Dlatego cyberbezpieczeństwo w firmie nie powinno być listą zakupionych narzędzi. Powinno być systemem odpowiedzialności za dane, tożsamość, ciągłość działania i zaufanie klientów. W sierpniu 2026 roku ten temat przestaje być domeną wyłącznie działów IT. Staje się częścią zarządzania firmą.
Skala problemu rośnie, ale najczęściej wykorzystywana jest zwykła nieuwaga
W miesięcznym podsumowaniu za marzec 2026 roku CERT Polska poinformował o obsłużeniu ponad 31 tys. incydentów, czyli o wzroście o 178% w porównaniu z marcem 2025 roku. Oszustwa komputerowe stanowiły 98% obsłużonych incydentów, a sam phishing odpowiadał za ponad 14,4 tys. przypadków.
To dane z jednego miesiąca, nie prognoza na cały rok. Pokazują jednak bardzo praktyczną prawidłowość: przestępcy często nie próbują „łamać” najlepszych zabezpieczeń. Szukają najłatwiejszej drogi do pieniędzy, konta lub informacji. Może nią być:
- wiadomość podszywająca się pod szefa, klienta, księgową albo dostawcę;
- przejęcie słabo zabezpieczonej skrzynki i podmiana numeru rachunku w prawdziwym wątku fakturowym;
- konto byłego pracownika lub zewnętrznego wykonawcy, które nadal działa;
- niezaktualizowana wtyczka strony, system CRM albo urządzenie;
- plik zawierający dane klientów wprowadzony do niezatwierdzonego narzędzia AI;
- kopia zapasowa podłączona do tej samej infrastruktury, którą zaszyfrował ransomware.
ENISA w europejskim przeglądzie zagrożeń za 2025 rok wskazała phishing jako dominujący sposób uzyskania pierwszego dostępu — odpowiadał za około 60% obserwowanych przypadków. Na drugim miejscu znalazło się wykorzystywanie podatności. Wniosek dla firmy jest prosty: trzeba jednocześnie chronić ludzi, tożsamości i technologię.
Cyberbezpieczeństwo nie jest tylko zadaniem informatyka
Informatyk może skonfigurować usługę, zainstalować aktualizację i przywrócić system. Nie zdecyduje jednak za zarząd:
- które dane są najważniejsze dla sprzedaży i ciągłości działania;
- kto może zatwierdzić zmianę rachunku bankowego kontrahenta;
- jak długo zewnętrzna agencja powinna mieć dostęp do panelu firmy;
- czy pracownicy mogą przekazywać dokumenty klienta do publicznego narzędzia AI;
- kto podejmuje decyzję o zatrzymaniu procesu po wykryciu incydentu;
- kto rozmawia z klientami, dostawcami, ubezpieczycielem i właściwymi instytucjami.
Bez tych decyzji nawet dobre narzędzia tworzą tylko pozór bezpieczeństwa. Firma ma systemy, lecz nie ma właściciela ryzyka. Ma backup, lecz nie wie, czy można go odtworzyć. Ma procedurę, lecz pracownicy nie wiedzą, gdzie jej szukać.
Bezpieczeństwo zaczyna się wtedy, gdy dla każdego ważnego zasobu istnieje właściciel, zasada dostępu, sposób odzyskania oraz osoba odpowiedzialna za reakcję.
Zanim kupisz narzędzie, odpowiedz na sześć pytań
- Jakie dane posiadamy? Dane klientów, pracowników, umowy, cenniki, projekty, hasła, historię sprzedaży, bazę mailingową, pliki produkcyjne i kopie.
- Gdzie te dane się znajdują? W poczcie, CRM, chmurze, telefonach, komputerach, księgowości, WordPressie, komunikatorach, systemach partnerów i narzędziach AI.
- Kto jest ich właścicielem biznesowym? Nie tylko administratorem technicznym, lecz osobą, która rozumie wartość danych i może decydować o dostępie.
- Kto ma dostęp i dlaczego? Pracownicy, byli pracownicy, freelancerzy, agencje, serwisanci, integracje oraz konta techniczne.
- Jak odzyskamy działanie? Z jakiej kopii, w jakiej kolejności i ile czasu może być niedostępny kluczowy proces?
