jeżeli każdy pracownik ma dostęp do wszystkich danych, przejęcie jednego konta może zagrozić całej firmie.

Problemem są również:

• codzienna praca na koncie administratora,
• brak oddzielnych kont użytkowników,
• niewyłączone konta byłych pracowników,
• publiczne linki do dokumentów,
• brak okresowych przeglądów uprawnień,
• dostęp dostawców bez ograniczenia czasowego.

Należy stosować zasadę najmniejszych uprawnień: użytkownik otrzymuje tylko taki dostęp, jaki jest potrzebny do realizacji obowiązków.

Niewłaściwie skonfigurowana chmura

Usługi chmurowe mogą zapewniać wysoki poziom zabezpieczeń, ale nie eliminują odpowiedzialności firmy. Dostawca zabezpiecza infrastrukturę, natomiast klient odpowiada między innymi za konta, uprawnienia, sposób udostępniania i konfigurację.

Typowe błędy to:

• brak MFA,
• publiczne foldery,
• pozostawienie dostępu byłym pracownikom,
• korzystanie z prywatnych kont,
• brak kopii danych z usługi SaaS,
• brak kontroli nad aplikacjami podłączonymi do konta,
• wybór przypadkowego dostawcy bez analizy umowy.

Zagrożenia ze strony dostawców

Dane mogą zostać utracone również w wyniku incydentu u biura rachunkowego, firmy informatycznej, operatora płatności, hostingu, dostawcy CRM albo platformy mailingowej.

Powierzenie danych nie przenosi całego ryzyka na kontrahenta. Firma powinna wiedzieć:

• jakie dane otrzymuje dostawca,
• gdzie są przetwarzane,
• czy dostęp jest ograniczony,
• jak dostawca informuje o incydentach,
• czy zapewnia eksport i usunięcie danych,
• co stanie się po zakończeniu umowy.

Kradzież, awaria i zdarzenia fizyczne

Bezpieczeństwo danych obejmuje również pożar, zalanie, przepięcie, awarię dysku, kradzież sprzętu i utratę zasilania.

Trzymanie komputera i jedynej kopii zapasowej w tym samym pomieszczeniu nie chroni firmy przed zdarzeniem obejmującym całą lokalizację.

Podstawowe zabezpieczenia, które warto wdrożyć najpierw

Uwierzytelnianie wieloskładnikowe

MFA wymaga dodatkowego potwierdzenia logowania, na przykład w aplikacji, za pomocą klucza bezpieczeństwa lub danych biometrycznych.

W pierwszej kolejności należy zabezpieczyć:

• pocztę elektroniczną,
• konto administratora chmury,
• bankowość,
• system księgowy,
• CRM,
• hosting i domeny,
• zdalny dostęp,
• menedżer haseł,
• media społecznościowe.

Najlepszą odporność na phishing zapewniają klucze sprzętowe, standard FIDO2 i passkeys. Kody z aplikacji są zwykle bezpieczniejsze niż SMS. Jeżeli jednak usługa oferuje wyłącznie SMS, jest to zazwyczaj lepsze niż całkowity brak drugiego składnika.

Menedżer haseł

Menedżer haseł umożliwia tworzenie unikalnych, długich haseł bez konieczności ich zapamiętywania.

Dobre wdrożenie powinno obejmować:

• firmowe, a nie prywatne konta,
• silne hasło główne,
• MFA,
• kontrolowane udostępnianie danych dostępowych,
• procedurę odzyskiwania konta,
• odbieranie dostępu po zakończeniu współpracy.

Nie należy wymuszać częstej, mechanicznej zmiany wszystkich haseł bez powodu. Hasło trzeba zmienić, gdy mogło zostać ujawnione, było współdzielone, jest słabe lub zostało wykorzystane w innym serwisie.

Aktualizacje i zarządzanie urządzeniami

Aktualizacje automatyczne powinny być włączone wszędzie, gdzie jest to możliwe. Firma powinna również prowadzić podstawową listę używanych urządzeń i oprogramowania.

