Zabezpieczanie danych firmowych: plan dla zarządu w 7 krokach

Zabezpieczanie danych firmowych to nie zakup jednego programu, tylko kilka prostych zasad stosowanych konsekwentnie: wiesz, gdzie są dane, kontrolujesz, kto ma do nich dostęp, aktualizujesz systemy, masz kopie, które da się odtworzyć, i wiesz, co robić w dniu incydentu. Poniżej opisuję te kroki w kolejności, w jakiej sam je porządkuję, gdy przejmujemy utrzymanie systemów nowego klienta.

Tekst jest dla zarządu i kierownika IT w małej lub średniej firmie. Nie ma tu listy produktów do kupienia, bo narzędzie bez procedury i właściciela daje głównie poczucie bezpieczeństwa.

Od czego zacząć zabezpieczanie danych firmowych

Zacznij od inwentaryzacji: jakie dane masz, w których systemach leżą i kto za nie odpowiada. Bez tej listy każda kolejna decyzja jest zgadywaniem. Wystarczy prosta tabela, nie trzeba do tego konsultantów.

• systemy i usługi: poczta, dysk w chmurze, ERP, CRM, sklep, księgowość, serwery,
• rodzaj danych: dane osobowe klientów i pracowników, finanse, umowy, kod źródłowy,
• właściciel po stronie firmy: osoba, która decyduje o dostępach i odpowiada za system,
• dostawca: kto ma konto administratora i na jakiej podstawie.

Przy takiej inwentaryzacji prawie zawsze wychodzą rzeczy zapomniane: stary serwer FTP, konto testowe w sklepie, arkusz z danymi klientów udostępniony linkiem. To one, a nie wyrafinowane ataki, są najczęstszą furtką.

Dostępy, hasła i uwierzytelnianie wieloskładnikowe

Najwięcej ryzyka zdejmuje porządek w kontach: każdy ma własne konto, dostęp tylko do tego, czego potrzebuje w pracy, i drugi składnik logowania. To tak zwana zasada najmniejszego przywileju, połączona z regularnym przeglądem uprawnień.

• Uwierzytelnianie wieloskładnikowe (MFA) na poczcie, dysku, panelach administracyjnych i w bankowości. Aplikacja lub klucz sprzętowy są lepsze niż SMS.
• Menedżer haseł dla całego zespołu zamiast haseł w arkuszu i w notesie przy monitorze.
• Brak kont współdzielonych typu admin@ używanych przez kilka osób, bo po incydencie nie wiadomo, kto co zrobił.
• Procedura odejścia pracownika: odebranie dostępów tego samego dnia, łącznie z kontami w zewnętrznych usługach.

Osobny temat to dostawcy, którzy przez lata zbierali hasła i klucze do Twoich systemów. Opisałem to szerzej w tekście o tym, jak uporządkować dostępy po poprzednim wykonawcy.

Aktualizacje, ochrona komputerów i aplikacji

Nieaktualne oprogramowanie to obok słabych haseł najprostsza droga do włamania. Dotyczy to komputerów pracowników, ale też serwerów, sklepów internetowych i wtyczek, o których nikt nie pamięta.

Na komputerach potrzebujesz automatycznych aktualizacji systemu, ochrony antywirusowej lub EDR oraz włączonej zapory. W firmie, która ma kilkanaście laptopów, warto mieć zarządzanie urządzeniami z jednego panelu, żeby widzieć, który komputer od miesiąca nie przyjął poprawek.

Po stronie aplikacji webowych i systemów pisanych na zamówienie odpowiada wykonawca, ale to Ty decydujesz, czego od niego wymagasz: aktualizacji zależności, logów, testów bezpieczeństwa. Listę takich wymagań zebrałem we wpisie o tym, jakie minimum bezpieczeństwa aplikacji warto wpisać do umowy.

Kopie zapasowe, które naprawdę da się odtworzyć

Kopia zapasowa ma sens tylko wtedy, gdy ktoś sprawdził, że da się z niej odtworzyć system w rozsądnym czasie. Skonfigurowane zadanie kopii to jeszcze nie kopia działająca.

Dobra praktyka to trzy egzemplarze danych, na dwóch różnych nośnikach, z czego jeden poza siedzibą firmy. Przy ransomware liczy się jeszcze jedno: przynajmniej jedna kopia musi być offline albo niezmienialna, czyli taka, której zainfekowany komputer z uprawnieniami administratora nie zaszyfruje ani nie usunie.

