Bezpieczeństwo danych w firmie – 12 zasad ochrony

Jakie dane i systemy trzeba zabezpieczyć?

Obejmij ochroną dane niezbędne do pracy, miejsca ich przechowywania oraz konta umożliwiające dostęp. Dokumenty mogą znajdować się na komputerach, serwerach, urządzeniach NAS, w Microsoft 365, programach księgowych, bazach danych i telefonach.

• Poczta firmowa: Wiadomości, załączniki, kontakty, kalendarze oraz możliwość wysyłania poczty w imieniu firmy.
• Dokumenty i projekty: Umowy, oferty, dokumentacja techniczna, pliki klientów, kosztorysy, zdjęcia i materiały projektowe.
• Systemy biznesowe: Programy księgowe, ERP, CRM, systemy magazynowe, bazy danych i aplikacje branżowe.
• Konta i tożsamość: Microsoft 365, domena, hosting, bankowość, serwisy administracyjne oraz konta w usługach zewnętrznych.
• Komputery i urządzenia: Laptopy, telefony, serwery, routery, urządzenia NAS, rejestratory i sprzęt wykorzystywany poza biurem.
• Kopie zapasowe: Backup plików, baz danych, serwerów, konfiguracji i usług potrzebnych do odtworzenia pracy firmy.

Dla każdego ważnego zasobu wskaż osobę odpowiedzialną, uprawnionych użytkowników i sposób odzyskania danych. Ustal, które systemy muszą wrócić do pracy jako pierwsze. Sam spis komputerów nie odpowiada jeszcze na te pytania.

Jakie zagrożenia mogą prowadzić do utraty danych?

Utrata danych może wynikać z ataku, ale również z błędu pracownika, awarii dysku, kradzieży laptopa albo pozostawionego dostępu. W przeglądzie uwzględnij poniższe sytuacje.

• Phishing i przejęcie poczty: Fałszywa strona logowania może przejąć hasło i umożliwić dostęp do korespondencji.
• Ransomware: Złośliwe oprogramowanie może zaszyfrować pliki na komputerze, serwerze i dostępnych zasobach sieciowych.
• Awaria sprzętu: Uszkodzenie dysku, macierzy, serwera albo urządzenia NAS może odciąć firmę od dokumentów i aplikacji.
• Przypadkowe usunięcie: Pracownik może usunąć, zastąpić lub przenieść dokumenty potrzebne innym osobom.
• Kradzież lub zgubienie urządzenia: Niezaszyfrowany laptop może umożliwić odczytanie lokalnie zapisanych dokumentów i danych dostępowych.
• Zbyt szerokie uprawnienia: Pracownicy mogą mieć dostęp do dokumentów, których nie potrzebują do wykonywania obowiązków.
• Brak aktualizacji: Nieaktualne systemy, aplikacje i urządzenia mogą posiadać znane podatności bezpieczeństwa.
• Niedziałający backup: Kopia może wykonywać się niepoprawnie albo nie zawierać wszystkich danych potrzebnych do odzyskania pracy.

Ransomware może także służyć do wymuszenia zapłaty po kradzieży danych. Dlatego możliwość odtworzenia plików z kopii nie rozwiązuje wszystkich skutków incydentu.

12 zasad bezpieczeństwa danych w firmie

Najpierw zabezpiecz obszary, których przejęcie lub awaria może zatrzymać pracę firmy. Każda zasada powinna mieć wykonawcę i sposób sprawdzenia, czy jest stosowana.

1. Zidentyfikuj najważniejsze dane i systemy. Przygotuj listę serwerów, usług, programów, lokalizacji danych oraz osób odpowiedzialnych. Bez takiej wiedzy trudno ustalić, co powinno zostać objęte backupem, monitoringiem i kontrolą dostępu.