Minimalny standard dla komputera służbowego to:

• wspierany system operacyjny,
• automatyczne aktualizacje,
• aktywna zapora,
• ochrona antymalware lub EDR,
• szyfrowanie dysku,
• blokada ekranu,
• konto bez uprawnień administratora do codziennej pracy,
• możliwość zdalnego zablokowania lub wyczyszczenia urządzenia.

Szyfrowanie danych

Szyfrowanie ogranicza skutki kradzieży urządzenia lub nośnika. Powinno obejmować:

• dyski laptopów,
• telefony,
• przenośne nośniki danych,
• kopie zapasowe,
• transmisję danych przez internet.

Samo ustawienie hasła do konta użytkownika nie zawsze oznacza, że dysk jest zaszyfrowany.

Ochrona poczty i domeny

Poczta jest jednym z głównych punktów wejścia do firmy. Należy wdrożyć:

• MFA dla wszystkich skrzynek,
• ochronę antyphishingową i antyspamową,
• blokowanie automatycznego przekazywania wiadomości poza organizację, jeśli nie jest potrzebne,
• alerty o podejrzanych logowaniach,
• kontrolę reguł skrzynki pocztowej,
• mechanizmy SPF, DKIM i DMARC dla domeny,
• procedurę potwierdzania zmiany rachunku bankowego innym kanałem.

Zmiany danych płatniczych nie powinny być zatwierdzane wyłącznie na podstawie wiadomości e-mail.

Kopie zapasowe i odtwarzanie danych

Backup jest jednym z najważniejszych zabezpieczeń przed ransomware, awarią i błędem użytkownika. Sama informacja, że „dane są w chmurze”, nie oznacza jednak, że firma ma pełnowartościową kopię zapasową.

Reguła 3-2-1

Klasyczna reguła zakłada:

• co najmniej trzy kopie danych,
• na dwóch różnych typach nośników lub platform,
• z jedną kopią poza główną lokalizacją.

Rozszerzenie 3-2-1-1-0 dodaje:

• jedną kopię offline albo niemodyfikowalną,
• zero błędów potwierdzonych testem odtwarzania.

Kopia dostępna z tego samego konta administratora może zostać usunięta razem z danymi produkcyjnymi. Dlatego szczególnie wartościowe są kopie odseparowane, wersjonowane lub niezmienne.

RPO i RTO

Dwa parametry pomagają dopasować backup do potrzeb firmy:

• RPO określa, ile danych firma może utracić, mierząc czas od ostatniej kopii,
• RTO określa, jak szybko system powinien zostać przywrócony.

Jeżeli firma może utracić najwyżej godzinę pracy, backup wykonywany raz na tydzień jest niewystarczający. Jeżeli system musi wrócić w ciągu dwóch godzin, procedura odtwarzania powinna zostać wcześniej przećwiczona.

Testowanie kopii

Backup, którego nie da się odtworzyć, nie jest skutecznym zabezpieczeniem. Test powinien sprawdzać:

• czy kopia zawiera właściwe dane,
• czy pliki można otworzyć,
• czy znane są dane dostępowe i klucze szyfrujące,
• ile trwa przywracanie,
• kto potrafi przeprowadzić proces,
• czy można odzyskać pojedynczy plik i cały system.

Zarządzanie dostępem pracowników i współpracowników

Każda osoba powinna mieć własne konto. Kont współdzielonych należy unikać, ponieważ utrudniają ustalenie, kto wykonał określoną operację.

Cykl życia dostępu

Proces powinien obejmować trzy momenty:

Rozpoczęcie współpracy

• utworzenie imiennego konta,
• przyznanie minimalnych uprawnień,
• włączenie MFA,
• przekazanie zasad bezpieczeństwa,
• wydanie przygotowanego urządzenia.

Zmiana stanowiska

• aktualizacja uprawnień,
• odebranie niepotrzebnego dostępu,
• sprawdzenie członkostwa w grupach i folderach,
• aktualizacja odpowiedzialności za dane.

