5 najczęstszych problemów IT w małych firmach i jak je rozwiązać
Najdroższe problemy IT w małej firmie rzadko zaczynają się od awarii. Zaczynają się od kopii, której nikt nie odtworzył, konta byłego pracownika, routera bez aktualizacji i haseł znanych jednej osobie. Dla każdego z pięciu problemów opisujemy objaw, przyczynę, co zrobić samemu i kiedy wezwać fachowca.
Przy pierwszym przeglądzie IT w małej firmie rzadko znajdujemy coś spektakularnego. Znajdujemy za to wciąż te same pięć rzeczy: kopię zapasową, z której nikt nigdy niczego nie odtworzył, aktywne konto osoby, która odeszła dwa lata temu, router od operatora z hasłem administratora z naklejki, komputery bez aktualizacji i hasła, które zna tylko jedna osoba. Żadna z nich nie boli na co dzień. Każda potrafi zatrzymać firmę na kilka dni.
Kolejność poniżej odpowiada temu, co sprawdzalibyśmy jako pierwsze. Przy każdym problemie opisujemy, jak go rozpoznać, skąd się bierze, co możecie zrobić sami w godzinę lub dwie i w którym momencie potrzebny jest ktoś z doświadczeniem.
Kopie zapasowe bez testu odtworzenia
Objaw. Na pytanie „czy macie backup” pada odpowiedź „tak, robi się na dysk sieciowy”. Na pytanie „kiedy ostatnio coś z niego odtworzyliście” zapada cisza. Często jedyna kopia leży na urządzeniu NAS podłączonym na komputerach jako dysk Z.
Przyczyna. Kopię skonfigurowano raz, przy zakupie urządzenia. Od tego czasu zmieniły się foldery, doszedł program księgowy z bazą w innym miejscu, a zadanie kopii zgłasza błąd, którego nikt nie czyta. Kopia podłączona jako dysk sieciowy ma jeszcze jedną wadę: ransomware szyfruje ją razem z resztą danych.
CERT Polska w poradniku o ransomware dla małych organizacji wymienia pytania, które trzeba sobie zadać: czy kopie są aktualne i wykonywane cyklicznie, czy są przechowywane w sposób odporny, w szczególności czy kopia nie jest podłączona jako zasób sieciowy, i czy przeprowadza się cykliczne testy odtworzenia. Poradnik przypomina też regułę 3-2-1: co najmniej trzy kopie danych, dwie na różnych nośnikach, jedna odizolowana.
Co zrobić samemu. Wybierzcie jeden plik i jeden folder z ubiegłego tygodnia i spróbujcie je odtworzyć z kopii do innego miejsca. Sprawdźcie datę ostatniej udanej kopii w panelu urządzenia albo programu. Zapiszcie, co dokładnie jest kopiowane, a czego brakuje, zwłaszcza baz programów księgowych i magazynowych.
Kiedy potrzebny fachowiec. Gdy kopia ma objąć serwer, bazę danych albo system ERP, gdy potrzebujecie kopii odizolowanej od sieci firmowej i gdy test odtworzenia ma pokazać, ile godzin zajmie przywrócenie całego serwera. Więcej o tym, jak sprawdzić, czy backup naprawdę działa, piszemy w tekście o kopiach zapasowych w firmie.
Konta byłych pracowników i logowanie bez MFA
Objaw. Lista użytkowników w Microsoft 365 albo Google Workspace jest dłuższa niż lista pracowników. Ktoś po odejściu nadal ma dostęp do poczty z telefonu. Do skrzynki z fakturami logują się trzy osoby tym samym hasłem.
Przyczyna. W małej firmie nie ma procedury odejścia pracownika. Konto zostaje, „bo przychodzą na nie maile od klientów”, a hasło nie zostaje zmienione. MFA (uwierzytelnianie wieloskładnikowe, czyli logowanie hasłem i drugim składnikiem, na przykład kodem z aplikacji w telefonie) nie jest włączone, bo kiedyś komuś przeszkadzało.
CERT Polska w rekomendacjach dla systemów uwierzytelniania zaleca wsparcie dla uwierzytelniania dwuskładnikowego, a minimalną długość hasła podniósł w 2025 roku do 14 znaków. Te same rekomendacje odradzają wymuszanie okresowej zmiany haseł i sztucznych reguł złożoności, bo prowadzą do haseł krótkich i przewidywalnych.