2. Włącz MFA dla wszystkich ważnych kont. MFA, czyli uwierzytelnianie wieloskładnikowe, wymaga dodatkowego potwierdzenia tożsamości. Włącz je dla poczty, kont administratorów, hostingu, zdalnego dostępu i innych ważnych usług, które je obsługują. Ustal bezpieczne odzyskiwanie dostępu po utracie telefonu lub klucza. Nie zatwierdzaj niespodziewanych próśb o logowanie.

3. Oddziel konta użytkowników od administracyjnych. Administrator nie powinien wykonywać codziennej pracy na koncie posiadającym najwyższe uprawnienia. Osobne konta ograniczają skutki przejęcia zwykłego profilu użytkownika.

4. Stosuj indywidualne konta i kontroluj uprawnienia. Każdy pracownik powinien korzystać z własnego konta. Dostępy należy nadawać zgodnie z zakresem obowiązków, a nie automatycznie kopiować od innych użytkowników.

5. Zabezpiecz pocztę przed przejęciem i podszywaniem. Oprócz MFA potrzebne są filtry wiadomości, kontrola reguł skrzynki, odpowiednie ustawienia domeny oraz procedura weryfikowania nietypowych próśb o płatność albo zmianę numeru rachunku.

6. Wykonuj kopie zapasowe ważnych danych. Backup powinien obejmować dane, bez których firma nie będzie mogła pracować: pliki, bazy, serwery, konfiguracje i inne kluczowe zasoby.

7. Oddziel przynajmniej jedną kopię od środowiska. Kopia zapasowa nie powinna być dostępna do usunięcia tymi samymi uprawnieniami co dane produkcyjne. Zaplanuj kopię offline lub odpowiednio skonfigurowaną ochronę przed zmianą i usunięciem, z oddzielonym zarządzaniem dostępem. Osobno uwzględnij utratę całej lokalizacji.

8. Regularnie testuj odtwarzanie backupu. Zielony komunikat o wykonaniu zadania nie gwarantuje, że kopia zawiera kompletne dane i że możliwe będzie ich przywrócenie w wymaganym czasie.

9. Szyfruj firmowe laptopy i nośniki. BitLocker lub inne szyfrowanie dysku ogranicza ryzyko odczytania danych z utraconego urządzenia. Zweryfikuj, czy ochrona faktycznie jest aktywna. Klucze odzyskiwania przechowuj w kontrolowanym miejscu dostępnym upoważnionym osobom, także gdy laptop przestanie działać.

10. Aktualizuj systemy, aplikacje i urządzenia. Aktualizuj komputery, przeglądarki, aplikacje, serwery, routery, punkty dostępowe i urządzenia NAS. Ustal okna serwisowe i sposób sprawdzenia działania po zmianie. Uwzględnij wymianę lub odseparowanie systemów, których producent już nie wspiera.

11. Monitoruj najważniejsze urządzenia i usługi. Monitoring może wykrywać niedostępność serwera, brak miejsca, błędy usług i nieudane kopie zapasowe. Wskaż odbiorcę alertów oraz sposób i godziny reakcji. Samo zbieranie parametrów nie oznacza, że ktoś zajmie się problemem.

12. Przygotuj prostą procedurę reagowania na incydenty. Pracownicy powinni wiedzieć, gdzie zgłosić podejrzaną wiadomość, przejęcie konta, utratę urządzenia, nietypowe okno programu albo zaszyfrowane pliki.

Uzupełnij te działania ochroną urządzeń przed złośliwym oprogramowaniem, unikalnymi hasłami przechowywanymi w menedżerze haseł i krótkimi instrukcjami dla pracowników. Sprawdź również zdalny dostęp oraz rozdzielenie sieci firmowej, gościnnej i urządzeń takich jak kamery.

Jak chronić pocztę firmową?

Zabezpiecz logowanie do skrzynki, kontroluj jej ustawienia i ustal sposób potwierdzania nietypowych próśb. Poczta zawiera korespondencję, ale często służy także do resetowania haseł w innych usługach i kontaktu z klientami w imieniu firmy.

