Masz kilka komputerów, jeden router, pocztę w chmurze i pliki, bez których firma staje. I nagle ktoś klika w „fakturę”, konto mailowe zostaje przejęte albo NAS szyfruje ransomware. W małej firmie najczęściej nie wygrywa „najlepszy produkt”, tylko kolejność działań i kilka ustawień, które brutalnie obniżają ryzyko przy małym koszcie.
Poniżej jest procedura 80/20: najpierw to, co realnie blokuje przejęcia kont i utratę danych, potem dopiero dopieszczanie. Każdy krok ma kryteria kontroli oraz miejsca, gdzie DIY jest OK, a gdzie lepiej uważać.
bezpieczeństwo IT w małej firmie, ochrona przed ransomware, MFA w firmie, kopie zapasowe 3-2-1, bezpieczny router Wi‑Fi, Windows Defender konfiguracja, BitLocker FileVault, zdalny dostęp VPN zamiast RDP, segmentacja sieci gościnnej, checklista cyberbezpieczeństwa, aktualizacje systemu automatyczne
Najpierw ustal priorytety: zagrożenia małej firmy i zasada 80/20
Najczęstsze scenariusze ataku (i dlaczego bolą najbardziej)
W małych firmach powtarzają się cztery sytuacje. Pierwsza to phishing: przejęta poczta i później „prośby o zmianę numeru konta” albo wysyłka spamu z firmowego adresu. Druga to ransomware: zaszyfrowane pliki na komputerach i udziałach sieciowych, czasem także na NAS.
Trzecia to utrata sprzętu (laptop w pociągu, telefon po imprezie) i wyciek danych, jeśli dysk nie jest szyfrowany. Czwarta to zły zdalny dostęp: wystawione RDP/SSH albo port forwarding na routerze, które prędzej czy później znajdzie automat skanujący internet.
Co daje największy efekt przy małym koszcie
Jeśli masz zrobić tylko kilka rzeczy, to te zwykle dają najlepszy zwrot: MFA na krytycznych kontach, automatyczne aktualizacje, backup odporny na ransomware (offline lub niezmienialny), praca bez uprawnień administratora, szyfrowanie dysków laptopów i twarde ustawienia routera/Wi‑Fi.
Antywirus bywa ważny, ale w wielu mikrofirmach większy problem to brak MFA na poczcie albo kopie zapasowe „na tym samym dysku”. Najpierw zatrzaśnij te drzwi.
Prosty model: co chronisz i co ma działać po incydencie
Na kartce (albo w arkuszu) wypisz: pocztę, pliki, dostęp do banku, urządzenia (laptopy/telefony), router/Wi‑Fi i kopie zapasowe. To jest Twoje minimum.
Druga rzecz: co musi działać po incydencie. Zwykle to: „mamy dostęp do poczty”, „odzyskujemy pliki z backupu”, „zablokujemy konto i zmienimy hasła”. Jeśli nie umiesz odpowiedzieć „kto i jak”, to znaczy, że ryzyko jest większe niż Ci się wydaje.
Krok 0 (P1): Inwentaryzacja i szybkie porządki – bez tego dalej będziesz zgadywać
Minimalna lista zasobów (do zrobienia w 30–60 minut)
Nie chodzi o audyt na 50 stron. Chodzi o listę, dzięki której nie zapomnisz o „tym jednym laptopie” i nie zgubisz dostępu do domeny.
- Urządzenia: laptopy/PC, telefony firmowe, tablety, drukarki Wi‑Fi, NAS, router, access pointy.
- Systemy: Windows/macOS/Linux (wersje nie muszą być idealne, wystarczy „Windows 10/11”).
- Usługi: poczta (Microsoft 365 / Google Workspace / hosting), chmura plików (OneDrive/Google Drive/Dropbox), CRM, księgowość, rejestrator domeny, hosting WWW.
- Miejsca danych: gdzie są „pliki firmowe” (komputery, NAS, chmura, dyski USB).
Kryterium kontroli: masz jeden plik/arkusz z listą oraz wiesz, gdzie fizycznie jest router i NAS oraz kto ma do nich hasła.
