Firewall dla firmy Opole

Ile stałych połączeń prowadzi dziś do Waszej sieci?

To pytanie zadajemy na początku każdego takiego zlecenia i prawie nigdy nie dostajemy pełnej odpowiedzi od razu. W opolskiej firmie handlującej za granicą albo dostarczającej do zakładu w Niemczech lista rośnie latami: kanał wymiany plików z odbiorcą, tunel do systemu spedycyjnego, wejście serwisu producenta maszyny, zdalny dostęp biura rachunkowego, połączenie firmy od kamer i jeszcze jedno, o którym pamięta tylko osoba, która odeszła.

Dopóki tej listy nie ma, każda rozmowa o firewallu jest rozmową o urządzeniu, a nie o bezpieczeństwie. Dlatego zaczynamy od spisania stanu faktycznego, łącznie z tym, co jest wystawione na zewnątrz i co odpowiada na pukanie z internetu. Dopiero ta lista pozwala napisać reguły, które czegoś pilnują, zamiast przepisywać ustawienia z poprzedniego urządzenia.

Jak wygląda różnica między dostępem a zakresem?

Połączenie	Częste ustawienie zastane	Ustawienie, które zostawiamy
Kanał wymiany plików z odbiorcą	tunel do całej sieci zakładu	jeden serwer, jeden port, okno czasowe
Serwis producenta linii	stałe wejście czynne cały rok	przejście otwierane na zgłoszenie, z zapisem
Biuro rachunkowe	pulpit zdalny wystawiony na zewnątrz	tunel z drugim składnikiem, dostęp do jednej aplikacji
Handlowiec w trasie	wspólne konto i wspólne hasło	konto imienne, drugi składnik, wygaszanie sesji
Firma od kamer	dostęp do sieci przez rejestrator	osobny segment, wyjście wyłącznie do rejestratora
Portal awizacyjny dla przewoźników	usługa wystawiona z sieci biurowej	wydzielony segment, brak drogi do serwerów wewnętrznych
Centrala grupy kapitałowej	pełne widzenie sieci zakładu	zakres uzgodniony i wpisany do wykazu

Kolumna środkowa nie jest wyliczanką błędów popełnianych przez nieostrożnych. Każde z tych ustawień powstało kiedyś jako najszybsze rozwiązanie konkretnej sprawy i wtedy działało. Problemem jest to, że zostało na stałe, a firewall bez przeglądu zamienia się w zbiór wyjątków, których nikt już nie umie uzasadnić.

Co zrobić z połączeniem, którego partner wymaga na swoich warunkach?

Zdarza się, że odbiorca albo centrala grupy przysyła gotowe wymagania dotyczące tunelu i nie ma w nich miejsca na dyskusję. Wtedy negocjujemy nie sam fakt połączenia, tylko jego zakres, i to jest rozmowa, którą prawie zawsze da się wygrać. Druga strona zwykle chce dostępu do konkretnej usługi, a wpisała w formularzu całą sieć, bo tak było wygodniej napisać.

Gdy zakres naprawdę musi być szeroki, budujemy dla takiego partnera osobny segment i przenosimy do niego wyłącznie to, co ma widzieć. Reszta zakładu zostaje po drugiej stronie reguły. Ten układ ma dodatkową zaletę przy pytaniach z kwestionariusza bezpieczeństwa: odpowiedź o tym, co widzi dostawca, jest wtedy krótka i sprawdzalna, a nie oparta na zapewnieniu.

Jak długo żyje dobrze napisana reguła?

Krócej, niż zakłada większość firm. Zmienia się dostawca systemu, kończy się projekt, odchodzi handlowiec, a reguła zostaje, bo nikt nie ma powodu jej skasować. Po trzech latach w konfiguracji stoi kilkanaście wpisów, których nikt nie umie przypisać do żadnej żywej sprawy, i wtedy zaczyna się bać ich ruszać.

Dlatego każdy wpis dostaje u nas trzy rzeczy: powód, osobę, która o niego poprosiła, i datę. Po trzech miesiącach od wdrożenia wracamy do wykazu i pokazujemy, z których połączeń nikt nie skorzystał. Kasowanie takiej reguły przestaje być wtedy ryzykiem, bo widać, że nic za nią nie stoi.

Czego firewall nie załatwi?

Nie zatrzyma wiadomości z podmienionym numerem konta, bo ta wchodzi normalną drogą i wygląda na poprawną. Nie ochroni komputera, na którym ktoś sam uruchomi załącznik. Nie zastąpi kopii zapasowych ani porządku w uprawnieniach. Jest bramą, a nie całą ochroną, i sprzedawanie go inaczej byłoby nieuczciwe.

Pocztą zajmuje się ochrona poczty i filtrowanie treści, stacjami ochrona stacji roboczych i serwerów, a logowaniem logowanie wieloskładnikowe. Stan całego brzegu sieci pokaże audyt IT.

Treść sprawdzona i zaktualizowana: 14 sierpnia 2026