Typowy scenariusz bez MFA wygląda tak: pracownik wpisuje hasło na fałszywej stronie logowania z wiadomości o „udostępnionym dokumencie”, ktoś loguje się na jego skrzynkę i przez kilka dni czyta korespondencję. Potem wysyła do klienta prawdziwą fakturę z podmienionym numerem konta. Drugi składnik logowania nie zatrzyma każdego ataku, ale samo hasło przestaje wtedy wystarczać do wejścia na skrzynkę.
Co zrobić samemu. Wydrukujcie listę kont z panelu administracyjnego i porównajcie ją z listą zatrudnionych. Konta osób, które odeszły, zablokujcie, a pocztę przekierujcie albo zamieńcie w skrzynkę współdzieloną. Włączcie MFA najpierw dla kont administratorów, potem dla wszystkich. Skrzynki używane przez kilka osób zamieńcie na skrzynki współdzielone z osobnymi kontami użytkowników.
Kiedy potrzebny fachowiec. Gdy macie zdalny pulpit lub VPN dostępny z internetu bez drugiego składnika, gdy w firmie działa lokalna domena Windows obok chmury i gdy chcecie zasad logowania zależnych od urządzenia i lokalizacji. To również moment, w którym przydaje się firmowy menedżer haseł; opisaliśmy trzy sposoby jego wdrożenia w tekście o menedżerze haseł dla firmy.
Router od operatora i sieć bez podziału
Objaw. Wi-Fi zrywa się w sali konferencyjnej, goście dostają hasło do tej samej sieci, w której pracuje księgowość, a nikt nie wie, jak zalogować się do routera. Drukarka raz jest widoczna, raz nie.
Przyczyna. Router dostarczony przez operatora łącza miał obsłużyć mieszkanie lub mały sklep, a obsługuje firmę z kilkunastoma komputerami, drukarkami, telefonami i kamerami. Wszystko pracuje w jednej sieci, oprogramowanie urządzenia nie było aktualizowane, a hasło administratora jest fabryczne albo zna je technik operatora.
Co zrobić samemu. Sprawdźcie model routera i to, czy producent nadal wydaje dla niego aktualizacje. Zmieńcie hasło administratora i zapiszcie je w bezpiecznym miejscu. Wydzielcie osobną sieć Wi-Fi dla gości, jeśli router na to pozwala. Spiszcie, co jest podłączone do sieci: komputery, drukarki, rejestrator kamer, terminal płatniczy.
Sprawdźcie też w panelu routera sekcję przekierowania portów. Wpis kierujący ruch z internetu na port zdalnego pulpitu jednego z komputerów to częsty ślad po kimś, kto kiedyś „ustawił dostęp z domu”. CERT Polska w poradniku o ransomware zaleca udostępnianie zdalnego pulpitu wyłącznie przez firmowy VPN z dwuskładnikowym uwierzytelnianiem. Jeśli znajdziecie taki wpis, a nikt nie potrafi powiedzieć, po co jest, to sygnał do pilnej rozmowy z fachowcem.
Kiedy potrzebny fachowiec. Gdy chcecie oddzielić sieć gości, kamer i księgowości (VLAN, czyli logiczny podział jednej fizycznej sieci), gdy Wi-Fi ma działać w kilku pomieszczeniach bez zrywania i gdy potrzebny jest bezpieczny dostęp zdalny. Różnice między routerem operatora a siecią zarządzaną opisaliśmy w tekście router od operatora a zarządzana sieć firmowa.
Brak aktualizacji i sprzęt bez wsparcia producenta
Objaw. Komputery wyświetlają przypomnienia o aktualizacjach, które od miesięcy ktoś odkłada. W biurze nadal pracują komputery z Windows 10. Program do odczytu PDF i przeglądarka mają wersje sprzed roku.
Przyczyna. Aktualizacje wymagają restartu, a restart przeszkadza w pracy. Nikt nie odpowiada za to, żeby się wykonały. Część sprzętu jest zbyt stara, żeby przejść na nowszy system, więc zostaje na starym.
Microsoft zakończył wsparcie Windows 10 Home i Pro 14 października 2025 roku. Od tej daty komputery nadal działają, ale nie dostają poprawek bezpieczeństwa ani pomocy technicznej. Microsoft prowadzi płatny program rozszerzonych aktualizacji zabezpieczeń (ESU), który daje czas na wymianę sprzętu, ale go nie zastępuje. Poradnik CERT Polska przypomina, że aktualizować trzeba nie tylko system, ale też usługi wystawione do internetu i aplikacje, z których korzystają pracownicy: przeglądarki, pakiety biurowe, programy pocztowe.
