Polityka bezpieczeństwa IT w małej firmie: prosty dokument, który działa

Dobra polityka bezpieczeństwa IT w małej firmie mieści się na kilku stronach i jest napisana językiem, który rozumie handlowiec, księgowa i magazynier. Dokument na sześćdziesiąt stron, skopiowany z szablonu korporacji, trafia do segregatora i niczego nie zmienia. Pokażemy, jak zbudować wersję, którą ludzie znają i stosują, a Ty możesz sprawdzić, czy jest przestrzegana.

Po co małej firmie polityka bezpieczeństwa IT

Nie chodzi o papier dla kontrolera. Spisane zasady odpowiadają na pytania, które i tak padają co tydzień: czy mogę pracować na prywatnym laptopie, gdzie zapisywać pliki, komu zgłosić dziwnego maila, co zrobić po zgubieniu telefonu służbowego.

Gdy odpowiedzi nie ma na piśmie, każdy działa po swojemu. Jeden pracownik trzyma dokumenty klientów na pendrive, inny przesyła je na prywatną skrzynkę, żeby popracować wieczorem. Polityka ustawia wspólny standard i daje podstawę, żeby wymagać go od wszystkich.

Coraz częściej potrzebuje jej też ktoś z zewnątrz. Duzi klienci wysyłają dostawcom ankiety bezpieczeństwa, ubezpieczyciele pytają o zabezpieczenia przy polisach cyber, a RODO wymaga wykazania odpowiednich środków technicznych i organizacyjnych.

Dwa poziomy dokumentu

Jeden długi tekst się nie sprawdza. Przygotuj dwa poziomy: krótką politykę dla wszystkich pracowników i instrukcje techniczne dla osoby lub firmy, która administruje IT.

Część dla pracowników (2–4 strony)

• Hasła i logowanie: długie hasła lub frazy, menedżer haseł, obowiązkowe MFA do poczty i systemów, zakaz udostępniania kont.
• Poczta i phishing: jak rozpoznać podejrzaną wiadomość, gdzie ją zgłosić, zakaz zmiany numeru konta bankowego kontrahenta na podstawie samego maila.
• Miejsce na dane: firmowe zasoby (np. SharePoint, OneDrive, serwer), bez prywatnych chmur i nośników, chyba że jest na to zgoda.
• Sprzęt: blokada ekranu, szyfrowanie, zgłoszenie zgubienia lub kradzieży od razu, nie następnego dnia.
• Praca zdalna przez VPN lub inne zatwierdzone rozwiązanie, ostrożnie w publicznych sieciach Wi-Fi.
• Zgłaszanie incydentów: jeden kanał i jedna osoba kontaktowa oraz jasna informacja, że zgłoszenie pomyłki nie grozi karą.

Część dla administratora

• zasady nadawania i odbierania uprawnień,
• harmonogram kopii zapasowych i testów odtwarzania,
• zasady aktualizacji systemów i oprogramowania,
• ewidencja sprzętu i licencji,
• procedura postępowania przy incydencie,
• lista kontaktów awaryjnych: dostawca internetu, serwis, partner IT, ubezpieczyciel.

Część administracyjna może odsyłać do osobnych procedur, np. zasad tworzenia kopii zapasowych czy instrukcji przy przyjęciu i odejściu pracownika.

Przykładowe zapisy, które da się sprawdzić

Dobra zasada jest konkretna, wiadomo, kogo dotyczy, i da się zweryfikować, czy ktoś jej przestrzega. Tak mogą brzmieć sformułowania, które spełniają te warunki:

• „Do poczty i systemów firmowych logujesz się z użyciem drugiego składnika (aplikacja w telefonie). Kodu nie przekazujesz nikomu, także osobom podającym się za IT.”
• „Dokumenty firmowe zapisujesz wyłącznie w folderach działu na OneDrive lub SharePoint. Pulpit i folder Pobrane nie są objęte kopią zapasową.”
• „Zgubienie lub kradzież laptopa albo telefonu służbowego zgłaszasz do IT w ciągu godziny od zauważenia, telefonicznie lub SMS-em.”
• „Nowe oprogramowanie instaluje wyłącznie administrator. Jeśli potrzebujesz programu, zgłoś to przez helpdesk.”
• „Podejrzaną wiadomość przekazujesz jako załącznik na adres zgłoszeniowy i nie klikasz w zawarte w niej linki.”