Ustal też dwie wartości dla każdego ważnego systemu: ile danych możesz stracić (kopia z wczoraj czy z ostatniej godziny) i jak długo możesz czekać na odtworzenie. Od tych dwóch odpowiedzi zależy koszt rozwiązania. Szczegóły procedury testu opisałem w tekście jak przeprowadzić test odtworzenia kopii.

Szyfrowanie danych na urządzeniach i w transmisji

Szyfrowanie dysku sprawia, że zgubiony laptop jest stratą sprzętu, a nie wyciekiem danych. W nowych komputerach to zwykle kwestia włączenia funkcji systemu i zapisania klucza odzyskiwania w bezpiecznym miejscu.

Drugie miejsce to transmisja: połączenia szyfrowane do wszystkich paneli i aplikacji, VPN lub dostęp przez bramę z logowaniem dla systemów wewnętrznych, żadnych baz danych wystawionych do internetu. Trzecie to pliki wysyłane na zewnątrz: zamiast załącznika z danymi klientów lepiej udostępnić plik z hasłem i terminem ważności.

Ludzie: szkolenia i zgłaszanie podejrzanych sytuacji

Pracownicy są najczęściej pierwszym celem ataku, dlatego szkolenie z rozpoznawania phishingu to część systemu ochrony, nie dodatek. Krótkie, regularne szkolenia działają lepiej niż jedno długie raz na kilka lat.

Ważniejsze od samego szkolenia jest to, co pracownik robi po kliknięciu w podejrzany link. Jeśli boi się przyznać, incydent wychodzi na jaw po tygodniach. Jeśli wie, do kogo zadzwonić, i nie grozi mu za to kara, reakcja trwa minuty. Ten sam problem dotyczy narzędzi AI: pracownicy wklejają do nich umowy i dane klientów, bo nikt im nie powiedział, czego nie wolno. Zasady dla takiej sytuacji opisałem we wpisie o tym, jak chronić dane firmowe w narzędziach AI.

Plan reagowania na incydent i obowiązki prawne

Plan na incydent to jedna strona: kto decyduje, kogo powiadamiamy, jak odcinamy zainfekowane urządzenia, skąd odtwarzamy dane i kto rozmawia z klientami. Pisze się go spokojnie, a nie w dniu ataku.

W planie muszą być terminy wynikające z przepisów. Gdy wyciekną dane osobowe, art. 33 RODO wymaga zgłoszenia naruszenia do organu nadzorczego bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od jego stwierdzenia. Weekend tego terminu nie wydłuża, więc ktoś musi wiedzieć, jak przygotować zgłoszenie.

Część firm ma też obowiązki wynikające z dyrektywy NIS2, która objęła średnie i większe przedsiębiorstwa z wymienionych w niej sektorów. Wśród wymaganych środków dyrektywa wymienia między innymi kopie zapasowe, szyfrowanie, uwierzytelnianie wieloskładnikowe, bezpieczeństwo łańcucha dostaw i szkolenia. Jeśli działasz w energetyce, transporcie, ochronie zdrowia, produkcji lub usługach cyfrowych, sprawdź z prawnikiem, czy Twoja firma jest w tym gronie.

Jak często sprawdzać zabezpieczenia

Bezpieczeństwo nie jest projektem z datą końca, więc potrzebny jest stały rytm przeglądów. Proponuję prosty kalendarz, który da się utrzymać bez osobnego działu.

Co	Jak często	Kto
Przegląd kont i uprawnień	co kwartał i przy każdym odejściu	właściciel systemu
Test odtworzenia kopii	co kwartał dla ważnych systemów	IT lub dostawca
Aktualizacje serwerów i aplikacji	na bieżąco, kontrola co miesiąc	IT lub dostawca
Szkolenie z phishingu	krótko, kilka razy w roku	wszyscy pracownicy
Audyt zewnętrzny	raz w roku albo po dużej zmianie	niezależny audytor

Audyt wewnętrzny pokazuje, czy procedury są stosowane. Zewnętrzny daje spojrzenie kogoś, kto nie projektował tych zabezpieczeń i nie ma powodu bronić swoich decyzji. Dobrze jest rozdzielić te role: audytor nie powinien być tą samą firmą, która utrzymuje systemy.

Jeśli masz zrobić jedną rzecz w tym tygodniu, zrób inwentaryzację systemów i kont administratorów, a potem włącz MFA tam, gdzie go brakuje. Od tego zaczyna się zabezpieczanie danych firmowych, a reszta planu wynika z tej listy. Gdy chcesz, żeby ktoś z zewnątrz przejrzał ją razem z Tobą, napisz do mnie przez kontakt.