Bezpieczeństwo IT dla firm Toruń

Dlaczego jedna lista zabezpieczeń nie pasuje do zakładu i do biura?

Firma z przetwórstwem prowadzi w praktyce dwa środowiska komputerowe, które łączy tylko właściciel i faktura. W hali stoją stanowiska myte wodą, terminale przy liniach, komputery sterujące wagami i etykieciarkami oraz sprzęt, którego producent maszyny nie pozwala aktualizować. W biurze stoją zwykłe komputery, poczta, kadry i program jakościowy, czyli wszystko, co da się zabezpieczyć w sposób opisany w każdym podręczniku.

Kiedy obie strony dostają tę samą listę zabezpieczeń, dzieje się jedno z dwojga. Albo lista zostaje wdrożona w biurze i pominięta w hali, bo tam ktoś odmówił, co kończy się dziurą w miejscu najbliższym maszynom. Albo ktoś wdraża ją konsekwentnie i przy pierwszej aktualizacji zatrzymuje etykieciarkę w środku zmiany.

Dlatego zaczynamy od obchodu i od podziału stanowisk na trzy grupy: sprzęt, który wolno traktować normalnie, sprzęt objęty ograniczeniami producenta oraz sprzęt, którego nie wolno tknąć w ogóle. Dopiero na tym podziale stawiamy resztę.

Co robimy w strefie mytej wodą, a czego tam nie ruszamy?

Grupa stanowisk	Co włączamy	Czego nie robimy
Biuro, kamienica na starówce	ochrona stacji z automatyczną izolacją, drugi składnik, szyfrowanie dysków	nie wiercimy w ścianach bez uzgodnienia
Terminale na hali, obudowy szczelne	ochrona stacji, blokada nośników, konto techniczne bez poczty	nie zmieniamy godzin aktualizacji bez planu produkcji
Komputer sterujący wagą lub etykieciarką	izolacja siecią, nadzór nad ruchem wychodzącym, kopia konfiguracji	nie instalujemy agenta wbrew umowie serwisowej
Rejestratory i czujniki w chłodni	osobna sieć, hasła zmienione z domyślnych, alerty	nie podłączamy ich do sieci biurowej
Sprzęt firmy serwisowej maszyn	dostęp otwierany na czas zgłoszenia, zapis sesji	nie dajemy stałego wejścia na wszelki wypadek

Wiersz ostatni bywa najtrudniejszy do przeprowadzenia, bo dostęp firmy serwisowej zwykle działa od lat i nikt nie pamięta, kto go zakładał. Zamykamy go dopiero po ustaleniu z producentem maszyny sposobu zgłaszania, żeby zmiana nie oznaczała czekania na serwis dłużej niż wcześniej.

W jakiej kolejności wdrażamy to w firmie pracującej kampaniami?

Kalendarz zakładu jest tu ważniejszy niż kalendarz księgowy. Rok dzieli się na okres szczytu, w którym każde wyłączenie kosztuje surowiec, i na przerwę technologiczną, w której da się zrobić rzeczy wymagające postoju.

Przed kampanią robimy wszystko, co nie dotyka maszyn: kopie odporne na skasowanie, drugi składnik logowania na poczcie i dostępie zdalnym, filtrowanie wiadomości oraz komplet kont dla załogi sezonowej, z datą ważności ustawioną z góry. Te prace nie wymagają ani jednego przestoju.

W przerwie technologicznej wchodzi reszta: podział sieci na segmenty, wymiana albo przekonfigurowanie urządzenia brzegowego, uporządkowanie punktów dostępowych w strefach mokrych i aktualizacje odkładane przez cały sezon. Jeżeli budżet starcza tylko na jedną z tych grup, mówimy, że pierwsza jest ważniejsza, i uzasadniamy to na piśmie.

Co kontrolujemy na nośnikach wpinanych do komputerów na produkcji?

Pendrive jest w zakładzie narzędziem pracy, a nie zagrożeniem teoretycznym. Przenosi się na nim szablony etykiet, wsad do sterownika, zdjęcia partii do reklamacji i pliki od firmy serwisowej. Zakaz wpięcia czegokolwiek jest więc regułą, którą ktoś obejdzie tego samego dnia.

Robimy to inaczej. Do stanowisk produkcyjnych dopuszczamy wskazane egzemplarze, zapisane po identyfikatorze urządzenia i przypisane do stanowiska, a każdy inny nośnik jest odrzucany. Do tego włączamy rejestrowanie kopiowania plików z zasobów, na których leżą receptury i dokumentacja technologiczna, żeby dało się później odpowiedzieć na pytanie, kto i co wyniósł.

Ta druga rzecz bywa dla firmy ważniejsza od samej ochrony przed szkodnikiem. Receptura wyniesiona na prywatnym dysku nie uruchamia żadnego alarmu i nie zostawia śladu w antywirusie. Zostawia go dopiero rejestr zdarzeń, o ile ktoś go wcześniej włączył.

Co widać w raporcie, gdy firma pracuje w kilku budynkach?

Zestawienie miesięczne opisuje całą firmę w jednym dokumencie, z podziałem na strefy. Widać w nim, ile zgłoszeń przyszło z hali, a ile z biura, jakie wykrycia zamknęła konsola ochrony, ile wiadomości zatrzymał filtr, które konta zostały wyłączone po zakończeniu umowy sezonowej i jak wypadła ostatnia próba odtworzenia kopii.

Na końcu jest lista rzeczy do zrobienia przed kolejną kampanią, z terminami. To ona jest w tym dokumencie najbardziej użyteczna, bo prace w zakładzie planuje się z wyprzedzeniem, a nie w tygodniu, w którym coś przestało działać.

Punkt wyjścia najszybciej pokazuje audyt bezpieczeństwa IT, warstwę na komputerach opisuje ochrona stacji roboczych i serwerów, a odporność na zaszyfrowanie danych ochrona przed ransomware.

Gdzie kończy się ta umowa?

Nie zajmujemy się sterownikami maszyn, panelami operatorskimi ani automatyką linii, bo to praca dla serwisu producenta i dla utrzymania ruchu. Nie prowadzimy testów penetracyjnych i nie udajemy, że przegląd konfiguracji jest ich odpowiednikiem. Nie sprzedajemy też licencji z marżą ukrytą w abonamencie, tylko po cenie zakupu.

Poza zakresem zostaje również wszystko, co wymaga wejścia w gwarancję urządzenia pomiarowego. Tam nasza rola kończy się na opisaniu ryzyka i na odcięciu takiego sprzętu od reszty sieci. Rozmowę o zakresie umawiamy przez kontakt albo w biurze przy Grudziądzkiej 136.

Treść sprawdzona i zaktualizowana: 14 sierpnia 2026