• MFA i metody odporne na phishing. Ochroną obejmij użytkowników i administratorów. Zwykły kod jednorazowy można wyłudzić, dlatego przy dostępności odpowiedniej metody rozważ klucze bezpieczeństwa lub passkeys FIDO2. MFA nie usuwa wszystkich zagrożeń, np. związanych z przejęciem aktywnej sesji.
• Reguły i przekierowania. Sprawdzaj nieoczekiwane reguły ukrywające wiadomości oraz przekazywanie korespondencji poza firmę. Kontroluj również delegacje i uprawnienia aplikacji do poczty.
• SPF, DKIM i DMARC. SPF wskazuje dozwolone źródła wysyłki, DKIM pozwala weryfikować podpis domeny, a DMARC sprawdza zgodność uwierzytelnienia z domeną widoczną w polu nadawcy i określa politykę dla niezgodnych wiadomości. Skonfiguruj je dla wszystkich rzeczywistych źródeł poczty i sprawdzaj wyniki.
• Weryfikacja płatności. Prośbę o pilny przelew lub zmianę rachunku potwierdź przez znany wcześniej numer telefonu albo uzgodniony proces. Nie korzystaj wyłącznie z danych kontaktowych podanych w podejrzanej wiadomości.
• Ograniczenie starych metod logowania. Sprawdź aplikacje i urządzenia korzystające z mechanizmów, które nie obsługują wymaganych zabezpieczeń. Zaplanuj zmianę konfiguracji i wyłącz zbędne sposoby dostępu.
• Zgłaszanie phishingu. Podaj pracownikom prosty sposób zgłoszenia podejrzanej wiadomości bez otwierania załączników i klikania linków.

SPF, DKIM i DMARC nie chronią przed każdą formą podszywania. Oszust może użyć podobnej domeny albo przejętej prawdziwej skrzynki. Filtry poczty i procedura potwierdzania płatności nadal są potrzebne.

Jak powinien wyglądać backup danych firmowych?

Backup powinien umożliwiać odzyskanie potrzebnych danych i usług w czasie akceptowalnym dla firmy. Ustal, co kopiujesz, jak często, jak długo zachowujesz wersje i kto kontroluje wyniki.

Rozdziel dane produkcyjne, kopię do szybkiego przywracania oraz kopię odporną na incydent w podstawowym środowisku. Kopia na innym dysku tego samego serwera nie zabezpiecza przed każdą awarią, a zapis w innej lokalizacji nie wystarcza, jeśli te same przejęte konta mogą go usunąć.

Synchronizacja plików nie jest równoznaczna z niezależnym backupem. Usunięcie lub zaszyfrowanie może zostać przeniesione na inne urządzenia. Kosz i historia wersji pomagają tylko w granicach możliwości danej usługi, zasad przechowywania i dostępnych uprawnień. Sprawdź to również dla poczty, OneDrive i SharePoint.

Co powinien obejmować test odtwarzania?

• Test pliku: Odzyskanie dokumentu z wymaganej daty i sprawdzenie jego treści, uprawnień oraz kompletności.
• Test systemu: Odtworzenie bazy, maszyny wirtualnej lub aplikacji w odseparowanym środowisku i sprawdzenie, czy usługa działa.
• Pomiar czasu: Ustalenie, ile trwa powrót do pracy, razem z uruchomieniem usług zależnych.

Wyznacz dopuszczalną utratę ostatnich zmian oraz maksymalny czas niedostępności. Te wymagania określa się jako RPO i RTO. Jeżeli firma może utracić najwyżej godzinę pracy, kopia wykonywana tylko raz na dobę nie spełnia tego celu.

Testuj odtwarzanie regularnie oraz po zmianie systemu backupu, migracji lub dodaniu ważnych danych. Zapisz datę, zakres, wynik i czas próby. Zielony raport wykonania kopii nie zastępuje takiego sprawdzenia.

Szczegółowe kroki opisujemy w poradniku jak sprawdzić, czy kopie zapasowe firmy można odtworzyć. CERT Polska zaleca również praktyczne testowanie odtwarzania infrastruktury i izolację kopii.

