W 2025 roku CERT Polska otrzymał 658 320 zgłoszeń dotyczących cyberbezpieczeństwa – o 10% więcej niż rok wcześniej. Na ich podstawie zarejestrowano 260 783 unikalne incydenty bezpieczeństwa, z czego aż 97% stanowiły oszustwa komputerowe, w tym phishing i inne próby wyłudzania danych lub pieniędzy. To ważny sygnał także dla małych firm: cyberprzestępcy coraz częściej wykorzystują nie zaawansowane luki techniczne, ale brak procedur, świadomości i podstawowych zabezpieczeń. Dlatego ten artykuł zawiera 10-punktowy audyt, który można przeprowadzić w ciągu jednego dnia roboczego – bez zewnętrznego konsultanta i bez specjalistycznej wiedzy technicznej.
Dlaczego małe firmy są atrakcyjnym celem cyberataków
Logika atakującego jest prosta: duże korporacje mają SOC (Security Operations Center), EDR na każdym urządzeniu i dedykowany zespół bezpieczeństwa. Mała firma zwykle ma zainstalowanego dawno temu antywirusa i pracownika który „coś tam wie o komputerach.”
Trzy powody, dla których MŚP jest celem:
- Niskie bariery wejścia. Phishing, słabe hasła, niezaktualizowane systemy – typowe słabości małych firm. Można je wykorzystać bez zaawansowanych narzędzi.
- Wartościowe dane. Baza klientów, dane kontaktowe, faktury, loginy do kont bankowych – każda firma ma dane, za które można żądać okupu lub które można sprzedać.
- Efekt domina w łańcuchu dostaw. Atak na małego dostawcę może dać dostęp do jego dużego klienta. Hakerzy używają małych firm jako „trampoliny.”
Dane CERT Polska za 2025 rok potwierdzają: 179 ataków ransomware zostało zidentyfikowanych, z czego 129 dotyczyło firm – zarówno dużych jak i małych. Phishing pozostaje najpopularniejszą metodą – stanowi 39% wszystkich zarejestrowanych incydentów. Pełne raporty dostępne są na oficjalnej stronie CERT Polska.
10-punktowy audyt cyberbezpieczeństwa małej firmy
1. Hasła i polityka haseł
Sprawdź: czy pracownicy używają tych samych haseł do różnych systemów? Czy hasła mają minimum 12 znaków? Czy hasło do panelu WordPress to „admin123”?
Działanie: Wdrożyć menedżera haseł (Bitwarden, 1Password, KeePass). Każde konto powinno mieć unikalne, długie hasło generowane automatycznie. Menedżer haseł dla 10 osób kosztuje mniej niż 50 zł miesięcznie.
2. Uwierzytelnianie wieloskładnikowe (MFA)
MFA to drugi czynnik weryfikacji po haśle – kod SMS, aplikacja authenticator lub klucz fizyczny. Według danych Microsoft, MFA blokuje ponad 99% automatycznych ataków na konta.
Gdzie wdrożyć priorytetowo: Microsoft 365 / Google Workspace, panel administracyjny strony, konta bankowe online, VPN, poczta e-mail. MFA w M365 i Gmail to darmowa funkcja – włącz ją dziś.
3. Backup danych – zasada 3-2-1
Zasada 3-2-1: 3 kopie danych, na 2 różnych nośnikach, w tym 1 poza siedzibą firmy (chmura lub fizyczna lokalizacja).
Sprawdź: czy kopie zapasowe w ogóle istnieją? Kiedy ostatnio ktoś sprawdził, czy kopia działa i da się z niej odtworzyć? Backup, którego nigdy nie testowano, nie istnieje. Odtworzenie danych z niedziałającej kopii przy ataku ransomware to koszt: kilkadziesiąt tysięcy złotych za odzyskanie danych albo utrata wszystkiego. Więcej o prawidłowym backupie piszemy w artykule kopie zapasowe w firmie.
4. Aktualizacje systemów i oprogramowania
Nieaktualizowane systemy to otwarte drzwi. Większość ataków ransomware i exploitów wykorzystuje znane luki, które producent już dawno załatał – ale użytkownik nie zainstalował aktualizacji.
