Nasz blog to praktyczne artykuły o cyberbezpieczeństwie i regulacjach, pisane prostym językiem zrozumiałym dla właścicieli firm i menedżerów. Poruszamy konkretne tematy, takie jak wymagania NIS2, DORA, CRA, wdrożenia norm ISO 27001, analiza incydentów, phishing, ransomware czy dobre praktyki dla MŚP.
Zamiast technicznego żargonu - oferujemy wskazówki, które można od razu zastosować w biznesie. Stawiamy na treści „do wdrożenia od zaraz": publikujemy checklisty, analizy zagrożeń, poradniki dla sektora MŚP i regularne aktualizacje o nowych przepisach.
IAM vs PAM: różnice i wspólna ochrona dostępu
IAM zarządza tożsamościami i dostępem, a PAM wzmacnia ochronę uprawnień pozwalających administrować systemami i wykonywać działania wysokiego ryzyka. Porównujemy oba obszary pod względem celu, użytkowników, rodzaju dostępu, kontroli, audytu i narzędzi. Wyjaśniamy też różnice między PAM a PIM oraz pokazujemy wspólny proces dostępu zewnętrznego serwisanta. Przykładowa karta uzgodnienia pomaga sprawdzić, czy nadanie, użycie i odebranie uprawnień działają jako jeden proces.
Opracowanie: Zespół redakcyjny CCyber
IAM zarządza tym, kto lub co może uzyskać dostęp do określonych zasobów. PAM koncentruje się na dodatkowej ochronie dostępu uprzywilejowanego, który pozwala administrować systemami lub wykonywać działania o szczególnym znaczeniu dla bezpieczeństwa. To obszary współpracujące, a nie dwa zamienne sposoby zabezpieczenia firmy.
Praktyczne rozróżnienie brzmi: IAM ustala tożsamość, uprawnienia i ich cykl życia. PAM pomaga kontrolować, kiedy i na jakich zasadach można użyć podwyższonych uprawnień oraz jak rozliczyć wykonane działania. Ochrona powinna obejmować nie tylko pracowników, ale również dostawców i odpowiednie tożsamości aplikacji.
20 września 2026 r.
Punktem wyjścia jest infografika „IAM vs PAM” oraz towarzysząca jej notatka. Zachowujemy siedem obszarów porównania, a uproszczenia doprecyzowujemy na podstawie dokumentacji Microsoft, NIST, NCSC i HashiCorp. Przykład serwisanta, karta uzgodnienia i proponowane kryteria odbioru są opracowaniem CCyber.
Dla kierowników IT, osób odpowiedzialnych za IAM i PAM, administratorów, właścicieli aplikacji oraz zespołów bezpieczeństwa. Także dla zarządów i osób kupujących usługi, które chcą ustalić, czy organizacja potrzebuje uporządkowania tożsamości, dodatkowej ochrony administratorów czy lepszego połączenia istniejących rozwiązań.
IAM, czyli Identity and Access Management, obejmuje zasady, procesy i technologie zarządzania tożsamością oraz dostępem do zasobów. Chodzi między innymi o to, aby właściwy użytkownik miał odpowiednie uprawnienia, a osoba nieuprawniona nie otrzymała dostępu. Zakres opisuje Microsoft w wyjaśnieniu IAM.
PAM, czyli Privileged Access Management, dotyczy ochrony szczególnie istotnych uprawnień i sposobu ich używania. Microsoft opisuje go jako część IAM, łączącą ludzi, procesy i technologię. Nie jest wyłącznie sejfem na hasła administratorów. Zobacz definicję PAM.
Określenie „blast radius” z notatki oznacza tutaj możliwy zasięg szkód po przejęciu konta lub błędzie. Ograniczenie tego zasięgu jest celem ochrony, nie gwarancją, że nadużycie podwyższonych uprawnień nie spowoduje strat.
W grafice IAM obejmuje pracowników, klientów i dostawców. To dobry punkt wyjścia, ale nie pełny zakres. W systemach działają również tożsamości aplikacji, usług i automatyzacji. Microsoft opisuje je jako workload identities.
Po stronie PAM interesuje nas uprzywilejowany dostęp tych tożsamości. Może go używać administrator, zewnętrzny serwisant lub proces wdrażający oprogramowanie. Ta sama osoba może korzystać z dostępu zwykłego i administracyjnego.
Nie każde konto techniczne jest uprzywilejowane. Aplikacja odczytująca jeden plik i automatyzacja mogąca zmieniać całe środowisko wymagają odmiennej oceny. Przy tożsamościach maszynowych nie zakładaj też interaktywnego zatwierdzania MFA takiego jak u człowieka.
Materiał wyjściowy zestawia pocztę i aplikacje z serwerami, bazami danych oraz konsolami administracyjnymi. W praktyce ważniejsze od rodzaju systemu jest to, co dana tożsamość może w nim zrobić.
NIST opisuje użytkownika uprzywilejowanego przez możliwość wykonywania funkcji związanych z bezpieczeństwem, administracją lub kontrolą, niedostępnych zwykłym użytkownikom. Podstawą jest definicja NIST.
Przykład CCyber: pracownik HR może zgodnie z rolą czytać poufne dokumenty, nie mając prawa nadawania uprawnień innym osobom. Administrator tej samej aplikacji może zmieniać role i ustawienia ochrony. Oba dostępy wymagają kontroli, ale nie oznaczają identycznych uprawnień ani takiego samego sposobu realizacji PAM.
IAM nie kończy się na utworzeniu konta. Obejmuje również zmiany stanowiska, zakończenie współpracy i sprawdzanie, czy dostęp nadal jest potrzebny. Zatwierdzenia i dostęp terminowy mogą występować także poza PAM. Przykłady pokazuje dokumentacja zarządzania tożsamością Microsoft Entra.
W PAM dodatkowa kontrola może dotyczyć aktywacji uprawnień tylko na potrzeby konkretnego zadania, uzasadnienia, zgody i czasu użycia. Należy rozróżnić uprawnienie do ubiegania się o rolę od aktywnej roli administracyjnej.
Wniosek praktyczny: kontraktor może mieć konto ważne przez trzy miesiące, ale dostęp administracyjny tylko podczas uzgodnionych prac. Czas istnienia konta i czas aktywności podwyższonych uprawnień to dwie różne rzeczy.
Grafika przypisuje IAM pytanie „kto się zalogował?”, a PAM „jakie polecenia wykonano?”. To użyteczne uproszczenie, lecz audyt IAM obejmuje również zmiany uprawnień i decyzje o dostępie. NCSC uwzględnia w IAM rejestrowanie działań oraz ochronę zapisów przed modyfikacją w przewodniku zarządzania tożsamością i dostępem.
Przy dostępie uprzywilejowanym potrzebna jest możliwość powiązania osoby lub procesu z aktywacją uprawnień i operacją na systemie. Nagranie sesji może być jednym ze źródeł. Nie zastępuje automatycznie logów aplikacji ani operacji wykonywanych przez API.
