Cyberbezpieczeństwo firmy — od czego zacząć przy stronie internetowej

Rozmowa o cyberbezpieczeństwie firmy zwykle zaczyna się od zapory i wtyczek. Dane mówią, że zaczynać trzeba gdzie indziej.

W 2025 roku CERT Polska zarejestrował 260 783 incydenty. Włamania to 750 z nich — trzy dziesiąte procenta. Oszustwa komputerowe to 97%, a samo wyłudzanie loginów i haseł — 30% wszystkiego. Innymi słowy: nikt nie będzie się do Was włamywał w sposób, który sobie wyobrażacie. Ktoś po prostu zdobędzie hasło.

Dlatego ten dział jest ułożony od dostępu, nie od narzędzi — i dlatego zaczyna się od listy kont, a nie od zakupu. Poniżej sześć sytuacji, po jednej na tekst. Żadnej nie tłumaczę tutaj od początku; po to są artykuły, do których odsyłam.

Jeśli macie zrobić tylko jedną rzecz

Otwórzcie listę użytkowników w panelu strony i przy każdym koncie odpowiedzcie na trzy pytania: kto to jest, czy nadal z tego korzysta i czy musi mieć takie uprawnienia.

Zwykle wychodzi konto wykonawcy sprzed dwóch agencji, konto „admin" z instalacji i trzy osoby z uprawnieniami administratora, z których edytuje jedna. Do tego trzy dostępy, których w panelu nie widać, a które dają więcej niż konto administratora: hosting, baza danych i konto domeny.

Kwadrans pracy, zero kosztu, i zamyka drogę, którą przychodzi zdecydowana większość zdarzeń. Jak to zrobić i co dalej: [jak zabezpieczyć stronę internetową](posts:69241af55f2464f7c72d876b).

Jeśli po tym kwadransie zostaje Wam jeszcze pięć minut, wykorzystajcie je na jedną rzecz: sprawdźcie, na jaki adres e-mail przychodzi reset hasła do panelu. Bywa to skrzynka byłego pracownika albo alias, do którego nikt nie zagląda — a kto ma tę skrzynkę, ten ma panel, nie łamiąc niczego.

Sześć wejść do działu

„Ktoś może się włamać — co właściwie mam zrobić?"

Kontrola dostępu, konta w panelu, wtyczki jako powierzchnia ataku i sześć sygnałów, że coś się już stało — z podziałem na te, które zauważycie sami, i te, które pierwszy widzi klient. Tu jest też pełny rozkład incydentów w Polsce i darmowe skanowanie, z którego prawie nikt nie korzysta.

→ Jak zabezpieczyć stronę internetową

„Przeglądarka ostrzega przed moją stroną" albo „mam zapłacić za certyfikat?"

Czym jest certyfikat, kiedy darmowy wystarcza, kiedy potrzebny jest wildcard i co się zmienia w terminach, których nikt z Was nie ustalał — łącznie ze skracaniem ważności certyfikatów i wymuszeniem szyfrowania w przeglądarkach.

→ Certyfikat SSL

„Mam kilkanaście powiadomień o aktualizacjach i boję się kliknąć"

Gdzie naprawdę siedzą podatności — 91% w wtyczkach, 9% w motywach, w rdzeniu sześć — co włączyć automatycznie, czego nie ruszać bez wykonawcy i co robić, gdy aktualizacja położy stronę.

→ Aktualizacja strony internetowej

„Mam backup w hostingu — czy to wystarczy?"

Cztery warstwy, z których składa się działająca strona, trzy miejsca przechowywania kopii i to, przed czym każde chroni. Oraz część, która zmienia kategorię problemu: utrata dostępu do danych jest naruszeniem, a zegar liczy 72 godziny.

→ Kopia zapasowa strony internetowej

„Czy moja polityka prywatności jest w porządku?"

Sześć pozycji, które muszą w niej być, i sześć, które trafiają tam z cudzych wzorów. Osobno cookies — z podstawą prawną, która w 2024 roku zmieniła ustawę, czego większość poradników jeszcze nie zauważyła.

→ Obowiązek informacyjny RODO na stronie

„Czy w ogóle mamy z czym pracować — kto nam to sprawdzi?"

