Polish
English
Fabryczna konfiguracja komputerów, serwerów i urządzeń sieciowych zostawia otwarte drzwi, z których korzystają przestępcy. Ustawa o KSC wymaga bezpiecznej konfiguracji i utrzymania systemów, a audytor zapyta o udokumentowany standard i dowód, że jest przestrzegany. Wyjaśniamy, o co zarząd powinien zapytać dział IT.
W firmie, która nie buduje etatu, tę rolę pełni outsourcing CISO.
Nowy laptop wyjęty z pudełka pozwala użytkownikowi zainstalować dowolny program. Obsługuje protokoły sieciowe sprzed dwudziestu lat, bo jeden na tysiąc klientów producenta ich potrzebuje. Uruchamia makra w dokumentach pobranych z internetu, jeśli ktoś kliknie „Włącz zawartość”. Wszystko po to, żeby działał od razu i nie generował zgłoszeń do pomocy technicznej.
Dla producenta to rozsądne. Dla firmy podlegającej KSC to punkt wyjścia do pracy, którą w branży nazywa się hardeningiem, czyli utwardzaniem konfiguracji.
Standard zamiast „każdy komputer inaczej”
Najważniejsza zmiana, której wymagają przepisy, jest organizacyjna, nie techniczna. Firma ma mieć spisany wzorzec bezpiecznej konfiguracji dla każdego typu urządzenia: stacji roboczej, laptopa, serwera, firewalla, przełącznika. Urządzenia mają być konfigurowane według tego wzorca automatycznie, a każde odstępstwo ma zostać wykryte.
Nie trzeba go wymyślać od zera. Dobre punkty odniesienia to CIS Benchmarks, czyli niezależne i szczegółowe zalecenia dla systemów operacyjnych i urządzeń, wzorce bezpieczeństwa publikowane przez producentów oraz rekomendacje CERT Polska. Firmowy standard to jeden z tych wzorców plus udokumentowane wyjątki. Na przykład stara aplikacja księgowa, która wymaga jednego przestarzałego ustawienia, dostaje wyjątek z uzasadnieniem i terminem wymiany.
Co powinno się znaleźć w standardzie
Zarząd nie musi znać szczegółów technicznych. Powinien jednak wiedzieć, o co pytać.
Czy pracownicy mają uprawnienia administratora na swoich komputerach? Nie powinni. To jedno ustawienie eliminuje dużą część infekcji, bo złośliwy program uruchomiony przez użytkownika nie może się zainstalować w systemie.
Czy dyski laptopów są zaszyfrowane? Zgubiony laptop bez szyfrowania oznacza naruszenie ochrony danych osobowych i zgłoszenie do UODO. Z szyfrowaniem to wyłącznie strata sprzętu.
Czy na komputerach działają tylko zatwierdzone programy? Blokowanie nieznanych plików wykonywalnych i makr z dokumentów pobranych z internetu zamyka najczęstsze drogi infekcji.
Czy firma ma ochronę typu EDR, a nie tylko antywirus? Klasyczny antywirus rozpoznaje znane wirusy. EDR analizuje zachowanie i potrafi odciąć zainfekowany komputer od sieci w kilka sekund. Pod jednym warunkiem: ktoś musi reagować na jego alerty.
Czy wyłączono przestarzałe protokoły uwierzytelniania i udostępniania plików? To one pozwalają przechwytywać hasła i ułatwiają ransomware skakanie z komputera na komputer.
Serwery i urządzenia brzegowe
Dla serwerów obowiązuje zasada minimalizmu: jeden serwer, jedna rola, tylko niezbędne oprogramowanie. Panele administracyjne i zdalny pulpit nie są dostępne z internetu. Domyślne konta i hasła są zmienione.
Stały nadzór daje CISO dla firm, nie jednorazowy projekt.