Przykład ograniczenia produktu: dokumentacja HashiCorp Boundary wskazuje obsługiwane rodzaje sesji i wymagania nagrywania. Nie wynika z tego rejestrowanie każdej aktywności poza skonfigurowaną ścieżką dostępu.
Na grafice po stronie IAM pojawiają się Okta, Azure AD, ForgeRock i Ping Identity, a po stronie PAM CyberArk, BeyondTrust, Delinea i HashiCorp. Traktuj to jako przykłady z materiału wejściowego, nie ranking ani dowód, że oferty producentów należą do rozłącznych kategorii.
Azure AD zostało przemianowane na Microsoft Entra ID. Nie jest to jednocześnie zmiana nazwy lokalnego Windows Server Active Directory. Rozróżnienie wyjaśnia dokumentacja Microsoft.
W przypadku producenta trzeba wskazać konkretny produkt. Przykładowo HashiCorp Vault służy między innymi do zarządzania sekretami, natomiast Boundary ma funkcje kontroli zdalnego dostępu i nagrywania obsługiwanych sesji. Sama nazwa „HashiCorp” nie określa zakupionych funkcji.
Rekomendacja CCyber: porównuj wymagania, integracje, ograniczenia i warunki licencyjne, a nie tylko logotypy. Funkcje tożsamości i dostępu uprzywilejowanego mogą występować w jednym ekosystemie.
W materiale IAM kojarzy się z SSO, MFA i RBAC. Oznaczają one odpowiednio wspólne logowanie do usług, uwierzytelnianie wieloskładnikowe oraz przypisywanie uprawnień według ról. PAM zestawiono z dostępem na żądanie, zatwierdzaniem i nagrywaniem sesji.
To nie są mechanizmy zarezerwowane wyłącznie dla jednej strony. Administrator również potrzebuje silnego uwierzytelniania, a zwykły dostęp do aplikacji może wymagać zgody i wygasać po określonym czasie.
Przykładem połączenia jest Microsoft Entra Privileged Identity Management. PIM wspiera czasową aktywację ról, zatwierdzenia, MFA i historię audytową. Zakres działania trzeba sprawdzić dla konkretnych zasobów, nie wyprowadzać go z samej nazwy funkcji.
System zarządzania tożsamościami również ma administratorów. Osoba mogąca tworzyć tożsamości, zmieniać zasady logowania lub nadawać role wpływa na dostęp do innych zasobów. Microsoft wyróżnia ten poziom kontroli w modelu dostępu przedsiębiorstwa.
Propozycja CCyber: w pierwszym przeglądzie PAM uwzględnij nie tylko serwery i bazy danych, ale także administrację katalogiem tożsamości oraz samą platformą PAM. Sprawdź, kto może zmienić reguły dostępu, wyłączyć wymagane zatwierdzenie lub zmodyfikować sposób rejestrowania działań.
Nie oceniaj tych uprawnień wyłącznie przez liczbę kont. Jedna rola pozwalająca nadawać inne role może wymagać większej uwagi niż wiele kont z ograniczonym zakresem.
Przykład modelowy CCyber. Firma zleca dostawcy naprawę aplikacji finansowej. Serwisant potrzebuje dostępu do jednej funkcji administracyjnej, a nie do całej infrastruktury. Poniżej opisujemy docelowy proces do zaprojektowania i sprawdzenia, nie funkcje gwarantowane przez każdy produkt.
Firma potwierdza osobę, dostawcę i wewnętrznego opiekuna. Konto otrzymuje ustalony okres ważności oraz dostęp do portalu obsługi. Samo zalogowanie nie nadaje uprawnień do zmiany aplikacji finansowej.
W rejestrze wiadomo, kto odpowiada za powiadomienie o zakończeniu współpracy. Konto nie pozostaje aktywne wyłącznie dlatego, że nikt nie pamięta, kto je utworzył.
Serwisant składa wniosek powiązany ze zgłoszeniem naprawy. Właściciel akceptuje dostęp do wskazanej funkcji na 60 minut. To czas przyjęty w przykładzie, nie uniwersalny wymóg.
Aktywacja wymaga uzgodnionego uwierzytelnienia i właściwego urządzenia. Zakres jest ograniczony po stronie systemu docelowego. Jeżeli wykorzystywane jest konto techniczne, sposób jego użycia musi pozwalać powiązać działania z serwisantem.
Rejestrowanie sesji lub logi aplikacyjne dokumentują wykonane operacje zgodnie z uzgodnionym zakresem. Ograniczenie czasu nie powinno być mylone z ograniczeniem funkcji: pełna administracja na godzinę nadal oznacza pełną administrację w tym okresie.
Po zamknięciu okna administracyjnego firma sprawdza, czy serwisant utracił możliwość wykonywania uprzywilejowanych czynności. Po zakończeniu umowy zamykany jest również pozostały dostęp.
Nie zakładaj natychmiastowego zakończenia wszystkich sesji. Microsoft wyjaśnia, że skuteczne odebranie dostępu zależy również od tokenów i zachowania aplikacji. Zablokowanie konta w jednym miejscu nie zawsze natychmiast unieważnia sesję w innym. Zobacz dokumentację odbierania dostępu.
Dlatego kryterium odbioru powinno dotyczyć rzeczywistej możliwości działania w aplikacji, a nie wyłącznie statusu w centralnym panelu.
Poniższy wzór jest propozycją CCyber do wykorzystania podczas projektowania integracji. Jedną kartę przygotuj dla wybranego sposobu dostępu.
Tożsamość i właściciel: kto korzysta z dostępu, skąd pochodzi informacja o jego uprawnieniu do współpracy i kto zgłasza zmianę?
Zasób i dozwolona czynność: jaka aplikacja lub system jest celem i co dokładnie można w nim wykonać?
Warunki aktywacji: jakie uwierzytelnienie, urządzenie, uzasadnienie lub zatwierdzenie są wymagane?
Czas i zakończenie: kiedy uprawnienie wygasa, co dzieje się z otwartą sesją i jak obsługiwane jest pilne odebranie dostępu?
Ścieżki alternatywne: czy istnieje konto lokalne, bezpośrednie połączenie, klucz lub inny dostęp omijający zaprojektowany proces?
Dowody: gdzie można powiązać tożsamość, decyzję, aktywację, działania i zakończenie? Kto ma prawo przeglądać te informacje?
Kryterium odbioru: uzgodniony test potwierdza zarówno wykonanie dozwolonej czynności, jak i odmowę czynności spoza zakresu. Obejmuje też odebranie dostępu, a nie tylko jego poprawne nadanie.
Testy wykonuj na uzgodnionych kontach i zasobach. Nie zmieniaj uprawnień kont produkcyjnych bez oceny zależności i planu przywrócenia działania.