Zakończenie współpracy

• zablokowanie kont,
• odebranie urządzeń i kluczy,
• unieważnienie sesji oraz tokenów,
• zmiana współdzielonych danych dostępowych,
• przekazanie dokumentów i skrzynki służbowej,
• usunięcie dostępu dostawcy lub freelancera.

Dostęp najlepiej odebrać w ustalonym momencie zakończenia współpracy, a w sytuacji podwyższonego ryzyka – jeszcze przed przekazaniem informacji o rozwiązaniu umowy.

Bezpieczna praca zdalna i urządzenia mobilne

Praca poza biurem zwiększa ryzyko kradzieży urządzenia, korzystania z niezaufanej sieci i mieszania danych prywatnych ze służbowymi.

Podstawowe zasady to:

• używanie urządzeń zarządzanych przez firmę,
• szyfrowanie dysku,
• automatyczna blokada ekranu,
• zakaz udostępniania urządzenia domownikom,
• aktualizacje systemu,
• MFA,
• bezpieczny dostęp do zasobów firmowych,
• unikanie lokalnego przechowywania danych, jeżeli nie jest potrzebne,
• możliwość zdalnego zablokowania telefonu lub laptopa.

VPN jest przydatny, gdy zapewnia dostęp do wewnętrznych zasobów albo chroni transmisję w określonym modelu pracy. Nie zastępuje jednak MFA, aktualizacji, szyfrowania urządzeń ani prawidłowego zarządzania dostępem.

Bezpieczeństwo dostawców i usług chmurowych

Przed przekazaniem danych dostawcy warto sprawdzić:

• zakres przetwarzanych informacji,
• dostępne mechanizmy MFA,
• szyfrowanie danych,
• możliwość ograniczania uprawnień,
• historię logowań i operacji,
• wykonywanie oraz testowanie kopii,
• lokalizację przetwarzania danych,
• warunki zgłaszania incydentów,
• możliwość eksportu danych,
• zasady usunięcia danych po zakończeniu umowy,
• rolę podwykonawców,
• wymagane umowy powierzenia przetwarzania.

Ocena dostawcy powinna być proporcjonalna do ryzyka. Inaczej należy analizować aplikację do rezerwacji sal, a inaczej system przechowujący dokumentację medyczną, dane kadrowe lub pełną bazę klientów.

Szkolenia i kultura bezpieczeństwa

Jednorazowa prezentacja raz w roku nie wystarcza. Skuteczniejsze są krótkie, regularne działania odnoszące się do codziennej pracy.

Pracownicy powinni wiedzieć:

• jak rozpoznać phishing,
• jak zgłosić podejrzaną wiadomość,
• jak bezpiecznie udostępniać dokumenty,
• dlaczego nie należy omijać zabezpieczeń,
• jak reagować na zgubienie urządzenia,
• komu zgłosić błędnie wysłany e-mail,
• jak potwierdzać nietypowe prośby o przelew lub zmianę danych,
• że szybkie zgłoszenie pomyłki jest ważniejsze niż ukrywanie problemu.

Procedura zgłoszenia powinna być prosta i nie może opierać się na szukaniu winnego. Pracownik, który szybko poinformuje o kliknięciu podejrzanego linku, daje firmie szansę na unieważnienie sesji, zmianę hasła i ograniczenie skutków ataku.

Jak przygotować firmę na incydent?

Incydentem może być nie tylko potwierdzony wyciek, lecz także podejrzenie przejęcia konta, utrata urządzenia, infekcja, błędna wysyłka lub niedostępność systemu.

Plan reagowania powinien wskazywać:

• kto podejmuje decyzje,
• kto kontaktuje się z pomocą IT,
• kto ocenia skutki prawne,
• jak odłączyć zainfekowane urządzenie,
• jak zabezpieczyć logi i inne dowody,
• jak komunikować się z klientami,
• gdzie znajdują się kopie zapasowe,
• jak działać, gdy poczta firmowa jest niedostępna,
• kto może zgłosić naruszenie organowi nadzorczemu.

