Krajobraz zagrożeń cybernetycznych

Raport roczny CERT Polska za 2025 r. pokazuje skalę, której trudno nie zauważyć: 658 320 zgłoszeń i 260 783 zarejestrowane incydenty - o 152 procent więcej niż rok wcześniej. To średnio ponad 1 800 zgłoszeń dziennie, z czego ponad 700 kwalifikowanych jako incydenty.

Struktura tych zdarzeń mówi więcej niż sama liczba. Oszustwa komputerowe stanowiły 97,1 procent wszystkich incydentów, a sam phishing - 78 391 przypadków, czyli 30 procent zdarzeń. Najczęściej podszywano się pod OLX (28 462 przypadki) i Allegro (22 513). Ransomware odnotowano 179 razy, wobec 163 rok wcześniej.

Wniosek dla firmy planującej pierwsze kroki: dominującym zagrożeniem nie jest wyrafinowany atak na infrastrukturę, tylko oszustwo wykorzystujące zaufanie pracownika lub klienta.

Drugi punkt odniesienia to statystyki UODO. W 2025 r. do organu wpłynęło 22 435 zgłoszeń naruszeń ochrony danych i 12 986 skarg - wobec 8 056 skarg rok wcześniej. Nałożono 32 kary na łączną kwotę około 64,4 mln zł.

Zestawienie tych dwóch źródeł daje realistyczny obraz ryzyka dla średniej firmy: znacznie bardziej prawdopodobne jest, że problem zacznie się od kliknięcia w link albo od przejętej skrzynki pocztowej niż od włamania przez lukę w oprogramowaniu. I że jego finał będzie miał dwa fronty - operacyjny i regulacyjny.

Trzy filary cyberbezpieczeństwa

Budowanie skutecznego programu cyberbezpieczeństwa nie wymaga od małych firm wdrażania wszystkiego naraz. Zamiast tego, powinny one skupić się na trzech filarach: technologii, procesach i ludziach.

Włączenie MFA zmniejsza ryzyko kompromitacji konta aż o 99,9 procent.

Na etapie technologicznym, uwierzytelnianie wieloetapowe (MFA) stanowi kluczowy element ochrony. Według danych Microsoft, włączenie MFA zmniejsza ryzyko kompromitacji konta aż o 99,9 procent. Tymczasem ochrona na poziomie końcówek (endpoint protection), obejmująca zainstalowanie nowoczesnego antywirusa i programu do wykrywania i reagowania na zagrożenia (EDR), powinna być priorytetem dla każdej firmy, niezależnie od jej wielkości.

Procesy i monitorowanie

Drugi filar - procesy - obejmuje wdrożenie podstawowego systemu monitorowania bezpieczeństwa informacji (SIEM). Dla małych firm nie musi to być zaawansowane rozwiązanie korporacyjne; początkowe logowanie i analizy mogą być realizowane za pomocą narzędzi open-source lub usług zarządzanych. Ważne jest, aby firma miała widoczność tego, co się dzieje w jej sieci - jakie urządzenia się łączą, jakie dane są przesyłane, i jakie anomalie mogą wskazywać na naruszenie. Proces zarządzania zmianą powinien być jasno zdefiniowany, szczególnie gdy chodzi o wdrażanie aktualizacji bezpieczeństwa, które powinny być testowane w środowisku nieprodukacyjnym przed wdrożeniem na systemach produkcyjnych.

Zaangażowanie pracowników

Trzeci filar - ludzie - jest notorycznie niedoceniany, a jednocześnie stanowi rzeczywistą linię obrony. Zaangażowanie pracowników w procesy cyberbezpieczeństwa, poprzez regularne szkolenia z zakresu świadomości bezpieczeństwa (security awareness), zmniejsza ryzyko ataku phishingowego nawet o 45 procent, zgodnie z badaniami Kaspersky. Ataki phishingowe pozostają jednym z najpopularniejszych wektorów dostępu dla cyberprzestępców - raport Verizon Data Breach Investigations Report 2024 wskazuje, że phishing stanowił punkt wejścia w 29 procentach potwierdzonych naruszeń danych.

Phishing stanowił punkt wejścia w 29 procentach potwierdzonych naruszeń danych.

