Małe firmy rzadko padają ofiarą wyrafinowanych ataków hakerskich. Znacznie częściej tracą dane, czas i pieniądze przez błędy, które narosły latami i których nikt nie weryfikował. IT „jakoś działało”, więc nikt nie patrzył głębiej. Aż do momentu, gdy coś się posypało.
Ten artykuł to lista 10 błędów, które regularnie powtarzają się w firmach zatrudniających od kilkunastu do kilkudziesięciu osób. Błędów, które nie wyglądają groźnie na co dzień, ale w sytuacji kryzysowej okazują się kluczowe. Nie musisz znać się na IT, żeby zrozumieć każdy punkt. Każdy błąd opisany jest w języku skutków biznesowych, nie technikaliów.
Przeczytaj i odpowiedz sobie szczerze: ile z nich dotyczy Twojej firmy? Jeśli po lekturze okaże się, że nie znasz odpowiedzi na więcej niż dwa pytania, to już sygnał, że warto przeprowadzić audyt IT.
Dlaczego małe firmy mają więcej problemów z IT niż myślą
Nie chodzi o niedbałość. Chodzi o model, w którym IT przez lata było traktowane jako zaplecze, a nie strategiczny obszar firmy. Decyzje podejmowano reaktywnie: coś się zepsuło, to naprawiono. Nikt nie patrzył całościowo.
W firmach bez dedykowanego działu IT albo z jedną osobą „od wszystkiego” naturalne jest, że pewne rzeczy umykają. Problem polega na tym, że te rzeczy często dotyczą bezpieczeństwa, ciągłości działania i zgodności z przepisami. A ich skutki są widoczne dopiero w kryzysie.
Błąd 1: Brak kopii zapasowych lub kopie, których nikt nie testuje
Backup to jeden z tych obszarów, gdzie „mamy to ustawione” nie wystarczy. Firmy często dysponują jakimś rozwiązaniem kopii zapasowych, ale nikt nie sprawdzał, czy dane rzeczywiście się odtwarzają, jak długo trwa przywrócenie i czy obejmuje ono wszystkie krytyczne systemy.
W praktyce wygląda to tak: dochodzi do awarii serwera albo ataku ransomware, firma sięga po backup, a wtedy okazuje się, że ostatnia skuteczna kopia ma trzy tygodnie albo że odtworzenie zajmie dwa dni robocze.
Skutek biznesowy: przestój operacyjny, utrata danych, koszty odtworzenia, nierzadko też konsekwencje prawne związane z utratą danych klientów.
Jak to naprawić: Ustal politykę backupu z jasno określoną częstotliwością, zakresem i procedurą testowania. Backup powinien być testowany regularnie, co najmniej raz na kwartał. Kopia powinna znajdować się w co najmniej dwóch lokalizacjach, z czego jedna poza siecią firmową.
Błąd 2: Brak MFA na kluczowych dostępach
Hasło to za mało. Phishing, wycieki z innych serwisów i ataki słownikowe sprawiają, że znajomość hasła nie jest już wyznacznikiem tożsamości użytkownika. Tymczasem wiele małych firm nadal nie wymusza uwierzytelniania wieloskładnikowego (MFA) na poczcie, VPN, systemach ERP czy zdalnym pulpicie.
Jedno wyłudzone hasło daje atakującemu pełny dostęp do konta i wszystkiego, co jest z nim połączone. Bez MFA nie ma żadnej dodatkowej bariery.
Skutek biznesowy: przejęcie konta pocztowego lub systemów wewnętrznych, wyciek danych, ataki ransomware uruchamiane z wnętrza sieci firmowej.
Jak to naprawić: Włącz MFA na wszystkich krytycznych dostępach. W środowiskach Microsoft 365 jest to kwestia konfiguracji polityk w Azure AD. To jedno z najtańszych i najskuteczniejszych zabezpieczeń dostępnych dla firm każdej wielkości.
Szczegółowy przegląd metod ochrony przed konsekwencjami przejętych kont znajdziesz w artykule 11 metod ochrony przed ransomware.
Błąd 3: Nieaktualne oprogramowanie i niezałatane luki bezpieczeństwa
Aktualizacje oprogramowania to nie tylko nowe funkcje. To przede wszystkim łatki bezpieczeństwa zamykające znane luki, które atakujący aktywnie wykorzystują. Firmy odkładające aktualizacje „na potem” albo używające oprogramowania bez wsparcia producenta wystawiają się na ataki dobrze udokumentowane i stosunkowo łatwe do przeprowadzenia.
