Bezpieczeństwo sieci w firmie: 10 konkretnych kroków ochrony

Bezpieczeństwo sieci w firmie: lista kontrolna 10 kroków, które wdrażasz od zaraz

Cyberatak w firmie przestał być rzadkością. Z raportu VECTO „Cyberbezpieczeństwo w polskich firmach 2025” wynika, że 76,2 proc. polskich firm zetknęło się z cyberatakiem. Tymczasem tylko 35,4 proc. organizacji na bieżąco monitoruje zagrożenia, a 30,8 proc. ma gotowy scenariusz reakcji na incydent.

Zacznij od rzeczy, które zrobisz bez budżetu i bez działu IT. Lista poniżej jest ułożona od najprostszych kroków do tych, które wymagają chwili namysłu i decyzji. Każdy punkt opisuje jedną czynność i jedno zabezpieczenie.

Krok pierwszy to policzenie tego, co masz w sieci, bo bez tego nie wiesz, czego pilnować. Drugi to hasła: silne hasło jest długie i zawiera małe i wielkie litery, cyfry oraz symbole, a nie dane łatwe do odgadnięcia. Trzeci to menedżer haseł, czyli program, który generuje i przechowuje dane logowania, więc pamiętasz tylko jedno hasło główne.

Czwarty krok to weryfikacja dwuetapowa, która wymaga hasła i dodatkowego kodu. Wybierz kod z aplikacji, nie z wiadomości tekstowej, bo uwierzytelnianie przez wiadomość tekstową jest mniej bezpieczne niż dobra aplikacja do weryfikacji dwuetapowej. Piąty to klucz sprzętowy, czyli fizyczny przedmiot przypominający pendrive’a, najbardziej odporny na phishing.

Szósty krok to aktualizacje, jedno z podstawowych działań każdego użytkownika internetu. Siódmy to zasady bezpieczeństwa spisane dla całego zespołu, a ósmy to ograniczenie danych osobowych w sieci, bo im mniej Twoich danych w sieci, tym mniejsze ryzyko ataku.

Dziewiąty krok to monitoring sieci, a dziesiąty to próba odpowiedzi na pytanie, czy firma zapłaciłaby okup. Z raportu VECTO wynika, że po skutecznym ataku ransomware i zaszyfrowaniu danych 81,5 proc. respondentów uważa, że firma zapłaciłaby okup. Ta odpowiedź pokazuje, ile naprawdę znaczy cyberbezpieczeństwo w twojej firmie.

1. Inwentarz sprzętu: spisz komputery, telefony i urządzenia podłączone do firmowej sieci.
2. Silne hasła: długie, z literami, cyframi i symbolami, inne dla każdego konta.
3. Menedżer haseł: program, który generuje i przechowuje logowania za jednym hasłem głównym.
4. Weryfikacja dwuetapowa: hasło plus kod z aplikacji zamiast wiadomości tekstowej.
5. Klucz sprzętowy: fizyczny brelok do logowania, najbardziej odporny na phishing.
6. Aktualizacje: regularne instalowanie poprawek systemu i programów na wszystkich urządzeniach.
7. Polityka bezpieczeństwa: spisane zasady dla zespołu, kto co może i jak zgłasza podejrzane wiadomości.
8. Mniej danych osobowych: ogranicz to, co publikujesz o firmie i o sobie w sieci.
9. Monitoring sieci: ustal, kto i jak codziennie sprawdza alerty z firmowych systemów.
10. Plan na atak: scenariusz reakcji i decyzja, czy firma zapłaci okup, podjęta wcześniej.

Które luki w sieci powodują wyciek danych i jak je znaleźć bez pomocy informatyka?

Zacznij od miejsca, w którym dane wychodzą najłatwiej: firmowej poczty. Jeden wyciek hasła wystarczy, żeby przestępca przejął skrzynkę i rozsyłał z niej wiadomości do klientów i kontrahentów. Sprawdzisz to bez informatyka, przeglądając listę aktywnych sesji na koncie pocztowym i wyrzucając te, których nie rozpoznajesz.

