Certyfikaty SSL i szyfrowanie Barlinek

Co się psuje, gdy certyfikat wygaśnie w środku sezonu?

Wygaśnięcie nie zapowiada się w żaden sposób. Certyfikat działa do sekundy, w której przestaje działać, i wtedy dzieje się kilka rzeczy naraz. Strona pokazuje ostrzeżenie na cały ekran, system rezerwacji przestaje przyjmować potwierdzenia, a program pocztowy w biurze odmawia połączenia z serwerem bez zrozumiałego komunikatu.

Powód jest prawie zawsze ten sam. Powiadomienie o zbliżającym się terminie poszło na adres podany przy zakupie kilka lat temu przez osobę, która już tu nie pracuje, albo na skrzynkę agencji, która robiła stronę i od dwóch lat nie odpowiada. Dopiero telefon od klienta uruchamia poszukiwania, kto właściwie ten certyfikat kupował i gdzie są dane do logowania.

W Barlinku szczególnie boli to dwie grupy. Pensjonaty i gospodarstwa agroturystyczne, bo ich sprzedaż mieści się w kilku miesiącach roku. Oraz firmy handlujące przez internet, u których przerwa oznacza porzucone koszyki i klienta kupującego gdzie indziej w ciągu minuty.

Ile w małej firmie jest miejsc z datą ważności?

Znacznie więcej niż jedno i to jest właśnie sedno problemu. Strona bywa zaopiekowana, bo widać ją od razu. Reszta nie ma żadnego właściciela.

Certyfikat siedzi w serwerze pocztowym, w routerze obsługującym dostęp zdalny, w kontrolerze sieci bezprzewodowej, w rejestratorze kamer z podglądem przez internet, w połączeniu programu handlowego z systemem hurtowni oraz w podpisie elektronicznym, którym księgowość wysyła dokumenty. Do tego dochodzą certyfikaty wewnętrzne wystawione kiedyś przez firmę wdrożeniową, o których nikt nie wie, bo nie mają żadnego interfejsu.

Stąd pierwsza czynność w tej usłudze, czyli spis, wykonywany zanim ktokolwiek cokolwiek kupi. Dopiero lista pokazuje, ile w firmie na kilkanaście osób jest miejsc, w których data ważności naprawdę coś znaczy.

Dwie wersje tej samej kradzieży

Szyfrowanie dysku wygląda na temat oderwany od certyfikatów, ale to ta sama usługa widziana z drugiej strony: raz chronimy dane w drodze, raz dane leżące na sprzęcie. Skutki różnicy widać najlepiej na jednym zdarzeniu.

Co się dzieje po kradzieży laptopa	Dysk zaszyfrowany	Dysk niezaszyfrowany
Dostęp do plików firmy	żaden bez hasła i klucza	pełny po wyjęciu dysku
Koszt zdarzenia	wartość sprzętu	wartość sprzętu plus obsługa naruszenia
Zgłoszenie do organu nadzoru	zwykle niepotrzebne	trzeba założyć, że dane wypłynęły
Rozmowa z klientami	żadna	informacja o wycieku ich danych
Praca do odtworzenia	pobranie plików z kopii	to samo, plus ustalanie, co tam było
Decyzja właściciela	zamówienie nowego sprzętu	tydzień pytań bez dobrych odpowiedzi

Prawa kolumna to scenariusz, który obsługiwaliśmy kilka razy i za każdym razem najgorsza była ostatnia linijka. Nikt nie potrafi powiedzieć, co dokładnie leżało na dysku, bo pracownik trzymał tam kopie dokumentów od trzech lat.

Gdzie trzymamy klucze odzyskiwania?

To jest pytanie ważniejsze niż wybór samego mechanizmu szyfrowania. Włączenie BitLockera zajmuje kilka minut, a klucz odzyskiwania zapisany na kartce w szufladzie zamienia awarię płyty głównej w bezpowrotną utratę danych.

Klucze zapisujemy w katalogu tożsamości firmy albo w sejfie haseł, do którego dostęp ma właściciel i my. Przy każdym nowym komputerze sprawdzamy, czy klucz faktycznie tam trafił, bo domyślne ustawienia potrafią zapisać go na koncie prywatnym pracownika. To drobiazg, o którym pamięta się dokładnie raz, przy pierwszej awarii.

Sprawdzamy też stan faktyczny, nie deklarowany. Komputer, na którym szyfrowanie zostało wyłączone przy serwisie i nigdy nie wróciło, wygląda w spisie identycznie jak zaszyfrowany, dopóki ktoś nie zajrzy.

Jak wygląda pierwszy miesiąc?

Inaczej niż kolejne, bo trzeba ustalić stan rzeczywisty. Skanujemy Wasze domeny i adresy widoczne z internetu, przeglądamy konfigurację serwera i urządzeń, a potem pytamy o rzeczy, których z zewnątrz nie widać. Integracje z systemami kontrahentów, certyfikaty wewnętrzne, podpis elektroniczny w księgowości i wszystko, co ktoś kiedyś kupował na własną rękę.

Na koniec dostajecie zestawienie, w którym przy każdej pozycji stoi termin, osoba odpowiedzialna i droga odnowienia. Prawie zawsze wypadają z niej przy okazji dwie rzeczy do naprawienia od razu. Pierwsza to usługa wystawiona do internetu, o której nikt nie pamiętał, zwykle stary panel administracyjny albo rejestrator kamer. Druga to komputery bez szyfrowania w miejscu, gdzie pracuje się na danych osobowych.

Czego w tej usłudze nie robimy?

Nie wystawiamy certyfikatów, bo robią to urzędy certyfikacji, i nie sprzedajemy podpisu kwalifikowanego, który kupuje się u dostawcy z listy nadzoru. Nie zajmujemy się również szyfrowaniem pojedynczych plików na potrzeby wymiany z jednym kontrahentem, o ile nie jest to część większego wdrożenia.

Nie prowadzimy też w Barlinku dyżurów. Jeśli certyfikat wygaśnie w niedzielę, zajmiemy się nim w poniedziałek rano, i właśnie dlatego cała ta usługa polega na tym, żeby nie wygasał.

Stan wyjściowy pokazuje audyt bezpieczeństwa IT, szerszy zestaw zabezpieczeń opisuje bezpieczeństwo IT dla firm, a dostęp do kont zabezpiecza logowanie wieloskładnikowe.

Treść sprawdzona i zaktualizowana: 1 sierpnia 2026