Cyberbezpieczna firma – jak chronić dane, konta i pracowników

W poniedziałek o ósmej rano do księgowości niewielkiej drukarni przychodzi faktura za papier. Nazwa dostawcy się zgadza, kwota odpowiada zamówieniu, a pod wiadomością widnieje podpis znajomej opiekunki klienta.

Jest tylko jedna zmiana. Dostawca prosi o przelew na nowy rachunek i przypomina, że od zaksięgowania wpłaty zależy termin dostawy. Za godzinę zaczyna się druk katalogów. Co ma zrobić osoba, która właśnie otworzyła pocztę?

W takiej chwili widać, jak działa cyberbezpieczna firma. Księgowa ma pod ręką sprawdzony numer do dostawcy. Wie, że może wstrzymać płatność, i wie, kto potwierdzi zmianę podczas nieobecności właściciela. Żaden z tych elementów nie wymaga osobnego działu informatycznego. Wszystkie wymagają wcześniejszych ustaleń. Na przykładzie drukarni prześledźmy drogę jednego zamówienia, od odebrania wiadomości po wydanie gotowego nakładu, i sprawdźmy, w których miejscach firmę można narazić na stratę pieniędzy lub danych.

Od czego zacząć ochronę małej firmy?

Wybierz zamówienie zakończone w ubiegłym tygodniu i poproś osobę, która je prowadziła, żeby pokazała kolejne etapy pracy. W drukarni wycena przychodzi pocztą, grafik pobiera projekt z udostępnionego folderu, klient zatwierdza poprawki w wiadomości, a księgowość wystawia fakturę.

Już po takiej rozmowie właściciel wie, że do realizacji zlecenia potrzebuje dostępu do skrzynki, plików i programu księgowego. Dowiaduje się też, gdzie znajduje się ostatnia zaakceptowana wersja projektu. Podczas awarii odnalezienie właśnie tej wersji może zdecydować, czy trzeba będzie wydrukować cały nakład ponownie.

Przy każdym etapie zapisz trzy rzeczy. Kto ma dostęp? Kto potrafi go przywrócić? Jak długo zespół może pracować bez tej usługi? Jeżeli hasło do panelu domeny oraz wiadomości służące odzyskaniu tego hasła trafiają do jednej osoby, sprawdź, co wydarzy się podczas jej urlopu.

Wyznacz zastępstwo i przygotuj bezpieczną drogę odzyskania dostępu. W zestawieniu umieść nazwę usługi i osobę odpowiedzialną. Same hasła oraz kody odzyskiwania przechowuj w przeznaczonym do tego, odpowiednio zabezpieczonym miejscu.

Jak wybrać pierwszą zmianę?

Zacznij od słabości, która może zatrzymać kilka czynności jednocześnie. Przejęta skrzynka drukarni pozwoliłaby komuś czytać ustalenia z klientami, wysyłać w ich imieniu fałszywe dyspozycje i próbować odzyskać dostęp do innych usług.

Zabezpieczenie tej skrzynki ma więc pierwszeństwo przed porządkowaniem konta w dawno nieużywanym serwisie. Przydziel konkretnej osobie zadanie i umów termin krótkiego sprawdzenia. Zdanie „w czwartek sprawdzimy logowanie właściciela i jego zastępcy” łatwiej wykonać niż ogólne polecenie poprawy bezpieczeństwa w firmie.

Jak zabezpieczyć konta pracowników?

W drukarni kilka osób obsługuje adres przeznaczony do przyjmowania zamówień. Wspólny adres może pozostać wygodny dla klientów, nawet jeśli każda osoba loguje się na własne konto. Administrator przydziela pracownikom dostęp do współdzielonej skrzynki. Kiedy jedna z osób odchodzi, odbiera jej uprawnienia bez zmiany sposobu pracy całego zespołu. Podczas wdrożenia nowej osoby można też precyzyjnie zdecydować, czy powinna jedynie czytać zapytania, czy również wysyłać wiążące potwierdzenia zamówień.

Hasło, drugi składnik i odzyskiwanie dostępu

Dla każdego serwisu ustaw odrębne, długie hasło. Firmowy menedżer haseł pomaga wygenerować je i zachować, dzięki czemu pracownik nie musi wymyślać kolejnych wariantów nazwy drukarni. Unikalność ma praktyczne znaczenie.

Gdy wyciekną dane logowania do sklepu z materiałami biurowymi, to samo hasło nie otworzy poczty służbowej. Przy wyborze menedżera sprawdź, jak nadaje się dostęp do współdzielonych wpisów oraz kto może go odebrać po zmianie stanowiska.