Drugie miejsce to logowanie. Silne hasło ma być długie i zawierać małe i wielkie litery, cyfry oraz symbole, a nie opierać się na dacie urodzenia czy imieniu psa. Takie hasło do każdego konta osobno pamięta mało kto, więc menedżer haseł, czyli program, który je generuje i przechowuje, zostawia w głowie tylko jedno hasło główne.

Do tego dochodzi drugi składnik logowania. Kod z aplikacji uwierzytelniającej jest bezpieczniejszy niż ten przychodzący wiadomością tekstową na telefon, bo tamten da się łatwiej przechwycić. Najodporniejszy na podszywanie się pod stronę logowania jest klucz sprzętowy, czyli niewielki przedmiot w rodzaju pendrive’a, który wkładasz przy logowaniu.

Trzecia luka siedzi w oprogramowaniu, które nikt nie aktualizuje. Stara wersja programu to otwarte drzwi, a aktualizacja zamyka je jednym kliknięciem. Ustaw automatyczne aktualizacje systemu, przeglądarki i programów biurowych, żeby nie trzeba było o nich pamiętać.

Czwarta to nadmiar danych o firmie i o tobie w sieci. Każda informacja, nawet banalna, może posłużyć do ataku, a data urodzenia podana publicznie razem z miejscem urodzenia ułatwia kradzież tożsamości. Przejrzyj profile firmowe i służbowe i usuń to, co nie musi być widoczne.

Piąta luka jest najbardziej techniczna, ale da się ją znaleźć bez fachowca. Firewall, czyli zapora na routerze, filtruje ruch przychodzący z internetu, a drugi firewall na komputerach pilnuje tego, co dzieje się w środku. Zajrzyj do panelu routera i sprawdź, czy zapora jest włączona i czy nie ma otwartych przekierowań portów, o których nikt nie pamięta.

Szósta to brak podglądu ruchu sieciowego. Prosty monitoring sieci pokazuje, które urządzenia łączą się z siecią i z jakimi adresami rozmawiają. Bez tego nie zauważysz obcego laptopa podłączonego do firmowego Wi-Fi ani komputera wysyłającego dane nocą.

Siódma luka to brak planu na wypadek wtargnięcia. Zanim cokolwiek się stanie, zapisz na kartce, kto odłącza urządzenie od sieci, do kogo dzwonisz i gdzie leży kopia danych. Taki scenariusz działa tylko wtedy, gdy powstał w spokojny dzień, a nie w trakcie awarii.

Ósma to zaufanie do narzędzi AI w firmie. Z Barometru Cyberbezpieczeństwa 2025 KPMG w Polsce wynika, że wykorzystanie sztucznej inteligencji do wsparcia działów IT wskazało 34 proc. ankietowanych korzystających z tej technologii. Tylko 5 proc. firm ma pełne zasady korzystania z tych narzędzi, obejmujące politykę, szkolenia i egzekwowanie reguł, podaje ten sam raport.

Dziewiąta luka to fałszywe wiadomości i telefony. Oszuści wysyłają fałszywe wiadomości tekstowe, czyli SMS-y, oraz dzwonią i podają się za bank albo dostawcę. Ustal w firmie jedną regułę: żadnych haseł ani kodów przez telefon, a każdą prośbę o przelew potwierdzasz innym kanałem niż ten, z którego przyszła.

Na koniec przejdź przez te punkty po kolei i zapisz, co udało się zamknąć. Jeśli po wszystkim nie umiesz wskazać, kto odpowiada za aktualizacje i gdzie leży kopia danych, luka nadal jest otwarta.

Jak ustawić hasła i weryfikację dwuetapową, żeby konto przestało być furtką dla ataku?