Pierwsze kroki po podejrzeniu ataku

1. Nie usuwać pochopnie logów ani wiadomości.
2. Odłączyć zagrożone urządzenie od sieci, jeżeli infekcja może się rozprzestrzeniać.
3. Skontaktować się z osobą odpowiedzialną za IT.
4. Zabezpieczyć konta z użyciem zaufanego urządzenia.
5. Unieważnić aktywne sesje i tokeny.
6. Sprawdzić reguły przekazywania poczty.
7. Ustalić zakres zdarzenia i rodzaj danych.
8. Udokumentować czas, działania i decyzje.
9. Ocenić obowiązki wobec klientów, kontrahentów, ubezpieczyciela i organu nadzorczego.
10. Przywracać dane dopiero po usunięciu przyczyny incydentu.

Naruszenie danych osobowych

Nie każdy incydent bezpieczeństwa jest naruszeniem danych osobowych i nie każde naruszenie wymaga zgłoszenia organowi nadzorczemu.

Jeżeli naruszenie może powodować ryzyko dla praw lub wolności osób, administrator co do zasady powinien zgłosić je organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od stwierdzenia naruszenia.

Jeżeli ryzyko jest wysokie, może być konieczne również poinformowanie osób, których dane dotyczą. Firma powinna dokumentować także naruszenia, których ostatecznie nie zgłosiła, wraz z uzasadnieniem decyzji.

Tabela decyzyjna: jakie zabezpieczenia wybrać?

Sytuacja	Największe ryzyko	Pierwsze zabezpieczenia	Docelowe rozwiązanie
Firma korzysta głównie z poczty i chmury	Przejęcie konta, phishing	MFA, menedżer haseł, alerty logowania	Centralne zarządzanie kontami, klucze FIDO2, monitoring zdarzeń
Dane znajdują się na komputerach pracowników	Kradzież, awaria, ransomware	Szyfrowanie dysków, backup, aktualizacje	Zarządzanie urządzeniami, EDR, zdalne blokowanie
Firma przechowuje dane szczególnej kategorii	Ujawnienie danych i skutki prawne	Ograniczenie dostępu, szyfrowanie, rejestr danych	Segmentacja, monitoring, regularne audyty i testy
Kilka osób używa jednego loginu	Brak rozliczalności, trudne odebranie dostępu	Oddzielne konta użytkowników	Role, grupy uprawnień i cykliczne przeglądy
Firma pracuje zdalnie	Utrata urządzeń, prywatne komputery	MFA, szyfrowanie, zasady pracy zdalnej	Zarządzane urządzenia, MDM, dostęp warunkowy
Firma nie ma pewności, czy backup działa	Trwała utrata danych	Test odtworzenia wybranych plików	Automatyczne kopie, wersjonowanie, kopia niemodyfikowalna
Dostawca ma dostęp administracyjny	Nadużycie lub przejęcie konta dostawcy	Imienne konto, MFA, ograniczenie czasu dostępu	Dostęp uprzywilejowany, rejestrowanie sesji, okresowe przeglądy
Firma używa starego systemu	Wykorzystanie znanej podatności	Aktualizacja lub izolacja systemu	Migracja do wspieranego rozwiązania
Pracownicy często otrzymują faktury e-mailem	Fałszywe faktury, zmiana rachunku	Weryfikacja telefoniczna innym kanałem	Dwustopniowe zatwierdzanie płatności
Firma nie ma osoby odpowiedzialnej za bezpieczeństwo	Brak decyzji i niespójne działania	Wyznaczenie właściciela procesu	Stały nadzór wewnętrzny lub usługa zewnętrzna

Plan wdrożenia bezpieczeństwa w małej firmie

Pierwsze 7 dni

• włącz MFA dla poczty, bankowości, chmury i hostingu,
• sprawdź konta byłych pracowników,
• zweryfikuj, czy istnieje działająca kopia najważniejszych danych,
• włącz automatyczne aktualizacje,
• zmień współdzielone i powtarzane hasła,
• wyznacz osobę odpowiedzialną za koordynację bezpieczeństwa,
• zapisz numery kontaktowe do IT i dostawców poza pocztą firmową.