Ustalenie właścicieli kont i „jednego miejsca prawdy” dla dostępu
W małych firmach największą miną są konta „wspólne” i brak właściciela. Ustal, kto jest właścicielem (i kto zastępuje) dla: poczty, banku, rejestratora domeny, hostingu, panelu administracyjnego Microsoft/Google, kont administracyjnych na komputerach.
Drugie pole minowe to hasła w notatniku, na kartce albo w skrzynce mailowej. Wybierz jedno miejsce: menedżer haseł. Nawet jeśli zaczynasz od minimum, to lepiej mieć spójność niż „każdy trzyma inaczej”.
Kryterium kontroli: potrafisz wskazać osobę, która odzyska dostęp do kluczowych kont, gdy „zniknie” właściciel telefonu z MFA.
Szybkie czyszczenie: usuń to, co niepotrzebne
Usuń lub zablokuj konta byłych pracowników, stare skrzynki, nieużywane przekierowania poczty. Jeśli masz dostęp „admin” współdzielony przez kilka osób – to jest moment, żeby to zatrzymać i przejść na konta imienne.
Kiedy lepiej uważać: jeśli nie masz pewności, czy jakieś konto jest używane przez system (np. integracje, kopie zapasowe, aplikacje księgowe), najpierw je zinwentaryzuj i opisz, zamiast „wycinać w ciemno”.
Krok 1–2 (P1): Konta, hasła i MFA – najszybsza redukcja ryzyka przejęcia
MFA obowiązkowo (i gdzie ludzie najczęściej robią wyjątki)
MFA (uwierzytelnianie wieloskładnikowe) to jeden z najszybszych sposobów, żeby kliknięcie w phishing nie kończyło się przejęciem firmowej poczty. W praktyce MFA ma sens tylko wtedy, gdy jest konsekwentne.
Włącz MFA obowiązkowo dla:
- poczty (Microsoft 365 / Google Workspace) i kont administratorów tych usług,
- chmury plików (OneDrive/SharePoint/Google Drive/Dropbox),
- bankowości i bramek płatności,
- rejestratora domeny i hostingu (to często pomijane, a krytyczne),
- zdalnego dostępu: VPN, panele administracyjne, narzędzia zdalnej pomocy.
Preferencje metod: aplikacja TOTP lub powiadomienia push, a w idealnym świecie klucz sprzętowy. SMS traktuj jako plan B, gdy nie ma alternatywy.
Plan awaryjny MFA: nie zablokuj sobie firmy
Najczęstszy argument przeciw MFA to strach, że „zgubimy telefon i koniec”. To da się ogarnąć tanio, ale trzeba to zrobić od razu, a nie „później”.
- Zapisz kody odzyskiwania offline (wydruk w segregatorze w zamykanej szafce, albo zaszyfrowany plik w kontrolowanym miejscu).
- Ustal drugą metodę (drugi telefon firmowy, drugi klucz, alternatywna aplikacja) dla kont krytycznych.
- Wyznacz osobę do odzyskiwania i opisz procedurę: co robimy, gdy konto jest przejęte.
Kryterium kontroli: da się zalogować na konto admin/poczta tylko z MFA, a kody zapasowe istnieją i są dostępne dla uprawnionej osoby.
Menedżer haseł: zasady w małym zespole
Hasła mają być unikalne i długie. W praktyce to oznacza generowanie i trzymanie ich w menedżerze haseł. Jeśli zespół jest mały, kluczowa jest jedna reguła: nie udostępniajcie jednego loginu „dla wszystkich”, jeśli da się mieć konta imienne.
Jeśli musisz współdzielić dostęp (np. panel hostingowy), rób to przez funkcję udostępniania w menedżerze haseł lub przez mechanizmy dostępu w usłudze (zaproszenia użytkowników, role), a nie przez wysyłkę hasła w mailu.
Kiedy DIY może być ryzykowne: migracja poczty, zmiana dostawcy, konsolidacja kont admin. Jeśli masz domenę, kilka skrzynek i integracje, jedna pomyłka może odciąć firmę od maila. Tu czasem lepiej zamówić 2–3 godziny wsparcia i zrobić to bez nerwów.