Jak zarządzać kontami i uprawnieniami pracowników?

Nadawaj dostęp zgodnie z obowiązkami, aktualizuj go po zmianie stanowiska i odbieraj w uzgodnionym momencie zakończenia współpracy. Każdy pracownik powinien mieć własne konto, a uprawnienia administracyjne powinny służyć tylko zadaniom, które ich wymagają.

• Nowy pracownik: Przygotuj konto, licencje, pocztę, MFA, sposób odzyskiwania dostępu i zabezpieczony komputer. Udostępnij tylko potrzebne zasoby.
• Zmiana obowiązków: Dodaj wymagane dostępy, odbierz zbędne, zweryfikuj grupy, współdzielenie dokumentów i konta uprzywilejowane. Zaktualizuj dokumentację.
• Odejście pracownika: Zablokuj logowanie, unieważnij dostępne sesje, odbierz VPN i konta w usługach zewnętrznych. Przekaż potrzebną pocztę i pliki, odbierz sprzęt i dopiero po zabezpieczeniu danych przygotuj go do ponownego wydania.

Nie usuwaj konta automatycznie. Firma może potrzebować korespondencji, dokumentów i zasobów należących do odchodzącej osoby. Jednocześnie zachowanie tych danych nie wymaga pozostawiania jej możliwości logowania.

Pełną procedurę znajdziesz w poradniku jak odebrać pracownikowi dostępy po zakończeniu współpracy. Pamiętaj, że blokada konta nie usuwa wcześniej pobranych kopii plików, a efekt unieważnienia sesji zależy od usługi.

Co zrobić po podejrzeniu incydentu bezpieczeństwa?

Zgłoś zdarzenie osobie odpowiedzialnej za IT i ogranicz dalszy dostęp lub rozprzestrzenianie problemu. Działania dobierz do sytuacji: podejrzana wiadomość, przejęcie konta i szyfrowanie komputera wymagają różnej reakcji.

1. Jeśli trwa szyfrowanie lub podejrzewasz infekcję, odizoluj urządzenie. Odłącz przewód sieciowy i Wi-Fi, aby ograniczyć dostęp do innych zasobów. Nie kasuj plików i nie wykonuj samodzielnie reinstalacji.
2. Przekaż informacje. Podaj czas zdarzenia, urządzenie, konto i wykonane czynności. Zapisz komunikat lub wykonaj zdjęcie ekranu bez dalszego otwierania podejrzanych plików. Do kontaktu użyj niezainfekowanego urządzenia.
3. Po ujawnieniu hasła zabezpiecz konto. Z zaufanego urządzenia zmień hasło, zablokuj dostęp, jeśli jest to potrzebne, i unieważnij sesje. IT powinno sprawdzić metody MFA, delegacje, przekierowania i inne sposoby dostępu.
4. Ustal zakres. Osoba prowadząca działania powinna zabezpieczyć logi i sprawdzić inne konta, urządzenia oraz dostęp do danych. Jeśli hasło było powtarzane, trzeba zabezpieczyć także pozostałe konta.
5. Przywracaj pracę do zabezpieczonego środowiska. Nie podłączaj odtworzonej usługi do nadal zainfekowanej sieci. Zweryfikuj kopię i działanie systemu, a po przywróceniu obserwuj nietypową aktywność.

Przy podejrzeniu ransomware nie restartuj ani nie wyłączaj komputera odruchowo, jeśli udało się odizolować go od sieci - można utracić informacje potrzebne do analizy. Gdy izolacja jest niemożliwa i zagrożenie się rozprzestrzenia, wyłączenie może być konieczne. Taką różnicę opisuje poradnik CISA.

Po samym kliknięciu linku również zgłoś zdarzenie i powiedz, czy podano hasło, zatwierdzono MFA albo pobrano i uruchomiono plik. Pozwala to dobrać właściwą reakcję bez zgadywania, co faktycznie się wydarzyło.

Od czego zacząć zabezpieczanie małej firmy?