- Co zrobimy w pierwszej godzinie incydentu? Kto odbiera zgłoszenie, izoluje zagrożenie, zabezpiecza dowody i uruchamia komunikację?
To jest początek mapy bezpieczeństwa. Nie musi mieć stu stron. Musi być aktualna, zrozumiała i używana przy zatrudnianiu, rozstaniu z pracownikiem, zmianie dostawcy, wdrożeniu CRM, automatyzacji albo uruchomieniu agenta AI.
Siedem warstw bezpieczeństwa, które powinna uporządkować firma
1. Inwentaryzacja danych i przepływów
Nie można chronić zasobu, o którego istnieniu firma nie wie. Zacznij od prostego rejestru: rodzaj danych, lokalizacja, właściciel, osoby z dostępem, podstawa przetwarzania, czas przechowywania i sposób wykonania kopii. Następnie rozrysuj przepływy między formularzem na stronie, pocztą, CRM, księgowością, magazynem, reklamą i narzędziami analitycznymi.
To ważne również przy automatyzacji. Integracja skraca pracę, ale może też rozszerzyć dostęp do danych na kilka usług. Dlatego każda nowa automatyzacja powinna mieć opis: jakie dane pobiera, dokąd je przekazuje, kto ma dostęp i co wydarzy się po awarii.
2. Tożsamość i dostęp
Każda osoba powinna korzystać z własnego konta. Uprawnienia przyznajemy zgodnie z zakresem obowiązków, a nie „na wszelki wypadek”. Dostęp zewnętrzny powinien mieć właściciela i datę przeglądu lub wygaśnięcia. Odejście pracownika musi uruchamiać checklistę zamknięcia kont, sesji, urządzeń, tokenów i integracji.
W kontach o znaczeniu krytycznym warto stosować uwierzytelnianie odporne na phishing — na przykład klucze bezpieczeństwa lub passkeys — a co najmniej wieloskładnikowe uwierzytelnianie, menedżer haseł i zakaz współdzielenia loginów. Passkey wykorzystuje parę kluczy kryptograficznych i nie przekazuje serwisowi wspólnego sekretu w postaci hasła, dzięki czemu ogranicza ryzyko wyłudzenia danych logowania.
3. Aktualizacje i opieka nad systemami
Strona internetowa, wtyczki, CRM, poczta, urządzenia i integracje potrzebują właściciela technicznego oraz harmonogramu aktualizacji. Ważne są także informacje o zakończeniu wsparcia producenta. System, którego nikt już nie aktualizuje, może działać poprawnie, a jednocześnie zwiększać ryzyko całego ekosystemu.
Opieka nie oznacza wyłącznie reagowania na awarię. Obejmuje przegląd kont administracyjnych, logów, zmian konfiguracji, certyfikatów, domen, kopii oraz usług, za które firma nadal płaci, choć nikt nie pamięta, po co zostały uruchomione.
4. Kopie zapasowe i ciągłość działania
Backup jest wartościowy dopiero wtedy, gdy firma potrafi z niego odtworzyć dane. CERT Polska zaleca model 3-2-1: co najmniej trzy kopie danych, na dwóch różnych nośnikach, z jedną kopią poza główną lokalizacją. Kopia nie powinna pozostawać stale dostępna jako zwykły zasób sieciowy, ponieważ może zostać zaszyfrowana razem z produkcją.
Test odtworzenia powinien odpowiadać na konkretne pytania: kto go wykonuje, jak często, ile trwa odzyskanie, od którego momentu mamy dane i które procesy przywracamy jako pierwsze. Kopia bez testu jest obietnicą. Test daje dowód.
5. Ludzie i zasady weryfikacji
Szkolenie raz w roku nie wystarczy. Bezpieczne zachowania muszą być częścią codziennego procesu. Zmianę numeru rachunku, pilny przelew, udostępnienie dużej bazy lub reset dostępu potwierdzamy drugim, wcześniej uzgodnionym kanałem. Pracownik powinien móc zgłosić podejrzaną wiadomość bez obawy, że zostanie ukarany za samą wątpliwość.