Jeśli żadne z powyższych zdań nie brzmi jak Wasza sytuacja, a chcecie po prostu wiedzieć, w jakim stanie jest strona, zacznijcie od kwadransa z listą kont opisanego wyżej i od darmowego skanu domeny przez moje.cert.pl. Obie rzeczy zrobicie sami i obie powiedzą więcej niż jakakolwiek oferta, którą dostaniecie bez sprawdzenia.

„Pracownik kliknął w link"

Warstwa firmowa: skrzynka, telefony, konta w cudzych systemach. Jeden odruch wart wyuczenia zespołowi zamiast szkolenia z rozpoznawania phishingu, cztery ruchy po kliknięciu i ochrona, z której już korzystacie, nie wiedząc o tym.

→ Ochrona danych firmowych

W jakiej kolejności to czytać

Trzy ścieżki, zależnie od tego, co Was tu przywiodło.

Nic się nie stało i chcecie to po prostu ogarnąć. Zacznijcie od sekcji wyżej, potem sekcję o kolejności i kopia zapasowa. Trzy kroki, jedno popołudnie, i macie zamknięte to, co zamyka się najtaniej.

Coś się już wydarzyło. Idźcie prosto do jak zabezpieczyć stronę, sekcja o tym, co robić po włamaniu — a jeśli chodzi o kliknięcie w link albo przejętą skrzynkę, do ochrony danych firmowych. Jeżeli wśród tego, co stało się niedostępne albo wyciekło, były dane osób, dochodzi termin liczony w godzinach: obowiązek informacyjny.

Przygotowujecie się do rozmowy z wykonawcą. Warto przeczytać aktualizacje i kopie zapasowe — z obu wychodzą konkretne pytania, które da się zadać na spotkaniu, i obie sekcje kończą się listą tego, co powinno znaleźć się w odpowiedzi.

Kolejność, w której warto to robić

Kolejność na tej figurze nie wynika z tego, co jest najciekawsze, tylko z tego, ile ryzyka zamyka każda pozycja wobec włożonego wysiłku. Trzy pierwsze są darmowe i mieszczą się w jedno popołudnie.

Zwróćcie uwagę, gdzie jest monitoring i wtyczka bezpieczeństwa — najniżej. Nie dlatego, że są bezużyteczne, tylko dlatego, że zainstalowane przed listą kont dają poczucie zrobienia czegoś, nie zamykając drogi, którą faktycznie się wchodzi. To jest najczęstsza pomyłka w kolejności, jaką widzimy, i najdroższa — bo kosztuje abonament i spokój naraz.

Jedna uwaga o samej figurze: te dwie miary to nasza ocena z audytów, nie pomiar. Podpis pod nią mówi to samo. Liczba, która jest pomiarem — proporcja incydentów — stoi w leadzie i pochodzi z raportu CERT.

Co jest darmowe, a za co się płaci

Warto to powiedzieć wprost, bo rynek usług bezpieczeństwa sprzedaje odwrotne wrażenie.

Za nic: lista kont i odebranie zbędnych dostępów, drugi składnik logowania, unikalne hasła, usunięcie nieużywanych wtyczek, sprawdzenie, gdzie przychodzi reset hasła, zgłaszanie podejrzanych wiadomości, skanowanie własnej domeny przez moje.cert.pl.

Za niewiele: kopia leżąca poza kontem hostingu — kilkanaście złotych miesięcznie i jedyny wydatek, który polecamy praktycznie każdemu.

Sensownie płatne, gdy strona zarabia: monitoring z powiadomieniem konkretnej osoby i opieka techniczna z ustalonym czasem reakcji. Różnica między „dowiaduję się w godzinę" a „dowiaduję się od klienta po tygodniu" jest wtedy policzalna — i to jest jedyny sposób, w jaki da się uzasadnić ten wydatek liczbą, a nie przeczuciem.

Jest też kategoria pośrednia, o której rzadko się mówi: czas kogoś, kto raz na kwartał przejrzy to za Was. Nie monitoring, nie abonament — po prostu godzina pracy z listą kont, wtyczkami i kopią. Przy firmie, w której nikt nie wchodzi do panelu inaczej niż po to, żeby dodać wpis, jest to najlepiej wydana godzina z całego działu.