Projekt nie powinien uzależniać odzyskania kontroli nad środowiskiem wyłącznie od tego samego mechanizmu, który może ulec awarii. Microsoft opisuje konta awaryjne, ich ochronę, monitorowanie i testowanie w dokumentacji emergency access.
Propozycja CCyber: ustal osobno warunki użycia awaryjnego, osoby uprawnione i sposób rozliczenia działań. Nie traktuj każdego stałego konta administratora jako wyjątku „na wszelki wypadek”. Nie wyłączaj też wszystkich takich dostępów bez sprawdzenia możliwości odzyskania środowiska.
Wybierz priorytet według luki, nie nazwy produktu. Jeżeli firma nie wie, kto ma konta i kiedy należy je odebrać, potrzebuje uporządkowania cyklu życia tożsamości. Jeżeli administratorzy mają nieuzasadnioną możliwość zmiany całego środowiska, ograniczenia tego ryzyka nie należy odkładać do zakończenia rozbudowanego projektu IAM.
Rekomendujemy rozpoczęcie od jednej ważnej usługi. Ustal tożsamości, zwykłe role i operacje uprzywilejowane. Sprawdź istniejące funkcje, integracje i braki. Dopiero potem określ, czy potrzebny jest dodatkowy produkt, rozszerzenie obecnego rozwiązania czy poprawa procesu.
Właściciel aplikacji powinien określić potrzebny zakres działania. Zespoły IAM, PAM i administratorzy uzgadniają jego realizację. Bezpieczeństwo pomaga ustalić wymagania i sprawdzenie wyniku. Ten podział jest propozycją organizacji pracy, nie obowiązkowym schematem dla każdej firmy.
Miernikiem wyniku nie jest liczba kont przeniesionych do sejfu. W proponowanym przeglądzie ważniejsze jest, czy dostęp ma właściciela, jest ograniczony do potrzeb i można skutecznie zakończyć jego używanie.
W kategorii Tożsamość, dostęp i bezpieczeństwo chmury znajdziesz rozwinięcia: „Podstawy PAM: 9 kontroli, które chronią konta uprzywilejowane”, poradnik o Just-in-Time Access i Just-Enough-Access oraz materiał „Jak przygotować audit trail dla dostępu uprzywilejowanego?”.
Ten artykuł koncentruje się na różnicach i współpracy obszarów. Szczegółowa lista kontroli lub budowa pełnej ścieżki audytowej wymagają dalszego dopasowania do środowiska.
W ramach projektów i wdrożeń cyberbezpieczeństwa CCyber wspiera analizę ryzyka oraz wdrożenia IAM, PAM i MFA.
Sprawdź, gdzie kończy się obecna kontrola dostępu. Do ustalenia zakresu wsparcia przygotuj listę ważnych aplikacji, ról administracyjnych i istniejących narzędzi. Punktem wyjścia może być przejście przez jeden scenariusz: od utworzenia tożsamości, przez użycie uprawnienia, po potwierdzone odebranie dostępu.
Samo posiadanie narzędzia IAM nie rozstrzyga sprawy. Sprawdź, jakie funkcje ochrony uprzywilejowanego dostępu rzeczywiście działają. Mogą być częścią istniejącej platformy, ale potrzebny zakres i ewentualne braki trzeba ocenić osobno.
Terminy mogą być różnie używane przez dostawców. Microsoft Entra PIM jest konkretną usługą zarządzania i aktywacji ról. Może wspierać program PAM, ale sama aktywacja roli nie potwierdza nagrywania wszystkich czynności ani objęcia każdego systemu ochroną. Sprawdź zakres produktu i integracji.
Nie. Uwierzytelnianie pomaga potwierdzić tożsamość. Nie odpowiada samo w sobie na pytanie, czy konto powinno móc usuwać dane, nadawać role lub wyłączać zabezpieczenia. Zakres uprawnień wymaga osobnej decyzji.
Nie przyjmujemy takiej uniwersalnej zasady. Dobierz zakres rejestrowania do ryzyka, wymagań i możliwości technicznych. Ustal potrzebne logi, ewentualne nagrania, uprawnienia do ich przeglądania i okres przechowywania. Nagranie nie powinno być jedynym dowodem działania systemu.
Nie da się tego ustalić na podstawie samej wielkości firmy. Zacznij od operacji administracyjnych, dostępu dostawców i istniejących funkcji. Dobierz rozwiązanie do brakujących możliwości, nie do założenia, że każdy problem wymaga nowej platformy.
IAM i PAM odpowiadają na powiązane pytania o tożsamość, uprawnienia oraz sposób ich używania. IAM zapewnia szersze zarządzanie dostępem, a PAM wzmacnia ochronę operacji uprzywilejowanych.
Najważniejszy jest ciągły proces: właściwa tożsamość, uzasadniony zakres, kontrolowane użycie i skuteczne zakończenie dostępu. Jeżeli któryś z tych etapów pozostaje poza kontrolą, samo posiadanie obu kategorii narzędzi nie usuwa luki.
HIPAA: 8 kroków do zgodności dla firm i dostawców IT
Amerykański klient medyczny pyta o zgodność z HIPAA? Zacznij od ustalenia roli firmy, zakresu chronionych danych i obowiązków wynikających z umowy BAA. Omawiamy osiem kroków: zasady HIPAA, odpowiedzialność, ocenę ryzyka, zabezpieczenia, zgłaszanie naruszeń, szkolenia, dostawców i monitorowanie. Wyjaśniamy również znaczenie terminów 60 dni i sześciu lat oraz różnicę między przeglądem zgodności a „certyfikatem HIPAA”. Przykład usługi SaaS pokazuje, dlaczego ocena nie może kończyć się na głównej bazie danych.
Opracowanie: Zespół redakcyjny CCyber
Przygotowanie do HIPAA zacznij od ustalenia, w jakiej roli firma obsługuje chronione informacje zdrowotne, gdzie te informacje trafiają i kto odpowiada za ich ochronę. Następnie połącz ocenę ryzyka, zabezpieczenia, umowy z dostawcami, szkolenia oraz obsługę naruszeń w działający proces.
Nie zaczynaj od poszukiwania „certyfikatu HIPAA” ani kopiowania zasad RODO. Najpierw ustal zakres konkretnej usługi i właściwych obowiązków. Lista kontrolna powinna prowadzić do wykonanych i sprawdzonych działań, nie do deklaracji zgodności opartej wyłącznie na podpisanej umowie.
20 września 2026 r.
Układ ośmiu kroków pochodzi z poradnika Vanta o przygotowaniu do HIPAA. Wyjaśnienia wymagań i doprecyzowania oparto na materiałach amerykańskiego Departamentu Zdrowia i Opieki Społecznej, HHS, oraz przepisach dostępnych w eCFR. Przykład usługi i proponowane dowody są opracowaniem CCyber.
Artykuł dotyczy wybranych wymagań prywatności i bezpieczeństwa. Nie zastępuje analizy prawnej konkretnej działalności ani wszystkich przepisów federalnych, stanowych i europejskich, które mogą jej dotyczyć.
