Bezpieczeństwo IT, które wytrzyma prawdziwy atak

Może dotyczyć, nawet jeśli nie jesteście firmą technologiczną. Przepisy obejmują między innymi energetykę, transport, ochronę zdrowia, gospodarkę wodną, produkcję żywności, usługi cyfrowe, e-commerce i podmioty z sektora infrastruktury cyfrowej — a kryterium wielkości zaczyna się już od średnich przedsiębiorstw. Kluczowa zmiana polega na tym, że nikt nie przyśle decyzji administracyjnej: obowiązuje samoidentyfikacja, czyli firma sama musi sprawdzić, czy podlega przepisom, i zgłosić się do wykazu. W praktyce wiele firm o tym nie wie. Sprawdzenie zajmuje krótką rozmowę — zapytaj, a przeanalizujemy Wasze kody PKD i skalę działalności.

Ustawa przewiduje kary administracyjne sięgające 10 mln euro lub 2% globalnego obrotu, a także osobistą odpowiedzialność członków kierownictwa za wdrożenie wymogów. Warto jednak znać kontekst: kary będą mogły być nakładane dopiero po upływie dwóch lat od wejścia nowelizacji w życie — ustawodawca celowo zostawił firmom czas na dostosowanie. To okno, które warto wykorzystać, a nie przespać.

Od audytu — bez niego każda inwestycja jest zgadywaniem. Sprawdzamy stan faktyczny, wskazujemy ryzyka według wagi i proponujemy kolejność działań dopasowaną do budżetu. Zwykle pierwsze kroki to uwierzytelnianie dwuskładnikowe, uporządkowanie kopii zapasowych i ochrona stacji roboczych — to daje największy efekt przy najmniejszym koszcie.

To dobry punkt wyjścia, ale dwie rzeczy wymagają sprawdzenia. Po pierwsze: czy ktoś kiedykolwiek odtworzył te kopie? Backup nietestowany bywa uszkodzony od miesięcy. Po drugie: czy kopia jest odizolowana od sieci firmowej — jeśli leży na dysku widocznym z serwera, ransomware zaszyfruje ją razem z resztą. Sam antywirus też nie zatrzyma współczesnego ataku, bo ten często nie używa złośliwego pliku, tylko legalnych narzędzi systemowych.

Zależy od skali i stanu wyjściowego, ale porównanie jest proste: koszt licencji ochronnych i backupu dla kilkunastu stanowisk to zwykle kilkaset złotych miesięcznie, natomiast tydzień przestoju po udanym ataku to zatrzymana sprzedaż, praca zespołu nad odtwarzaniem i utracone zaufanie klientów. Audyt jest bezpłatny — po nim znasz konkretne liczby zamiast szacunków.