Krok 3–4 (P1): Aktualizacje i uprawnienia – ogranicz szkody po kliknięciu w zły link
Aktualizacje systemu i aplikacji: ustaw i przestań o tym myśleć
Automatyczne aktualizacje to nudne, ale skuteczne zabezpieczenie systemowe. Cel jest prosty: łatki mają się instalować, a restart ma się wydarzyć w przewidywalnym oknie, a nie „za trzy tygodnie”.
- Windows: włącz Windows Update, nie blokuj aktualizacji „bo spowalnia”. Dopilnuj aktualizacji Microsoft 365/Office i przeglądarek.
- macOS: włącz automatyczne aktualizacje systemu i aplikacji, dopilnuj aktualizacji Safari/Chrome oraz narzędzi zewnętrznych.
- Linux: ustaw regularne aktualizacje (np. unattended-upgrades w Debian/Ubuntu) oraz aktualizuj przeglądarki i pakiety zewnętrzne.
Jeśli boisz się, że aktualizacja popsuje pracę: wybierz jeden komputer jako „pilot” i aktualizuj go jako pierwszy. Gdy wszystko działa, aktualizuj resztę. To proste i często wystarcza.
Kryterium kontroli: na każdym urządzeniu potrafisz sprawdzić status aktualizacji i nie widzisz zaległości „od miesięcy”.
Praca bez admina + oddzielne konto administracyjne
To jest mało popularne, bo „niewygodne”, ale mocno ogranicza szkody, gdy ktoś uruchomi złośliwy plik. Zasada: konto użytkownika do pracy jest standardowe, a uprawnienia admina są osobno.
- Każdy pracownik ma konto bez uprawnień administracyjnych.
- Jest osobne konto administracyjne (dla właściciela/IT) używane tylko do instalacji i zmian.
- Instalowanie programów wymaga podania hasła admina (i to ma działać, a nie być obchodzone).
Kryterium kontroli: użytkownik nie może samodzielnie instalować losowych aplikacji, a do zmian systemowych trzeba użyć konta admin.
Minimum ochrony wbudowanej: Windows Defender i odpowiedniki
W wielu małych firmach na start wystarcza sensownie skonfigurowana ochrona wbudowana, jeśli reszta fundamentów jest zrobiona. Najważniejsze: ochrona w czasie rzeczywistym i firewall mają być włączone.
- Windows: Microsoft Defender (real-time), zapora systemu Windows, SmartScreen. Sprawdź, czy użytkownik nie ma możliwości łatwego wyłączenia ochrony.
- macOS: Gatekeeper, aktualizacje, ograniczenie uruchamiania niepodpisanych aplikacji (w praktyce: nie zezwalaj „bo wyskoczył komunikat”).
- Linux: firewall (np. ufw) i ograniczenie usług, które naprawdę muszą działać.
Kiedy to już za mało: jeśli masz wiele urządzeń, rotację pracowników albo wymóg zgodności (np. kontrakty), rozważ narzędzia z centralnym zarządzaniem. W małym zespole problemem nie jest „brak funkcji”, tylko brak kontroli, czy ustawienia są wszędzie takie same.
Krok 5 (P1): Kopie zapasowe odporne na ransomware – 3-2-1 w wariancie dla małej firmy
3-2-1 bez filozofii: co to znaczy w praktyce
Zasada 3-2-1: masz co najmniej 3 kopie danych, na co najmniej 2 różnych nośnikach, z czego 1 kopia jest poza firmą lub offline. Kluczowe jest to ostatnie. Ransomware często szyfruje to, co jest „pod ręką” – także dyski sieciowe i podłączone USB.
Druga zasada, równie ważna: backup ma być odseparowany od kont użytkowników. Jeśli pracownik ma dostęp do backupu jak do zwykłego folderu, to malware też go będzie mieć.
