Zanim pojawi się problem: ustal, co w firmie jest najcenniejsze
Po cyberincydencie liczy się czas. Żeby szybko ustalić, co trzeba zabezpieczyć i przywrócić, przygotuj prosty spis zasobów firmy. Nie musi być rozbudowany — ważne, by obejmował urządzenia, usługi internetowe, kluczowe dane oraz osoby odpowiedzialne za ich obsługę.
W spisie uwzględnij na przykład:
- urządzenia: komputery, serwery, telefony służbowe, routery i nośniki kopii zapasowych;
- usługi online: pocztę, księgowość, sklep internetowy, system obsługi klientów, dysk w chmurze i narzędzia do płatności;
- dane: dokumenty księgowe, bazę klientów, umowy, cenniki, projekty i pliki potrzebne do realizacji zamówień;
- osoby odpowiedzialne: pracowników lub zewnętrznych dostawców, którzy administrują urządzeniami, kontami i kopiami zapasowymi.
Przy każdym zasobie zapisz, kto z niego korzysta, kto może przywrócić do niego dostęp oraz od czego ten dostęp zależy — na przykład od telefonu do uwierzytelniania, firmowej skrzynki e-mail, połączenia internetowego albo konta administratora. Nie umieszczaj w takim spisie haseł. Wskaż natomiast, gdzie są przechowywane i kto może bezpiecznie skorzystać z menedżera haseł lub procedury odzyskiwania konta.
Następnie wskaż procesy, bez których firma nie może normalnie działać. Dla małego sklepu będą to często przyjmowanie zamówień, płatności i wysyłka; dla biura usługowego — dostęp do dokumentacji klientów, kalendarza i poczty. Określ, które procesy trzeba uruchomić jako pierwsze oraz jakie systemy, dane i osoby są do tego niezbędne. Dzięki temu łatwiej odróżnić pilną potrzebę od niedogodności, którą można usunąć później.
| Proces | Potrzebne zasoby | Osoba odpowiedzialna | Co może zablokować dostęp |
|---|---|---|---|
| Przyjmowanie zamówień | Sklep internetowy, poczta, baza produktów | Właściciel lub kierownik sprzedaży | Brak dostępu do konta, awaria internetu, przejęcie skrzynki |
| Wystawianie faktur | Program księgowy, dane klientów, połączenie z bankiem | Osoba prowadząca księgowość | Utrata dostępu do usługi lub telefonu do uwierzytelniania |
Przygotuj także aktualną listę kontaktów do dostawcy IT, operatora poczty, banku i ubezpieczyciela. Zapisz numery telefonów, adresy stron zgłaszania incydentów, numery umów lub polis oraz godziny dostępności pomocy technicznej. Ustal wcześniej, kto w firmie może zgłaszać problem i jakie informacje będą potrzebne podczas rozmowy.
Nie przechowuj tej listy wyłącznie w poczcie ani na dysku, do którego można dostać się tylko przez firmowe konto. Zapisz ją w dwóch dostępnych miejscach: na przykład w zaszyfrowanym menedżerze haseł oraz w papierowej kopii trzymanej w zamkniętym miejscu poza biurem. Ogranicz dostęp do dokumentu do osób, które mogą go potrzebować, i regularnie sprawdzaj, czy numery oraz osoby kontaktowe są aktualne.
Ogranicz drogi, którymi atak może dostać się do firmy
Nie trzeba od razu wdrażać rozbudowanego systemu bezpieczeństwa. W małej firmie dużą różnicę robi kilka konsekwentnie stosowanych zasad: utrudniają przejęcie konta, ograniczają skutki pomyłki i pomagają szybciej zauważyć próbę ataku.
- Używaj unikalnych haseł do każdego konta, zwłaszcza poczty, bankowości i usług przechowujących pliki. Menedżer haseł ułatwia tworzenie i bezpieczne przechowywanie długich haseł — pracownicy nie muszą ich zapisywać na kartkach ani powtarzać.
- Włącz uwierzytelnianie wieloskładnikowe wszędzie, gdzie jest dostępne. Zacznij od poczty firmowej, kont administratorów, systemów księgowych i chmur. Samo hasło nie powinno wystarczać do logowania.