Szczególnie ryzykowne są: przestarzałe systemy Windows bez aktualnych łatek, niezałatane serwery, aplikacje webowe z nieaktualnymi bibliotekami oraz routery i urządzenia sieciowe z firmware sprzed kilku lat.
Skutek biznesowy: podatność na znane exploity, brak zgodności z wymaganiami ubezpieczycieli cyber, ryzyko podczas audytu bezpieczeństwa IT.
Jak to naprawić: Wprowadź politykę zarządzania aktualizacjami z jasnym harmonogramem. Skataloguj wszystkie urządzenia i oprogramowanie, żeby wiedzieć, co wymaga uwagi w pierwszej kolejności.
Błąd 4: Brak inwentaryzacji sprzętu i licencji
Wiele firm nie wie dokładnie, ile ma komputerów, jaki ma sprzęt sieciowy, które urządzenia są objęte gwarancją, ile licencji oprogramowania posiada i czy są one właściwie przypisane. To nie jest problem administracyjny. To ryzyko prawne i finansowe.
Niezarejestrowane urządzenia w sieci to potencjalny punkt wejścia dla atakującego. Niezgodności licencyjne to ryzyko kontroli i kar ze strony dostawców oprogramowania. Brak wiedzy o stanie sprzętu uniemożliwia planowanie wymiany i budżetowanie IT.
Skutek biznesowy: niekontrolowane koszty, ryzyko prawne, sprzęt eksploatowany zbyt długo, brak podstaw do planowania budżetu IT.
Jak to naprawić: Przeprowadź inwentaryzację wszystkich zasobów IT. Audyt sprzętu i licencji daje pełny obraz tego, co firma realnie posiada, czego używa i za co płaci.
Błąd 5: Nadmierne uprawnienia użytkowników
Zasada minimalnych uprawnień mówi: każdy użytkownik powinien mieć dostęp tylko do tych zasobów, których faktycznie potrzebuje do pracy. W praktyce małe firmy często nadają wszystkim uprawnienia administratora albo nie odbierają dostępów byłym pracownikom.
Jeśli konto pracownika zostanie przejęte, atakujący zyskuje dostęp do znacznie większej części infrastruktury niż powinien. A konto pracownika, który odszedł rok temu i nadal ma aktywne hasło, to otwarte drzwi.
Skutek biznesowy: rozszerzenie zasięgu ataku, ryzyko wycieku danych przez byłych pracowników, problemy z rozliczalnością dostępu do danych.
Jak to naprawić: Przeprowadź przegląd kont użytkowników i uprawnień. Zablokuj konta nieaktywne. Wdróż procedurę offboardingu obejmującą natychmiastowe odebranie dostępów przy zakończeniu współpracy.
Błąd 6: Brak segmentacji sieci
Sieć firmowa, w której drukarka, laptop pracownika, serwer z danymi klientów i kamera monitoringu działają w tej samej podsieci, to sieć bez segmentacji. Jeśli którekolwiek z tych urządzeń zostanie zainfekowane, złośliwe oprogramowanie może swobodnie przemieszczać się po całej sieci.
Urządzenia IoT, takie jak kamery, termostaty czy drukarki sieciowe, są szczególnie podatne na ataki i rzadko aktualizowane. W płaskiej sieci stają się trampoliną do systemów krytycznych.
Skutek biznesowy: łatwe rozprzestrzenianie się infekcji w sieci firmowej, trudność w izolowaniu incydentu bezpieczeństwa.
Jak to naprawić: Rozdziel sieć na segmenty: osobna VLAN dla pracowników, osobna dla gości, osobna dla urządzeń IoT. To wymaga konfiguracji na poziomie przełączników i routerów, ale znacząco ogranicza zasięg potencjalnego ataku. Taki zakres analizy obejmuje audyt bezpieczeństwa IT.
Błąd 7: Brak polityki haseł i zarządzania dostępami
Pracownicy używają prostych haseł, tych samych haseł w różnych systemach albo przechowują je w plikach tekstowych lub na karteczkach przy monitorze. Firma nie ma żadnej polityki wymuszającej minimalną złożoność hasła.
Bez centralnego zarządzania hasłami niemożliwe jest też szybkie zablokowanie dostępów w sytuacji kryzysowej, na przykład gdy pracownik odchodzi lub gdy konto zostaje przejęte.
Skutek biznesowy: podatność na ataki słownikowe i credential stuffing, trudność w reagowaniu na incydenty, ryzyko wycieku danych.