Dla firm IT, dostawców SaaS, hostingu, usług analitycznych i wsparcia technicznego współpracujących z amerykańskim sektorem ochrony zdrowia. Także dla zespołów bezpieczeństwa, zgodności i zakupów, które potrzebują uporządkować odpowiedzi na wymagania klienta.
HIPAA to amerykańska ustawa Health Insurance Portability and Accountability Act. Jej przepisy wykonawcze dotyczą między innymi podmiotów określanych jako covered entities: planów zdrowotnych, podmiotów przetwarzających transakcje zdrowotne do standardowej postaci oraz świadczeniodawców realizujących określone transakcje elektroniczne. Nie każda organizacja medyczna spełnia tę definicję. Zakres wyjaśnia HHS.
Business associate to określony rodzaj usługodawcy działającego na rzecz covered entity. Status może obejmować także podwykonawcę innego business associate. Znaczenie ma wykonywana funkcja oraz tworzenie, otrzymywanie, przechowywanie lub przekazywanie PHI. Przykłady obejmują hosting i wybrane usługi IT. Szczegóły podaje HHS w przewodniku o business associates.
Polska siedziba nie jest automatycznym wyłączeniem. HHS dopuszcza przechowywanie ePHI poza USA przy spełnieniu właściwych wymagań i zawarciu odpowiedniej umowy. Lokalizację należy uwzględnić w ocenie ryzyka. Opisuje to poradnik HHS dotyczący chmury.
Privacy Rule określa zasady używania i ujawniania PHI oraz prawa osób. PHI to chronione informacje zdrowotne pozwalające zidentyfikować osobę w kontekście objętym HIPAA. Ochrona może dotyczyć informacji elektronicznej, papierowej i ustnej.
Leczenie, rozliczenia i działalność operacyjna ochrony zdrowia to ważne przykłady dopuszczalnych zastosowań, ale nie cały katalog. W przeciwieństwie do uproszczenia w materiale wyjściowym nie należy ograniczać wszystkich dozwolonych ujawnień wyłącznie do tych trzech celów. Warunki opisuje podsumowanie Privacy Rule.
Security Rule dotyczy elektronicznych PHI, czyli ePHI, i obejmuje zabezpieczenia administracyjne, fizyczne oraz techniczne. Breach Notification Rule określa obowiązki po naruszeniu danych objętym jego zakresem. Relację tych zasad wyjaśnia HHS w podsumowaniu Security Rule.
Do wykonania: przygotuj mapę obowiązków dla swojej roli. Dostawca nie powinien zakładać, że może używać danych do dowolnego celu tylko dlatego, że służy on branży medycznej.
Security Rule wymaga wskazania osoby odpowiedzialnej za rozwój i wdrażanie odpowiednich polityk bezpieczeństwa. Obowiązek dotyczy covered entities i business associates. Podstawą jest 45 CFR 164.308(a)(2).
Odrębnie 45 CFR 164.530(a) wymaga od covered entity wskazania osoby odpowiedzialnej za prywatność oraz kontaktu do obsługi skarg. Nie przenoś automatycznie całego tego obowiązku na każdego dostawcę w identycznej postaci.
Do wykonania: określ, kto zatwierdza dostęp, prowadzi ocenę ryzyka, kontaktuje się z klientem i podejmuje decyzje podczas incydentu. Sam tytuł „HIPAA Compliance Officer” nie wyjaśnia zakresu uprawnień ani dostępności tej osoby.
Analiza ryzyka powinna obejmować wszystkie ePHI tworzone, otrzymywane, utrzymywane i przekazywane w analizowanej działalności. HHS nie narzuca jednej metody, która automatycznie zapewnia zgodność. Wymaga jednak rzetelnego rozpoznania ryzyk dla poufności, integralności i dostępności. Podstawę opisuje Guidance on Risk Analysis.
Propozycja CCyber: prześledź drogę danych od ich otrzymania do usunięcia. Sprawdź bazę produkcyjną, eksporty, kopie, logi, zgłoszenia serwisowe i środowiska testowe. Dla każdego miejsca zapisz właściciela, dostęp i potrzebne zabezpieczenia.
Usunięcie imienia i nazwiska nie potwierdza deidentyfikacji. HHS opisuje dwie metody: Expert Determination i Safe Harbor. Lista 18 kategorii identyfikatorów wiąże się z warunkami Safe Harbor, nie jest prostym testem „czy plik zawiera PHI”. Szczegóły znajdują się w wytycznych deidentyfikacji.
Dowód wykonania: określony zakres analizy, uzasadnione ryzyka i zadania naprawcze. Ankieta bez sprawdzenia rzeczywistych przepływów nie powinna być jedyną podstawą decyzji.
Wymagania techniczne obejmują kontrolę dostępu, rejestrowanie i badanie aktywności, ochronę integralności, uwierzytelnianie oraz bezpieczeństwo transmisji. Określa je 45 CFR 164.312. Security Rule obejmuje również plany kopii, odtwarzania i działania awaryjnego oraz ochronę stanowisk i nośników.
Propozycja CCyber: połącz każdą zasadę z jej realizacją. Dla dostępu zapisz wymagane role i wykonaj test uprawnień. Dla backupu potwierdź możliwość odtworzenia. Dla logów ustal, kto przegląda istotne zdarzenia i reaguje na wynik.
Nie tłumacz oznaczenia addressable jako „opcjonalne”. Wymaga ono oceny, czy dana specyfikacja jest rozsądna i odpowiednia, oraz właściwego udokumentowania decyzji. Dotyczy to również szyfrowania w obowiązującym modelu Security Rule. Znaczenie wyjaśnia HHS.
Nie pomijaj strony prywatności: obsługi dostępu do informacji, żądań poprawienia danych i ograniczeń ujawniania. Zabezpieczenie systemu nie daje zgody na każde wykorzystanie przechowywanych informacji.
Dowód wykonania: zatwierdzone zasady, odpowiednia konfiguracja i wynik sprawdzenia w ustalonym zakresie. Praktykę zarządzania kontami rozwijamy w kategorii Tożsamość, dostęp i bezpieczeństwo chmury.
Najpierw oceń, czy zdarzenie stanowi naruszenie objęte Breach Notification Rule i dotyczy unsecured PHI w rozumieniu przepisów. Nie każde ostrzeżenie narzędzia jest takim naruszeniem. Niedozwolone użycie lub ujawnienie PHI wymaga jednak oceny i udokumentowania podstaw decyzji, a nie założenia, że „zapewne nic się nie stało”.
Zasadą jest zgłoszenie bez nieuzasadnionej zwłoki, najpóźniej w ciągu 60 dni kalendarzowych od wykrycia. Wykrycie uwzględnia także to, co powinno być znane przy zachowaniu należytej staranności. Wynika to z 45 CFR 164.410.