Włącz uwierzytelnianie wieloskładnikowe, zaczynając od poczty, kont administracyjnych i przestrzeni na dokumenty. Jeżeli usługa oferuje klucz bezpieczeństwa lub klucz dostępu, sprawdź możliwość użycia tej metody odpornej na typowe próby wyłudzenia danych logowania. Przy korzystaniu z aplikacji wysyłającej powiadomienia obowiązuje prosta zasada. Pracownik zatwierdza wyłącznie logowanie, które sam rozpoczął. Niespodziewaną serię próśb odrzuca i zgłasza osobie odpowiedzialnej za konto.

Przećwicz także utratę telefonu. Załóżmy, że właściciel uszkodził ekran i nie może zatwierdzić logowania potrzebnego do wypłaty wynagrodzeń. Czy ma zapasową metodę dostępu? Czy wie, gdzie przechowuje kody odzyskiwania? Czy umie unieważnić utracone urządzenie, jeśli zginęło w podróży?

Przejście tej ścieżki na koncie testowym pozwala odkryć zależności, których zwykle nikt nie zauważa. Typowy przykład to instrukcja odzyskania dostępu zapisana wyłącznie na dysku, do którego trzeba zalogować się tym samym telefonem.

Jak rozpoznać phishing i fałszywą fakturę?

Wróćmy do poniedziałkowego przelewu. Wiadomość wygląda przekonująco, ponieważ nawiązuje do rzeczywistej dostawy i pasuje do rytmu pracy księgowości. Poprawna polszczyzna, stopka i znajome logo nie rozstrzygają, kto wysłał dyspozycję. Osoba podszywająca się pod dostawcę może posługiwać się podobną domeną, a czasem korzystać z przejętej skrzynki i istniejącego wątku. Dlatego procedura powinna uruchamiać się przy każdej zmianie rachunku, również wtedy, gdy e-mail wygląda zwyczajnie.

Jak potwierdzić zmianę numeru rachunku?

Księgowa odkłada płatność i dzwoni do opiekunki klienta pod numer zapisany wcześniej w umowie lub w sprawdzonej kartotece. Numer z najnowszej wiadomości mógł podać jej nadawca. W rozmowie księgowa prosi o potwierdzenie dyspozycji oraz szczegółów nowego rachunku.

Odnotowuje datę rozmowy i osobę, z którą rozmawiała. Dopiero po potwierdzeniu druga upoważniona osoba zatwierdza zmianę danych do płatności zgodnie z zasadami drukarni. Jeśli dostawca zaprzeczy, firma zachowuje wiadomość i ustala, czy podobna dyspozycja dotarła do innych osób.

Podobna próba może przyjść przez telefon albo komunikator. Ktoś przedstawia się jako właściciel i prosi o pilny zakup kart podarunkowych dla klientów. Zna imiona pracowników i wspomina o aktualnym spotkaniu.

Zamiast zgadywać, czy głos brzmi znajomo, pracownik kończy połączenie i sam kontaktuje się z właścicielem znanym kanałem. Dobrze, gdy kierownik wcześniej powie zespołowi wprost, że akceptuje takie oddzwonienie także podczas pilnego zlecenia. Wtedy młoda osoba na zastępstwie ma jasną podstawę, by wstrzymać zakup.

Jak ćwiczyć ocenę wiadomości?

Na krótkim spotkaniu pokaż przygotowaną na potrzeby szkolenia wiadomość o dopłacie do paczki. Poproś osoby z magazynu, by powiedziały, jak sprawdziłyby rzeczywisty status przesyłki. Mogą samodzielnie otworzyć używany portal przewoźnika i odszukać zamówienie po zapisanym wcześniej numerze.

Następnie przećwiczcie zgłoszenie podejrzanej wiadomości wewnątrz firmy. Sprawdź, czy każdy potrafi znaleźć właściwy kontakt w mniej niż minutę. Jeżeli pracownicy zaczynają od pytania na grupowym czacie, komu to wysłać, instrukcja wymaga uproszczenia.

Jak chronić dane na firmowych komputerach?

To, kto widzi dany dokument, powinno wynikać z wykonywanej pracy. Grafik potrzebuje projektu i parametrów wydruku. Kurier potrzebuje adresu dostawy i numeru kontaktowego. Żadna z tych osób zazwyczaj nie potrzebuje całej historii rozliczeń klienta.

Przy organizowaniu folderów zacznij od tych różnic. Oddziel pliki produkcyjne od informacji księgowych i przetestuj dostęp na zwykłym koncie pracownika. Administrator patrzący ze swojego konta na listę dokumentów może łatwo przeoczyć, że folder z fakturami widzi również stażysta.

Jak bezpiecznie przekazać projekt klientowi?

Przed wysłaniem linku do akceptacji sprawdź odbiorcę, zakres udostępnienia i rodzaj uprawnień. Jeśli klient ma tylko zatwierdzić wygląd ulotki, wystarczy dostęp do jednego pliku z podglądem.