W czasach generowanych głosów, obrazów i wiadomości zasada „brzmiało jak szef” przestaje być potwierdzeniem tożsamości. Procedura powinna być silniejsza niż presja czasu i hierarchii.
6. Dostawcy, wykonawcy i narzędzia AI
Cyfrowy ekosystem firmy obejmuje hosting, pocztę, księgowość, CRM, agencję, system płatności, platformę mailingową i dziesiątki integracji. Incydent po stronie dostawcy może zatrzymać proces firmy, nawet jeżeli jej własne urządzenia są dobrze zabezpieczone. Dlatego potrzebne są: lista dostawców krytycznych, zakres przekazywanych danych, osoby kontaktowe, wymagania bezpieczeństwa, plan wyjścia oraz przegląd dostępów.
Osobnym problemem jest „shadow AI” — korzystanie z narzędzi AI bez uzgodnionych zasad. Firma powinna jasno określić, jakie dane wolno wprowadzać, które narzędzia są zatwierdzone, kiedy potrzebna jest anonimizacja, kto sprawdza rezultat i gdzie zapisuje się historia pracy. Agent AI nie może otrzymać większych uprawnień tylko dlatego, że działa automatycznie.
7. Reakcja na incydent i komunikacja
Plan reakcji powinien zmieścić się również w wersji „na pierwszą godzinę”. Musi wskazywać numer lub kanał zgłoszenia, osobę decyzyjną, kontakt techniczny, sposób izolacji konta lub urządzenia, zasady zabezpieczenia dowodów i komunikacji z klientami. Warto przećwiczyć scenariusz przy stole, zanim wydarzy się naprawdę.
Jeżeli incydent prowadzi do naruszenia ochrony danych osobowych, firma musi ocenić ryzyko i obowiązki wynikające z RODO. Gdy zgłoszenie organowi nadzorczemu jest wymagane, termin wynosi — co do zasady — do 72 godzin od stwierdzenia naruszenia. Ocena powinna być udokumentowana. Ten artykuł nie zastępuje indywidualnej konsultacji prawnej ani specjalistycznej obsługi incydentu.
Sierpień 2026 i kolejne miesiące: siedem trendów, których nie warto odkładać
| Trend | Co zmienia w firmie | Pierwszy praktyczny krok |
|---|---|---|
| KSC/NIS2 w praktyce | Nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa obowiązuje od 3 kwietnia 2026 roku. Podmioty kluczowe i ważne muszą ustalić swój status, zarejestrować się i wdrażać środki zarządzania ryzykiem. | Zweryfikuj, czy firma podlega ustawie bezpośrednio lub jako istotny dostawca podmiotu objętego regulacją. |
| Bezpieczeństwo łańcucha dostaw | Klienci będą częściej pytać o dostęp, kopie, incydenty, podwykonawców i ciągłość działania. Wymagania regulowanej firmy przechodzą na jej dostawców. | Przygotuj krótką kartę bezpieczeństwa swojej usługi i rejestr kluczowych dostawców. |
| AI wspiera socjotechnikę | Wiarygodne wiadomości, głosy i materiały można tworzyć szybciej i taniej. Język, styl szefa czy znajomość projektu nie potwierdzają już tożsamości. | Wprowadź potwierdzanie operacji wysokiego ryzyka drugim kanałem. |
| Tożsamość staje się nowym „obwodem” firmy | Praca w chmurze powoduje, że przejęte konto bywa cenniejsze niż dostęp do jednego urządzenia. | Włącz MFA, a dla kont krytycznych zaplanuj passkeys lub sprzętowe klucze bezpieczeństwa. |
| CRA i bezpieczeństwo produktów cyfrowych | Od 11 września 2026 roku zaczną obowiązywać wybrane obowiązki raportowania wynikające z Cyber Resilience Act. Pełne stosowanie rozporządzenia nastąpi 11 grudnia 2027 roku. | Jeżeli tworzysz lub wprowadzasz na rynek produkt z elementami cyfrowymi, sprawdź swoją rolę i harmonogram obowiązków. |
| Odporność zamiast obietnicy „100% ochrony” | Nie da się zagwarantować, że incydent nigdy nie wystąpi. Przewagę daje zdolność wykrycia, ograniczenia skutków i odtworzenia działania. | Przetestuj odtworzenie jednego kluczowego procesu, nie tylko pojedynczego pliku. |
| Dowody i odpowiedzialność zarządcza | „Mamy procedurę” nie wystarczy. Potrzebne są zapisy przeglądów, testów, decyzji, szkoleń i reakcji. | Utwórz kalendarz przeglądów i jedno miejsce dokumentowania wykonanych działań. |
Ważne zastrzeżenie: nie każda firma automatycznie staje się podmiotem kluczowym lub ważnym. Kwalifikacja zależy między innymi od sektora, rodzaju działalności i wielkości podmiotu. Dla organizacji istniejących w dniu wejścia ustawy w życie jednym z najważniejszych terminów jest 3 października 2026 roku — termin złożenia wniosku o wpis do wykazu, jeżeli podmiot spełnia ustawowe przesłanki. Obowiązki trzeba zweryfikować indywidualnie.
