Firewall dla firmy Warszawa

Trzy spółki, jedno łącze i jedna szafa

Pod jednym warszawskim adresem bardzo często pracuje więcej niż jeden podmiot. Spółka operacyjna i spółka od nieruchomości, firma z inwestorem zagranicznym i jej polski oddział, kancelaria z podnajmem dla dwóch mniejszych praktyk. Umowa najmu jest jedna, łącze budynkowe jedno i szafa jedna, a dane trzech różnych organizacji leżą na tym samym przełączniku.

Dopóki wszyscy sobie ufają, nikt tego nie rusza. Problem pojawia się w trzech momentach: przy pierwszej ankiecie bezpieczeństwa od klienta jednej ze spółek, przy badaniu poprzedzającym sprzedaż udziałów i przy rozstaniu, gdy trzeba rozdzielić coś, czego nikt nigdy nie oddzielił. Wtedy okazuje się, że jedynym miejscem, w którym da się tę granicę postawić, jest urządzenie brzegowe.

Co można współdzielić, a co musi być rozdzielone

Element	Wspólny	Rozdzielony	Dlaczego tak
Łącze do internetu	tak	nie	jedna usługa budynkowa, dzielona pasmem
Adresacja wewnętrzna	nie	tak	dwie identyczne pule uniemożliwiają późniejsze rozdzielenie
Strefa na firewallu	nie	tak	to jest właśnie ta granica
Sieć bezprzewodowa	nie	tak	osobne identyfikatory i osobne uwierzytelnianie
Serwer plików	nie	tak	dane spółek nie mogą leżeć na jednym zasobie
Drukarki i sale spotkań	zwykle tak	rzadko	sprzęt biurowy, wpięty do własnego segmentu
Dostęp zdalny	nie	tak	konto musi wskazywać, do której spółki sięga

Wiersz z drukarkami wywołuje najwięcej rozmów, bo tu wygoda faktycznie stoi po przeciwnej stronie niż rozdzielenie. Rozstrzygamy go zwykle tak, że urządzenia biurowe stoją we własnym segmencie, do którego wolno drukować z obu stron, ale z którego nie da się wejść nigdzie dalej.

Dostęp zdalny, gdy jedna osoba pracuje dla dwóch podmiotów

W grupach kapitałowych to codzienność: księgowa obsługuje trzy spółki, prawnik dwie, informatyk wszystkie. Kuszące jest danie takiej osobie jednego szerokiego dostępu, bo i tak wchodzi wszędzie. Robimy odwrotnie: jedno konto imienne z jawnie wypisanymi uprawnieniami do konkretnych stref, każde nadane osobno i każde z własną datą przeglądu.

Efekt widać dopiero wtedy, gdy ktoś pyta, kto i kiedy otworzył konkretny plik albo zalogował się do systemu jednej ze spółek. Przy rozdzielonych dostępach odpowiedź zajmuje kilka minut. Przy jednym koncie do wszystkiego nie ma jej wcale, a przy sporze między wspólnikami brak odpowiedzi bywa gorszy od złej odpowiedzi.

Co się dzieje, gdy jedna ze spółek się wyprowadza

To jest test, który weryfikuje całą wcześniejszą pracę. Wyprowadzka oznacza wygaszenie jednej strefy, zdjęcie jej publikacji, zamknięcie tuneli, odebranie kont i przekazanie kopii konfiguracji dotyczącej wyłącznie tego podmiotu. Przy sieci rozdzielonej od początku to jedno zaplanowane wejście, uzgodnione z wyprzedzeniem i wykonane po godzinach pracy pozostałych najemców.

Przy sieci, w której wszyscy siedzieli w jednej płaskiej przestrzeni adresowej, ta sama operacja zamienia się w kilka tygodni ustalania, czy dana reguła obsługuje jeszcze kogoś, kto zostaje. Zwykle kończy się to zostawieniem wszystkiego bez zmian, czyli byłym najemcą, który dalej ma tunel do sieci budynku.

Czego to urządzenie nie załatwi

Nie ochroni przed pracownikiem, który ma legalny dostęp i wynosi dane, którymi wolno mu się posługiwać. Nie zastąpi ochrony stacji roboczych ani kontroli poczty, bo większość spraw zaczyna się dziś od załącznika, a nie od ataku na brzeg. Nie odpowiada też za dostępność łącza budynkowego, a przy jednym przyłączu do biurowca to bywa najsłabszym ogniwem całego układu.

Podział ruchu wewnątrz piętra opisuje konfiguracja sieci firmowej, stały przegląd reguł administracja siecią, a budowę sieci od zera wdrożenie infrastruktury.

Treść sprawdzona i zaktualizowana: 2 sierpnia 2026