Czego nie warto kupować: pakietów „bezpieczeństwo premium" doklejanych do hostingu, jeśli nie wiadomo, co obejmują. Pytanie kontrolne jest jedno i rozstrzyga w jednym zdaniu — czy ta usługa powiadomi konkretną osobę, czy wygeneruje raport w panelu, do którego nikt nie zagląda.

Czego ten dział nie obejmuje

• Kto to robi co miesiąc — opieka techniczna, monitoring, wsparcie i ich koszty: utrzymanie.
• Na czym strona stoi — technologie.
• Czym zarządzacie treścią — narzędzia.
• Terminy zewnętrzne, które zapadają niezależnie od Was — koniec wsparcia dla wersji oprogramowania i wymagania przeglądarek: modernizacja strony. To jest osobna decyzja, wychodząca z kalendarza, a nie z Waszych objawów.
• Rozstrzygnięcia prawne w sprawach wątpliwych. Opisujemy, co widzimy przy wdrożeniach, i wskazujemy podstawy wprost, żebyście mogli je sprawdzić. Przy sporze i przy ocenie ryzyka — prawnik.

Trzy zdania, przez które to się odkłada

„Jesteśmy za mali, żeby ktoś się nami interesował." Kampanie z tej 97-procentowej kategorii nie wybierają celów — podstawiają pary z cudzych wycieków i testują znane nazwy kont na wszystkim, co odpowie. Nikt nie sprawdza wielkości firmy przed próbą logowania.

„Tym zajmuje się hosting albo nasz informatyk." Zajmuje się swoją warstwą i zwykle robi to dobrze. Nie odpowiada za konta w Waszym panelu, za porzucone wtyczki ani za to, komu daliście dostęp trzy lata temu. W jednej z decyzji Urzędu Ochrony Danych Osobowych ukarany został zresztą nie tylko administrator danych, ale i podwykonawca — co pokazuje, że podział odpowiedzialności bywa inny, niż się zakłada.

„Zrobimy to przy następnej przebudowie." Najkosztowniejsze z trzech, bo lista z tego działu nie ma z przebudową nic wspólnego — to są ustawienia, nie projekt. Odłożenie ich do kolejnego dużego zadania oznacza zwykle dwa lata otwartego dostępu w zamian za nic.

Wspólny mianownik: każde z tych zdań przenosi odpowiedzialność na coś zewnętrznego — rozmiar firmy, dostawcę, kalendarz. Lista, która faktycznie działa, jest w całości wewnętrzna, i dlatego bywa najtrudniejsza do zaczęcia.

Jest jeszcze czwarte zdanie, rzadsze, ale warte odnotowania, bo brzmi rozsądniej od tamtych: „zrobimy to, jak będziemy mieli budżet". Przy tej liście budżet nie jest wąskim gardłem — trzy najskuteczniejsze pozycje kosztują zero, a jedyna, którą polecamy praktycznie każdemu, to kilkanaście złotych miesięcznie. Wąskim gardłem jest decyzja, kto w firmie wchodzi do panelu i odbiera dostęp człowiekowi, z którym się dobrze pracowało. To bywa niewygodne — i dlatego przesuwa się w kalendarzu pod inną nazwą.

Czego ten dział celowo nie robi

Na koniec trzy rzeczy, których w tych sześciu tekstach nie znajdziecie, bo świadomie ich nie piszemy.

Nie straszymy liczbami bez pochodzenia. Każda liczba w tym dziale ma źródło z nazwą i rokiem, a tam gdzie źródło jest dostawcą zainteresowanym wynikiem — mówimy to wprost razem z liczbą. Z poprzednich wersji tych tekstów usunęliśmy komplet statystyk, których nie dało się przypisać do niczego.

Nie sprzedajemy narzędzi. Nie porównujemy wtyczek ani dostawców, bo zmieniają się szybciej, niż dałoby się to utrzymać w aktualności, a wybór zależy od tego, czego już używacie.

Nie udajemy porady prawnej. Tam, gdzie wchodzą przepisy, wskazujemy podstawę wprost — z numerem artykułu i odnośnikiem do tekstu ustawy — żebyście mogli ją sprawdzić albo pokazać prawnikowi. Rozstrzygnięcia w sprawach wątpliwych należą do niego.