Cyberbezpieczeństwo w małej firmie: praktyczny audyt IT

Mała firma nie musi zaczynać poprawy bezpieczeństwa od drogiego systemu. Najpierw powinna wiedzieć, jakie ma konta, urządzenia i dane, kto ma do nich dostęp oraz czy potrafi odtworzyć najważniejsze zasoby. Poniższy przegląd pomaga odnaleźć podstawowe braki, lecz nie zastępuje audytu dopasowanego do konkretnego środowiska i ryzyka.

1. Inwentaryzacja zasobów

Nie da się chronić systemu, o którego istnieniu nikt nie pamięta. Przygotuj listę komputerów, telefonów, serwerów, urządzeń sieciowych, aplikacji chmurowych, domen i kont administracyjnych. Dla każdej pozycji wskaż właściciela, przeznaczenie, stan wsparcia oraz sposób aktualizacji.

Rezultatem powinien być rejestr, który można regularnie aktualizować, a nie jednorazowa lista odkładana do archiwum.

2. Konta i uwierzytelnianie

Każda osoba powinna korzystać z własnego konta. Konta współdzielone utrudniają ustalenie, kto wykonał zmianę, i komplikują odbieranie dostępu po zakończeniu współpracy.

Sprawdź, czy:

• hasła są unikalne i przechowywane w menedżerze haseł;
• uwierzytelnianie wieloskładnikowe chroni pocztę, usługi chmurowe, VPN i konta administracyjne;
• uprawnienia administratora otrzymują tylko osoby, które ich potrzebują;
• istnieją bezpiecznie przechowywane metody odzyskania dostępu;
• nieaktywne konta są wyłączane.

Tam, gdzie jest to możliwe, warto preferować metody odporne na phishing, na przykład klucze sprzętowe lub passkeys. Kod SMS jest zwykle lepszy niż brak drugiego składnika, ale nie zapewnia takiej samej ochrony jak silniejsze metody.

3. Nadawanie i odbieranie dostępu

Procedura wdrożenia pracownika powinna określać, kto zatwierdza dostęp i jaki jest jego zakres. Procedura zakończenia współpracy musi obejmować wyłączenie kont, odebranie sesji, urządzeń i kluczy oraz zmianę danych dostępowych, które były współdzielone.

Co najmniej okresowo należy porównać rzeczywiste uprawnienia z bieżącymi obowiązkami pracowników. Zmiana stanowiska nie powinna prowadzić do bezterminowego gromadzenia dawnych uprawnień.

4. Aktualizacje i cykl życia

Systemy operacyjne, aplikacje, przeglądarki, urządzenia sieciowe i oprogramowanie serwerów wymagają aktualizacji. Samo włączenie automatycznych aktualizacji nie wystarcza, jeżeli nikt nie kontroluje błędów instalacji ani urządzeń pozostających poza mechanizmem zarządzania.

Ustal:

• kto ocenia i wdraża poprawki;
• jak szybko instalowane są poprawki krytyczne;
• kiedy przypada okno serwisowe;
• jak sprawdzany jest wynik aktualizacji;
• co dzieje się ze sprzętem i oprogramowaniem po zakończeniu wsparcia producenta.

5. Ochrona urządzeń

Komputery firmowe powinny mieć aktywną, aktualizowaną ochronę punktów końcowych. Jej konkretny zakres zależy od systemu, licencji i ryzyka. Oprócz ochrony przed złośliwym oprogramowaniem warto sprawdzić szyfrowanie dysku, blokadę ekranu, ograniczenie praw lokalnego administratora oraz możliwość zdalnego zablokowania zarządzanego urządzenia.

Nie wystarczy potwierdzić, że program został kiedyś zainstalowany. Administrator powinien mieć wiarygodną informację o stanie ochrony całej floty i reagować na urządzenia, które przestały raportować.

6. Kopie zapasowe i odtwarzanie

Kopia zapasowa ma wartość dopiero wtedy, gdy firma potrafi z niej odtworzyć dane w wymaganym czasie. Zakres kopii powinien wynikać z ustalonych parametrów RPO i RTO, czyli akceptowalnej utraty danych oraz czasu przywrócenia procesu.