Najpierw sprawdź możliwość odzyskania danych oraz ochronę kont dających dostęp do poczty i administracji. Równolegle usuń znane, pilne zagrożenia, np. aktywne konto byłego pracownika lub podatną usługę wystawioną do internetu.

Poniższa tabela jest punktem wyjścia, a nie stałą klasyfikacją dla każdej firmy. Znaczenie konkretnego braku zależy od danych i sposobu działania organizacji.

Przy każdym problemie zapisz ryzyko, wykonawcę, termin i sposób potwierdzenia naprawy. Brak dokumentacji może stać się pilny, jeśli uniemożliwia odzyskanie dostępu do kluczowej usługi.

Jeśli nie ma aktualnego obrazu środowiska, pomocny będzie audyt IT. Monitoring, backup, aktualizacje i kontrolę kont można następnie objąć stałą opieką informatyczną firmy.

Checklista bezpieczeństwa danych w firmie

Przy każdym punkcie zaznacz „tak”, „nie” albo „do sprawdzenia” oraz wskaż dowód, np. wynik testu, ustawienie usługi lub aktualną listę kont.

• Wiemy, gdzie znajdują się najważniejsze dane firmowe.
• Wszystkie ważne konta użytkowników są chronione MFA.
• Konta administratorów są oddzielone od zwykłych kont.
• Każdy pracownik korzysta z indywidualnego konta.
• Wiemy, które dane są objęte kopią zapasową.
• Co najmniej jedna kopia jest oddzielona od środowiska.
• W ostatnich miesiącach wykonaliśmy test odtwarzania danych.
• Firmowe laptopy posiadają szyfrowanie dysków.
• Systemy i aplikacje są regularnie aktualizowane.
• Nieaktywne konta są blokowane, a zbędne dostępy odbierane bez utraty potrzebnych danych.
• Pracownicy wiedzą, gdzie zgłosić podejrzaną wiadomość.
• Posiadamy dokumentację urządzeń, usług i dostępów.
• Najważniejsze urządzenia i usługi są monitorowane, a alerty mają wskazanego odbiorcę.
• Posiadamy procedurę blokowania kont odchodzących pracowników.
• Wiemy, kto podejmuje decyzje podczas incydentu.
• Znamy orientacyjny czas potrzebny do odtworzenia pracy.

Nie oceniaj bezpieczeństwa wyłącznie przez liczbę odpowiedzi „tak”. Brak możliwości odtworzenia kluczowej bazy może być ważniejszy niż kilka spełnionych mniej istotnych punktów. Odpowiedź „do sprawdzenia” oznacza zadanie do weryfikacji, a nie potwierdzone zabezpieczenie.

Pytania o ochronę urządzeń i sieci

Czy BitLocker chroni komputer przed wirusami?

Nie. BitLocker szyfruje dysk i pomaga chronić dane na utraconym urządzeniu. Nie blokuje złośliwego oprogramowania działającego na odblokowanym komputerze ani dostępu przez przejęte konto. Nadal potrzebne są aktualizacje, ochrona urządzenia i kontrola uprawnień.

Czy VPN wystarczy do zabezpieczenia zdalnego dostępu?

Nie. Oprócz ochrony połączenia potrzebne są aktualizacje urządzenia udostępniającego VPN, zabezpieczenie kont i ograniczenie dostępnych zasobów. Włącz MFA, jeśli rozwiązanie je obsługuje. Nie udostępniaj bezpośrednio do internetu usług zdalnego pulpitu tylko dlatego, że mają hasło.

Powiązane poradniki i przykład wdrożenia

• Jak wybrać firmę IT? Pytania o backup, dokumentację i odpowiedzialność
• Kiedy mała firma potrzebuje stałej obsługi IT?
• Outsourcing IT - zakres obsługi komputerów, kont i infrastruktury

W case study obsługi IT kancelarii prawnej opisujemy zastosowanie szyfrowania urządzeń, kontroli dostępów i kopii zapasowych w środowisku przetwarzającym poufne dokumenty.