Najprostszy wariant dla małej firmy: dane robocze trzymasz w chmurze (to jedna kopia), robisz kopię do drugiej lokalizacji (np. dysk NAS albo zewnętrzny dysk USB), a trzecią kopię trzymasz poza zasięgiem „ciągle podłączonych” zasobów (offline lub w osobnej usłudze/kontenerze z innymi poświadczeniami).
Praktyczny schemat, który da się wdrożyć samodzielnie: codzienny backup do miejsca, do którego użytkownicy nie mają dostępu, oraz kopie wersjonowane (retencja) minimum na kilka tygodni. Jeśli korzystasz z OneDrive/SharePoint/Google Drive, same „wersje plików” często ratują dzień po przypadkowym skasowaniu, ale przy ransomware liczy się też to, czy atakujący nie ma praw do masowego kasowania wersji.
Dysk USB jako „offline” ma sens, jeśli jest naprawdę offline: podłączasz go tylko na czas backupu i odkładasz. Zostawiony na stałe w komputerze albo wpięty do routera przestaje być kopią awaryjną. To klasyczny błąd: firma ma backup „na dysku”, a potem okazuje się, że dysk też został zaszyfrowany, bo był widoczny jak zwykły zasób.
Kryterium kontroli, bez ściemy: raz w miesiącu odtwarzasz próbnie jeden folder lub kilka plików na czyste miejsce i sprawdzasz, czy da się wrócić do wersji sprzed 7–14 dni. Jeśli przy teście wychodzi „nie mamy uprawnień”, „nie pamiętamy hasła” albo „backup jest, ale nie wiadomo gdzie” — to nie jest backup, tylko nadzieja.
Gdy musisz wybrać, w co włożyć pierwszą godzinę: MFA na pocztę i konto domeny, aktualizacje, praca bez admina, a potem kopie 3-2-1 z testem odtworzenia. Resztę można dopieszczać później, ale te elementy najczęściej decydują, czy awaria kończy się jednym trudnym dniem, czy tygodniami odtwarzania firmy z chaosu.
Krok 6 (P1): Sieć i Wi‑Fi – ustaw router tak, żeby nie był najsłabszym ogniwem
Cel na tym etapie
Router ma nie wystawiać firmy na internetowe skanery, a Wi‑Fi ma być podzielone tak, żeby gość lub „sprytny” sprzęt IoT nie miał dostępu do komputerów i plików.
Ustawienia „must‑have” w 20–30 minut
Jeśli masz zrobić tylko kilka rzeczy, zrób te. Dają duży efekt, a nie wymagają kupowania sprzętu.
- Zmień hasło administratora routera na unikalne i długie (najlepiej z menedżera haseł). Nie zostawiaj „admin/admin”.
- Zaktualizuj firmware i sprawdź, czy router ma włączone automatyczne aktualizacje (jeśli nie ma — ustaw przypomnienie cykliczne).
- Wyłącz zdalne zarządzanie z internetu (Remote Management / Web Admin from WAN). Panel ma być dostępny tylko z sieci lokalnej.
- Wyłącz WPS. To wygoda kosztem bezpieczeństwa.
- Włącz WPA2‑AES lub WPA3. Nie używaj WPA/WEP. Hasło do Wi‑Fi ma być długie i nieużywane nigdzie indziej.
- Oddziel sieć gości (Guest Wi‑Fi) i zablokuj jej dostęp do urządzeń w LAN (opcja typu „Access intranet / LAN access” ma być wyłączona).
Kryterium kontroli: panel routera nie otwiera się z internetu, WPS jest wyłączony, jest osobne Wi‑Fi dla gości, a firmware nie jest „sprzed lat”.
Segmentacja minimum: goście i IoT poza firmowymi komputerami
Jeśli w firmie działa drukarka Wi‑Fi, telewizor, kamera, „inteligentny” alarm albo tani terminal, potraktuj to jak IoT. Takie sprzęty są często zaniedbane aktualizacyjnie.
- Utwórz osobną sieć Wi‑Fi dla IoT (jeśli router to wspiera) albo wrzuć IoT do sieci gości.
- Jeśli drukarka ma działać z komputerów firmowych, rozważ drukarkę po kablu lub kontrolowane wyjątki (zamiast mieszania wszystkiego w jednej sieci).
