Nie mamy zespołu security. Od czego w ogóle zacząć?

Najpierw jedna idea, dzięki której reszta ma sens

To, co dziś ludzie nazywają „hakowaniem", to najczęściej po prostu logowanie się. Atakujący rzadko łamią zamek. Częściej wchodzą w posiadanie działającego hasła i przechodzą przez główne drzwi, bo poprawne logowanie nie wygląda jak atak. Dlatego niemal wszystko poniżej dotyczy tego, kto może zalogować się do Waszych systemów i do czego ma dostęp, gdy już jest w środku. Nie budujecie fortecy. Dbacie o to, żeby klucze do Waszej firmy trudno było skopiować, dawane były tylko osobom, które ich potrzebują, i odbierane, gdy odchodzą.

Nieliczne najważniejsze rzeczy, w kolejności priorytetu

1. Włącz uwierzytelnianie wieloskładnikowe wszędzie

Uwierzytelnianie wieloskładnikowe, zwykle skracane do MFA, oznacza, że logowanie wymaga drugiego dowodu poza hasłem: stuknięcia w aplikację na telefonie, kodu albo małego klucza bezpieczeństwa. Samo skradzione hasło nie zaprowadzi wtedy atakującego donikąd.

To nieprzypadkowo pierwszy punkt. To pojedyncza największa redukcja ryzyka, jaka jest dla Was dostępna, i zwykle jest już wliczona w oprogramowanie, za które płacicie. Microsoft podaje, że MFA może zablokować ponad 99,2% ataków na przejęcie konta, a ponad 99,9% faktycznie przejętych kont nie miało go włączonego. Żaden inny pojedynczy krok nie daje takiego zwrotu.

Zasada brzmi: wszędzie, bez wyjątków. Najważniejsze konta do objęcia to te z największą władzą: founder, osoba odpowiedzialna za finanse, każdy, kto administruje Waszą pocztą albo systemami. To dokładnie te konta, na których zależy atakującym, więc pozostawienie ich bez ochrony mija się z celem.

O co zapytać swoją osobę IT albo dostawcę: „Czy MFA jest włączone dla każdego pracownika, w tym administratorów i mnie, bez wyjątków? Czy nasze konta administracyjne i finansowe korzystają z najmocniejszej metody, jaką mamy, jak passkey albo klucze bezpieczeństwa?"

Jak wygląda dobra odpowiedź: każde konto wymaga drugiego składnika; nikt nie jest wyjątkiem; konta o największej władzy używają metod odpornych na phishing (passkey albo klucze sprzętowe), a nie samych kodów SMS.

2. Prowadź wszystko przez jedno centralne miejsce logowania

To centralne miejsce nazywa się dostawcą tożsamości (identity provider). Jeśli Wasza firma działa na Microsoft 365 albo Google Workspace, już go macie. To pojedynczy system, który przechowuje konta pracowników i decyduje, kto ma wstęp. Single sign-on, czyli SSO, oznacza, że ludzie logują się tam raz, a potem docierają do swoich aplikacji bez osobnego hasła do każdej z nich.

Biznesowy powód to kontrola i szybkość. Bez centralnego miejsca każda aplikacja to osobna wyspa z własną listą kont, i nikt nie widzi całego obrazu ani nie może szybko zadziałać. Z jednym miejscem masz jeden punkt, żeby dodać nową osobę, wymusić mocne logowanie, zobaczyć, kto ma dostęp do czego, i wyłączyć kogoś w chwili, gdy odchodzi. Niemal wszystko inne w tym przewodniku staje się łatwe, gdy to jest na miejscu, i bolesne, gdy tego brakuje.

O co zapytać: „Czy nasze główne aplikacje biznesowe logują się przez naszego dostawcę tożsamości? Czy to jedyne miejsce, gdzie dodajemy i usuwamy ludzi?"

Jak wygląda dobra odpowiedź: Wasze ważne aplikacje są podłączone do jednego dostawcy tożsamości; dołączanie i odchodzenie obsługiwane jest z tego jednego miejsca, a nie aplikacja po aplikacji; potraficie odpowiedzieć na pytanie „kto ma dostęp do tego systemu" bez polowania na skarb.

