Cyberbezpieczeństwo w firmie – nie tylko problem informatyka

Prowadzisz spółkę i wydaje Ci się, że bezpieczeństwo cyfrowe to sprawa działu IT? Lepiej spójrz na to inaczej. Jeżeli myślisz o odpowiedzialności zarządu, ryzykach podatkowych i obowiązkach wobec urzędów, to cyberbezpieczeństwo dotyczy właśnie Ciebie. I to bardzo realnie. W rozmowie z ekspertami z sektora cyber i compliance, którą miałam okazję prześledzić, mocno wybrzmiało jedno: dziś nie pytasz już „czy” Twoja firma zostanie zaatakowana, tylko „kiedy”. Co gorsza, nie zawsze się o tym od razu dowiesz.

Ransomware? To już standard

Wyobraź sobie, że w poniedziałek rano nie możesz zalogować się do systemu księgowego. Na ekranie widzisz komunikat o żądaniu okupu. Twój system fakturowania, rejestry kadrowe, dane kontrahentów – wszystko zaszyfrowane. Tego rodzaju scenariusz to już nie teoria. Eksperci mówią o atakach ransomware jako o najpowszechniejszym zagrożeniu, które potrafi sparaliżować działalność operacyjną nawet na kilka tygodni. Ale to nie tylko strata czasu. To potencjalne naruszenia RODO, niedochowanie terminów podatkowych, brak możliwości realizacji usług, odpowiedzialność zarządu wobec wspólników i klientów.

Brak planu czyli błąd w zarządzaniu i równocześnie cyberbezpieczeństwie

Wiele spółek nie ma wdrożonego planu ciągłości działania (Business Continuity Plan). Kiedy coś pójdzie nie tak, wszystko trzeba wymyślać od zera. A przecież można wcześniej ustalić choćby podstawowe scenariusze:

• Jakie dane są kluczowe i jak są backupowane?
• Kto ma dostęp do kopii bezpieczeństwa?
• Jak szybko można odtworzyć dostęp do faktur i dokumentów księgowych?
• Czy są procedury powiadamiania organów nadzoru (np. PUODO lub KNF) w razie naruszenia danych?

To są pytania nie tylko techniczne, ale także prawne i zarządcze. Jeśli ich nie zadasz – może się okazać, że Twoja firma nie tylko straci dane, ale i reputację, a przy okazji dostanie karę od UODO lub będzie musiała tłumaczyć się przed sądem.

Zasada ograniczonego zaufania – także w firmie

W transkrypcji rozmowy padł ważny przykład: firma padła ofiarą ataku, bo pracownik kliknął w złośliwego maila, który wyglądał jak faktura od klienta. Tyle że nie był to klient. Nikt nie sprawdził adresu, nie było przeszkolenia z cyberzagrożeń, a system pocztowy nie miał żadnych zabezpieczeń.

Dziś wystarczy jeden klik, by otworzyć dostęp do całej sieci firmowej. Dlatego konieczne jest:

• cykliczne szkolenie pracowników (również zarządu!),
• polityka dostępu – kto, do czego, z jakich urządzeń,
• hasła i MFA – niech hasło „admin123” odejdzie do lamusa.

Cyber atak a odpowiedzialność zarządu

Jako członek zarządu odpowiadasz za bezpieczeństwo działalności spółki – także w kontekście danych, terminów podatkowych i realizacji umów. W razie ataku możesz zostać pociągnięty do odpowiedzialności cywilnej, administracyjnej, a nawet karnej, jeśli zaniedbałeś obowiązki lub nie wdrożyłeś zabezpieczeń. To oznacza, że cyberbezpieczeństwo powinno być stałym punktem obrad zarządu. Nawet jeśli nie jesteś ekspertem IT – musisz zadać pytania, sprawdzić procedury, zlecić audyt lub wdrożenie polityk bezpieczeństwa.

Sygnał ostrzegawczy tj. milcząca awaria

Jednym z bardziej przerażających przykładów był przypadek, gdy firma zorientowała się po dwóch tygodniach, że backup nie działał. Wszystko wyglądało normalnie – do momentu ataku. A wtedy okazało się, że kopii nie ma. Niczego nie da się przywrócić. Księgi rachunkowe zniknęły. To pokazuje, że sam backup to za mało. Trzeba go regularnie testować. I mieć alternatywny plan – np. kopie offline, trzymane poza główną siecią.

Cyberubezpieczenia?

Coraz więcej firm rozważa polisę na wypadek cyberataku. To dobre uzupełnienie, ale nie substytut zabezpieczeń. Ubezpieczyciel wypłaci środki tylko wtedy, gdy firma sama wdrożyła minimalne środki bezpieczeństwa – np. backup, antywirusy, systemy wykrywania ataków. Brak takich działań to brak odszkodowania.

Co możesz zrobić już dziś?

Jeśli prowadzisz spółkę albo doradzasz innym, zacznij od tych kroków:

• Upewnij się, że backup działa i jest regularnie testowany.
• Zbadaj, kto ma dostęp do danych – i czy te osoby są odpowiednio przeszkolone.
• Porozmawiaj z działem IT (albo zewnętrznym dostawcą) o planie awaryjnym.
• Przeanalizuj umowy z partnerami – czy zawierają klauzule dotyczące bezpieczeństwa danych?
  Zastanów się nad cyberubezpieczeniem – ale najpierw zadbaj o podstawy.

Cyberbezpieczeństwo to nie koszt. To inwestycja w spokój, reputację i płynność działania Twojej firmy.