Zacznij od haseł, bo jedno hasło używane do wielu kont wystarcza przestępcy, żeby przejąć skrzynkę mailową i rozsyłać z niej ataki dalej. Silne hasło jest długie, zawiera małe i wielkie litery, cyfry oraz symbole i nie opiera się na danych, które ktoś odgadnie w minutę, jak imię psa czy rok urodzenia. Z raportu VECTO „Cyberbezpieczeństwo w polskich firmach 2025” wynika, że tylko 23 proc. firm wdrożyło weryfikację wieloskładnikową w większości kluczowych usług, czyli w poczcie, połączeniu zdalnym, systemach do zarządzania firmą i chmurze. To znaczy, że reszta nadal traktuje hasło jak jedyną zaporę.

Zamiast pilnować kilkunastu haseł w pamięci, zapisz je w menedżerze haseł. Program generuje i przechowuje dane logowania do kont, a ty pamiętasz tylko hasło główne do niego. Przy takiej liczbie kont nie utrzymasz haseł w głowie, a menedżer robi to za ciebie i podpowiada unikalny ciąg do każdego serwisu. Jeśli nie chcesz programu, zapisuj hasła w notesie trzymanym w szufladzie, nie w pliku na pulpicie.

Weryfikacja dwuetapowa dodaje do hasła drugi kod, więc sama kradzież hasła nie wystarcza do wejścia. Kod z aplikacji uwierzytelniającej jest bezpieczniejszy niż ten przychodzący SMS-em, a klucz sprzętowy, czyli niewielki przedmiot przypominający pendrive’a, jest najbardziej odporny na phishing. Wybierz aplikację, jeśli nie chcesz nosić dodatkowego sprzętu. Klucz ma sens tam, gdzie w firmie pracuje kilka osób na wspólnych kontach.

Kontrola dostępu zaczyna się od tego, kto ma dostęp do czego. Dodanie drugiego składnika do skrzynki pocztowej i panelu chmury chroni tożsamość użytkownika lepiej niż comiesięczna zmiana hasła. Ustal też, kto zakłada konta użytkowników i kto je zamyka, kiedy ktoś odchodzi. Konto byłego pracownika z aktywnym dostępem do poczty to otwarte drzwi, których nikt nie pilnuje.

Sprawdź efekt: wyloguj się ze skrzynki i zaloguj ponownie, tym razem z kodem z aplikacji. Jeśli kod nie przychodzi, sprawdź w ustawieniach konta, czy aplikacja jest poprawnie połączona, i wygeneruj kody zapasowe na wypadek utraty telefonu.

Jak przygotować sieć i urządzenia, żeby atak ransomware nie zostawił firmy bez danych?

Zacznij od inwentarza tego, co masz w sieci. Wypisz komputery, serwery, dyski sieciowe i wszystkie urządzenia sieciowe, które trzymają firmowe pliki. Przy każdym z nich zapisz, kto ma do niego dostęp i gdzie leży kopia zapasowa. Bez tej listy nie da się ustalić, co chronić w pierwszej kolejności, a przy ataku tracisz czas na szukanie tego, co właściwie zniknęło.

Kopię zapasową zrób tak, żeby nie dała się zaszyfrować razem z resztą. Trzymaj ją na nośniku odłączanym od sieci albo w oddzielnym miejscu, do którego nie prowadzi zwykłe konto firmowe. Sprawdź odtwarzanie, zanim będzie potrzebne: wybierz losowy plik, przywróć go na osobnym komputerze i otwórz.

Kopia, której nigdy nie testowałeś, to tylko nadzieja. Szyfrowanie danych na nośnikach zabezpieczy je, gdy dysk zginie, ale nie zatrzyma ransomware, jeśli nośnik jest cały czas podłączony.

Podziel sieć na części. Komputery biurowe nie muszą widzieć drukarek w magazynie ani kamer, a goście nie powinni trafiać do tych samych zasobów co księgowość. Ustaw osobne sieci dla gości i dla sprzętu, który sam się łączy z internetem.

Na routerze włącz monitoring ruchu sieciowego i zapisuj, które urządzenie łączyło się z czymś nietypowym. Do zdalnej pracy używaj firmowego VPN, czyli tunelu, przez który komputer łączy się z biurem tak, jakby stał w środku, i nie otwieraj dostępu do plików bezpośrednio z internetu.

