W marcu 2025 roku jeden z moich klientów – firma logistyczna z Poznania, 180 pracowników – stracił dostęp do całej infrastruktury na 11 dni. Ransomware dostał się przez konto serwisowe z hasłem Admin2019, które nikt nie zmienił od czterech lat. Okup: 280 000 euro. Zapłacili. Odtworzenie środowiska zajęło kolejny tydzień. Łączne straty? Ponad 1,2 miliona złotych. A cały ten scenariusz można było zablokować za kilkaset złotych miesięcznie – MFA i porządna polityka haseł. Tyle.
Ten artykuł jest dla menedżerów, którzy wiedzą, że cyberbezpieczeństwo liczy się, ale nie mają pojęcia, gdzie zacząć. Nie będzie tu akademickiego żargonu – za to konkretna kolejność działań, liczby i realne priorytety na 2026 rok.
1. Zacznij od audytu: nie możesz chronić tego, czego nie widzisz
Pierwszy krok to nie zakup oprogramowania. To inwentaryzacja – brzmi nudnie, ale bez niej każde kolejne działanie to strzał w ciemno. Musisz wiedzieć, co masz: ile urządzeń, jakie systemy operacyjne, które aplikacje mają dostęp do Internetu, gdzie siedzi Twoja najcenniejsza data.
Audyt techniczny obejmuje trzy warstwy:
- Warstwa sieciowa – mapa topologii, otwarte porty, urządzenia IoT podłączone do sieci (drukarki, kamery, termostaty)
- Warstwa aplikacyjna – lista oprogramowania, wersje, daty aktualizacji, konta z dostępem administratora
- Warstwa danych – gdzie są dane osobowe, gdzie finansowe, kto tam ma dostęp i czy to ma sens
Narzędzia takie jak Nmap czy darmowa wersja Nessus mogą w kilka godzin wygenerować raport o otwartych portach i podatnościach. Dla firm powyżej 50 pracowników warto zlecić zewnętrzny test penetracyjny – koszt to zwykle 8 000 do 25 000 zł w zależności od zakresu.
2. Polityka haseł i MFA – fundament, który większość firm wciąż ignoruje
W 2026 roku firmowe hasła bez wieloskładnikowego uwierzytelniania to jak jazda bez pasów. Raport Verizon z 2025 roku mówi jasno: 74% naruszeń danych wiąże się z przejętymi lub słabymi hasłami. Ta liczba nie spada od lat, bo firmy nie wdrażają podstaw.
Minimalne standardy na 2026:
| Parametr | Minimum | Zalecane |
|---|---|---|
| Długość hasła | 12 znaków | 16+ znaków lub passphrase |
| Złożoność | Litery + cyfry | Litery + cyfry + znaki specjalne |
| Rotacja | Co 180 dni | Tylko po podejrzeniu kompromitacji |
| Historia haseł | Ostatnie 5 | Ostatnie 10 |
| Blokada konta | Po 10 błędnych próbach | Po 5 błędnych próbach |
MFA musi być obowiązkowe dla każdego, kto ma dostęp do systemów produkcyjnych, poczty firmowej lub VPN. Najlepsze opcje to aplikacje TOTP (Microsoft Authenticator, Google Authenticator) lub klucze sprzętowe FIDO2 (YubiKey 5 to około 350 zł). SMS-owe kody to coś, ale podatne na SIM swapping – nie polecam jako jedyna metoda dla finansów czy opieki zdrowotnej.
Menedżer haseł dla całej organizacji (1Password Teams, Bitwarden for Business) kosztuje 15–25 zł na użytkownika miesięcznie i eliminuje problem powtarzających się haseł. To jeden z najlepszych stosunków ceny do bezpieczeństwa w całym spektrum cyberochrony.
3. Zarządzanie dostępem i zasada minimalnych uprawnień
To konto serwisowe z hasłem Admin2019 – właśnie takie zniszczyło poznańską firmę. Problem nie był techniczny, był organizacyjny: nikt nie wiedział, że konto w ogóle istnieje, bo założył je podwykonawca trzy lata temu i nigdy go nie usunął.
Zasada minimalnych uprawnień to coś, co brzmi nudnie, ale działa. Każdy użytkownik i każda aplikacja powinni mieć dostęp wyłącznie do tego, co faktycznie potrzebują. Nic więcej.
W praktyce:
- Regularne przeglądy uprawnień – co kwartał sprawdzisz, kto ma dostęp do czego. Ludzie zmienią role, odejdą z firmy, a ich konta zostają aktywne.
- Separacja kont administratorskich – administrator powinien mieć dwa konta: jedno do normalnej pracy (bez uprawnień), drugie wyłącznie do zadań admin.
- Zarządzanie dostępem uprzywilejowanym (PAM) – CyberArk, BeyondTrust czy Delinea automatycznie rotują hasła serwisowe i nagrywają każdą sesję admin.
Dla firm do 100 osób wystarczy Azure Active Directory (Microsoft Entra ID) z odpowiednimi grupami bezpieczeństwa. To część licencji Microsoft 365 Business Premium – około 95 zł na użytkownika miesięcznie.
4. Ochrona punktów końcowych – EDR zamiast starego antywirusa
Tradycyjny antywirus szuka znanych sygnatur – rozpoznaje zagrożenia, które już widział. Problem: atakujący od lat używają bezplikowych technik, które nie pozostawiają pliku na dysku. Żaden tradycyjny antywirus ich nie złapie.
EDR (Endpoint Detection and Response) to zupełnie inna gra. Zamiast szukać sygnatur, monitoruje zachowanie procesów w czasie rzeczywistym. Kiedy proces nagle szyfruje tysiące plików na sekundę – EDR to widzi i może automatycznie odizolować urządzenie zanim cokolwiek więcej się szyfruje.
Liderzy rynku to CrowdStrike Falcon (od ok. 200 zł rocznie na endpoint), Microsoft Defender for Endpoint (wbudowany w Microsoft 365 E3/E5) oraz SentinelOne. Dla mniejszych firm SentinelOne, Malwarebytes for Teams lub Bitdefender GravityZone – tańsze, ale znacznie lepsze niż tradycyjny antywirus.
EDR bez odpowiedniej konfiguracji to jak kamera bez nagrywania. Sama instalacja to za mało – ktoś musi reagować na alerty. Jeśli nie masz wewnętrznego SOC, weź MDR (Managed Detection and Response), gdzie dostawca monitoruje za ciebie.
5. Zero Trust – architektura dla świata bez granic sieci
Zero Trust to jedna zasada: nigdy nie ufaj, zawsze weryfikuj. Stary model to była wyraźna granica – wewnątrz VPN bezpiecznie, na zewnątrz nie. Dziś granica nie istnieje. Pracownicy łączą się z chmury, z domu, z kawiarni. Aplikacje to SaaS, dane w Azure czy AWS. Pojęcie „wewnątrz sieci firmowej
Komentarze (3 komentarze)