Osobno trzeba potraktować firewalle, bramy VPN i serwery poczty. Według raportu Mandiant M-Trends 2026 przestępcy w 2025 r. zaczynali wykorzystywać podatności średnio siedem dni przed udostępnieniem poprawki przez producenta. Urządzenie brzegowe z panelem administracyjnym dostępnym z internetu i domyślnym kontem to zaproszenie.
Przykład: dwie liczby, które mówią wszystko
Przykład ilustracyjny, zbudowany na typowym scenariuszu. Firma i liczby nie dotyczą konkretnego klienta.
Zakład produkcji elementów metalowych, 210 pracowników, 130 komputerów. Na pytanie o uprawnienia administratora kierownik IT odpowiedział, że mają je „tylko ci, co muszą”. Raport z systemu pokazał 87 kont z uprawnieniami lokalnego administratora. Szyfrowanie dysków miało 12 z 64 laptopów.
Trzy tygodnie wcześniej handlowiec zgubił w pociągu niezaszyfrowany laptop z cennikami i bazą kontaktów do klientów. Firma musiała zgłosić naruszenie do UODO i powiadomić część klientów.
Wdrożenie standardu rozłożono na sześć tygodni. Najpierw tryb audytowy, potem pilotaż w dziale handlowym, na końcu cała firma. W pierwszym tygodniu po odebraniu uprawnień helpdesk dostał około 30 zgłoszeń, głównie o instalację drukarek i jednego programu do rysunków technicznych. Po miesiącu liczba zgłoszeń spadła poniżej poziomu sprzed zmian.
Konfiguracja się rozmywa
Konfiguracja poprawna w dniu wdrożenia z czasem się psuje. Ktoś wyłączył zabezpieczenie „na chwilę, do testów”. Ktoś dodał wyjątek dla jednej aplikacji i zapomniał go usunąć. Po roku standard istnieje tylko na papierze.
Dlatego potrzebne jest centralne egzekwowanie i raportowanie zgodności. Wynik powinien trafiać do zarządu jako jedna liczba: jaki odsetek urządzeń jest zgodny ze standardem. Jeśli nikt w firmie nie umie jej podać, standard w praktyce nie istnieje.
„Utwardzanie zablokuje ludziom pracę”
To uzasadniona obawa i trzeba ją potraktować poważnie. Zbyt agresywny standard wdrożony w piątek po południu naprawdę potrafi sparaliżować dział handlowy. Rozwiązaniem jest wdrażanie etapami: najpierw tryb audytowy, który tylko rejestruje, co zostałoby zablokowane, potem pilotaż na jednym dziale, dopiero później cała firma. Po takim procesie liczba zgłoszeń do helpdesku zwykle spada, bo komputery z jednolitą konfiguracją psują się rzadziej.
Jedna rzecz na dziś
Proszę zadać działowi IT dwa pytania. Ilu pracowników ma uprawnienia administratora na swoim komputerze? Jaki odsetek laptopów ma zaszyfrowane dyski? Jeśli odpowiedzi nie da się podać w ciągu jednego dnia z systemu zarządzania urządzeniami, firma nie ma jeszcze standardu, tylko zbiór indywidualnych konfiguracji.
W NG Solutions od tych dwóch liczb zaczynamy każdy przegląd konfiguracji. Pokazują więcej niż niejeden raport na sto stron.
To jest vCISO: ktoś odpowiada za program bezpieczeństwa od dnia umowy.
Źródła: Ustawa o KSC po nowelizacji (Dz.U. 2026 poz. 252); rozporządzenie wykonawcze Komisji (UE) 2024/2690, załącznik, sekcja 6; Mandiant, M-Trends 2026 (za: Help Net Security, 24.03.2026).
O autorze: Nikodem Zdzieborski – prezes zarządu NG Solutions Sp. z o.o. z Warszawy, firmy zajmującej się infrastrukturą IT, cyberbezpieczeństwem i ochroną danych. Łączy praktykę administratora systemów z doradztwem dla zarządów.