Na każdym komputerze włącz oprogramowanie antywirusowe i aktualizuj je razem z systemem. Wymuś silne hasła i weryfikację dwuetapową, zwłaszcza do poczty i dysku w chmurze. Sprawdź, czy nikt nie trzyma firmowych plików na prywatnym koncie.

Na koniec przećwicz scenariusz: odłącz komputer od sieci, zadzwoń do osoby odpowiedzialnej i przywróć dane z kopii. Jeśli odtwarzanie się nie uda, masz problem do rozwiązania teraz, a nie w środku ataku.

Co zrobić, gdy już dojdzie do incydentu: pierwsze kroki, które ratują firmę?

Gdy podejrzewasz, że coś już się stało, liczy się kolejność. Najpierw odetnij podejrzane konto albo urządzenie od reszty firmy, potem zabezpiecz dowody, a dopiero na końcu naprawiaj. Zwykłe wyłączenie komputera i wyczyszczenie dysku kasuje ślady, których potrzebujesz, żeby ustalić, co dostało się do środka.

1. Odłącz od sieci komputer, na którym widzisz niepokojące objawy. Kabel wyjmij, Wi-Fi wyłącz w systemie.
2. Zablokuj dostęp do kont, które mogły zostać przejęte. Zmień hasła w skrzynce pocztowej, systemie firmowym i chmurze.
3. Zapisz, co się wydarzyło: godziny, treści podejrzanych wiadomości, nazwy plików. To materiał do dalszej analizy.
4. Sprawdź kopie zapasowe, zanim cokolwiek przywrócisz. Kopia wykonana po ataku może zawierać to samo złośliwe oprogramowanie.
5. Powiadom osoby, których dane mogły wyciec, i ustal, kto prowadzi dalsze działania.

Po skutecznym ataku ransomware i zaszyfrowaniu plików 81,5 proc. respondentów w raporcie VECTO „Cyberbezpieczeństwo w polskich firmach 2025” uważa, że firma zapłaciłaby okup. To pokazuje, jak duża presja pojawia się w pierwszych godzinach. Właśnie dlatego scenariusz reakcji ustalasz wcześniej, na spokojnie, a nie w momencie, gdy pliki przestają się otwierać.

Przy przejętej skrzynce pocztowej pamiętaj, że przestępca może z niej wysyłać wiadomości do twoich klientów i kontrahentów. Ostrzeż ich sam, z innego kanału niż poczta, zanim zrobi to ktoś w twoim imieniu. Sprawdź też reguły przekazywania wiadomości w skrzynce, bo atakujący często je dodaje, żeby dalej czytać korespondencję.

Zanim wrócisz do normalnej pracy, przejrzyj ustawienia kontroli dostępu do systemów firmowych. Konto, które zostało przejęte, mogło otrzymać nowe uprawnienia. Sprawdź listę aktywnych sesji i urządzeń zalogowanych do najważniejszych usług.

Incydent to też okazja, żeby przyjrzeć się bezpieczeństwu systemów na co dzień. Jeśli okaże się, że nikt nie miał gotowego planu, wpisz go teraz na papier: kto dzwoni, do kogo, w jakiej kolejności. Zasady ochrony danych i sposób analizy ruchu sieciowego warto przy tym uporządkować, bo to one najczęściej pokazują, że coś dzieje się w firmie, zanim ktokolwiek zauważy skutki.

Jak szkolić pracowników i korzystać z AI bez ryzyka dla firmowej sieci?

Szkolenie zaczynasz od jednej decyzji: kto w firmie może kliknąć w link z wiadomości, a kto nie. Zanim rozdasz materiały, ustal, gdzie w firmie leży poczta, VPN, czyli zdalne łączenie z firmową siecią, i chmura z dokumentami. To trzy miejsca, przez które najczęściej wchodzi phishing, czyli podstawiona wiadomość podszywająca się pod zaufanego nadawcę.