BAA może przewidywać krótszy termin. Nie czekaj z pierwszą informacją na zakończenie całego dochodzenia. Przepis przewiduje uzupełnianie informacji, gdy stają się dostępne.
Powiadomienie osób następuje bez nieuzasadnionej zwłoki, nie później niż 60 dni od wykrycia. Przy naruszeniu dotyczącym ponad 500 mieszkańców jednego stanu lub jurysdykcji dochodzi obowiązek zawiadomienia odpowiednich mediów. Zasady i wyjątki opisuje HHS.
Dla 500 lub więcej osób zgłoszenie do HHS odbywa się równolegle z powiadomieniem osób. Dla mniejszych naruszeń zgłoszenie do HHS można przekazać do 60 dni po zakończeniu roku, w którym je wykryto. To nie odracza powiadomienia osób. Rozróżnienie określa 45 CFR 164.408.
Do wykonania: zapisz odbiorców, moment rozpoczęcia biegu terminu, zastępstwa i obowiązki umowne. Nie kopiuj do HIPAA jednego terminu 72 godzin z procedury RODO.
Security Rule wymaga programu świadomości i szkoleń dla personelu, w tym kierownictwa. Privacy Rule wymaga od covered entity szkoleń odpowiednich do funkcji, także po dołączeniu nowej osoby i istotnych zmianach zasad. Podstawy znajdują się w 164.308(a)(5) i 164.530(b).
Coroczny cykl rekomendowany przez Vanta może być praktycznym rozwiązaniem. Nie należy jednak przedstawiać go jako jednej, uniwersalnej częstotliwości szkolenia wynikającej z tych przepisów.
Propozycja CCyber: serwisowi pokaż bezpieczne przyjmowanie załączników, administratorom kontrolę dostępów, a osobom kontaktującym się z pacjentami zasady udostępniania informacji. Ćwicz na danych syntetycznych. Zachowaj temat, uczestników i wynik sprawdzenia wiedzy.
BAA, czyli Business Associate Agreement, nie jest zwykłym NDA. Określa między innymi dozwolone wykorzystanie informacji, zabezpieczenia, zgłaszanie problemów, współpracę przy prawach osób i postępowanie po zakończeniu usługi. HHS udostępnia przykładowe postanowienia umowne.
Właściwe umowy są potrzebne również w łańcuchu podwykonawców obsługujących PHI. Podpisane BAA dokumentuje zobowiązania, ale samo nie dowodzi, że dostawca je wykonuje.
Brak możliwości odczytania danych nie zawsze wyłącza status business associate. HHS wskazuje, że operator przechowujący zaszyfrowane ePHI może mieć ten status również bez klucza odszyfrowania. Wyjaśnia to poradnik o chmurze.
Do wykonania: sprawdź hosting, backup, helpdesk, analitykę i ewentualne narzędzia AI. Ustal, które rzeczywiście otrzymują PHI, jaka usługa jest objęta umową i co pozostaje do skonfigurowania po stronie Twojej firmy. Nie podpisuj identycznej umowy ze wszystkimi dostawcami bez oceny ich roli.
Ważne doprecyzowanie wobec Vanta: obowiązujący Security Rule wymaga okresowej oceny technicznej i nietechnicznej oraz uwzględniania zmian. Sam 164.308(a)(8) nie ustanawia ogólnego obowiązku audytu wewnętrznego dokładnie raz w roku.
Audyt co najmniej co 12 miesięcy znalazł się w propozycji zmian Security Rule. HHS nadal rozdziela propozycję NPRM od obowiązujących przepisów. Nie należy przedstawiać projektu jako już stosowanego wymogu.
Propozycja CCyber: ustal cykl przeglądów i dodatkowe sprawdzenia po zmianie dostawcy, integracji, sposobu dostępu lub incydencie. Raportuj nie tylko liczbę polityk, ale również niezamknięte luki, wyniki testów i brakujące decyzje.
Dokumentację wymaganą przez Security Rule należy zachować przez sześć lat od utworzenia albo ostatniego obowiązywania, zależnie od późniejszej daty. Nie jest to przechowywanie „do sześciu lat”. Podstawę stanowi 45 CFR 164.316.
To inna kwestia niż okres przechowywania dokumentacji medycznej. HHS wyjaśnia, że Privacy Rule nie ustanawia jej ogólnego terminu retencji. Znaczenie mają między innymi przepisy stanowe. Zobacz wyjaśnienie HHS dotyczące dokumentacji pacjentów.
Propozycja CCyber: osobno ustal zasady dla polityk, ocen, zapisów operacyjnych i danych pacjentów. Nie kopiuj jednego okresu do każdego systemu i nie usuwaj danych wyłącznie dlatego, że minęło sześć lat.
Przykład modelowy CCyber. Polska firma rozwija aplikację dla amerykańskiej kliniki. Na potrzeby scenariusza przyjmujemy, że analiza potwierdziła status firmy jako business associate. Główna baza ma ograniczony dostęp i działa w uzgodnionej infrastrukturze.
Przegląd przepływów pokazuje jednak, że zgłoszenia serwisowe zawierają zrzuty ekranów z informacjami pacjentów. Trafiają do oddzielnego narzędzia, którego wcześniej nie uwzględniono w analizie ani ocenie podwykonawców.
Zespół ustala zakres danych, ocenia wcześniejsze użycie i wymagane umowy, a następnie projektuje bezpieczny sposób obsługi załączników. Wprowadza instrukcję dla klienta i testuje uprawnienia na danych syntetycznych. Nie usuwa pochopnie materiałów potrzebnych do oceny ewentualnego naruszenia.
Wniosek z przykładu: poprawna konfiguracja głównej bazy nie odpowiada na pytanie o wszystkie miejsca przetwarzania informacji. Lista kontrolna powinna prowadzić przez całą usługę.
Firma działająca w Polsce powinna niezależnie ocenić RODO. Przetwarzanie w ramach działalności podmiotu ustanowionego w UE może podlegać RODO bez względu na miejsce przetwarzania. Zakres opisuje Komisja Europejska.
Można wykorzystać wspólne rejestry zasobów, testy i zabezpieczenia. Nie należy jednak zakładać, że BAA automatycznie zastępuje umowę powierzenia, a amerykański tryb zawiadomienia zastępuje ocenę naruszenia na gruncie RODO.
Relacje między wymaganiami rozwijamy w kategorii Regulacje cyber UE i zgodność. HIPAA pozostaje w tym zestawieniu regulacją amerykańską.
HHS nie uznaje prywatnych certyfikatów Security Rule za urzędowe potwierdzenie zgodności. Zewnętrzna ocena może być użyteczna, ale nie usuwa obowiązków organizacji ani możliwości stwierdzenia naruszenia przez organ. Wyjaśnia to oficjalne FAQ HHS.