- Instaluj aktualizacje systemów, przeglądarek, aplikacji i urządzeń sieciowych. Włącz automatyczne aktualizacje tam, gdzie to możliwe, a urządzenia, których nie da się już aktualizować, wymień lub odłącz od firmowej sieci.
- Blokuj ekran przy każdym odejściu od komputera i ustaw automatyczną blokadę po krótkim czasie bezczynności. Dotyczy to także telefonów używanych do pracy.
- Ograniczaj uprawnienia do minimum potrzebnego w danej roli. Konto administratora powinno być używane tylko do zadań administracyjnych, a dostęp byłego pracownika należy odebrać niezwłocznie po zakończeniu współpracy.
- Korzystaj ostrożnie z poczty: sprawdzaj adres nadawcy, nie otwieraj nieoczekiwanych załączników i nie podawaj haseł po kliknięciu w link z wiadomości. Nietypową prośbę o pilny przelew lub zmianę numeru rachunku potwierdź innym kanałem, na przykład telefonicznie.
- Ustal zasady dla urządzeń prywatnych. Jeśli pracownik korzysta z własnego telefonu lub komputera, wymagaj aktualnego systemu, blokady ekranu i ochrony antywirusowej. Nie pozwalaj przechowywać firmowych plików na wspólnym, niezabezpieczonym urządzeniu ani wysyłać ich na prywatną pocztę.
Przećwicz z zespołem rozpoznawanie podejrzanych wiadomości. Pokaż przykłady fałszywych faktur, linków do „pilnego logowania” i wiadomości podszywających się pod szefa lub kontrahenta. Ustal prostą zasadę: jeśli wiadomość budzi wątpliwości, nie klikaj — zgłoś ją wyznaczonej osobie. Krótkie, regularne przypomnienia są skuteczniejsze niż jednorazowe szkolenie, o którym szybko się zapomina.
| Zagrożenie | Działanie zapobiegawcze | Osoba odpowiedzialna |
|---|---|---|
| Przejęcie konta przez odgadnięte lub powtórzone hasło | Unikalne hasła w menedżerze i uwierzytelnianie wieloskładnikowe | Każdy pracownik; wdrożenie zasad: właściciel lub administrator IT |
| Wykorzystanie niezałatanej luki w oprogramowaniu | Regularne aktualizacje systemów, aplikacji i urządzeń | Administrator IT lub wyznaczony opiekun sprzętu |
| Dostęp do komputera pozostawionego bez nadzoru | Automatyczna blokada ekranu i blokowanie urządzenia przy odejściu | Każdy użytkownik |
| Phishing lub fałszywa prośba o płatność | Szkolenia, zgłaszanie podejrzanych wiadomości i potwierdzanie płatności innym kanałem | Właściciel firmy lub osoba koordynująca szkolenia; każdy pracownik zgłasza podejrzenia |
| Utrata danych z prywatnego urządzenia | Jasne zasady korzystania z urządzeń prywatnych, blokada ekranu i aktualizacje | Właściciel firmy lub administrator IT; użytkownik dba o urządzenie |
Zbuduj kopie zapasowe, które da się naprawdę odtworzyć
Kopia zapasowa pomaga tylko wtedy, gdy zawiera potrzebne dane i można ją przywrócić w akceptowalnym czasie. Jej częstotliwość dopasuj do tempa pracy firmy: jeśli zamówienia, dokumenty lub dane klientów zmieniają się przez cały dzień, kopia wykonywana raz na tydzień może oznaczać utratę wielu dni pracy. Przy mniej zmiennych plikach rzadsze kopie mogą wystarczyć. Ustal, ile danych firma może stracić i jak długo może czekać na ich odzyskanie.
Nie przechowuj wszystkich kopii w tym samym środowisku co oryginalne pliki. Złośliwe oprogramowanie lub przejęte konto może objąć oba źródła. Jedną kopię trzymaj poza głównym środowiskiem, na przykład w odizolowanej usłudze lub na nośniku odłączanym po wykonaniu kopii. Dostęp ogranicz do osób, które go potrzebują, używaj odrębnych kont i zabezpiecz je silnym uwierzytelnianiem. Jeśli to możliwe, wybierz kopie, których nie da się łatwo zmienić ani usunąć z poziomu zwykłego konta.