Potem zrób listę tego, czego pracownik nie robi sam. Otwieranie załączników od nieznanych nadawców, podawanie hasła przez telefon i logowanie do firmowej skrzynki na prywatnym komputerze to trzy pozycje, które każdy zrozumie po jednym zdaniu.

Zasady bezpiecznego korzystania z internetu w firmie spisujesz krótko, na jednej stronie, i wręczasz przy zatrudnieniu. Dłuższego dokumentu nikt nie przeczyta do końca, a krótki da się omówić na piętnastominutowym spotkaniu.

Państwowy instytut zajmujący się bezpieczeństwem sieci razem z Polską Agencją Rozwoju Przedsiębiorczości przygotował dla małych i średnich firm zestaw rekomendacji. Obejmuje 56 godzin szkoleń podzielonych na pięć obszarów. Nie musisz przerabiać całości od razu. Wybierz obszar, który odpowiada twojemu najsłabszemu punktowi, i zacznij od niego.

• Ustal, kto ma dostęp do poczty, VPN i chmury, i wypisz te osoby z imienia i nazwiska.
• Spisz na jednej stronie, czego pracownik nie robi bez pytania.
• Przejrzyj rekomendacje dla małych firm i wybierz jeden obszar szkoleń na najbliższy kwartał.
• Ustal, kto odpowiada za narzędzia AI w firmie, i zapisz to w jednym zdaniu.
• Sprawdź po szkoleniu, czy pracownicy rozpoznają podstawioną wiadomość na prostym przykładzie.

Osobny temat to narzędzia AI. Pracownik wkleja do czatu fragment umowy albo listę klientów. Zanim pozwolisz na takie użycie, powiedz wprost, jakie dane wolno wklejać, a jakich nie wolno.

Wyznacz jedną osobę, która odpowiada za te narzędzia. Niech zbiera pytania i poprawia zasady, gdy pojawi się nowy program. Wtedy szkolenie nie kończy się na pierwszym spotkaniu.

Na koniec sprawdź efekt. Wyślij do zespołu próbną wiadomość z linkiem i zobacz, kto kliknie. Jeśli ktoś kliknie, nie rób z tego awantury, tylko omów z nim, po czym poznać fałszywą wiadomość. Drugi test zrób po miesiącu i porównaj wyniki.

FAQ - krótkie odpowiedzi

Czy w małej firmie trzeba wdrażać weryfikację dwuetapową?

Tak, i to we wszystkich usługach, do których logujesz się z sieci firmowej: poczta, VPN, systemy ERP/CRM, chmura. Weryfikacja dwuetapowa wymaga hasła i dodatkowego kodu, więc samo przejęcie hasła nie wystarcza do wejścia na konto. W kluczowych usługach MFA w większości systemów deklaruje jedynie 23% firm, czyli większość robi to później, niż powinna.

Która metoda weryfikacji dwuetapowej jest najbezpieczniejsza?

Najbardziej odporny na phishing jest klucz sprzętowy U2F, czyli fizyczny przedmiot przypominający pendrive’a albo brelok do kluczy. Kod z aplikacji uwierzytelniającej jest lepszy od SMS-a. Zacznij od aplikacji na telefonach pracowników, a klucze sprzętowe wprowadź tam, gdzie loguje się najwięcej osób albo gdzie jest dostęp do pieniędzy i danych klientów.

Czy menedżer haseł wystarczy zamiast polityki haseł w firmie?

Menedżer haseł załatwia połowę problemu: generuje i przechowuje dane logowania, więc pracownik pamięta tylko jedno hasło główne. Silne hasło nadal musi być długie i zawierać małe i wielkie litery, cyfry oraz symbole. Jedno hasło używane do wielu kont wystarczy przestępcy, żeby przejąć skrzynkę mailową i wykorzystać ją do ataków na innych, dlatego menedżer wdrażaj razem z zasadą osobnego hasła do każdego konta.