Cyberbezpieczeństwo małej firmy zaczyna się od podstaw
Cyberbezpieczeństwo małej firmy to w praktyce nie zakup drogiego systemu, tylko domknięcie kilku podstawowych spraw: logowania, kopii, aktualizacji, uprawnień i tego, co widać z internetu. Przestępcy atakujący firmy zatrudniające od 5 do 30 osób rzadko wybierają ofiarę ręcznie. Skanują internet i wysyłają maile masowo, a potem wchodzą tam, gdzie jest najłatwiej. Twoim celem nie jest więc twierdza, tylko to, żeby Twoja firma przestała być najłatwiejszym celem.
Poniższy plan rozpisaliśmy na pięć dni, po dwa kroki dziennie. Każdy krok zajmuje od godziny do pół dnia. Przy niektórych przyda się informatyk, ale sporo zrobisz sam albo z osobą, która w firmie „zna się na komputerach”.
Dzień 1: konta i logowanie
Krok 1. Włącz MFA wszędzie tam, gdzie są pieniądze i dane. Poczta firmowa w Microsoft 365 lub Google Workspace, bankowość, program księgowy w chmurze, panel sklepu, konto na Allegro, konto u rejestratora domeny. Zacznij od poczty, bo przez nią resetuje się hasła do wszystkiego innego.
Krok 2. Zrób listę kont i zamknij zbędne. Wypisz wszystkich użytkowników w poczcie i w najważniejszych systemach. W małych firmach często zostają aktywne konta osób, które odeszły rok lub dwa lata temu, oraz wspólne skrzynki typu biuro@ z hasłem znanym połowie zespołu.
Dzień 2: kopie zapasowe
Krok 3. Sprawdź, co naprawdę jest w kopii. Nie „czy backup się robi”, tylko które dane są kopiowane, jak często, gdzie leży kopia i czy jest oddzielona od sieci firmowej. Dysk USB podłączony na stałe do serwera zostanie zaszyfrowany razem z serwerem.
Krok 4. Odtwórz jeden plik i jedną skrzynkę. Wybierz losowy dokument sprzed miesiąca i spróbuj go przywrócić. Zmierz, ile to trwało. Jeśli nikt nie wie, jak to zrobić, właśnie znalazłeś najważniejsze zadanie na ten kwartał.
Dzień 3: aktualizacje i laptopy
Krok 5. Wyłap komputery bez wsparcia. Windows 10 stracił standardowe wsparcie w październiku 2025 roku. Każdy komputer, który nadal na nim pracuje bez płatnego programu ESU, nie dostaje poprawek bezpieczeństwa. To samo dotyczy starych serwerów z Windows Server 2012 oraz routerów, dla których producent przestał wydawać oprogramowanie.
Krok 6. Włącz szyfrowanie dysków w laptopach. BitLocker w Windows Pro i FileVault w macOS są wbudowane i nic nie kosztują. Zgubiony, zaszyfrowany laptop to strata sprzętu. Niezaszyfrowany to potencjalne naruszenie ochrony danych osobowych w rozumieniu RODO.
Dzień 4: to, co widać z internetu
Krok 7. Sprawdź, co wystawiasz na zewnątrz. Otwarty port zdalnego pulpitu (RDP) na serwerze to wciąż jedna z najczęstszych dróg wejścia ransomware do małych firm. Podobnie panele administracyjne routerów, rejestratory kamer i serwery NAS dostępne z internetu. Zewnętrzne skanowanie podatności pokazuje to w ciągu jednego dnia, bez instalowania czegokolwiek w biurze.
Krok 8. Zmień hasła domyślne na urządzeniach sieciowych. Admin/admin albo hasło z naklejki na obudowie to zaproszenie dla każdego skanera. Przy okazji wyłącz zarządzanie routerem od strony internetu, jeśli nikt z niego nie korzysta, i zaktualizuj jego oprogramowanie.
Dzień 5: uprawnienia i plan na awarię
Krok 9. Odbierz pracownikom uprawnienia administratora na komputerach. Codzienna praca na koncie z pełnymi uprawnieniami sprawia, że każdy złośliwy program, który się uruchomi, dostaje je również. Instalacje programów niech przechodzą przez jedną osobę.