Pierwsze 30 dni

• wykonaj inwentaryzację danych, urządzeń i usług,
• wdroż firmowy menedżer haseł,
• zaszyfruj laptopy,
• uporządkuj uprawnienia,
• przygotuj procedurę odejścia pracownika,
• przetestuj odtworzenie danych,
• sprawdź konfigurację poczty i domeny,
• określ sposób zgłaszania incydentów.

Pierwsze 90 dni

• przeprowadź analizę ryzyka,
• ustal RPO i RTO dla kluczowych systemów,
• oceń najważniejszych dostawców,
• przygotuj plan reagowania na incydenty,
• przeprowadź ćwiczenie phishingowe lub scenariuszowe,
• wdroż zarządzanie urządzeniami, jeśli firma pracuje zdalnie,
• ustal harmonogram przeglądów uprawnień i testów backupu.

Działania cykliczne

Co miesiąc warto sprawdzać aktualizacje, alerty bezpieczeństwa i stan kopii. Co kwartał należy przeglądać konta, uprawnienia, urządzenia oraz dostęp dostawców. Co najmniej raz w roku trzeba zaktualizować analizę ryzyka, procedury i plan reagowania.

Najczęstsze błędy

Kupowanie narzędzi bez ustalenia ryzyka

Program ochronny nie rozwiąże problemu, jeżeli firma nie wie, gdzie znajdują się dane i kto ma do nich dostęp.

Traktowanie backupu jako jednorazowego zadania

Kopie trzeba monitorować i testować. Zmiany w systemach mogą sprawić, że część danych przestanie być objęta backupem.

Brak właściciela procesu

Jeżeli wszyscy są odpowiedzialni, w praktyce często nie odpowiada nikt. Bezpieczeństwo powinno mieć właściciela, nawet jeśli techniczne zadania wykonuje firma zewnętrzna.

Nadmierne zaufanie do dostawcy IT

Zewnętrzne IT może administrować systemami, ale decyzje dotyczące ryzyka, dostępu, danych i ciągłości działania pozostają po stronie kierownictwa firmy.

Ignorowanie wygody użytkowników

Zabezpieczenia zbyt trudne w użyciu są obchodzone. Dobre rozwiązanie powinno ograniczać ryzyko bez tworzenia niepotrzebnych przeszkód.

Brak procedury po odejściu pracownika

Pozostawione konta, tokeny, przekierowania poczty i dostęp do dokumentów mogą działać przez wiele miesięcy po zakończeniu współpracy.

Mity dotyczące bezpieczeństwa danych

„Jesteśmy za mali, żeby ktoś nas atakował”

Wiele ataków jest zautomatyzowanych. Przestępcy skanują internet, rozsyłają phishing i testują wykradzione hasła bez wcześniejszego wyboru konkretnej firmy.

„Mamy antywirusa, więc jesteśmy bezpieczni”

Antywirus jest tylko jednym z elementów ochrony. Nie zapobiegnie każdemu przejęciu konta, błędowi pracownika, publicznemu udostępnieniu pliku czy oszustwu płatniczemu.

„Dane są w chmurze, więc nie potrzebujemy backupu”

Chmura zwiększa dostępność, ale nie zawsze chroni przed przypadkowym usunięciem, przejęciem konta, błędną synchronizacją lub utratą dostępu do usługi.

„Silne hasło wystarczy”

Nawet długie hasło może zostać wyłudzone. Dlatego należy stosować unikalne hasła oraz MFA.

„Każdy incydent trzeba zgłosić w ciągu 72 godzin”

Termin ten dotyczy określonych naruszeń danych osobowych i biegnie od momentu ich stwierdzenia. Zdarzenie trzeba najpierw ocenić, ale analiza nie powinna być odkładana.

„Bezpieczeństwo to wyłącznie zadanie informatyka”

Informatyk może wdrożyć narzędzia, lecz o dostępie, wartości danych, akceptacji ryzyka i priorytetach decyduje biznes.