Pomocną wskazówką jest zasada 3-2-1: miej trzy kopie danych, przechowuj je na dwóch różnych rodzajach nośników lub w dwóch różnych rozwiązaniach, a jedną trzymaj poza głównym środowiskiem firmy. Nie chodzi o samo odhaczanie liczby kopii, lecz o to, by pojedyncza awaria, błąd użytkownika czy atak nie zniszczyły ich wszystkich naraz.
Na koniec zaplanuj próbę odtworzenia. Wyznacz osobę odpowiedzialną i konkretny termin, na przykład raz na kwartał. Niech przywróci wybrane pliki lub usługę do oddzielnego, bezpiecznego miejsca, a następnie sprawdzi, czy dane są kompletne i działają. Zapisz datę testu, zakres, czas odtwarzania, wynik i napotkane problemy; po nieudanej próbie popraw procedurę i powtórz test.
Samo posiadanie kopii nie dowodzi, że firma odzyska po incydencie potrzebne dane. Dopiero udana, udokumentowana próba potwierdza, że kopia jest czytelna, a zespół wie, jak z niej skorzystać.
Gdy pojawi się alarm: pierwsze decyzje bez pochopnego zacierania śladów
Nietypowy komunikat, brak dostępu do plików, podejrzane logowanie albo wiadomość od klienta o dziwnej korespondencji z firmowego adresu — każdy z tych sygnałów potraktuj poważnie. Nie musisz od razu wiedzieć, czy doszło do cyberataku. Najważniejsze jest, by zgłosić podejrzenie, ograniczyć możliwe rozprzestrzenianie się problemu i zachować informacje przydatne do ustalenia, co się stało.
- Zgłoś incydent i zanotuj pierwsze objawy. Powiadom osobę wskazaną w firmie do przyjmowania zgłoszeń — na przykład właściciela, kierownika lub administratora IT. Zapisz, kto zauważył problem, kiedy się pojawił i co dokładnie zobaczył. Jeśli podejrzenie dotyczy kilku urządzeń lub kont, wymień je, nawet jeśli nie masz pewności, że wszystkie są zagrożone.
- Odizoluj podejrzane urządzenie od sieci. Jeśli komputer może być zainfekowany, odłącz go od Wi-Fi lub kabla sieciowego. Nie korzystaj z niego do logowania się do poczty ani innych usług. W przypadku telefonu, serwera lub urządzenia, którego odłączenie może zatrzymać ważny proces, najpierw skontaktuj się z osobą techniczną. Zwykle nie wyłączaj urządzenia bez konsultacji — może to utrudnić późniejsze ustalenie przyczyny.
- Zabezpiecz dostępne informacje. Zrób zdjęcie komunikatu na ekranie, zapisz treść i godzinę otrzymania podejrzanej wiadomości oraz zanotuj, jakie działania poprzedziły alarm. Zachowaj wiadomości i załączniki, nie zmieniaj ich nazw ani nie przesyłaj dalej bez potrzeby. Jeśli to możliwe, użyj innego, sprawnego urządzenia do kontaktu i dokumentowania zdarzeń.
- Skontaktuj się z osobą techniczną. Przekaż jej zebrane fakty: urządzenia i konta, których dotyczy problem, widoczne objawy, przybliżony czas ich wystąpienia oraz wykonane już kroki. Nie próbuj samodzielnie usuwać złośliwego oprogramowania ani zmieniać ustawień, jeśli nie masz pewności, jak wpłynie to na zabezpieczenie danych.
- Uruchom awaryjny kanał komunikacji. Gdy firmowa poczta lub komunikator mogą być niedostępne albo przejęte, uzgodnij kontakt telefoniczny lub skorzystaj z wcześniej ustalonego, bezpiecznego kanału. Przekaż pracownikom krótką instrukcję: gdzie zgłaszać objawy, z jakich kont tymczasowo nie korzystać i kto koordynuje działania. Nie wysyłaj szczegółów incydentu przez konto, które może być naruszone.
Nie usuwaj wiadomości, plików ani logów i nie opróżniaj kosza. Nie przywracaj systemu z kopii, nie reinstaluj urządzenia i nie kasuj historii przeglądarki przed oceną sytuacji przez osobę techniczną. Takie działania mogą zatrzeć ślady, a przywrócenie danych na zainfekowany komputer może ponownie wprowadzić zagrożenie.