Gdy klient prosi o „certyfikat HIPAA”, ustal, jakiego potwierdzenia oczekuje: zakresu oceny, raportu z testów, BAA czy odpowiedzi na ankietę. Nie zastępuj tych ustaleń znakiem graficznym na stronie.
Przy wdrażaniu programu przydadzą się materiały o tożsamości, dostępie i bezpieczeństwie chmury oraz poradniki zgodności z regulacjami. Ten artykuł koncentruje się na organizacji przygotowania do HIPAA, nie na pełnej analizie wszystkich obowiązków ochrony zdrowia w USA.
W ramach audytu bezpieczeństwa CCyber analizuje środowisko IT, przepływy danych, konfiguracje oraz polityki i procedury. Wynikiem jest lista luk i priorytetowych działań.
Zacznij od uzgodnienia zakresu usługi i danych, które obsługujesz. Przy wymaganiach HIPAA rozdziel ocenę techniczną od kwalifikacji prawnej działalności i treści umów, wymagających wsparcia prawnika znającego prawo USA. Przegląd bezpieczeństwa nie jest urzędową certyfikacją HIPAA.
Tak, jeżeli spełnia właściwą definicję, na przykład business associate. Sam niewielki rozmiar firmy nie wyłącza obowiązków. Ocena powinna dotyczyć wykonywanej usługi i sposobu obsługi PHI, nie wyłącznie liczby pracowników.
Nie. Umowa musi odpowiadać rzeczywistej usłudze, a firma powinna realizować właściwe wymagania bezpieczeństwa i prywatności. Brak podpisu nie oznacza też automatycznie, że ustawowy status business associate nie powstał.
Nie należy tak tego interpretować. Sprawdź objęte usługą funkcje, umowę, konfigurację i podział odpowiedzialności. Dostawca chmury nie podejmuje za klienta wszystkich decyzji o kontach, danych i ich wykorzystaniu.
Osiem etapów porządkuje pracę, ale nie jest jednorazowym egzaminem. Zmiany usługi, personelu i ryzyk wymagają dalszej oceny. Zamknięte zadanie wdrożeniowe powinno prowadzić do ustalonego sposobu utrzymania.
Przygotowanie do HIPAA wymaga ustalenia roli firmy, poznania przepływów PHI i połączenia zasad z działaniem. Osiem etapów pomaga uporządkować odpowiedzialność, ryzyko, zabezpieczenia, naruszenia, szkolenia i dostawców.
Najbardziej użytecznym potwierdzeniem gotowości jest spójność umowy, rzeczywistej usługi i dowodów. Nie zastąpi jej ogólna deklaracja zgodności ani certyfikat bez jasno określonego zakresu.
Jak chronić małą firmę przed włamaniem? Cztery drogi ataku
Jak ograniczyć ryzyko włamania do małej firmy? Sprawdź cztery drogi dostępu: konta pocztowe, urządzenia pracowników, usługi dostępne z internetu i narzędzia zdalnej pomocy. Wyjaśniamy, jakie zabezpieczenia utrudniają wejście, co ogranicza skutki przejęcia konta i kiedy potrzebna jest reakcja na incydent. Artykuł zawiera pytania do dostawcy IT, przykład sprawdzenia dostępu oraz wskazówki dotyczące bezpłatnych usług CERT Polska. Bez obietnicy pełnej ochrony i bez kupowania narzędzi przed rozpoznaniem problemu.
Opracowanie: Zespół redakcyjny CCyber
Aby ograniczyć ryzyko włamania do małej firmy, sprawdź, którędy osoba nieuprawniona może uzyskać dostęp do pieniędzy, dokumentów i systemów. Zacznij od kont pocztowych, komputerów używanych do pracy, usług dostępnych z internetu oraz zdalnego dostępu dostawców.
Następnie ustal, co zatrzyma próbę wejścia, kto zauważy podejrzaną aktywność i jak ograniczysz skutki, gdy pierwsze zabezpieczenie zawiedzie. Celem nie jest obietnica „nikt nas nie zhakuję”, lecz zmniejszenie prawdopodobieństwa włamania i przygotowanie firmy do szybkiej reakcji.
20 września 2026 r.
Zalecenia oparto na materiałach NCSC, CISA, CERT Polska oraz dokumentacji Microsoft i Google. Cztery drogi ataku są autorskim uporządkowaniem tematu przez CCyber, nie statystycznym rankingiem zagrożeń. Przykład firmy i proponowany zakres przeglądu są materiałami modelowymi.
Dla właścicieli małych firm, kierowników biur i osób nadzorujących zewnętrzną obsługę IT. Szczególnie dla organizacji, które korzystają z poczty, bankowości, aplikacji chmurowych i dostępu zdalnego, ale nie wiedzą, jak wyglądałoby przejęcie jednego z tych elementów.
Mała firma może prowadzić działalność niemal całkowicie w usługach online: poczcie, księgowości, sklepie internetowym, dysku współdzielonym i mediach społecznościowych. Taki model nadal wymaga ochrony kont i danych. Właśnie do niego odnosi się poradnik NCSC dotyczący bezpiecznego używania usług online.
Proponujemy zacząć od trzech pytań: kto może zlecić płatność, kto może pobrać ważne dokumenty i kto może zmienić sposób działania usługi? Odpowiedzi pokażą, które konta oraz uprawnienia mają pierwszeństwo w przeglądzie.
Nie utożsamiaj oszustwa z włamaniem. Fałszywa wiadomość od osoby podszywającej się pod kontrahenta może spowodować stratę bez przejęcia firmowego konta. Dlatego ochrona techniczna powinna współpracować z zasadami zatwierdzania ważnych operacji.
Osoba nieuprawniona uzyskuje dostęp do skrzynki i wykorzystuje korespondencję, aby wiarygodnie podszyć się pod firmę. Może też próbować odzyskać dostęp do innych usług powiązanych z pocztą. Takie konsekwencje opisuje NCSC w poradniku zabezpieczania poczty.
Zacznij od silnego uwierzytelniania. Dla obsługiwanych kont rozważ metody odporne na phishing, takie jak passkeys lub klucze bezpieczeństwa. Gdy usługa korzysta z hasła, powinno być ono unikalne i uzupełnione MFA. Sprawdź również alternatywne metody logowania oraz odzyskiwanie konta po utracie telefonu.
Nie pomijaj konta zarządzającego domeną. NCSC wskazuje, że kontrola nad domeną może posłużyć do przejęcia stron, poczty i powiązanych usług. Dostęp powinien pozostawać pod kontrolą organizacji, także gdy domenę rejestrował wykonawca. Więcej w poradniku ochrony domeny.
„Które konta umożliwiają zmianę ustawień poczty, domeny i odzyskiwanie innych dostępów? Jak chronimy każdą z tych ścieżek?”
Poproś o wskazanie zakresu i wyjątków, nie tylko komunikat „MFA jest włączone”. Szczegółowe zagadnienia rozwijamy w kategorii Tożsamość, dostęp i bezpieczeństwo chmury.
