Przegląd tego, co widać z zewnątrz
Sprawdzamy, jakie usługi Wasze łącze pokazuje światu i które z nich nie powinny tam być. Wynik to lista z oceną pilności, a nie raport na sto stron, którego nikt nie przeczyta.
Włamania do firm rzadko zaczynają się od wyrafinowanego ataku. Zaczynają się od pulpitu zdalnego wystawionego na port, panelu routera z fabrycznym hasłem albo konta w VPN po pracowniku, który odszedł dwa lata temu. Ta strona jest o brzegu sieci, czyli o tym, co widać z internetu i kto wchodzi do firmy z zewnątrz. Tym, co dzieje się w środku, czyli okablowaniem, przełącznikami i siecią firmową wraz z Wi-Fi, zajmujemy się osobno.
Zaczynamy zwykle od jednej rzeczy, która nic nie kosztuje: sprawdzamy z zewnątrz, co Wasza firma pokazuje światu, i pokazujemy to na liście. Bywa, że lista jest pusta i wtedy mówimy to wprost, zamiast sprzedawać nowy firewall. Częściej znajdują się na niej dwie albo trzy pozycje, o których nikt w firmie nie wiedział, bo zostały włączone kiedyś na chwilę, na czas jednego wdrożenia.
Trzy rzeczy, które znajdujemy najczęściej i które w każdej firmie wyglądają tak samo. Żadna z nich nie wymagała złej woli, wszystkie powstały z pośpiechu.
Najczęstszy sposób, w jaki ransomware wchodzi do małej firmy. Ktoś kiedyś potrzebował dostępu z domu, port został otwarty na jeden wieczór i jest otwarty do dziś. Automaty skanują takie porty bez przerwy i próbują haseł, a serwer nie zgłasza tego nikomu.
Rejestrator kamer wystawiony po to, żeby prezes mógł podejrzeć halę z telefonu, bardzo często ma domyślne hasło i oprogramowanie sprzed kilku lat. Z tego samego segmentu sieci widać potem serwer plików, bo instalator nie miał powodu tego rozdzielać.
Sam VPN to dobry kierunek, ale gdy wystarczy do niego hasło, wycieka razem z każdym hasłem pracownika. Do tego dochodzą aktywne konta osób, które już nie pracują, bo przy odejściu nikt nie miał na liście punktu o odebraniu dostępu zdalnego.
Warto zrozumieć jedną rzecz: te trzy pozycje kosztują znacznie mniej do naprawienia niż nowy firewall, a zdejmują większą część ryzyka. Dlatego w takiej kolejności to robimy. Wymiana sprzętu bywa potrzebna, ale rzadko jest pierwszym krokiem i nigdy nie zastąpi uporządkowania dostępów. Tę samą zasadę stosujemy poza siecią, przy całej kolejności wydatków na bezpieczeństwo. Najostrzejszy przypadek podziału to zakład produkcyjny, gdzie po jednej stronie stoją sterowniki maszyn, których nie wolno aktualizować; rozpisujemy go przy IT dla firm produkcyjnych.
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, która wdraża unijną dyrektywę NIS2, weszła w życie 3 kwietnia 2026 roku. Dla części firm to nowy obowiązek, a dla wielu pozostałych nowe pytania od klientów.
Zniknęła decyzja urzędu wskazująca objęte podmioty, a jej miejsce zajęła samoidentyfikacja. Przepisy obejmują osiemnaście sektorów w podziale na podmioty kluczowe i ważne, więc obowiązek może dotyczyć firmy, która nigdy wcześniej nie miała z tym do czynienia.
Wniosek o wpis do wykazu KSC trzeba złożyć do 3 października 2026 roku. Same obowiązki, czyli system zarządzania bezpieczeństwem informacji, obsługa incydentów i ciągłość działania, mają termin 3 kwietnia 2027, a pierwszy audyt dla podmiotów kluczowych 3 kwietnia 2028.