3. Usuwaj dostęp tego samego dnia, gdy ktoś odchodzi

Gdy ktoś odchodzi, jego dostęp powinien zniknąć tego samego dnia, we wszystkich systemach, nie tylko w poczcie. Brzmi to oczywiście, a jest jedną z najczęstszych luk w prawdziwych firmach. Offboarding zwykle obejmuje oczywiste konta i po cichu pomija długi ogon mniejszych aplikacji, współdzielonych loginów i zapisanych sesji.

Powód, dla którego to się liczy, jest prosty. Aktywne konto osoby, która odeszła, zwłaszcza sfrustrowanej albo takiej, której hasło później wypłynie w naruszeniu, to działający klucz do Waszej firmy, którego nikt nie pilnuje. W badaniu byłych pracowników w USA, Wielkiej Brytanii i Irlandii z 2022 roku 83% powiedziało, że wciąż ma dostęp do co najmniej jednego konta u poprzedniego pracodawcy. To dane deklaratywne i sprzed kilku lat, więc traktuj je jako orientacyjne, a nie precyzyjne, ale każdy, kto kiedykolwiek audytował firmę, rozpozna ten wzorzec.

To, co czyni to niezawodnym, to prowadzenie tego z centralnego dostawcy tożsamości: wyłączenie jednego konta tam powinno kaskadowo wyłączyć podłączone aplikacje, zamiast polegać na tym, że ktoś ręcznie zapamięta każde narzędzie.

O co zapytać: „Kiedy ktoś odchodzi, jak upewniamy się, że jego dostęp jest usunięty wszędzie tego samego dnia? Czy to spisana checklista i czy jest prowadzona z naszego dostawcy tożsamości?"

Jak wygląda dobra odpowiedź: istnieje prosta, powtarzalna checklista offboardingu, która jest faktycznie stosowana; wyłączenie centralnego konta automatycznie usuwa większość dostępu; potraficie wymienić z imienia, kto odszedł w ostatnim kwartale, i potwierdzić, że jego konta zniknęły.

4. Znaj swoje aplikacje i to, kto ma do czego dostęp

Nie możesz chronić czegoś, czego nie widzisz. Z czasem zespoły zapisują się do narzędzi, nikomu nie mówiąc, darmowe wersje próbne zostają na dłużej, a ludzie gromadzą dostęp, którego już nie potrzebują, zmieniając role. Efektem jest rozrost aplikacji i uprawnień, którego żadna pojedyncza osoba nie ma już w głowie.

Nie potrzebujesz formalnego programu, żeby zacząć. Celem jest szczera odpowiedź na dwa pytania: jakiego oprogramowania nasza firma faktycznie używa i kto ma dostęp do jego wrażliwych części. Zwróć szczególną uwagę na to, kto ma uprawnienia administratora i kto ma dostęp do Waszych najbardziej wrażliwych danych, jak finanse czy dane klientów. Zwykle dużo więcej osób ma szeroki dostęp, niż go naprawdę potrzebuje, a każdy niepotrzebny grant powiększa szkody, jeśli którekolwiek konto zostanie przejęte. Przydatnym nawykiem jest przegląd dostępów: raz albo dwa razy w roku właściciel każdego ważnego systemu potwierdza, że każda osoba na liście wciąż go potrzebuje, a wszystko nieaktualne jest usuwane.

O co zapytać: „Czy mamy aktualną listę aplikacji, których używamy, i tego, kto ma dostęp do tych wrażliwych? Czy kiedykolwiek przeglądamy, kto ma dostęp, i usuwamy to, co już niepotrzebne?"

Jak wygląda dobra odpowiedź: istnieje aktualizowana lista Waszych istotnych aplikacji; uprawnienia administratora są ograniczone do niewielkiej liczby konkretnych osób; ktoś przegląda dostępy według harmonogramu i faktycznie usuwa to, co nieaktualne.

5. Miej backupy, które faktycznie przetestowałeś

Backup to osobna, chroniona kopia Waszych ważnych danych, z której możecie odtworzyć oryginał, jeśli zostanie utracony, zaszyfrowany przez ransomware albo usunięty. To Wasza prawdziwa siatka bezpieczeństwa na najgorszy dzień.