Co zrobić samemu. Na każdym komputerze sprawdźcie wersję systemu (Ustawienia, System, Informacje) i zapiszcie wynik w tabeli. Włączcie automatyczne aktualizacje i ustalcie godzinę restartu poza pracą. Zaktualizujcie przeglądarki i czytniki PDF.
Kiedy potrzebny fachowiec. Gdy komputerów jest kilkanaście i trzeba wiedzieć, które aktualizacje się nie wykonały, gdy sprzęt nie spełnia wymagań Windows 11 i trzeba zaplanować wymianę, oraz gdy aktualizacji wymaga serwer albo system, od którego zależy praca całej firmy.
Hasła i wiedza w jednej głowie
Objaw. Hasło do panelu domeny, konta administratora poczty, routera i serwera zna jedna osoba: informatyk, który kiedyś pomagał, właściciel albo pracownik „od komputerów”. Jej urlop jest problemem operacyjnym firmy.
Przyczyna. Konfigurację robiono doraźnie, przez lata, różnymi rękami. Nikt nie spisał, co gdzie jest, bo zawsze było coś pilniejszego. Domena bywa zarejestrowana na prywatny adres e-mail osoby, która już z firmą nie współpracuje.
Co zrobić samemu. Zróbcie listę krytycznych dostępów: rejestrator domeny i DNS, administrator Microsoft 365 lub Google Workspace, router, NAS, serwer, licencje programów, bankowość firmowa. Przy każdym zapiszcie, na kogo jest konto i kto zna hasło. Przenieście hasła do firmowego menedżera haseł, do którego dostęp mają co najmniej dwie osoby. Konto u rejestratora domeny przepnijcie na firmowy adres.
Dokumentacja startowa nie musi być długa. Wystarczy jedna strona z listą urządzeń i ich adresami, miejscem przechowywania kopii, danymi kontaktowymi operatora łącza i dostawców oprogramowania oraz informacją, kto w firmie podejmuje decyzje w razie awarii. Zaktualizujcie ją przy każdej zmianie sprzętu albo dostawcy.
Kiedy potrzebny fachowiec. Gdy trzeba odzyskać dostęp do domeny lub konta administratora od poprzedniego dostawcy, gdy środowisko ma serwer i sieć z wieloma urządzeniami i gdy potrzebna jest dokumentacja, z której ktoś inny odtworzy konfigurację po awarii.
Od czego zacząć porządkowanie IT w małej firmie
Jeśli macie czas tylko na jedną rzecz w tym tygodniu, zróbcie test odtworzenia kopii. Dwie pozostałe rzeczy na najbliższy miesiąc to przegląd kont z włączeniem MFA i lista dostępów krytycznych. Aktualizacje i sieć wymagają zwykle więcej czasu i decyzji zakupowych, więc lepiej je zaplanować niż robić w pośpiechu.
Wszystkie pięć problemów ma wspólną przyczynę: nikt w firmie nie jest za nie odpowiedzialny z nazwiska. Możecie wyznaczyć taką osobę wewnątrz albo przekazać te obowiązki firmie zewnętrznej w ramach stałej obsługi informatycznej. Jeśli chcecie sprawdzić, które z tych problemów dotyczą Was, zacznijcie od bezpłatnego przeglądu IT.
Źródła
- CERT Polska, Poradnik ransomware, https://cert.pl/uploads/docs/CERT_Polska_Poradnik_ransomware.pdf (dostęp 2.10.2026)
- CERT Polska, Rekomendacje techniczne CERT Polska dla systemów uwierzytelniania, publikacja 10.01.2022, aktualizacja 2025, https://cert.pl/posts/2022/01/rekomendacje-techniczne-systemow-uwierzytelniania/ (dostęp 2.10.2026)
- Microsoft, Windows 10 Home and Pro - Microsoft Lifecycle, https://learn.microsoft.com/en-us/lifecycle/products/windows-10-home-and-pro (dostęp 2.10.2026)
- Microsoft, Windows 10 support has ended on October 14, 2025, https://support.microsoft.com/en-us/windows/deployment/updates-lifecycle/windows-10-support-has-ended-on-october-14-2025 (dostęp 2.10.2026)
Stan na 2 października 2026 r.