Objęte firmy muszą uwzględniać ryzyko swoich dostawców, więc wymagania spływają w dół do podwykonawców. Jeśli sprzedajecie coś szpitalowi, zakładowi energetycznemu albo dużemu producentowi, ankieta o zabezpieczeniach przyjdzie do Was, nawet gdy ustawa Was nie obejmuje.
Uczciwe zastrzeżenie: nie jesteśmy kancelarią i nie rozstrzygniemy za Was, czy jesteście podmiotem kluczowym, ważnym, czy żadnym z nich. To pytanie prawne i tak je traktujemy. Robimy natomiast część techniczną, o którą i tak zapyta każdy audytor i każda ankieta od klienta: kto ma dostęp z zewnątrz, czym jest chroniony, co jest zapisywane i po jakim czasie odtworzycie dane po awarii. Warto wiedzieć, że stawka urosła, bo kary sięgają teraz 10 mln euro lub 2 procent przychodu dla podmiotów kluczowych, a odpowiedzialność obejmuje też kierownictwo. Sektorem wymienionym w ustawie wprost jest też ochrona zdrowia, gdzie progi liczy się inaczej i obejmują nawet podwykonawców szpitala, co rozpisujemy przy IT dla placówek medycznych. Kalendarz wpisu, różnica między podmiotem kluczowym a ważnym i to, czym ustawa różni się od rozporządzenia DORA, jest na stronie nowelizacji uKSC.
Sześć rzeczy, od których zaczynamy. Każdą można zamówić osobno, ale kolejność ma znaczenie i zwykle jest właśnie taka.
Sprawdzamy, jakie usługi Wasze łącze pokazuje światu i które z nich nie powinny tam być. Wynik to lista z oceną pilności, a nie raport na sto stron, którego nikt nie przeczyta.
Dobieramy urządzenie do wielkości firmy, ustawiamy reguły i pilnujemy subskrypcji, bo wygasła ochrona to firewall, który świeci, ale już nie chroni. Przy sensownym sprzęcie zostajemy przy nim zamiast go wymieniać.
Zamykamy wystawione porty i zastępujemy je tunelem z imiennymi kontami, tak żeby odejście pracownika oznaczało jedno kliknięcie, a nie zmianę hasła znanego wszystkim.
Hasło przestało wystarczać przy dostępie z zewnątrz i do poczty. Wdrażamy potwierdzanie logowania aplikacją albo kluczem sprzętowym tam, gdzie stawka jest najwyższa, czyli przy zarządzie i księgowości.
Brzeg sieci nie pomoże, gdy zagrożenie przyjdzie w załączniku do faktury. Ochrona stacji i serwerów w jednej konsoli daje to, czego brakuje najbardziej, czyli sygnał, że coś się dzieje, zanim zadzwoni pierwszy użytkownik.
Kamery, terminale i goście nie muszą widzieć serwera z dokumentami. Podział na strefy ogranicza skutki włamania do jednego fragmentu firmy i jest robotą w środku sieci, więc opisujemy ją osobno.
Czego nie obiecujemy: że po naszej pracy nikt się do Was nie włamie. Takiej gwarancji nie da nikt uczciwy. Obiecujemy natomiast, że łatwe drogi wejścia zostaną zamknięte, że zobaczycie próbę zamiast dowiedzieć się o niej od klienta i że po najgorszym scenariuszu będzie z czego odtworzyć firmę, bo kopie zapasowe traktujemy jako część tej samej układanki.
Bez wielkiego projektu na starcie. Najpierw to, co pilne i tanie, potem dopiero rozmowa o sprzęcie.
Sprawdzamy, co widać z internetu, i przeglądamy listę kont z dostępem zdalnym. To jedno spotkanie, po którym wiecie, na czym stoicie, i możecie z tym pójść do kogokolwiek.
Wyłączamy niepotrzebne wystawione usługi, odbieramy dostęp byłym pracownikom i zmieniamy fabryczne hasła na urządzeniach. Zwykle mieści się to w kilku godzinach pracy i nie wymaga zakupów.