Do uporządkowania informacji wystarczy prosta karta incydentu. Wypełniaj ją na bieżąco — najlepiej z urządzenia, którego incydent nie dotyczy. Oddzielaj fakty od przypuszczeń i dopisuj, kto wykonał dane działanie.
| Pole | Co zapisać | Przykład |
|---|---|---|
| Czas | Kiedy zauważono objaw i kiedy podjęto działanie | 6 października, 9:20 — pojawił się komunikat o zaszyfrowanych plikach |
| Objawy | Widoczne komunikaty, niedostępne usługi, nietypowe zachowanie | Nie można otworzyć dokumentów na komputerze księgowości |
| Urządzenia i konta | Sprzęt, użytkownicy i usługi, których może dotyczyć problem | Komputer KS-02, konto pracownika A.B. |
| Podjęte działania | Co zrobiono, o której godzinie i z jakim skutkiem | 9:28 — odłączono komputer od Wi-Fi; komunikat nadal widoczny |
| Osoby zaangażowane | Kto zgłosił incydent, koordynuje działania i udziela wsparcia | Zgłaszający: A.B.; koordynacja: właściciel; wsparcie IT: serwis |
| Materiały | Zdjęcia, zachowane wiadomości, numery zgłoszeń i miejsce ich przechowywania | Zdjęcie komunikatu zapisane w folderze incydentu na bezpiecznym koncie |
Przywróć działalność, oceń obowiązki i popraw procedury
Powrót do pracy powinien być stopniowy. Zanim ponownie udostępnisz systemy pracownikom lub klientom, sprawdź, czy usunięto przyczynę incydentu i czy środowisko jest bezpieczne. Sam fakt, że komputer się uruchamia albo pliki znów są dostępne, nie oznacza jeszcze, że atakujący stracił do nich dostęp.
- Zweryfikuj systemy i urządzenia — sprawdź, czy nie ma w nich złośliwego oprogramowania, nieznanych kont, podejrzanych reguł poczty ani nieautoryzowanych zmian.
- Zmień przejęte hasła i unieważnij aktywne sesje. Zacznij od poczty, kont administratorów, bankowości i usług chmurowych; włącz uwierzytelnianie wieloskładnikowe, jeśli jest dostępne.
- Odtwarzaj dane z pewnych kopii — przed przywróceniem sprawdź, czy kopia nie zawiera śladów incydentu i czy odtworzone pliki są kompletne.
- Przywracaj usługi etapami — najpierw te niezbędne do obsługi firmy, a następnie kolejne. Po każdym etapie kontroluj dostęp, działanie systemów i nietypową aktywność.
Jeśli incydent mógł dotyczyć danych osobowych, niezwłocznie oceń, jakie obowiązki prawne mogą mieć zastosowanie. W zależności od okoliczności może być wymagane zgłoszenie naruszenia do Prezesa Urzędu Ochrony Danych Osobowych (UODO) bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od stwierdzenia naruszenia. O tym, czy zgłoszenie jest konieczne, decyduje ocena konkretnego przypadku — nie przesądzaj jej na podstawie samego podejrzenia. Skonsultuj się z inspektorem ochrony danych lub prawnikiem i udokumentuj ustalenia oraz podjęte decyzje.
Po wznowieniu działalności przeprowadź krótką analizę incydentu. Zapisz jego prawdopodobną przyczynę, poniesione koszty, długość przestoju oraz to, które decyzje pomogły, a które opóźniły powrót do pracy. Na tej podstawie ustal konkretne zmiany, na przykład poprawę konfiguracji kopii zapasowych, dodatkowe zabezpieczenie kont lub aktualizację procedury reagowania.
Dobrym kolejnym krokiem jest krótkie ćwiczenie scenariuszowe dla zespołu: co zrobicie, gdy jutro rano pracownicy stracą dostęp do poczty i wspólnych plików? Przećwiczcie, kogo powiadomić, jak uruchomić bezpieczny tryb pracy i kto podejmuje decyzje. Taka próba pozwala wychwycić luki, zanim ponownie pojawi się realny problem.