Krok 10. Spisz jedną kartkę „co robimy, gdy coś się stanie”. Kto decyduje o odłączeniu sieci, z kim się kontaktujemy w pierwszej kolejności, kto informuje bank, gdzie są dane dostępowe do kopii i kto ocenia, czy trzeba zgłosić naruszenie do UODO (na to są 72 godziny). Kartka ma istnieć także na papierze, bo gdy serwer jest zaszyfrowany, plik PDF zapisany na nim nie pomoże.
Tabela kontrolna na koniec tygodnia
| Zadanie | Kto może je zrobić | Orientacyjny czas | Koszt |
|---|---|---|---|
| MFA na poczcie i w banku | właściciel i każdy pracownik | 1-2 godziny | 0 zł |
| Przegląd kont | właściciel z administratorem | 1 godzina | 0 zł |
| Przegląd i test kopii | informatyk | 2-4 godziny | zależnie od stanu kopii |
| Komputery bez wsparcia | informatyk | 1 godzina na spis | wymiana lub ESU |
| Szyfrowanie dysków | informatyk | 20-30 minut na laptop | 0 zł przy Windows Pro |
| Skan z internetu | firma zewnętrzna | 1 dzień | usługa |
| Hasła urządzeń sieciowych | informatyk | 1-2 godziny | 0 zł |
| Uprawnienia administratora | informatyk | pół dnia | 0 zł |
| Plan na awarię | właściciel | 2 godziny | 0 zł |
Nie próbuj zrobić wszystkiego naraz ani perfekcyjnie. MFA na poczcie i sprawdzona kopia zapasowa to dwa kroki, które zamykają najczęstsze scenariusze ataków na małe firmy: przejęcie skrzynki i utratę danych po ransomware. Reszta to kolejne warstwy.
Przy takich porządkach powtarzają się trzy potknięcia. Pierwsze: MFA włączone tylko dla właściciela, bo „pracownicy nie mają nic cennego w poczcie”, choć to właśnie ich skrzynki służą potem do wysyłania fałszywych faktur. Drugie: test kopii polegający na sprawdzeniu, że plik z kopią istnieje, zamiast jego odtworzenia. Trzecie: zmiany zrobione, ale niezapisane, przez co po pół roku nikt nie pamięta, gdzie są hasła do routera i kto ma klucze odzyskiwania BitLockera.
Przykład: firma instalacyjna zatrudniająca 11 osób
Wyobraź sobie firmę instalacyjną, w której 11 osób pracuje, a siedem z nich na co dzień jeździ po budowach. Właściciel przechodzi ten plan w jeden tydzień, poświęcając na niego godzinę lub dwie dziennie. Co może wyjść po drodze? Na przykład trzy konta byłych pracowników z dostępem do poczty, serwer NAS z panelem logowania dostępnym z internetu i kopia, która od czterech miesięcy kończy się błędem, bo zapełnił się dysk docelowy. Nikt nie dostaje powiadomień, bo trafiają do skrzynki osoby, która dawno odeszła.
Żadna z tych poprawek nie wymaga zakupów. Najwięcej czasu zajmie zapewne przekonanie montażystów do aplikacji uwierzytelniającej w telefonach. Pomaga krótka demonstracja: zatwierdzenie logowania trwa kilka sekund, a odzyskiwanie przejętej skrzynki - kilka dni.
Co dalej po pierwszym tygodniu
Dziesięć kroków to fundament, a nie koniec pracy. Kolejnym etapem jest hardening systemów, czyli uporządkowanie ustawień Windows, Microsoft 365 i serwerów według sprawdzonych wzorców, na przykład zaleceń CIS. Warto też raz na kwartał powtarzać skan z internetu, bo nowe urządzenia i usługi pojawiają się w sieci szybciej, niż ktokolwiek je zapisuje. Jeśli zatrzymałeś się na pierwszym kroku, przeczytaj nasz tekst o tym, jak wdrożyć MFA w Microsoft 365 bez buntu zespołu.
Jeśli wolisz nie robić tego sam, możemy przejść plan razem z Tobą, w całości zdalnie. Po tygodniu dostajesz listę tego, co zostało zrobione, i krótką listę spraw, które wymagają Twojej decyzji albo budżetu.
Redakcja Apply
Cyberbezpieczeństwo