Studium przypadku: firma usługowa, która miała narzędzia, ale nie miała jednego systemu odpowiedzialności
Poniższe studium jest modelem opartym na powtarzalnych problemach obserwowanych w małych i średnich firmach. Nie opisuje jednego klienta i nie przedstawia fikcyjnych wyników finansowych.
Sytuacja
Kilkudziesięcioosobowa firma usługowa korzystała z poczty w chmurze, WordPressa, CRM, dysku online, programu księgowego, komunikatora oraz kilku narzędzi AI. Część systemów obsługiwał wewnętrzny administrator, część zewnętrzna agencja, a niektóre konta zakładali samodzielnie pracownicy.
Do działu finansowego trafiła wiadomość z prawdziwego wątku dotyczącego faktury. Nadawca poprosił o zmianę numeru rachunku. Styl wypowiedzi, stopka i wcześniejsza korespondencja wyglądały wiarygodnie. Prośbę zakwestionowano dopiero wtedy, gdy pracownik zadzwonił do kontrahenta.
Diagnoza
Samo przejęcie skrzynki było tylko widoczną częścią problemu. Przegląd procesu ujawnił:
- nierówne stosowanie MFA i kilka współdzielonych kont;
- aktywne dostępy osób, które nie pracowały już przy projektach;
- brak właściciela biznesowego dla części danych;
- kopie istniejące w tej samej chmurze, bez regularnego testu odtworzenia;
- brak osobnej procedury potwierdzania zmian danych płatniczych;
- brak jednej osoby uruchamiającej reakcję na incydent;
- wprowadzanie fragmentów dokumentów do różnych narzędzi AI bez wspólnych zasad.
Zmiana
Firma nie zaczęła od zakupu kolejnego pakietu. Najpierw przygotowała mapę danych, systemów i właścicieli. Następnie:
- utworzyła macierz dostępów i listę kont krytycznych;
- wprowadziła indywidualne konta, MFA oraz menedżer haseł;
- ustaliła termin ważności dostępu dla wykonawców zewnętrznych;
- połączyła onboarding i offboarding z checklistą kont, urządzeń i integracji;
- wdrożyła zasadę potwierdzania zmiany rachunku znanym numerem telefonu;
- uporządkowała model kopii 3-2-1 i rozpoczęła testy odtworzenia;
- określiła dozwolone zastosowania AI oraz rodzaje danych, których nie wolno przekazywać;
- przygotowała kartę pierwszej godziny incydentu i przeprowadziła ćwiczenie scenariuszowe.
Rezultat organizacyjny
Najważniejszą zmianą nie była nowa aplikacja. Było nią usunięcie niejasności: wiadomo, kto podejmuje decyzję, kto ma dostęp, jak potwierdzić operację i od czego zacząć odtwarzanie. Firma zmniejszyła powierzchnię ryzyka, a jednocześnie uprościła zarządzanie systemami. Bezpieczeństwo przestało być rozproszonym zadaniem „dla kogoś z IT” i stało się częścią procesu operacyjnego.
Checklista zarządcza: sprawdź firmę w 15 minut
Jeżeli na co najmniej trzy pytania odpowiadasz „nie wiem”, zacznij od diagnozy, nie od zakupu narzędzia.
- Czy mamy aktualną listę systemów, kont uprzywilejowanych i kluczowych danych?