Ustawiamy VPN z imiennymi kontami i potwierdzaniem logowania, porządkujemy reguły na firewallu, a jeśli urządzenie nie ma już wsparcia producenta, proponujemy wymianę z wyceną i terminem.
Aktualizacje, wygasające subskrypcje i przegląd kont z dostępem robimy cyklicznie, bo lista dostępów rozjeżdża się w każdej firmie po kilku miesiącach. Ten punkt wchodzi w abonament albo zostaje po Waszej stronie, jeśli macie kim go obsłużyć.
Hala z terminalami, przychodnia z danymi pacjentów i kancelaria z aktami mają inne ryzyka i inne wymagania. Zobacz, jak wygląda to u Was.
Strony, które łączą się z bezpieczeństwem sieci najczęściej.
Router operatora zwykle wystarcza do tego, żeby internet działał, ale nie daje podglądu na to, kto wchodzi z zewnątrz, ani możliwości podzielenia sieci na strefy. Zaczynamy od sprawdzenia, co przez niego widać, i dopiero wtedy mówimy, czy trzeba go zastąpić. Czasem wystarczy poprawić konfigurację tego, co już stoi.
Pierwsze dwa kroki, czyli przegląd i zamknięcie tego, co pilne, mieszczą się zwykle w kilku godzinach pracy i nie wymagają zakupów. Koszt pojawia się przy firewallu i jego subskrypcji, a ten zależy od liczby osób i łącza. Wycenę podajemy po przeglądzie, bo bez niego byłaby zgadywaniem.
Firma musi to dziś ocenić sama, bo przepisy wprowadziły samoidentyfikację zamiast decyzji urzędu, a objęły osiemnaście sektorów. Ocena prawna nie należy do nas, natomiast część techniczna owszem. Niezależnie od tego pytania warto się przygotować, bo wymagania spływają w dół łańcuchem dostaw i przychodzą w ankietach od większych klientów.
Przez tunel z kontem imiennym dla każdej osoby i potwierdzaniem logowania drugim składnikiem, a nie przez port wystawiony do pulpitu zdalnego. Wtedy odejście pracownika to jedno kliknięcie, a wyciek jego hasła nie oznacza wejścia do firmy. Konfiguracja zajmuje zwykle jeden dzień roboczy.
Zwykle nie. Wymiany wymaga sprzęt, który nie dostaje już aktualizacji od producenta, bo takiego nie da się bezpiecznie utrzymać. Reszta częściej potrzebuje poprawnej konfiguracji i opieki niż zastąpienia, a my nie zarabiamy na tym, żeby przekonać Was do przeciwnego.
Odcinamy zajęty fragment sieci, zabezpieczamy ślady i odtwarzamy dane z kopii, a równolegle ustalamy, którędy weszło zagrożenie, żeby nie wróciło tą samą drogą. Dlatego sprawdzony backup jest częścią tej usługi, a nie osobnym tematem. Firmy objęte ustawą mają na pierwsze zgłoszenie incydentu 24 godziny.
Tutaj jest brzeg sieci, czyli firewall, dostęp z zewnątrz i to, co widać z internetu. Na stronie sieci firmowych jest wnętrze, czyli okablowanie, przełączniki, Wi-Fi i podział na strefy. W praktyce często robimy jedno i drugie w tym samym projekcie, ale opisujemy osobno, żeby dało się zamówić tylko to, czego potrzebujecie.
30 minut rozmowy o tym, co masz i co przeszkadza w pracy. W ciągu 1 dnia roboczego dostajesz listę ryzyk na jednej stronie i zostaje ona u Ciebie, także jeśli nie pójdziemy dalej razem. Jeśli Twoja sprawa nie jest dla nas, powiemy to od razu i wskażemy kogoś innego.
2019-2026 Interactive Workspace Sp. z o.o. Wszelkie prawa zastrzeżone.