Bezpieczeństwo danych w liczbach

Poniższe wartości są punktami odniesienia, a nie prognozą ryzyka dla konkretnej firmy:

• około 68% analizowanych naruszeń w globalnym raporcie z 2024 roku obejmowało nieumyślny czynnik ludzki, taki jak błąd lub socjotechnika;
• około 32% naruszeń było związanych z ransomware lub inną formą wymuszenia;
• udział incydentów obejmujących podmioty trzecie wynosił około 15%;
• w przekrojowym badaniu przedsiębiorstw z 2024 roku około 50% firm zadeklarowało cyberatak lub naruszenie w poprzednich 12 miesiącach;
• wśród firm, które odnotowały atak, phishing odpowiadał za około 84% wskazywanych przypadków;
• na zgłoszenie kwalifikującego się naruszenia danych osobowych firma ma w miarę możliwości 72 godziny od jego stwierdzenia;
• najwyższy administracyjny poziom kary przewidziany w RODO może wynosić do 20 mln euro albo 4% całkowitego rocznego światowego obrotu z poprzedniego roku – zależnie od tego, która wartość jest wyższa;
• reguła backupu 3-2-1 oznacza trzy kopie danych, dwa rodzaje nośników i jedną kopię poza główną lokalizacją.

Statystyki pochodzące z różnych państw i grup przedsiębiorstw nie powinny być bezpośrednio przekładane na ryzyko pojedynczej polskiej firmy. Pokazują jednak, że dominującymi problemami pozostają czynnik ludzki, przejmowanie kont, wymuszenia oraz zależność od dostawców.

Kiedy potrzebna jest pomoc specjalisty?

Wsparcie eksperta warto rozważyć, gdy firma:

• przetwarza dane szczególnej kategorii,
• obsługuje dużą liczbę klientów,
• nie wie, czy doszło do wycieku,
• została zaatakowana przez ransomware,
• podejrzewa przejęcie poczty lub bankowości,
• musi ocenić obowiązek zgłoszenia naruszenia,
• korzysta ze skomplikowanej infrastruktury lokalnej i chmurowej,
• podlega wymaganiom branżowym albo kontraktowym,
• nie potrafi odtworzyć danych z kopii,
• planuje migrację kluczowych systemów.

Po incydencie warto oddzielić usuwanie skutków technicznych od analizy prawnej i komunikacyjnej. Każdy z tych obszarów wymaga innych kompetencji.

Tematy do rozwinięcia w poradnikach szczegółowych

Strona może pełnić funkcję huba prowadzącego do materiałów dotyczących poszczególnych zabezpieczeń:

• Jak wdrożyć MFA w małej firmie?
• Jak wybrać firmowy menedżer haseł?
• Jak przygotować politykę kopii zapasowych?
• Ransomware: zapobieganie i reakcja krok po kroku
• Jak rozpoznać phishing i oszustwo na fakturę?
• Jak przeprowadzić analizę ryzyka bezpieczeństwa?
• Jak bezpiecznie zakończyć współpracę z pracownikiem?
• Jak ocenić bezpieczeństwo dostawcy chmurowego?
• Jak przygotować procedurę reagowania na incydenty?
• Kiedy naruszenie danych osobowych trzeba zgłosić?
• Jak zabezpieczyć pocztę firmową i domenę?
• Jak chronić dane podczas pracy zdalnej?

FAQ

Ile kosztuje bezpieczeństwo danych w małej firmie?

Koszt zależy od liczby użytkowników, urządzeń, rodzaju danych i oczekiwanego czasu odtworzenia systemów. Wiele najważniejszych działań organizacyjnych kosztuje niewiele: włączenie MFA, usunięcie nieaktywnych kont, ograniczenie uprawnień i przygotowanie procedury zgłaszania incydentów. Nie warto jednak oszczędzać na działającym backupie, aktualizacjach i ochronie kluczowych kont.

Od czego zacząć, jeśli firma nie ma żadnych procedur?