- Czy każdy zasób ma właściciela biznesowego i technicznego?
- Czy wszystkie krytyczne konta mają MFA, a najlepiej ochronę odporną na phishing?
- Czy potrafimy w ciągu jednego dnia odebrać wszystkie dostępy odchodzącej osobie?
- Czy dostęp agencji, freelancerów i serwisantów jest regularnie przeglądany?
- Czy znamy systemy, które nie są już wspierane przez producenta?
- Czy ostatni test odtworzenia kopii zakończył się powodzeniem i został opisany?
- Czy zmianę rachunku, pilny przelew i reset dostępu potwierdzamy drugim kanałem?
- Czy pracownicy wiedzą, jakie dane wolno przekazywać do narzędzi AI?
- Czy pierwsza osoba zauważająca incydent wie, komu i jak go zgłosić?
- Czy mamy alternatywny kanał komunikacji, gdy poczta lub komunikator zostaną przejęte?
- Czy wiemy, czy firma podlega KSC/NIS2, CRA albo wymaganiom klientów z sektorów regulowanych?
Jak podchodzimy do tego w AP Market Cell
W AP Market Cell patrzymy na technologię, dane, AI, komunikację i sprzedaż jako na jeden cyfrowy ekosystem firmy. Nie oddzielamy formularza od CRM, automatyzacji od uprawnień ani strony internetowej od procesu obsługi klienta. Dlatego zaczynamy od diagnozy przepływów, odpowiedzialności i punktów zależności.
Nie zastępujemy wyspecjalizowanego zespołu SOC, audytora bezpieczeństwa, testów penetracyjnych ani kancelarii prawnej. Pomagamy natomiast uporządkować warstwę biznesową i operacyjną: systemy, dostępy, właścicieli, automatyzacje, dane, dostawców oraz sposób współpracy specjalistów. W razie potrzeby zakres techniczny i prawny powinien być realizowany wspólnie z odpowiednimi ekspertami.
Bezpieczeństwo nie zaczyna się od zakupu kolejnego narzędzia
Zmapujmy dane, dostępy i ryzyka w cyfrowym ekosystemie firmy
Jeżeli strona, CRM, poczta, automatyzacje i AI rozwijały się osobno, zacznijmy od ustalenia, co jest krytyczne, kto za to odpowiada i gdzie powstają luki. Otrzymasz punkt wyjścia do dalszych działań z IT, specjalistami bezpieczeństwa i obsługą prawną.
Czytaj dalej na blogu AP Market Cell
Połącz bezpieczeństwo z procesem, AI i automatyzacją
AI w firmie
Agent AI w firmie. Nie zatrudniaj algorytmu bez zakresu obowiązków
Sprawdź, dlaczego agent potrzebuje właściciela procesu, ograniczonych uprawnień, danych wejściowych i kontroli rezultatu.
Automatyzacja
Automatyzacja procesów w firmie. Nie automatyzuj chaosu
Zobacz, jak diagnoza procesu pomaga uniknąć szybszego powielania błędów, nadmiarowych dostępów i niejasnej odpowiedzialności.
Praktyka AP Market Cell
Klient przychodzi po reklamę. My zaczynamy od diagnozy
Dlaczego narzędzie rzadko naprawia problem, którego firma jeszcze nie nazwała — i od czego zacząć porządkowanie.
Źródła i dalsza lektura
- CERT Polska, miesięczne podsumowanie zagrożeń — marzec 2026
- CERT Polska, poradnik dotyczący ransomware i kopii zapasowych
- ENISA Threat Landscape 2025
- Ministerstwo Cyfryzacji, nowelizacja ustawy o KSC obowiązująca od 3 kwietnia 2026 r.
- Ministerstwo Cyfryzacji, najważniejsze terminy KSC/NIS2
- Rozporządzenie (UE) 2024/2847 — Cyber Resilience Act
- Europejska Rada Ochrony Danych, ocena i zgłaszanie naruszeń danych
- FIDO Alliance, informacje techniczne o passkeys
Stan prawny i źródła: 24 lipca 2026 roku. Materiał ma charakter informacyjny i nie stanowi porady prawnej ani audytu cyberbezpieczeństwa.