Krótki scenariusz: pracownik wpuszcza klienta na Wi‑Fi „bo musi wysłać plik”. Jeśli to jest sieć firmowa, gość jest w tej samej przestrzeni co komputery. Sieć gości z blokadą LAN zamyka temat.
Rzeczy, które najczęściej psują bezpieczeństwo (i są „niewidoczne”)
- Port forwarding „bo kiedyś działało” – stare przekierowania portów do rejestratora, NAS-a, pulpitu zdalnego.
- UPnP – urządzenia same wystawiają sobie porty. Jeśli nie wiesz, że tego potrzebujesz, zwykle lepiej wyłączyć.
- DNS od operatora bez kontroli – nie jest to krytyczne, ale w części firm lepiej ustawić zaufane DNS (np. dostawcy chmury/bezpieczeństwa) i mieć spójność na urządzeniach.
Ostrzeżenie: nie otwieraj panelu routera do internetu „żeby IT mogło się zalogować”. Zdalny dostęp robi się przez VPN albo narzędzie zdalnej pomocy z MFA, nie przez wystawiony panel administracyjny.
Krok 7 (P1/P2): Dostęp zdalny – nie wystawiaj RDP/SSH na świat
Najbezpieczniejsza decyzja dla małej firmy
Jeśli zdalny dostęp nie jest konieczny, wyłącz go. Jeśli jest konieczny, zrób go tak, żeby nie opierał się na „otwartym porcie i haśle”.
Co uznać za czerwone flagi
- RDP (3389) wystawione na internet przez port forwarding.
- SSH (22) wystawione na internet bez kluczy i bez ograniczeń adresów IP.
- Panel NAS-a / routera dostępny z WAN.
Kryterium kontroli: na routerze nie ma przekierowań portów do komputerów pracowników. Jeśli są — potrafisz uzasadnić każdy z nich i wiesz, kto go używa.
Bezpieczne warianty „DIY”, od najprostszego
- Narzędzie zdalnej pomocy z kontami imiennymi i MFA (dla wsparcia, krótkich sesji). Nie jest idealne, ale zwykle bezpieczniejsze niż RDP na porcie.
- VPN do firmy (najlepiej na routerze lub dedykowanym urządzeniu), z MFA jeśli dostępne. Dostęp po VPN dopiero otwiera zasoby.
- Zero Trust / dostęp aplikacyjny (gdy firma rośnie): nie wpuszcza „do sieci”, tylko do konkretnej aplikacji/usługi. Tu często przydaje się wsparcie wdrożeniowe.
Jeśli musisz używać SSH lub RDP w sieci lokalnej
Nie chodzi o to, żeby zakazać wszystkiego, tylko żeby ograniczyć powierzchnię ataku.
- RDP: włącz tylko na urządzeniach, które naprawdę tego wymagają, ogranicz użytkowników, rozważ NLA, pilnuj aktualizacji. Z internetu: nie.
- SSH: logowanie kluczem (nie hasłem), brak dostępu dla roota, firewall ograniczający źródła, aktualizacje.
Kiedy lepiej przestać robić to samodzielnie: gdy musisz udostępnić zdalny dostęp wielu osobom, są integracje z systemami księgowymi/serwerami, albo nie masz pewności, co już jest wystawione na routerze. Jedno przeoczenie potrafi unieważnić całą resztę pracy.
Krok 8 (P2): Szyfrowanie urządzeń i ochrona przed utratą laptopa
Dlaczego to jest priorytet w małej firmie
Najczęstszy „incydent” to nie haker, tylko zgubiony lub skradziony laptop/telefon. Szyfrowanie sprawia, że utrata sprzętu nie musi oznaczać wycieku danych.
Minimum ustawień na stacjach roboczych
- Windows: BitLocker (w miarę możliwości) + PIN/hasło do konta. Klucz odzyskiwania przechowuj w kontrolowanym miejscu (konto firmowe, nie prywatne).
- macOS: FileVault włączony, konto użytkownika z hasłem, blokada ekranu po krótkim czasie.
