Bezpieczeństwo IT dla firm Zielona Góra

Co kosztuje najwięcej, gdy w zakładzie przestają odpowiadać systemy

W firmie handlowej incydent liczy się w niewysłanych fakturach. W zakładzie produkcyjnym pierwszą pozycją rachunku jest zmiana, która stoi, drugą kara umowna za dostawę, która nie wyjechała w terminie, a dopiero trzecią same dane.

Ta kolejność zmienia projekt bezpieczeństwa mocniej, niż się wydaje. Skoro najdroższy jest postój, priorytet ma odporność całej ścieżki: sterownik, panel operatorski, system nadzoru, serwer z zamówieniami i drukarka etykiet. Wystarczy, że jedno ogniwo przestanie odpowiadać, a linia zwalnia albo staje, choćby wszystkie dokumenty w firmie były nietknięte.

Dlatego rozmowę o pakiecie zaczynamy od pytania, które nie brzmi technicznie: co musi działać, żeby zmiana dojechała do końca.

Dlaczego dzielimy pakiet na warstwę biurową i warstwę hali

Te dwa środowiska mają inne ograniczenia, a wspólny zestaw ustawień kończy się zawsze tak samo: albo hala zostaje bez ochrony, albo produkcja staje przy pierwszej aktualizacji.

Warstwa	W biurze	W hali
Ochrona stacji	agent na każdym komputerze	tylko tam, gdzie pozwala producent maszyny
Aktualizacje	co miesiąc, automatycznie	w oknie serwisowym, po testach
Podział sieci	segment na dział	osobny segment na linię i na system nadzoru
Dostęp z zewnątrz	tunel z drugim składnikiem	wejście imienne, na czas zgłoszenia
Kopie	pliki, poczta, bazy	dodatkowo programy maszyn i konfiguracje sterowników
Reakcja na alert	izolacja stacji od sieci	najpierw telefon do utrzymania ruchu

Ostatni wiersz wymaga najczęściej tłumaczenia. Automatyczne odcięcie komputera sterującego wygląda w konsoli jak podręcznikowo poprawna reakcja, a w hali oznacza zatrzymaną linię. W sieci produkcyjnej decyzję o izolacji podejmujemy razem z Waszym utrzymaniem ruchu, nigdy zamiast niego.

Jak wchodzimy do zakładu pracującego na zmiany

Zielonogórskie biuro jest naszym drugim biurem w województwie i pracujemy z niego planowo. Wizyty umawiamy z wyprzedzeniem i łączymy w jeden dzień, żeby przy jednym przyjeździe zamknąć wszystko, co wymaga obecności człowieka. Nie obiecujemy natomiast pojawienia się u Was kwadrans po telefonie, bo w abonamencie nie ma ekipy trzymanej wyłącznie na Wasze wezwanie.

W praktyce mało komu to przeszkadza, bo prace w hali i tak wymagają uzgodnionego okna. Przepięcie ruchu na nowe segmenty, wymiana urządzenia brzegowego czy pierwsze uruchomienie repozytorium kopii to rzeczy robione w przerwie technologicznej albo w weekend, ustalone dwa tygodnie wcześniej, a nie w środku wtorkowej zmiany.

Codzienna część pakietu jest zdalna i taka zostaje: konsola ochrony, reguły filtra, zadania kopii, przeglądy alertów i aktualizacje w części biurowej.

Co robimy z komputerem, którego nie wolno aktualizować

Prawie każdy zakład ma przynajmniej jedną taką maszynę: komputer przemysłowy z systemem sprzed dekady, na którym producent zabrania instalowania czegokolwiek pod rygorem utraty gwarancji. Wgranie tam agenta jest technicznie możliwe i handlowo wygodne, tylko kończy się sporem z serwisem przy pierwszej awarii mechanicznej.

Nie robimy tego. Taki sprzęt chronimy jego otoczeniem: własnym segmentem sieci, regułą przepuszczającą wyłącznie ruch niezbędny do pracy, zakazem wyjścia do internetu i kopią konfiguracji trzymaną osobno. Gdy maszyna wymaga zdalnego serwisu producenta, wejście otwieramy na czas zgłoszenia i zamykamy po nim, zamiast zostawiać stałe konto ze wspólnym hasłem.

Takie rozwiązanie jest tańsze od licencji, której i tak nie wolno tam uruchomić, i jako jedyne da się utrzymać przez lata.

Co jest w abonamencie, a co zostaje osobnym projektem

W stałej kwocie mieści się praca powtarzalna: nadzór nad konsolą i alertami, utrzymanie reguł filtra poczty oraz rekordów domeny, pilnowanie zadań kopii razem z próbnym odtworzeniem, przegląd kont i uprawnień, aktualizacje w części biurowej i raport zawierający wyłącznie to, co wymaga Waszej decyzji.

Osobno wyceniamy to, co dzieje się raz: przeprojektowanie i rozdzielenie sieci, zakup oraz montaż urządzenia brzegowego, budowę repozytorium kopii, uporządkowanie dostępów firm zewnętrznych po latach i pierwsze szkolenie całej załogi. Listę pokazujemy przed podpisaniem umowy razem z propozycją rozłożenia jej na kwartały.

Licencje producentów oprogramowania kupujecie u nas po cenie zakupu albo bezpośrednio, jak Wam wygodniej. Nie chowamy ich w abonamencie, żeby dało się osobno porównać cenę pracy i cenę oprogramowania.

Czego w tej umowie nie obiecujemy

Nie obiecujemy, że atak się nie uda, ani człowieka przy konsoli o każdej porze. Systemy monitorujemy bez przerwy, zagrożenia rozpoznane blokowane są automatycznie, ale decyzję podejmuje inżynier w dni robocze między 8:00 a 18:00. Gotowość poza tymi godzinami jest osobno płatna i ustalamy ją przed pierwszym użyciem, a nie w trakcie zdarzenia.

Nie wydajemy również certyfikatu zgodności. Dokument potwierdzający spełnienie ISO/IEC 27001 wystawia niezależna jednostka certyfikująca po własnym badaniu, a naszą rolą jest doprowadzenie zakładu do stanu, w którym takie badanie ma sens.

Punkt wyjścia pokazuje audyt bezpieczeństwa IT, powrót po udanym ataku opisuje ochrona przed ransomware, a obowiązki wynikające z dyrektywy rozpisuje NIS 2 dla firm. Orientacyjny koszt stałej opieki policzycie w kalkulatorze.

Treść sprawdzona i zaktualizowana: 7 września 2026