Oprócz tych trzech filarów, firma powinna opracować i przetestować plan reagowania na incydenty cybernetyczne (incident response plan). Plan ten powinien określić role i odpowiedzialności poszczególnych członków zespołu, procedury komunikacji wewnętrznej i zewnętrznej, oraz kroki podejmowane w celu zawężenia i przywrócenia normalnych operacji. Praktyki pokazują, że firmy posiadające zdokumentowany plan reagowania na incydenty są w stanie zmniejszyć czas przywrócenia usług (recovery time objective, RTO) o 40 procent w stosunku do firm bez takiego planu.

Świadomość buduje się programem, nie jednorazową prezentacją - jak go zaprojektować i zmierzyć, opisujemy w tekście o szkoleniach z cyberbezpieczeństwa.

Od czego zacząć - siedem kroków dla małej i średniej firmy

Kolejność ma znaczenie, bo pierwsze trzy kroki nic nie kosztują poza czasem, a odcinają większość realnych scenariuszy ataku.

Krok 1: policz, co masz. Lista systemów, kont i danych - kto z czego korzysta, gdzie są dane osobowe, kto ma dostęp administracyjny. Bez tego każdy kolejny krok jest zgadywaniem. To również wymóg formalny: RODO wymaga rejestru czynności przetwarzania, a ISO 27001 - inwentaryzacji aktywów.

Krok 2: włącz uwierzytelnianie wieloskładnikowe wszędzie, gdzie się da. Poczta, bankowość, systemy chmurowe, panel administracyjny strony. To pojedyncza zmiana o największym stosunku efektu do kosztu - przejęte hasło przestaje wystarczać atakującemu.

Krok 3: uporządkuj uprawnienia. Konta byłych pracowników, konta serwisowe z uprawnieniami administratora, współdzielone hasła do systemów dziedzinowych. Przegląd uprawnień raz na pół roku wychwytuje więcej niż niejeden audyt techniczny.

Krok 4: kopie zapasowe, które ktoś testował. Kopia, z której nikt nigdy nie odtwarzał danych, jest założeniem, nie zabezpieczeniem. Przynajmniej jedna kopia powinna być odizolowana od sieci produkcyjnej - to jedyna skuteczna odpowiedź na ransomware.

Krok 5: aktualizacje jako proces, nie zryw. Ustalony rytm aktualizacji systemów i aplikacji, z osobą odpowiedzialną i zapisem, co i kiedy zaktualizowano.

Krok 6: szkolenie z rozpoznawania oszustw. Skoro 97 procent incydentów to oszustwa, to właśnie tam leży największy zwrot ze szkolenia. Nie wykład o cyberbezpieczeństwie - konkretne przykłady wiadomości, które trafiają do Twojej branży.

Krok 7: procedura na wypadek incydentu. Kto podejmuje decyzje, kogo zawiadamiamy, w jakim terminie, kto rozmawia z klientami. Jedna kartka, znana wszystkim, warta jest więcej niż stustronicowa polityka w szufladzie.

Ile masz czasu na zgłoszenie incydentu

To pytanie zaskakuje firmy najczęściej, bo terminy biegną równolegle w dwóch reżimach i liczą się od różnych momentów.

RODO: zgłoszenie naruszenia ochrony danych do Prezesa UODO w ciągu 72 godzin od stwierdzenia naruszenia (art. 33). Jeżeli naruszenie może powodować wysokie ryzyko dla praw i wolności osób - dodatkowo zawiadomienie tych osób bez zbędnej zwłoki (art. 34).

Ustawa o KSC: podmioty kluczowe i ważne zgłaszają incydent poważny w trybie trzystopniowym - wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie incydentu w ciągu 72 godzin, raport końcowy w ciągu miesiąca.

Te terminy nie zastępują się nawzajem. Firma podlegająca obu reżimom, u której doszło do wycieku danych osobowych w wyniku incydentu bezpieczeństwa, realizuje oba obowiązki równolegle - wobec dwóch różnych organów, w różnych formatach.

Praktyczna konsekwencja jest prosta: 24 godziny to za mało, żeby ustalić, kto podejmuje decyzję o zgłoszeniu. To trzeba mieć ustalone wcześniej.

Najczęstsze błędy na starcie

Przez lata pracy z firmami rozpoczynającymi porządkowanie bezpieczeństwa powtarza się kilka tych samych wzorców.