Jak to naprawić: Wprowadź menedżera haseł dla całej organizacji i politykę haseł wymuszaną przez system. W środowiskach Microsoft możliwe jest wymuszenie wymogów haseł na poziomie Azure AD bez dodatkowych narzędzi.
Błąd 8: Brak procedur reagowania na incydenty
Co robi firma, gdy pracownik kliknie w phishing? Kto decyduje, czy odłączyć zainfekowany komputer od sieci? Kto informuje klientów, jeśli doszło do wycieku danych? W większości małych firm nikt tego nie wie, dopóki nie dojdzie do incydentu.
Brak procedur reagowania wydłuża czas reakcji, zwiększa straty i często prowadzi do błędnych decyzji pod presją czasu. W przypadku wycieku danych osobowych brak procedury to również naruszenie wymogów RODO.
Skutek biznesowy: przedłużony czas przestoju, wyższe koszty odtworzenia, ryzyko kar regulacyjnych, utrata zaufania klientów.
Jak to naprawić: Opracuj prostą procedurę reagowania na incydenty bezpieczeństwa, nawet jednostronicową. Wyznacz odpowiedzialne osoby i sposób eskalacji. Procedura powinna być znana wszystkim pracownikom, nie tylko osobom odpowiedzialnym za IT.
Błąd 9: Ignorowanie wymogów NIS2 i ISO 27001
Wiele małych firm zakłada, że regulacje unijne dotyczą tylko dużych korporacji. NIS2 obowiązuje od października 2024 roku i obejmuje znacznie więcej podmiotów niż poprzednia dyrektywa, w tym firmy z sektorów takich jak produkcja, transport, usługi cyfrowe i dostawcy usług zarządzanych.
Nawet jeśli firma nie podlega bezpośrednio pod NIS2, jej kontrahenci lub partnerzy coraz częściej wymagają potwierdzenia zgodności w ramach łańcucha dostaw. ISO 27001 staje się de facto warunkiem współpracy z klientami z sektora finansowego czy publicznego.
Skutek biznesowy: ryzyko kar finansowych, utrata kontraktów, wykluczenie z przetargów wymagających certyfikacji.
Jak to naprawić: Sprawdź, czy Twoja firma podlega pod NIS2. Oceń, jakie wymagania techniczne i organizacyjne musisz spełnić. Jeśli celujesz w ISO 27001, warto zacząć od audytu zgodności z normami ISO, który wskazuje luki wymagające zamknięcia przed certyfikacją.
Błąd 10: Brak niezależnej oceny stanu IT
Ostatni błąd jest innej natury niż poprzednie. To nie brak konkretnego zabezpieczenia, ale brak wiedzy o tym, czego brakuje. Firmy, które nigdy nie robiły audytu IT, działają w przekonaniu, że „u nas jest w porządku” wyłącznie dlatego, że nic spektakularnego się jeszcze nie wydarzyło.
Nowy manager lub CTO przejmujący zastaną infrastrukturę, zbliżająca się kontrola zgodności, obawa przed incydentem bezpieczeństwa, to momenty, w których brak niezależnej oceny stanu IT staje się realnym ryzykiem biznesowym. Wewnętrzna weryfikacja prowadzona przez tę samą osobę, która konfiguruje systemy, rzadko wyłapuje wszystkie luki.
Skutek biznesowy: nieznane ryzyka, niemożność priorytetyzacji inwestycji IT, brak podstaw do rozmów z ubezpieczycielem lub audytorem zewnętrznym.
Jak to naprawić: Zamów niezależny audyt IT. Jego wynik to nie wyrok, ale mapa: wiesz, co działa, co wymaga poprawy i w jakiej kolejności działać. Firmy z własnym działem IT zlecają audyt zewnętrzny po to, żeby uzyskać obiektywną ocenę, bez konfliktu interesów.
Ile błędów dotyczy Twojej firmy?
Jeśli po przeczytaniu tej listy masz pewność, że żaden z tych punktów nie dotyczy Twojej organizacji, to znaczy, że ktoś w Twojej firmie aktywnie dba o IT i ma to udokumentowane. To rzadkość w firmach bez dedykowanego działu IT.
Jeśli natomiast przy kilku punktach pojawiło się „nie wiem” albo „chyba tak, ale nie jestem pewien”, to jest to dokładnie ta sytuacja, do której stworzono audyt IT. Nie po to, żeby pokazać, co jest źle, ale żeby dać firmie pełny obraz i konkretny plan działania.
Zamów audyt IT dla swojej firmy i dowiedz się, z czym realnie masz do czynienia. Pierwszym krokiem jest bezpłatna konsultacja z ekspertem DreamITeam.