Pracownik poprawnie loguje się do aplikacji, ale na jego komputerze działa złośliwe oprogramowanie. Może ono wykraść dane sesji, czyli informacje pozwalające usłudze rozpoznać już zalogowanego użytkownika. W określonych warunkach napastnik wykorzysta je bez ponownego wpisywania hasła. Mechanizm opisuje Google w materiale o ochronie sesji przeglądarki.
To nie argument przeciw MFA. To powód, aby zabezpieczyć również urządzenie, przeglądarkę i sposób instalowania oprogramowania.
Do pracy używaj urządzeń, których stan firma potrafi ocenić. Utrzymuj wspierane oprogramowanie, aktualizacje i aktywną ochronę przed złośliwym kodem. Nie loguj się do firmowych usług z przypadkowego komputera w hotelu lub urządzenia używanego wspólnie przez wiele osób. Takie zasady przedstawia NCSC w poradniku ochrony kont przed malware.
Proponujemy także uzgodnić sposób zatwierdzania aplikacji i rozszerzeń przeglądarki. Własny komputer pracownika wymaga określonych zasad dostępu, a nie automatycznego uznania, że jest bezpieczny, ponieważ ma hasło.
„Z jakich urządzeń można korzystać z najważniejszych kont i czy wiemy, że ich ochrona działa?”
Sprawdź też, kto otrzymuje ostrzeżenie z narzędzia ochronnego. Zakup licencji bez konfiguracji i ustalonej obsługi nie jest jeszcze gotowym procesem.
Może to być nieaktualny panel strony, stary system testowy, urządzenie obsługujące dostęp zdalny albo niepotrzebnie dostępny pulpit zdalny. W takim scenariuszu kliknięcie pracownika nie musi być warunkiem wejścia. CISA wskazuje podatności i błędne konfiguracje usług internetowych jako jedną z dróg początkowego dostępu w przewodniku #StopRansomware.
Ustal, które firmowe usługi są osiągalne z internetu, do czego służą i kto je utrzymuje. Niepotrzebną ekspozycję usuń. Potrzebne usługi powinny mieć aktualne oprogramowanie oraz ograniczenia dostępu odpowiednie do funkcji.
Nie pozostawiaj zwykłego pulpitu zdalnego jako ogólnodostępnego wejścia do firmy. Samo przeniesienie go na inny port nie zastępuje kontroli dostępu. Również VPN wymaga bezpiecznej konfiguracji i aktualizacji, zamiast być traktowany jako samodzielna gwarancja ochrony.
„Co można zobaczyć i osiągnąć z internetu, kto odpowiada za każdy z tych elementów i kiedy ostatnio sprawdzono jego bezpieczeństwo?”
Uzgodnij zakres przeglądu. Nie zlecaj przypadkowego skanowania infrastruktury kontrahenta ani intensywnych testów systemów produkcyjnych bez odpowiednich ustaleń.
Program pozwalający serwisantowi połączyć się z komputerem może być całkowicie legalny. Problemem staje się sposób jego użycia: przejęte konto wykonawcy albo nieuprawniona osoba nakłaniająca pracownika do udostępnienia dostępu. Nadużywanie takich narzędzi opisuje wspólny materiał NSA, CISA i partnerów.
Przygotuj listę zatwierdzonych narzędzi, osób i celów dostępu. Określ, kiedy wykonawca może połączyć się bez udziału pracownika, jakie ma uprawnienia i jak sprawdzić wykonane czynności.
Przy nieoczekiwanym telefonie z „pomocy technicznej” pracownik powinien potwierdzić sprawę przez znany kontakt do dostawcy. Nie powinien instalować nowego programu ani udostępniać komputera wyłącznie na podstawie przekonującej rozmowy.
Przegląd nie polega na usunięciu wszystkich narzędzi serwisowych. Ma odróżnić uzgodnioną obsługę od niekontrolowanego dostępu i zapewnić sposób jego odebrania.
„Kto może dziś połączyć się z naszymi komputerami i co trzeba zrobić, aby skutecznie odebrać mu tę możliwość?”
Sprawdź odpowiedź na wybranym koncie testowym lub przy uzgodnionym zakończeniu współpracy. Nie wyłączaj przypadkowo dostępu potrzebnego do utrzymania ważnej usługi.
W Polsce można wykorzystać portal moje.cert.pl, który udostępnia bezpłatne skanowanie własnych domen i powiadomienia dotyczące wykrytych zagrożeń. Serwis obejmuje także informacje o wyciekach danych logowania i publicznie widocznej infrastrukturze.
Rekomendujemy powierzenie konfiguracji osobie zarządzającej domeną oraz wskazanie odbiorcy raportów. Przed uruchomieniem ustal zakres i zasady korzystania z usługi, szczególnie gdy infrastrukturę utrzymuje zewnętrzny dostawca.
Brak wykrytego problemu nie oznacza braku możliwości włamania. Taki przegląd nie potwierdza sam w sobie bezpieczeństwa laptopów, poprawności wszystkich uprawnień ani zdolności odtworzenia danych. Wyniki wykorzystaj jako wejście do działań, a nie certyfikat całej firmy.
Używaj osobnych kont do zwykłej pracy i administracji. Uprawnienia dopasuj do zadań. NCSC zaleca takie rozdzielenie, aby ograniczyć konsekwencje przejęcia codziennego konta, w poradniku ochrony ważnych kont.
Proponujemy również sprawdzić, czy urządzenia gości i sprzęt, który nie potrzebuje dostępu do dokumentów firmy, są od nich skutecznie odseparowane. Samo nadanie innej nazwy sieci Wi-Fi nie potwierdza takiej separacji.
Zmianę rachunku kontrahenta i nietypową prośbę o płatność potwierdzaj niezależnym, wcześniej znanym kanałem. Nie używaj wyłącznie numeru z weryfikowanej wiadomości. To praktyka opisana w poradniku NIST o phishingu.
W naszym modelu przeglądu sprawdź nie tylko standardową procedurę, ale również zastępstwa, presję czasu i operacje wykonywane przez właściciela firmy.
Ustal z IT, czy przejęcie zwykłego konta pozwoliłoby usunąć również backup. Sprawdź odtworzenie do bezpiecznego środowiska. NCSC zaleca niezależną kopię ważnych danych i znajomość sposobu ich odzyskania w poradniku dotyczącym danych krytycznych.
Backup pomaga odzyskać dane, ale nie cofa ich wcześniejszej kradzieży ani wykonanego przelewu. Dlatego jest uzupełnieniem ochrony dostępu, nie jej zamiennikiem.
Przykład modelowy CCyber. Firma usługowa zatrudnia 18 osób. Korzysta z poczty, dysku chmurowego i zewnętrznego serwisu IT. Chce sprawdzić, jakie skutki mogłoby mieć przejęcie zwykłego konta pracownika.