Otwórz próbny link z konta o takich samych prawach jak odbiorca i sprawdź, czy nie można przejść do katalogu z pozostałymi zleceniami. Po zakończeniu współpracy przejrzyj aktywne udostępnienia. Nawet dobrze nazwany folder „Archiwum” może nadal być dostępny przez link wysłany kilka miesięcy wcześniej.

Na laptopach włącz automatyczne aktualizacje systemu, przeglądarki i używanych aplikacji. Ustal, kto sprawdza urządzenia, które od dawna nie były uruchamiane, oraz kiedy można wykonać ponowny rozruch bez przerywania produkcji.

Dla komputera sterującego maszyną uzgodnij sposób aktualizacji z jej dostawcą. W ewidencji zapisz też termin końca wsparcia oprogramowania. Dzięki temu zakup następcy można uwzględnić w budżecie, zanim awaria wymusi nagłe przenosiny całej produkcji na inne stanowisko.

Pracownik zabierający laptop do klienta powinien wiedzieć, jak go zablokować i komu zgłosić zagubienie. Włącz szyfrowanie dysku, a klucz odzyskiwania zabezpiecz tak, aby uprawniona osoba mogła go odszukać również po utracie urządzenia.

Podczas przekazywania sprzętu zapisz jego oznaczenie i osobę odpowiedzialną. Gdy torba zostanie w pociągu, zespół będzie mógł szybko ustalić, którego urządzenia brakuje, jakie usługi były na nim dostępne i jakie aktywne sesje trzeba unieważnić.

Jak przygotować kopie zapasowe?

W czwartek klient prosi o ponowny druk zeszłorocznego katalogu. Plik istnieje, ale ktoś zapisał na nim próbną wersję z błędnym cennikiem. Folder synchronizuje się prawidłowo, więc pozostałe komputery również pokazują błędną wersję. W tym momencie liczy się możliwość odtworzenia wcześniejszego stanu danych. Sprawdź, jakie wersje zachowuje usługa, jak długo są dostępne i kto może je usunąć. Sam zielony znacznik synchronizacji mówi, że zmiany zostały przesłane. Nie potwierdza, że zeszłoroczny katalog da się odzyskać.

Jak często wykonywać kopię i co w niej uwzględnić?

Zapytaj handlowca, ile pracy kosztowałoby ponowne zebranie zamówień z całego dnia. Jeżeli odpowiedź brzmi „nie odtworzymy wszystkich ustaleń”, nocna kopia może być wykonywana zbyt rzadko dla tego zbioru. W przypadku zamkniętych katalogów sprzed roku potrzeby będą inne.

Ustal dopuszczalną utratę pracy osobno dla aktywnych zleceń, archiwum i dokumentów rozliczeniowych. Oprócz samych projektów uwzględnij pliki potrzebne do ich otwarcia, ustawienia programów i informacje o tym, która wersja otrzymała akceptację klienta.

Trzymaj co najmniej jedną kopię oddzielnie od środowiska codziennej pracy. Jeśli stosujesz dysk zewnętrzny, po zakończonym zapisie odłącz go i przechowuj w odpowiednim miejscu. Przy usłudze zdalnej sprawdź, czy przejęcie zwykłego konta pracownika pozwoliłoby usunąć także archiwum.

Wyznacz osobę, do której trafiają powiadomienia o błędach. Kiedy nośnik się zapełni albo zmieni się hasło do usługi, zespół powinien zauważyć przerwę przy najbliższym planowanym sprawdzeniu.

Jak przeprowadzić próbę odzyskania pliku?

Wybierz zakończone zamówienie i poproś zastępcę administratora o odzyskanie go do osobnego katalogu. Zmierz czas od zgłoszenia prośby do otwarcia dokumentu. Grafik niech sprawdzi zgodność liczby stron, wersji cennika i użytych ilustracji.

Próba może ujawnić, że plik projektu otwiera się poprawnie, ale korzysta z obrazów przechowywanych na starym komputerze. Po teście uzupełnij zakres kopii i powtórz odzyskanie. Dopiero otwarcie kompletnego projektu daje odpowiedź na pytanie, czy drukarnia potrafi wznowić pracę nad tym zleceniem.

Co zrobić po podejrzanym zdarzeniu?

Pracownik wpisał hasło na stronie otwartej z wiadomości o udostępnieniu projektu. Chwilę później zauważył, że adres strony różni się od adresu firmowej usługi. Pierwsze zgłoszenie powinno być krótkie i konkretne. Wystarczy podać przybliżoną godzinę, nazwę konta, urządzenie oraz opis wykonanych czynności.

Ważną informacją jest również to, czy pracownik zatwierdził logowanie na telefonie albo uruchomił pobrany plik. W zgłoszeniu nie przesyła samego hasła. Jeśli podejrzewa przejęcie poczty, wybiera inny uzgodniony kanał kontaktu.