Od zabezpieczenia poczty za pomocą MFA, sprawdzenia kopii zapasowej oraz spisania kont, urządzeń, usług i najważniejszych danych. Następnie należy uporządkować uprawnienia i wyznaczyć osobę odpowiedzialną za bezpieczeństwo.

Czy mała firma potrzebuje polityki bezpieczeństwa?

Tak, ale dokument powinien być proporcjonalny do skali działalności. Krótka i praktyczna instrukcja jest lepsza niż rozbudowana polityka, której nikt nie stosuje. Powinna opisywać dostęp, hasła, urządzenia, backup, pracę zdalną i zgłaszanie incydentów.

Czy MFA należy włączyć na każdym koncie?

W pierwszej kolejności na kontach dających dostęp do poczty, danych, płatności, domeny, chmury i administracji. Docelowo MFA warto stosować wszędzie, gdzie usługa je obsługuje.

Czy dysk zewnętrzny wystarczy jako backup?

Może być jednym z elementów systemu kopii, ale nie powinien być stale podłączony do komputera. Ransomware może zaszyfrować również podłączony dysk. Potrzebna jest dodatkowa kopia poza główną lokalizacją albo kopia niemodyfikowalna.

Jak często wykonywać backup?

Częstotliwość wynika z dopuszczalnej utraty danych. Jeżeli firma może stracić maksymalnie godzinę pracy, kopie muszą być wykonywane co najmniej co godzinę. Dla mniej zmiennych danych wystarczający może być backup dzienny.

Czy można pozwolić pracownikom korzystać z prywatnych komputerów?

Jest to możliwe, ale zwiększa ryzyko i wymaga dodatkowych zasad. Firma może nie mieć kontroli nad aktualizacjami, szyfrowaniem, kontami domowników i usuwaniem danych. Dla informacji poufnych bezpieczniejsze są urządzenia służbowe.

Jak sprawdzić, czy konto e-mail zostało przejęte?

Należy sprawdzić historię logowań, aktywne sesje, podłączone aplikacje, metody odzyskiwania konta oraz reguły przekazywania wiadomości. Niepokojące są logowania z nietypowych lokalizacji, brak wiadomości w skrzynce wysłanej i reguły automatycznie ukrywające korespondencję.

Czy po ataku ransomware należy zapłacić okup?

Zapłata nie gwarantuje odzyskania danych ani ich nieujawnienia. Decyzja wymaga analizy prawnej, technicznej, biznesowej i ubezpieczeniowej. Priorytetem powinno być odizolowanie zagrożenia, zabezpieczenie dowodów oraz ocena możliwości odtworzenia danych.

Jak często przeglądać uprawnienia?

Dostęp należy sprawdzać po każdej zmianie stanowiska i zakończeniu współpracy. Pełny przegląd warto wykonywać co najmniej raz na kwartał, a w systemach krytycznych częściej.

Kto odpowiada za bezpieczeństwo, jeśli IT obsługuje firma zewnętrzna?

Dostawca odpowiada za zadania określone w umowie, ale kierownictwo firmy nadal odpowiada za decyzje biznesowe, dobór zabezpieczeń, akceptację ryzyka i zgodność przetwarzania danych.

Czy wdrożenie wszystkich zabezpieczeń daje pełną ochronę?

Nie istnieje zabezpieczenie eliminujące całe ryzyko. Celem jest zmniejszenie prawdopodobieństwa incydentu, ograniczenie jego skutków i umożliwienie szybkiego odtworzenia działalności.

Najważniejszy wniosek

Bezpieczeństwo danych w małej firmie powinno być procesem, a nie jednorazowym zakupem. Największą poprawę zwykle zapewnia połączenie kilku podstawowych działań: MFA, unikalnych haseł, aktualizacji, szyfrowania urządzeń, ograniczonych uprawnień, przetestowanego backupu oraz prostej procedury reagowania na incydenty.

Firma nie musi wdrożyć wszystkiego jednocześnie. Powinna zacząć od danych i usług, których utrata lub przejęcie spowodowałoby największe szkody, a następnie regularnie sprawdzać, czy zabezpieczenia rzeczywiście działają.