Audyt cyberbezpieczeństwa dla mikrofirm – co można sprawdzać bez budowania zaawansowanego zespołu bezpieczeństwa

Mała firma nie potrzebuje SOC-u, SIEM-u ani pięciu specjalistów, żeby wykryć najczęstsze problemy bezpieczeństwa. Największe ryzyko zwykle zaczyna się od przejętej poczty, nieaktualnego laptopa, współdzielonego hasła albo kopii, której nikt nie próbował odtworzyć. Dlatego pierwszy audyt powinien być krótki, powtarzalny i oparty na dowodach. W firmie mającej 3–10 komputerów podstawowy przegląd da się zwykle wykonać w 3–6 godzin.

Najpierw konta, poczta i uprawnienia

Zacznij od spisu kont: poczta, bankowość, księgowość, hosting, domena, CRM, chmura i profile reklamowe. W mikrofirmach regularnie zostają aktywne dostępy byłych pracowników albo wykonawców. To prosty błąd, ale może dać dostęp do korespondencji i faktur.

Dla każdego systemu sprawdź:

• czy konto należy do konkretnej osoby, a nie jest współdzielone;
• czy działa MFA, najlepiej aplikacja uwierzytelniająca, passkey lub klucz FIDO2;
• kto ma rolę administratora i czy naprawdę jej potrzebuje;
• czy istnieje konto awaryjne i gdzie przechowywane są jego dane.

Administratorów powinno być jak najmniej. Przy pięciu pracownikach nie ma powodu, by każdy miał pełne uprawnienia do Microsoft 365, Google Workspace czy WordPressa. Najlepiej używać zwykłego konta do pracy i osobnego konta administracyjnego do konfiguracji.

Sprawdź też rejestratora domeny i pocztę: MFA, aktualne dane kontaktowe oraz rekordy SPF, DKIM i DMARC. Z DMARC nie warto od razu przechodzić na najbardziej restrykcyjną politykę. Najpierw ustal, które usługi legalnie wysyłają wiadomości w imieniu domeny.

Sprzęt, aktualizacje i backup: liczy się test

Lista urządzeń powinna obejmować laptopy, telefony służbowe, router, NAS i komputery używane zdalnie. Jeśli właściciel nie wie, które urządzenia mają dostęp do danych firmy, audyt już wykrył problem. Wystarczy tabela: użytkownik, urządzenie, system, data aktualizacji i status szyfrowania dysku.

Najwyższy priorytet mają systemy, które nie otrzymują już poprawek bezpieczeństwa. Taki komputer nie powinien mieć dostępu do księgowości, poczty administratora ani danych klientów. Potem sprawdza się automatyczne aktualizacje systemu, przeglądarek, pakietu biurowego i narzędzi zdalnego dostępu. Jeśli zdalny pulpit jest wystawiony bezpośrednio do internetu, należy go schować za VPN lub rozwiązaniem dostawcy i zabezpieczyć MFA.

Backup ocenia się przez odtworzenie danych, nie przez ikonę synchronizacji. OneDrive, Google Drive czy Dropbox pomagają po awarii urządzenia, ale synchronizacja nie jest pełną kopią zapasową. Dla ważnych danych dobrym punktem odniesienia jest zasada 3-2-1: trzy kopie, dwa różne nośniki lub usługi i jedna kopia odseparowana od głównego środowiska.

Wybierz dokument, arkusz i eksport z kluczowego systemu, potem odtwórz je z backupu do osobnego katalogu. Zanotuj czas. Jeśli odtworzenie wymaga telefonu do jednej osoby albo nieznanego hasła, firma nie ma sprawdzonej kopii — ma tylko nadzieję, że działa.

Logi i incydenty bez rozbudowanego centrum bezpieczeństwa

Mikrofirma nie musi analizować milionów zdarzeń. Powinna wiedzieć, gdzie sprawdzić logowania, zmianę haseł, dodanie administratora, nowe metody MFA i reguły przekierowania poczty. Microsoft 365, Google Workspace i większość usług SaaS pokazują takie informacje w panelach; zakres logów zależy od planu.

Co miesiąc sprawdź trzy rzeczy: nietypowe logowania, reguły przekazywania poczty i listę kont uprzywilejowanych. Automatyczne wysyłanie kopii faktur na obcy adres albo dodanie nowej metody MFA bez wiedzy właściciela to sygnały alarmowe.

Procedura incydentu może mieć jedną stronę. Powinna wskazywać, kto blokuje konto, kto kontaktuje bank lub operatora IT, gdzie są backupy i kto ocenia obowiązki prawne. Przy naruszeniu ochrony danych osobowych administrator ma co do zasady do 72 godzin od stwierdzenia naruszenia na zgłoszenie go Prezesowi UODO, jeśli zdarzenie może powodować ryzyko dla praw lub wolności osób. Nie każde zdarzenie podlega zgłoszeniu, ale każde trzeba ocenić i udokumentować.

Od 3 kwietnia 2026 r. obowiązuje znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa wdrażająca NIS2. Mikrofirmy nie powinny zakładać, że są poza jej zakresem: znaczenie ma sektor i rodzaj usługi. Nie ma sensu kopiować korporacyjnej polityki. Jedna strona z kolejnością działań i numerami kontaktowymi jest lepsza niż dokument, którego nikt nie stosuje.

Więcej informacji na: https://hd-biznes.com/blog

FAQ

Czy audyt trzeba zlecać zewnętrznej firmie?
Nie przy pierwszym przeglądzie podstaw. Konta, MFA, aktualizacje i backup może sprawdzić właściciel lub administrator IT. Zewnętrzny audyt ma większy sens przy własnych serwerach, danych wrażliwych albo wymaganiach kontraktowych.

Jak często powtarzać audyt?
Pełny przegląd co 6–12 miesięcy, a kontrolę kont uprzywilejowanych, logowań i backupu co kwartał. Po odejściu pracownika, zmianie operatora IT, migracji poczty lub incydencie — od razu.

Czy antywirus wystarczy?
Nie. Nie naprawi słabego hasła, braku MFA, błędnych uprawnień ani wadliwego backupu. W mikrofirmie uporządkowanie kont i aktualizacji ma wyższy priorytet niż kupowanie kolejnego pakietu ochronnego.

Od czego zacząć jutro rano?
Od konta pocztowego właściciela i administratora: włącz MFA, usuń nieużywane sesje, sprawdź reguły przekierowania oraz listę administratorów. Potem odtwórz jeden ważny plik z kopii. Jeśli backupu nie da się odtworzyć, ten błąd usuń jako pierwszy.