- Linux: szyfrowanie dysku (LUKS) + blokada ekranu; aktualizacje i firewall nadal obowiązują.
- Telefony: kod/PIN, biometria jako wygoda, włączone szyfrowanie (zwykle domyślnie), funkcja zdalnego wymazania w MDM lub przynajmniej w koncie Google/Apple.
Kryterium kontroli: urządzenie po uruchomieniu wymaga uwierzytelnienia, a dysk jest zaszyfrowany (to da się sprawdzić w ustawieniach systemu). Pracownik nie ma ustawionego „brak hasła, bo szybciej”.
Ostrzeżenie o kluczach odzyskiwania
Szyfrowanie bez ogarniętych kluczy odzyskiwania kończy się czasem „utraciliśmy dane, bo nikt nie ma klucza”. Klucze mają być przypisane do firmy i dostępne dla uprawnionej osoby, nie w prywatnej skrzynce pracownika.
Krok 9 (P2): Podstawowy monitoring i logi – żeby incydent nie wyszedł po miesiącu
Minimum, które da się utrzymać bez SOC
Nie chodzi o zaawansowane SIEM. Chodzi o to, żeby ktoś zobaczył alarm z poczty/chmury i zareagował tego samego dnia.
- Włącz powiadomienia o logowaniach i podejrzanej aktywności w Microsoft 365 / Google Workspace.
- Ustaw alerty o zmianach MFA, dodaniu nowego urządzenia zaufanego, przekierowaniach poczty (forwarding rules).
- Skonfiguruj adres alarmowy (np. właściciel + office manager), a nie pojedynczy pracownik.
Kryterium kontroli: potrafisz wskazać, gdzie przychodzi alert o podejrzanym logowaniu i kto ma obowiązek go przeczytać.
Szybki test: reguły przekierowań w poczcie
Przejęte konto często ma ustawione ciche przekierowanie na zewnętrzny adres. To prosta rzecz do sprawdzenia w panelu administracyjnym.
- Sprawdź, czy nie ma auto-forward na adresy spoza firmy.
- Sprawdź reguły typu „usuń”, „przenieś do archiwum”, „oznacz jako przeczytane” dla maili z banku, faktur, haseł.
Ostrzeżenie: jeśli wykryjesz takie reguły i nie wiesz skąd są, traktuj to jak incydent. Zmień hasło, wyloguj sesje, wymuś MFA i przejrzyj logowania.
Lista kontrolna wdrożenia „80/20” – odhacz i sprawdź, czy działa
- Konta: MFA włączone dla poczty/chmury/domeny/bankowości; kody odzyskiwania zabezpieczone; konta imienne.
- Aktualizacje: auto-update działa na systemach i przeglądarkach; jest rytm restartów; brak zaległości miesiącami.
- Uprawnienia: praca na kontach bez admina; osobne konto administracyjne; instalacje wymagają autoryzacji.
- Stacje robocze: Defender/zapora/Gatekeeper/firewall włączone; użytkownik nie wyłącza ochrony jednym kliknięciem.
- Backup: 3-2-1 w praktyce; jedna kopia offline/poza firmą; użytkownicy nie mają dostępu do repozytorium backupu; test odtwarzania wykonany.
- Router/Wi‑Fi: unikalne hasło admina; aktualny firmware; zdalne zarządzanie z WAN wyłączone; WPS wyłączony; guest Wi‑Fi bez dostępu do LAN; IoT odseparowane.
- Zdalny dostęp: brak RDP/SSH wystawionego na internet; jeśli jest zdalna praca — przez VPN lub narzędzie z MFA.
- Szyfrowanie: BitLocker/FileVault/LUKS włączone; klucze odzyskiwania pod kontrolą firmy; blokada ekranu.
- Alerty: powiadomienia o logowaniach i zmianach MFA/forwarding; wiadomo, kto reaguje.
Najważniejsze ostrzeżenia, które oszczędzają najwięcej bólu
- Nie rób „port forwarding” do RDP/NAS/paneli jako metody pracy zdalnej. To najczęstsza droga do szybkiego incydentu.