Haczyk mieści się w jednym słowie: przetestowany. Wiele firm ma backupy, których nigdy nie próbowało odtworzyć, i odkrywa dopiero w kryzysie, że kopia była niekompletna, nieaktualna albo sama była w zasięgu atakującego. Backup, z którego nigdy nie odtwarzaliście, to nadzieja, nie plan. Rozwiązanie jest niedramatyczne: odtwórzcie coś z backupu raz, celowo, jako ćwiczenie, i potwierdźcie, że działa i leży gdzieś, gdzie atakujący, który dostanie się do Waszych głównych systemów, też nie sięgnie.

O co zapytać: „Co jest backupowane, jak często i kiedy ostatnio skutecznie odtworzyliśmy z niego dane testowo? Czy backupy są przechowywane gdzieś osobno od naszych głównych systemów?"

Jak wygląda dobra odpowiedź: Wasze ważne dane są backupowane automatycznie; przeprowadziliście przynajmniej jedno udane ćwiczenie odtwarzania; backupy są odizolowane, więc to samo włamanie nie zniszczy jednocześnie oryginałów i kopii.

Co możecie na razie bezpiecznie zignorować

Wiedza, co pominąć, liczy się tak samo, jak wiedza, co zrobić, bo Waszym najrzadszym zasobem jest uwaga. Przy Waszej wielkości nie potrzebujecie jeszcze dedykowanej platformy do zarządzania dostępem uprzywilejowanym (PAM), pakietu DLP, centrum operacji bezpieczeństwa obserwującego ekrany całą dobę, pełnego pakietu sieciowego zero trust ani platformy compliance. To wartościowe przy większej skali, a kupowanie tego wcześnie to sposób, w jaki małe firmy kończą z drogim narzędziem wdrożonym w połowie, podczas gdy powyższe podstawy wciąż są otwarte. Jeśli całodobowy monitoring stanie się prawdziwym zmartwieniem w miarę wzrostu, sensowną odpowiedzią jest usługa zarządzana, która obserwuje za Was, a nie stos narzędzi, których nie umiecie obsługiwać. Prewencja i przetestowane backupy są na pierwszym miejscu.

Prawdopodobnie już macie większość tego

Część, o której nikt sprzedający security nie mówi, to fakt, że najpewniej już zapłaciliście za większość podstaw. Subskrypcja Microsoft 365 albo Google Workspace zawiera MFA, SSO, podstawowe filtrowanie poczty i zarządzanie urządzeniami, w dużej mierze wyłączone albo nigdy nieskonfigurowane. Spora część security małej firmy to po prostu włączenie tego, co już macie, dlatego dopięcie podstaw kosztuje tak mało.

Uczciwa droga dla firmy Waszej wielkości to więc nie duży zakup. To decyzja, że ta praca się liczy, a potem zrobienie pięciu powyższych rzeczy po kolei, głównie narzędziami, które już macie. Lider, który upiera się, że MFA jest włączone wszędzie, osoby odchodzące mają szybko usuwany dostęp, a backupy zostały przetestowane, już przesunął swoją firmę poza miejsce, w którym dochodzi do większości naruszeń.

Źródła

• Microsoft Entra mandatory MFA guidance, Microsoft Learn · https://learn.microsoft.com/en-us/entra/identity/authentication/concept-mandatory-multifactor-authentication (MFA może zablokować ponad 99,2% ataków na przejęcie konta)
• Security at your organization: MFA statistics, Microsoft Learn · https://learn.microsoft.com/en-us/partner-center/security/security-at-your-organization (ponad 99,9% przejętych kont nie miało włączonego MFA)
• Beyond Identity study on former-employee access · https://www.beyondidentity.com/announcements/beyond-identity-study-shows-former-employees-are-likely-to-continue-accessing-old-employer-information (badanie deklaratywne z 2022, US/UK/IE, 1121 respondentów: 83% zachowało dostęp do kont u poprzedniego pracodawcy)
• IBM Cost of a Data Breach 2025 · https://www.ibm.com/reports/data-breach (kontekst dotyczący naruszeń zaczynających się od danych uwierzytelniających i czasu potrzebnego na ich wykrycie)
• Verizon 2026 Data Breach Investigations Report · https://www.verizon.com/business/resources/reports/dbir/ (kontekst dotyczący częstości występowania skradzionych danych uwierzytelniających i połączeń stron trzecich w rzeczywistych naruszeniach)