Bezpieczeństwo IT dla firm Gdańsk

Co chroni firmę, której granica sieci przestała istnieć

Klasyczny model ochrony zakładał, że wszystko wartościowe stoi w budynku, a zadaniem zabezpieczeń jest pilnowanie wejścia. W trójmiejskiej firmie okołoportowej ten model przestał opisywać rzeczywistość dawno temu. Poczta i dokumenty leżą w usłudze chmurowej, system spedycyjny bywa u producenta, a najważniejsze urządzenie firmy to laptop, który dziś jest przy nabrzeżu, jutro u kontrahenta, a w czwartek na lotnisku.

Wniosek nie brzmi, że zapora jest zbędna. Brzmi tak, że przestała być najważniejsza. Cztery z sześciu warstw, które prowadzimy, muszą działać niezależnie od miejsca, bo ich zadaniem jest chronić konto i urządzenie, a nie pomieszczenie.

W praktyce zmienia to kolejność wydatków. Firma, która całą pulę wydaje na nowy sprzęt brzegowy, kupuje solidne drzwi do budynku, przez który przechodzi coraz mniej ruchu. Ta sama kwota rozłożona na drugi składnik, szyfrowanie dysków i nadzór nad laptopami obejmuje ochroną również te stanowiska, które w biurze bywają raz w tygodniu.

Która warstwa jedzie z pracownikiem, a która zostaje w biurze

Warstwa	Gdzie faktycznie działa	Co z tego wynika w terenie
Drugi składnik przy logowaniu	w koncie, nie w budynku	działa identycznie w hotelu i przy biurku
Agent ochrony na laptopie	na urządzeniu	raportuje do konsoli przez internet, bez powrotu do biura
Szyfrowanie dysku	na urządzeniu	jedyna warstwa działająca po kradzieży sprzętu
Filtr poczty	po stronie usługi	ten sam dla telefonu, laptopa i przeglądarki
Reguły na brzegu sieci	w biurze	poza biurem nie chronią niczego, stąd kontrola dostępu zdalnego
Kopia archiwum	w repozytorium	obejmuje plik dopiero po jego synchronizacji z firmą
Nawyk sprawdzania nadawcy	u pracownika	jedyna warstwa działająca także bez zasięgu

Wiersz szósty jest tu najczęstszym źródłem nieporozumień. Dokument zapisany na pulpicie laptopa i nigdy niewrzucony do firmowej przestrzeni nie znajduje się w żadnej kopii, choćby repozytorium było zbudowane wzorowo. Dlatego przy uruchomieniu przenosimy katalogi robocze do przestrzeni synchronizowanej, zamiast liczyć, że każdy zrobi to sam.

Wiersz ostatni zostawiamy celowo na końcu tabeli, mimo że w tej branży bywa najskuteczniejszy. Telefon do kontrahenta z pytaniem, czy naprawdę zmienił rachunek, kosztuje minutę i zatrzymuje scenariusz, którego nie zatrzyma żadne narzędzie.

Dlaczego drugi składnik dobiera się pod miejsce pracy, a nie pod cennik

Kod przysłany wiadomością jest najtańszy i najgorzej pasuje do pracy w porcie. Wymaga zasięgu, a ten bywa słaby przy nabrzeżu, w hali odpraw i w podziemnym parkingu biurowca. Pracownik, który przez dwa tygodnie nie mógł się zalogować za pierwszym razem, zaczyna szukać obejścia, a najczęściej znalezionym obejściem jest wyłączenie drugiego składnika przez kogoś, kto ma do tego uprawnienia.

Aplikacja uwierzytelniająca liczy kod na podstawie zegara i działa bez połączenia. Klucz sprzętowy działa nawet bez telefonu i dodatkowo nie da się go podać na podrobionej stronie logowania, bo sprawdza adres, na którym się znajduje. Dla osób jeżdżących w teren to zwykle najtańsze rozwiązanie w perspektywie roku, ponieważ nie generuje zgłoszeń.

Dla stanowisk stacjonarnych zostawiamy aplikację. Rozdzielenie tych dwóch grup zajmuje jedno spotkanie i oszczędza kwartał tłumaczenia, dlaczego coś nie działa.

Jak wygląda pierwszy kwartał współpracy

Pierwsze trzydzieści dni idzie na rzeczy, które nie kosztują nic poza czasem. Spis kont razem z ustaleniem, kto za każdym stoi, odebranie dostępów po osobach, które odeszły, likwidacja logowań wspólnych dla działu, sprawdzenie, czy kopia obejmuje archiwum dokumentów, oraz uruchomienie filtra poczty i doprowadzenie rekordów domeny do stanu odrzucania.

Drugi miesiąc to konsola ochrony na wszystkich komputerach, także na tych, które przez rok nie zaglądały do biura, włączenie szyfrowania dysków oraz pierwsza próba odtworzenia pliku z archiwum. Trzeci to drugi składnik na wszystkich kontach, reguły na brzegu sieci i pierwsze zajęcia z zespołem.

Prace wymagające przerwy w pracy sieci planujemy poza godzinami, w których biegną odprawy. W firmie obsługującej ładunki oznacza to zwykle wczesny poranek, a nie wieczór, bo wieczorem domykane są zgłoszenia z całego dnia.

Czego ta umowa nie obejmuje

Nie obiecujemy, że żadna próba się nie powiedzie, bo cała konstrukcja stoi na odwrotnym założeniu. Nie obiecujemy też człowieka przy konsoli o każdej porze. Automatyczna blokada rozpoznanego zagrożenia działa niezależnie od godziny, ocena sytuacji niejednoznacznej należy do inżyniera pracującego w dni robocze między 8:00 a 18:00, a dyżur poza tym oknem jest osobno płatny i ustalany z wyprzedzeniem.

Nie odpowiadamy za oprogramowanie spedycyjne ani za systemy, do których łączycie się po stronie urzędu lub operatora terminala. Ich zasady dostępu ustala właściciel i my możemy jedynie dopilnować, jak wygląda wejście po Waszej stronie.

Zaświadczeń o zgodności nie wydajemy. Doprowadzamy firmę do stanu, w którym badanie na zgodność z ISO/IEC 27001, ISO 22301 albo z wymaganiami NIS 2 ma sens, a sam dokument wydaje akredytowana jednostka.

Stan wyjściowy pokazuje audyt bezpieczeństwa IT, obowiązki wynikające z przepisów rozpisuje NIS 2 dla firm, a odruch zespołu buduje program szkoleń i testów. Koszt stałej opieki nad całym IT policzycie w kalkulatorze.

Treść sprawdzona i zaktualizowana: 2 sierpnia 2026