Sprawdź: kiedy ostatnio aktualizowałeś Windows na komputerach pracowników? Czy aktualizacje są automatyczne? Czy firmware routerów i przełączników jest aktualny? Sprawdź też serwer jeśli go masz – niezaktualizowany Windows Server z IIS lub RDP to jeden z najczęstszych wektorów ataków na MŚP.
5. Zarządzanie dostępami – onboarding i offboarding
Nowy pracownik: ile czasu mija od jego pierwszego dnia do skonfigurowania wszystkich potrzebnych kont? Odchodzący pracownik: ile kont ma dostęp po zakończeniu zatrudnienia?
Działanie: Sporządź listę systemów, do których ma dostęp każdy pracownik. Procedura offboardingu musi obejmować wyłączenie dostępu do wszystkich systemów w dniu rozwiązania umowy – nie „gdy będzie czas.”
6. VPN i bezpieczeństwo sieci
Pracownicy zdalni bez VPN łączą się z firmowymi zasobami przez niezabezpieczone sieci kawiarni czy hoteli. To prosta droga do przejęcia sesji lub danych.
Sprawdź: czy firma ma VPN? Czy pracownicy wiedzą, kiedy go używać? Czy sieć WiFi w biurze ma osobną sieć dla gości (bez dostępu do firmowych zasobów)? Czy router ma domyślne hasło producenta?
7. Ochrona punktów końcowych (antywirus i EDR)
Klasyczny antywirus wykrywa znane wirusy z bazy sygnatur. EDR (Endpoint Detection and Response) analizuje zachowanie programów i wykrywa ataki zero-day, które nie mają sygnatury w żadnej bazie.
Dla firm do 20 stacji: Microsoft Defender (wbudowany w Windows 10/11 i M365 Business Premium) zapewnia solidną ochronę bez dodatkowych kosztów. Ważne: upewnij się, że jest aktywny i aktualizowany na każdym urządzeniu. Wyłączony „bo spowalnia” to najgorszy możliwy scenariusz.
8. Szyfrowanie danych na urządzeniach
Laptop skradziony z samochodu lub pozostawiony w kawiarni – jeśli dysk nie jest zaszyfrowany, złodziej ma dostęp do wszystkich danych bez znajomości hasła Windows.
Działanie: włącz BitLocker (Windows Pro/Enterprise) lub FileVault (macOS) na wszystkich laptopach firmowych. To funkcja systemowa, bezpłatna, wymagająca tylko jednorazowej konfiguracji.
9. Świadomość pracowników – phishing i socjotechnika
39% incydentów obsłużonych przez CERT Polska w 2024 roku to phishing. Najlepszy firewall nie pomoże, jeśli pracownik kliknie w link z maila „od prezesa” z prośbą o pilny przelew.
Działanie: Przeprowadź raz na kwartał krótkie szkolenie (30-45 min.) z przykładami prawdziwych ataków. Naucz pracowników sprawdzania nadawcy maila, linków przed kliknięciem (hover nad link), zasady: „nie klikam zanim nie sprawdzę.” Firmy oferujące symulowane ataki phishingowe (Proofpoint, KnowBe4) pozwalają sprawdzić, ilu pracowników „dałoby się złapać.”
10. Plan awaryjny (disaster recovery)
Gdy atak nastąpi – co robisz? Do kogo dzwonisz? Gdzie jest lista kontaktów do firmy IT, banku, dostawcy hostingu? Gdzie są kopie zapasowe i jak je odtworzysz?
Działanie: Sporządź jednostronicową procedurę awaryjną zawierającą: numery kontaktowe IT i dostawców, lokalizację kopii zapasowych, kolejność przywracania systemów, kto jest odpowiedzialny za kontakt z klientami i partnerami w przypadku przestoju. Wydrukuj ją i powieś w serwerowni lub biurze, nie tylko w systemie – po ataku możesz nie mieć dostępu do elektronicznych dokumentów.
NIS2 i RODO – co firmy MŚP muszą spełniać w 2026 roku
Dwa elementy prawne dotyczą bezpieczeństwa IT w polskich firmach:
RODO (GDPR) – obowiązuje wszystkie firmy przetwarzające dane osobowe, bez względu na wielkość. Wymaga m.in. odpowiednich środków technicznych ochrony danych, procedury zgłaszania naruszeń do UODO w ciągu 72 godzin, dokumentacji sposobu przetwarzania danych. Urząd Ochrony Danych Osobowych publikuje aktualne wytyczne na uodo.gov.pl.