Sprawdź:

• jakie dane i konfiguracje są kopiowane;
• czy kopie są odseparowane od kont i systemów produkcyjnych;
• czy błędne lub brakujące zadania tworzą alert;
• kto przegląda raporty;
• kiedy wykonano ostatni udokumentowany test odtworzenia.

Zasada 3-2-1 może być pomocnym punktem wyjścia, ale nie zastępuje analizy zagrożeń, retencji ani testu. Więcej opisujemy w poradniku o kopiach zapasowych w firmie.

7. Poczta i odporność na phishing

Przejęcie poczty może prowadzić do wyłudzenia płatności, kradzieży danych i podszywania się pod firmę. Oprócz MFA należy sprawdzić konfigurację SPF, DKIM i DMARC, reguły automatycznego przekazywania, konta z dostępem do skrzynek oraz nietypowe logowania.

Szkolenie pracowników powinno obejmować rzeczywiste scenariusze: zmianę numeru rachunku, pilną prośbę przełożonego, fałszywy panel logowania i podejrzany załącznik. Ważne zmiany finansowe należy potwierdzać niezależnym kanałem, korzystając ze znanego wcześniej numeru kontaktowego.

8. Sieć i dostęp zdalny

Sieć gościnna, urządzenia IoT, komputery pracowników i infrastruktura administracyjna nie powinny domyślnie tworzyć jednej nieograniczonej strefy. Segmentacja wymaga poprawnych reguł zapory i testów izolacji.

Dostęp zdalny należy udostępniać tylko do potrzebnych zasobów, chronić MFA i rejestrować. VPN może być jednym z elementów rozwiązania, ale nie jest automatycznie potrzebny do każdej usługi chmurowej i nie naprawia przejętego urządzenia.

9. Rejestrowanie zdarzeń i reakcja

Firma powinna wiedzieć, skąd otrzyma pierwszą informację o problemie. Logi i alerty trzeba przechowywać odpowiednio długo, synchronizować czas urządzeń oraz przypisać odpowiedzialność za ich przegląd.

Krótka procedura reagowania powinna wskazywać:

• osobę podejmującą decyzje;
• dane kontaktowe zespołu IT, dostawców, banku i ubezpieczyciela;
• sposób odizolowania podejrzanego urządzenia bez niszczenia dowodów;
• kolejność przywracania systemów;
• zasady dokumentowania zdarzenia i oceny obowiązków zgłoszeniowych.

Kopia procedury powinna być dostępna również wtedy, gdy poczta i podstawowe systemy firmy nie działają.

10. Wymagania prawne i umowne

RODO wymaga zastosowania środków odpowiednich do ryzyka, ale nie narzuca jednej identycznej konfiguracji wszystkim firmom. Naruszenie ochrony danych osobowych nie zawsze podlega zgłoszeniu organowi nadzorczemu; zależy to od oceny ryzyka dla praw i wolności osób. Jeżeli zgłoszenie jest wymagane, rozporządzenie przewiduje termin do 72 godzin od stwierdzenia naruszenia. Konkretne zdarzenie powinien ocenić inspektor ochrony danych lub prawnik.

W Polsce obowiązki wynikające z NIS2 zostały wprowadzone przez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa. O objęciu ustawą decydują sektor, wielkość i szczegółowe kryteria, a nie wyłącznie liczba pracowników. Firma może też otrzymać wymagania bezpieczeństwa od klienta jako uczestnik łańcucha dostaw. Aktualne informacje publikuje Ministerstwo Cyfryzacji.

Ten artykuł ma charakter informacyjny i nie jest poradą prawną.

Co zrobić po audycie

Nie wszystkie braki mają taki sam skutek. Najpierw warto usuwać te, które łączą duże prawdopodobieństwo z poważnymi konsekwencjami, na przykład brak MFA na koncie administracyjnym, brak sprawnej kopii kluczowych danych albo publicznie dostępną, niewspieraną usługę.

Dla każdego zadania zapisz właściciela, termin, sposób potwierdzenia wykonania i ryzyko pozostające po zmianie. Audyt bez planu naprawczego jest tylko opisem problemu.

NexaIT przeprowadza audyty i wdrożenia cyberbezpieczeństwa po ustaleniu zakresu środowiska. Skontaktuj się z nami, jeżeli potrzebujesz oceny technicznej i uporządkowanego planu zmian.