- Nie trzymaj backupu jako zwykłego folderu dostępnego dla użytkowników. Backup ma być odseparowany, z retencją i testem odtwarzania.
- Nie zostawiaj jednego konta admin „na wszystkich”. Jedno przejęcie kończy się przejęciem całej firmy.
- Nie odkładaj kluczy odzyskiwania i procedur (MFA, szyfrowanie). To nie jest „papierologia” — to warunek, żeby zabezpieczenia nie zablokowały pracy.
Decyzja „robię sam” vs „zlecam”: szybkie progi
- Rób sam, jeśli mówimy o: MFA, menedżerze haseł, aktualizacjach, kontach bez admina, podstawowym backupie 3-2-1, guest Wi‑Fi, wyłączeniu WPS i zdalnego panelu routera.
- Uważaj / rozważ wsparcie, jeśli wchodzą: migracje poczty, konfiguracje wielu domen, VPN dla większej liczby osób, serwer/NAS z wystawionymi usługami, zdalny dostęp do systemów finansowych, porządkowanie istniejących przekierowań portów i „historycznych” wyjątków w sieci.
- Nie rób sam w ciemno, jeśli podejrzewasz incydent: nietypowe reguły w poczcie, nowe urządzenia zaufane, logowania z dziwnych lokalizacji, zaszyfrowane pliki, znikające kopie. Tu liczy się czas i poprawna kolejność działań.
Najczęściej zadawane pytania (FAQ)
Od czego zacząć cyberbezpieczeństwo w małej firmie, jeśli mam mało czasu i budżetu?
Jeśli masz zrobić tylko kilka rzeczy, zacznij od tego, co najczęściej kończy się przejęciem kont albo utratą danych: MFA na poczcie i kontach admin, automatyczne aktualizacje, backup odporny na ransomware (offline lub niezmienialny), praca na kontach bez uprawnień administratora, szyfrowanie laptopów oraz twarde ustawienia routera i Wi‑Fi.
Dobry test: czy po kliknięciu w phishing da się przejąć skrzynkę (brak MFA) i czy po ransomware da się odzyskać pliki (backup na tym samym dysku się nie liczy).
Jakie konta w firmie trzeba zabezpieczyć MFA w pierwszej kolejności?
Najpierw te, których przejęcie blokuje firmę albo pozwala oszukać klientów: poczta, chmura plików, bankowość, rejestrator domeny i hosting, konta administratorów (Microsoft 365/Google), narzędzia zdalnego dostępu.
Jeśli ludzie robią wyjątki, to zwykle na domenie/hostingu. A to klasyczny scenariusz: ktoś przejmuje panel i podmienia stronę albo ustawia przekierowania poczty.
Co zrobić, żeby MFA nie zablokowało firmy, gdy ktoś zgubi telefon?
Ustaw plan awaryjny zanim włączysz MFA wszędzie. Inaczej pierwszy zgubiony telefon kończy się paniką i wyłączaniem zabezpieczeń.
- Zapisz kody odzyskiwania offline (wydruk w zamykanej szafce albo zaszyfrowany plik w kontrolowanym miejscu).
- Dodaj drugą metodę MFA dla kont krytycznych (drugi telefon firmowy, klucz sprzętowy, alternatywna aplikacja).
- Wyznacz osobę do odzyskiwania dostępu i spisz krótką procedurę „konto podejrzane/przejęte”.
Czy Windows Defender wystarczy w małej firmie, czy trzeba kupować antywirusa?
W wielu mikrofirmach większą dziurą niż „brak antywirusa” jest brak MFA na poczcie i brak sensownych kopii zapasowych. Defender w Windows 10/11 może być OK jako warstwa ochrony, jeśli system jest aktualny, a użytkownicy nie pracują na adminie.
Jeśli masz dużo plików na udziałach/NAS, częsty zdalny dostęp lub kilka osób „klika wszystko”, wtedy dodatkowe rozwiązania (EDR, centralne zarządzanie) mogą mieć sens. Najpierw domknij podstawy, bo to one najczęściej ratują firmę.