Zakup narzędzia zamiast rozpoznania problemu. Firma kupuje rozwiązanie klasy EDR albo system do zarządzania hasłami, zanim ustali, gdzie właściwie są jej dane i kto ma do nich dostęp. Narzędzie zaczyna działać, ale chroni fragment obrazu, którego nikt nie obrysował.

Polityka bezpieczeństwa pisana pod audytora. Dokument, którego nikt w organizacji nie czytał i który opisuje procesy niewystępujące w firmie. Przy pierwszym incydencie okazuje się bezużyteczny, a przy kontroli - obciążający, bo pokazuje rozbieżność między deklaracją a praktyką.

Bezpieczeństwo powierzone jednej osobie bez mandatu. Informatyk, który odpowiada za wszystko od drukarek po cyberbezpieczeństwo, nie może jednocześnie egzekwować zasad wobec zarządu. Bez umocowania i bezpośredniego dostępu do kierownictwa funkcja jest pozorna.

Brak rozgraniczenia kont administracyjnych i zwykłych. Ta sama osoba pracuje na koncie z uprawnieniami administratora domeny, czyta na nim pocztę i przegląda internet. Jedno kliknięcie wystarczy, żeby atakujący dostał najwyższe uprawnienia w sieci.

Kopie zapasowe w tej samej sieci co dane produkcyjne. Ransomware szyfruje udziały sieciowe razem z kopiami. Jeżeli kopia jest dostępna z tego samego konta, którym pracuje użytkownik, nie jest kopią zapasową.

Traktowanie zgodności jako celu. RODO, KRI czy ISO 27001 to układ odniesienia, nie cel sam w sobie. Firma zgodna formalnie, ale bez działającej reakcji na incydent, zdaje egzamin i przegrywa mecz.

Jak rozmawiać o tym z zarządem

Argument techniczny rzadko przekonuje osoby podejmujące decyzje budżetowe. Trzy ramy, które działają lepiej.

Ciągłość działania. Nie „mamy podatność w systemie X", tylko „w scenariuszu szyfrowania serwera plików wracamy do pracy po tylu a tylu godzinach, a przez ten czas nie fakturujemy". Zarząd rozumie przestój.

Odpowiedzialność osobista. Po nowelizacji ustawy o KSC odpowiedzialność za cyberbezpieczeństwo spoczywa na organie zarządzającym, a kara może dotknąć kierownika podmiotu osobiście. To zmienia charakter rozmowy.

Wymagania kontrahentów. Coraz więcej postępowań zakupowych i umów ramowych zawiera wymagania bezpieczeństwa - od ankiet bezpieczeństwa po wymóg certyfikatu. Bezpieczeństwo przestaje być kosztem, a staje się warunkiem dostępu do rynku.

Wymogi regulacyjne

W Polsce, dodatkowo, każda firma powinna być świadoma wymogów RODO, szczególnie artykułu 33, który zobowiązuje podmioty do zawiadomienia Polskiego Urzędu Ochrony Danych Osobowych w ciągu 72 godzin od zauważenia naruszenia bezpieczeństwa danych osobowych. Przepisy NIS2, które wejdą w życie w Polsce w drugiej połowie 2025 roku, nakładają dodatkowe wymogi na tzw. podmioty istotne i ważne - dotyczą one również bardziej rygorystycznych wymogów w zakresie zarządzania ryzykiem cybernetycznym i raportowania incydentów.

Decyzja o współpracy ze specjalistą ds. cyberbezpieczeństwa - takim jak firma konsultingowa oferująca kompleksowe wsparcie w bezpieczeństwie operacyjnym - pozwala firmie na przeprowadzenie audytu bezpieczeństwa informacji. Audyt ten identyfikuje luki w obecnym stanie bezpieczeństwa, ocenia zagrożenia oraz rekomenduje działania naprawcze dostosowane do specyficznych warunków i możliwości firmy. Dla firmy w 2025 roku, inwestycja w cyberbezpieczeństwo nie jest już luksuryem - jest to konieczność biznesowa.

Punktem wyjścia do oceny stanu faktycznego jest audyt bezpieczeństwa IT - dopiero on pokazuje, które z tych wymogów są spełnione wyłącznie na papierze.