Bezpieczeństwo IT dla firm Warszawa

Dlaczego polityka z centrali nie wdraża się sama

Dokument przychodzi po angielsku, ma kilkadziesiąt stron i opisuje standard napisany dla organizacji o zupełnie innej skali. Wymienia role, których w polskiej spółce nie ma, narzędzia klasy przewidzianej dla tysięcy stanowisk i przeglądy o częstotliwości wymagającej osobnego etatu.

Reakcja jest zwykle jedna z dwóch. Albo spółka odpowiada, że wszystko spełnia, bo nikt nie chce prowadzić trudnej rozmowy z centralą. Albo odkłada temat do momentu, w którym przychodzi audyt wewnętrzny grupy i lista braków powstaje w tydzień, pod presją i bez budżetu.

Trzecia droga polega na przetłumaczeniu tego dokumentu na zwykłą listę zadań z nakładem przy każdym. Dopiero wtedy widać, że część wymagań jest już zamknięta, część kosztuje kilkaset złotych miesięcznie, a jedna czy dwie pozycje wymagają decyzji, której nie podejmie dział IT.

Co z tej polityki zamyka która warstwa

Wymaganie, które zwykle się w niej pojawia	Warstwa zamykająca	Kiedy to wdrażamy
Ochrona urządzeń końcowych z rejestrem zdarzeń	ochrona stacji i serwerów	drugi miesiąc
Uwierzytelnianie wieloskładnikowe dla dostępu zdalnego	kontrola dostępu	pierwszy miesiąc
Kopie odporne na modyfikację i test odtworzenia	kopie zapasowe	pierwszy miesiąc
Filtrowanie poczty przychodzącej i uwierzytelnianie domeny	ochrona poczty	drugi miesiąc
Podział sieci i kontrola ruchu	brzeg sieci	trzeci miesiąc
Cykliczne szkolenia i pomiar świadomości	praca z zespołem	rytm kwartalny
Przegląd uprawnień i odbieranie dostępów	kontrola dostępu	rytm półroczny

Kolejność w prawej kolumnie nie wynika z układu dokumentu, tylko ze stosunku efektu do kosztu. Kopie i drugi składnik są najtańsze, a przerywają łańcuch w miejscach, przez które przechodzi większość zdarzeń. Podział sieci wymaga okna serwisowego i wizyty, więc czeka na moment, w którym da się go zrobić spokojnie.

Jak to wygląda w spółce bez własnej serwerowni

Warszawskie biuro na kilkadziesiąt osób ma zwykle szafę w pomieszczeniu gospodarczym, w niej przełącznik, urządzenie brzegowe i kontroler sieci bezprzewodowej. Serwery stoją u dostawcy albo w chmurze, poczta i dokumenty w Microsoft 365, system dziedzinowy u producenta, a dane kadrowe w usłudze kupionej przez dział personalny bez udziału informatyka.

Ochrona przenosi się wtedy z maszyn na tożsamość. Najwyższą wartość ma konto z uprawnieniami administracyjnymi w katalogu tożsamości, bo z niego wchodzi się do wszystkiego pozostałego. Druga w kolejności jest ochrona laptopów, bo to one przechowują pliki lokalnie i to one wyjeżdżają poza biuro. Trzecia jest konfiguracja usług: udostępnianie plików na zewnątrz, reguły przekierowań w skrzynkach, uprawnienia aplikacji podpiętych do katalogu.

Podział sieci w takim biurze robi się prosty i ma dwie strefy, których nikt nie kwestionuje: osobną dla gości w salach spotkań i osobną dla drukarek oraz urządzeń, których nie da się aktualizować.

Co dostaje centrala i dział zakupów kontrahenta

Raport miesięczny ma dwie wersje tej samej treści. Operacyjna trafia do Was: co wykryto, jak obsłużono, gdzie brakuje pokrycia, co proponujemy na kolejny miesiąc. Zestawienie w układzie wymagań trafia wyżej i pokazuje stan każdej pozycji z polityki, wraz z datą ostatniej zmiany.

Druga wersja ma konkretny cel. Kwestionariusz od kontrahenta i przegląd wewnętrzny grupy pytają o te same rzeczy w innej kolejności, więc utrzymywanie gotowej odpowiedzi oszczędza tydzień pracy przy każdym takim piśmie. Odpowiedź poparta zestawieniem z datami jest przy tym mocniejsza od deklaracji, zwłaszcza gdy druga strona prosi o dowody.

Czego w tej umowie nie obiecujemy

Nie obiecujemy, że nic się nie wydarzy, bo cały pakiet zbudowany jest na założeniu, że jedna próba się powiedzie. Nie zajmujemy się bezpieczeństwem ofensywnym, więc testów penetracyjnych u nas nie kupicie. Nie wystawiamy zaświadczeń zgodności, bo certyfikat wydaje akredytowana jednostka po własnym badaniu.

Nie proponujemy też pakietu spółce, która nie zna jeszcze własnego stanu. Wtedy sensowniej wykonać audyt bezpieczeństwa IT i rozmawiać o zakresie z listą w ręku. Poszczególne warstwy mają własne strony: ochrona stacji i serwerów, ochrona poczty, ochrona przed ransomware oraz szkolenia i testy phishingowe. Obowiązki wynikające z przepisów rozpisuje NIS 2.

Treść sprawdzona i zaktualizowana: 2 sierpnia 2026