NIS2 (Dyrektywa o bezpieczeństwie sieci i systemów) – w Polsce wdrożona przez nowelizację Ustawy o Krajowym Systemie Cyberbezpieczeństwa, która weszła w życie 3 kwietnia 2026 r. Dotyczy podmiotów działających w kluczowych i ważnych sektorach (energetyka, transport, zdrowie, infrastruktura cyfrowa, bankowość i inne) z co najmniej 50 pracownikami lub 10 mln EUR przychodu rocznego. Większość firm MŚP poniżej 50 pracowników nie jest bezpośrednio objęta NIS2 – ale może znaleźć się w jej zasięgu jako podwykonawca lub dostawca podmiotów objętych.
Praktyczny wniosek: nawet jeśli twoja firma formalnie nie podlega pod NIS2, wdrożenie jej wymagań (zarządzanie ryzykiem, backup, MFA, szkolenia) to dobra praktyka chroniąca przed atakami – niezależnie od przepisów.
Jak NexaIT pomaga w utrzymaniu cyberbezpieczeństwa małej firmy
Proaktywna opieka IT dla firm obejmuje systematyczny monitoring, aktualizacje, weryfikację backupu i wczesne wykrywanie anomalii – zanim staną się incydentem. To różnica między odkrywaniem włamania po fakcie a zapobieganiem mu.
W ramach pakietów obsługi IT NexaIT realizuje:
- Konfigurację i monitoring EDR na stacjach roboczych
- Weryfikację kopii zapasowych (czy backup się wykonał, czy da się odtworzyć)
- Zarządzanie aktualizacjami przez RMM (Remote Monitoring and Management)
- Audyty IT oceniające stan bezpieczeństwa infrastruktury
- Konfigurację MFA dla M365 i Google Workspace
Najczęstsze pytania o cyberbezpieczeństwo małych firm
Czy mała firma naprawdę jest atakowana przez hakerów?
Tak i to częściej niż duże korporacje w przeliczeniu na firmę. Ataki na MŚP są zautomatyzowane – boty skanują internet w poszukiwaniu niezabezpieczonych systemów i atakują bez rozróżnienia na wielkość firmy. Ręcznie wybierane ofiary to zwykle firmy z milionami w kasie. Mała firma ginie w statystykach, ale jest łatwym celem masowych kampanii phishingowych i ransomware.
Ile kosztuje wdrożenie podstawowych zabezpieczeń?
Większość punktów z powyższego audytu to konfiguracja istniejących narzędzi – bezpłatna. MFA w M365 i Gmail: darmowe. BitLocker: darmowy (Windows Pro). Microsoft Defender: darmowy w systemie. Menedżer haseł dla 10 osób: ok. 400-600 zł rocznie. Szkolenie pracowników: wewnętrznie – koszt tylko czasu. Jedynym realnym wydatkiem może być VPN firmowy (~50-200 zł/mies.) i ewentualnie płatna platforma do szkoleń antyphishingowych. Zabezpieczenie podstawowe to kwestia czasu konfiguracji, nie dużego budżetu.
Co zrobić gdy firma już padła ofiarą ataku?
Kroki natychmiastowe: odłącz zainfekowane urządzenia od sieci (nie wyłączaj – odłącz kabel lub wyłącz WiFi), zadzwoń do firmy IT, nie płać okupu bez konsultacji ze specjalistą (większość firm które płacą nie odzyskuje danych), zgłoś incydent do CERT Polska (incydent.cert.pl) i do swojego banku jeśli mogły zostać skompromitowane dane finansowe. Kluczowe: nie próbuj „naprawić” systemu sam – możesz zniszczyć dowody i utrudnić odzyskiwanie danych.
Następny krok – bezpłatny audyt IT
Audyt bezpieczeństwa IT dla firmy MŚP z NexaIT trwa 2-3 godziny i obejmuje wszystkie 10 punktów z tej listy plus ocenę infrastruktury sieciowej. Otrzymujesz pisemny raport z priorytetatmi – co naprawić najpierw i jaki jest szacunkowy koszt.
Skontaktuj się przez stronę proaktywnej opieki IT NexaIT lub zadzwoń: +48 535 040 361 / 795 006 583. Pierwsza rozmowa i wstępna ocena są bezpłatne.