Każdą z tych zasad administrator może wesprzeć technicznie: wymusić MFA, przekierować foldery do chmury, odebrać uprawnienia administratora lokalnego, dodać w Outlooku przycisk zgłaszania phishingu. Polityka i konfiguracja mówią wtedy to samo.

Jak napisać politykę bezpieczeństwa IT w pięciu krokach

1. Zacznij od stanu faktycznego. Spisz, jakie systemy i dane macie, kto z nich korzysta i skąd. Bez tego polityka opisze firmę, która nie istnieje.
2. Wybierz kilka zasad o największym znaczeniu. W małej firmie największe ryzyka to zwykle phishing, przejęcie konta pocztowego, brak kopii i zgubiony sprzęt. Te obszary opisz najdokładniej.
3. Pisz w trybie rozkazującym i konkretnie. Nie „należy dbać o bezpieczeństwo haseł”, tylko „używaj menedżera haseł; nie zapisuj haseł w przeglądarce ani na kartkach”.
4. Sprawdź wykonalność. Każda zasada musi mieć narzędzie, które ją umożliwia. Nie wymagaj szyfrowania pendrive’ów, jeśli firma ich nie zapewnia.
5. Zatwierdź na poziomie zarządu. Podpis właściciela lub prezesa pokazuje, że to nie jest „widzimisię informatyka”.

Gdzie polityki najczęściej zawodzą

Pierwszy problem to zasady, których nie da się przestrzegać. Wymóg zmiany hasła co 30 dni prowadzi do haseł typu „Firma2024!”, „Firma2025!”. Lepiej postawić na długie hasła i MFA.

Drugi to brak egzekwowania technicznego. Jeśli polityka mówi o blokadzie ekranu po kilku minutach, ustaw ją centralnie w systemie, a nie licz na pamięć ludzi.

Trzeci: jednorazowe zapoznanie się. Podpis pod oświadczeniem przy zatrudnieniu to za mało. Krótkie przypomnienie raz na pół roku i ćwiczenie rozpoznawania phishingu dają więcej niż kolejny rozdział dokumentu.

Czwarty dotyczy wyjątków. Zawsze znajdzie się sytuacja, w której zasada nie pasuje, np. prezes potrzebuje dostępu z prywatnego tabletu. Jeśli polityka nie mówi, kto może zgodzić się na wyjątek i jak go zapisać, wyjątki stają się regułą.

Wreszcie dokument bez właściciela. Ktoś musi aktualizować politykę po zmianie systemów, przejściu do chmury czy zatrudnieniu pierwszych pracowników zdalnych.

Fałszywa zmiana rachunku i trzy strony zamiast trzydziestu

Weźmy firmę handlową zatrudniającą kilkanaście osób, która ma obszerną politykę bezpieczeństwa przygotowaną przy okazji RODO. Ktoś podszywa się pod dostawcę i prosi o zmianę rachunku. Wtedy wychodzi na jaw, że nikt z działu zakupów nie pamięta, co dokument mówi o takich sytuacjach.

Rozsądniej niż poprawiać stary tekst jest napisać trzystronicową wersję dla pracowników z jedną jasną zasadą: każdą zmianę rachunku kontrahenta potwierdza się telefonicznie pod numerem z umowy, nie z maila. Zasadę omawia się na krótkim spotkaniu, a księgowość dostaje ją jako pole do odhaczenia w procesie akceptacji płatności. Przy kolejnej podobnej próbie przelew zostaje zatrzymany na pierwszym etapie.

Jak utrzymać politykę przy życiu

• Przegląd raz w roku i po każdej większej zmianie w IT.
• Krótka wersja w intranecie lub na wspólnym dysku, łatwa do znalezienia.
• Omówienie przy wdrożeniu każdego nowego pracownika.
• Analiza każdego incydentu: czy polityka go przewidziała i czy zadziałała.
• Powiązanie z umową na obsługę IT, bo partner zewnętrzny powinien znać zasady i je stosować.

Polityka bezpieczeństwa nie zastąpi zabezpieczeń technicznych, ale porządkuje decyzje i odpowiedzialność. Możemy przygotować z Tobą dokument dopasowany do Twojej firmy i od razu wdrożyć ustawienia, które go wspierają. Porozmawiajmy o obsłudze IT Twojej firmy.