Jak ograniczyć skutki przejęcia konta?

Osoba odpowiedzialna za obsługę informatyczną z zaufanego urządzenia zabezpiecza konto, zmienia ujawnione hasło i unieważnia aktywne sesje. Sprawdza metody odzyskiwania dostępu, nowo dodane urządzenia, reguły przekazywania poczty oraz ostatnio wysłane wiadomości.

Szczególnie istotna jest reguła przesyłająca całą korespondencję na obcy adres. Pozostawienie jej może ujawniać kolejne wiadomości również po zmianie hasła. Kiedy istnieje podejrzenie uruchomienia złośliwego programu, pracownik odłącza urządzenie od sieci, powiadamia wsparcie i uzgadnia dalsze kroki, zanim zacznie cokolwiek usuwać.

Jeżeli firma wysłała już przelew na podejrzany rachunek, osoba upoważniona powinna niezwłocznie skontaktować się z bankiem przez jego oficjalny kanał. Przygotowuje dane transakcji i pyta o możliwość zatrzymania lub odzyskania środków. Druga osoba zabezpiecza korespondencję i zawiadamia prawdziwego dostawcę przez wcześniej ustalony kontakt. Podejrzaną stronę lub wiadomość można też zgłosić do CERT Polska. Zapisanie godziny odkrycia zdarzenia i kolejności wykonanych działań ułatwi później wyjaśnienie, których klientów trzeba poinformować i które konta jeszcze sprawdzić.

Co zmienić po zakończeniu sprawy?

Wróć z zespołem do momentu, w którym można było przerwać zdarzenie. Jeśli księgowa znała zasadę oddzwaniania, ale kartoteka dostawców była dostępna wyłącznie na komputerze nieobecnego kierownika, dodatkowe szkolenie nie rozwiąże problemu. Trzeba zapewnić upoważnionej osobie dostęp do sprawdzonego numeru.

Następnie powtórzcie sytuację z kimś, kto nie brał udziału w poprzednim ćwiczeniu. Poproś tę osobę o samodzielne znalezienie kontaktu i opisanie, gdzie zapisze wynik rozmowy. Takie sprawdzenie pokazuje, czy poprawka zadziała także na następnej zmianie.

Jak sprawdzić firmę przed kolejnym zleceniem?

Pod koniec tygodnia właściciel drukarni może zamienić ogólną rozmowę o bezpieczeństwie na trzy krótkie zadania. Do pierwszego zaprasza osobę, która zastępuje księgową. Daje jej przykładową fakturę z nowym numerem rachunku i prosi o pokazanie, gdzie znajdzie dane do potwierdzenia zmiany.

Podczas próby nie wykonują przelewu. Właściciela interesuje, czy zastępca potrafi samodzielnie przejść całą procedurę, również wtedy, gdy opiekun dostawcy akurat nie odbiera telefonu. Wynik zapisują w jednym zdaniu razem z decyzją, kto poinformuje produkcję o opóźnieniu płatności.

Drugie zadanie otrzymuje osoba odpowiedzialna za wydawanie sprzętu. Ma sprawdzić, jak zakończyłaby współpracę z grafikiem pracującym zdalnie. Czy dysponuje listą jego kont? Czy projekty przekazane klientom pozostaną dostępne po odebraniu mu uprawnień?

Czy ktoś przejmie własność folderów potrzebnych zespołowi? To ćwiczenie można wykonać na przykładowym koncie i fikcyjnym zamówieniu. Dzięki temu firma sprawdzi sposób przekazania obowiązków przed dniem, w którym naprawdę będzie od tego zależał termin realizacji.

Trzecie zadanie przypada właścicielowi. Otrzymuje kartkę z informacją, że poczta firmowa jest niedostępna, a klient czeka na pilne potwierdzenie nakładu. Ma wskazać, jak skontaktuje się z osobą obsługującą awarię i skąd weźmie zatwierdzone dane do kontaktu z klientem.

Jeżeli oba numery telefonów są zapisane wyłącznie w poczcie, ćwiczenie ujawnia konkretną rzecz do poprawy. Warto przygotować dostępną podczas awarii listę niezbędnych kontaktów i wyznaczyć osobę, która sprawdzi jej aktualność po każdej zmianie dostawcy.

Do następnego przeglądu zachowaj krótką notatkę z datą, wynikiem próby oraz nazwiskiem osoby odpowiedzialnej za poprawkę. Przy kolejnym spotkaniu zacznij od sprawdzenia tej jednej zmiany na rzeczywistym stanowisku pracy.

W przypadku naszej drukarni będzie to prosty test. Czy zastępca księgowej, mając przed sobą wyłącznie fakturę i zwykłe narzędzia pracy, potrafi bezpiecznie doprowadzić sprawę nowego rachunku do końca?