Administrator tworzy konto testowe z odpowiadającymi mu uprawnieniami. Przegląd nie wymaga kradzieży hasła ani instalowania złośliwego oprogramowania. Sprawdzane są dostępne foldery, funkcje administracyjne i możliwość przekazania danych poza organizację.
W scenariuszu okazuje się, że konto widzi dokumenty działu, do którego nie należy, a osoba zastępująca księgową nie ma instrukcji potwierdzania zmian rachunku. Firma porządkuje dostęp i ustala procedurę zastępstwa.
Wynikiem nie jest deklaracja, że firma stała się niewrażliwa na atak. Jest nim ograniczenie konkretnych skutków przejęcia konta i lista następnych kwestii do sprawdzenia.
Poniższy tekst można wykorzystać jako punkt wyjścia do uzgodnienia przeglądu. Nie jest zleceniem testów penetracyjnych ani zgodą na ingerencję w systemy osób trzecich.
Proponowana treść: „Proszę o przegląd dróg nieuprawnionego dostępu do naszej poczty, najważniejszych aplikacji i komputerów. Chcemy ustalić zakres ochrony logowania, stan urządzeń, usługi dostępne z internetu oraz zdalne dostępy wykonawców. Proszę oddzielić konfiguracje potwierdzone od obszarów jeszcze niesprawdzonych”.
„Dla znalezionych braków proszę wskazać możliwy skutek, proponowane działanie, wykonawcę i sposób potwierdzenia naprawy. Przed testami proszę uzgodnić zakres, termin i wpływ na pracę. Potrzebujemy też informacji, kto odbiera pilne zgłoszenia i jak działa kontakt poza standardowymi godzinami”.
Zakres oraz koszt powinny wynikać z liczby usług i rodzaju sprawdzeń. Sam automatyczny skan strony nie odpowie na wszystkie te pytania.
Najpierw reaguj na podejrzenie trwającego włamania. Zmiany kont wykonane przez nieznaną osobę, nieautoryzowane wiadomości czy nieoczekiwany dostęp zdalny wymagają sprawdzenia w trybie incydentowym, a nie oczekiwania na planowany przegląd.
Następnie zajmij się znanymi, istotnymi lukami. Priorytet może mieć niezabezpieczony dostęp administracyjny, krytycznie podatna usługa internetowa albo konto byłego wykonawcy. Kolejność ustal z osobą znającą wpływ zmian na działalność.
Potem sprawdź utrzymanie. Kto zauważy nową usługę, odejście pracownika i błąd narzędzia ochronnego? Bez tych ustaleń poprawna konfiguracja może przestać odpowiadać rzeczywistemu środowisku.
To rekomendowany sposób ustalania priorytetów, nie uniwersalny harmonogram. Ma prowadzić do konkretnych decyzji, zamiast tworzyć kolejną listę zakupów.
Skontaktuj się z IT lub osobą odpowiedzialną za incydenty przez znany kanał, najlepiej z urządzenia, którego nie podejrzewasz o przejęcie. Zapisz czas, zaobserwowane objawy i wykonane czynności. Nie kasuj wiadomości ani nie reinstaluj sprzętu przed uzgodnieniem zabezpieczenia potrzebnych informacji.
Sama zmiana hasła może nie zakończyć incydentu. Dokumentacja Microsoft przewiduje także unieważnianie sesji, sprawdzenie metod MFA, aplikacji z dostępem oraz reguł przekazywania poczty. Szczegóły znajdują się w instrukcji reagowania na przejęte konto Microsoft 365.
Jeżeli zagrożone są pieniądze, niezwłocznie skontaktuj się z bankiem przez znany kanał. W Polsce incydent można zgłosić również przez kanały CERT Polska. Taki kontakt nie zastępuje działań wewnętrznych ani osobnej oceny właściwych obowiązków zgłoszeniowych.
Nie wyłączaj samodzielnie systemów przemysłowych, medycznych lub innych urządzeń, których zatrzymanie może zagrozić ludziom albo procesowi. Sposób ograniczenia incydentu wymaga uwzględnienia ich funkcji.
Codzienne zasady pracy i podstawowe zabezpieczenia rozwijamy w kategorii Cyberbezpieczeństwo dla MŚP. Ten artykuł koncentruje się na drogach wejścia i skutkach przejęcia dostępu, zamiast powtarzać pełną checklistę cyberhigieny.
Przygotowanie procedury i ćwiczeń warto oprzeć również na materiałach o reagowaniu na incydenty i ciągłości działania.
W ramach cyberbezpieczeństwa dla MŚP CCyber łączy wsparcie techniczne z uporządkowaniem zasad i odpowiedzialności.
Sprawdź, którędy można uzyskać nieuprawniony dostęp do Twojej firmy. Do ustalenia zakresu przeglądu przygotuj listę ważnych usług, model obsługi IT i znane problemy. Celem powinien być uzgodniony plan poprawek oraz sposób ich sprawdzenia. Nie przekazuj haseł ani danych klientów przed ustaleniem bezpiecznych zasad współpracy.
Nie ma podstaw do takiej gwarancji. Można ograniczać drogi ataku, zmniejszać skutki przejęcia dostępu i przygotować reakcję. Deklarację pełnej ochrony warto zastąpić opisem zakresu zabezpieczeń i sposobu ich weryfikacji.
Nie odpowiadają one na wszystkie opisane scenariusze. Trzeba osobno chronić logowanie, uprawnienia i proces zatwierdzania operacji oraz kontrolować zdalny dostęp. Legalnie działające narzędzie serwisowe może zostać użyte w nieuprawnionym celu.
Nie. VPN zabezpiecza określoną ścieżkę komunikacji lub dostępu. Nie zastępuje ochrony kont w usługach chmurowych, komputera ani samego urządzenia obsługującego VPN.
Najpierw sprawdź istniejące funkcje, konfigurację i rzeczywiste braki. Zakup może być potrzebny, ale powinien rozwiązywać wskazany problem i obejmować obsługę. Porównuj koszt wdrożenia, utrzymania i testów, nie tylko licencji.
Nie. Wynik dotyczy określonych zasobów, testów i momentu sprawdzenia. Nie rozstrzyga automatycznie bezpieczeństwa kont, urządzeń, dostawców ani procesów biznesowych.
Ochrona małej firmy przed włamaniem zaczyna się od zrozumienia, jak można uzyskać dostęp do jej kont, urządzeń i usług. Cztery opisane drogi pomagają uporządkować rozmowę z IT i wybrać działania odpowiadające rzeczywistemu środowisku.
Zamiast pytać wyłącznie „czy mamy zabezpieczenia?”, zapytaj: „co zatrzyma wejście, co ograniczy dostęp i kto zareaguje?”. Odpowiedzi poparte sprawdzeniem dają więcej niż obietnica, że jedno narzędzie ochroni całą firmę.
Nabory na cyberbezpieczeństwo 2026: 7 tematów, 96 mln euro
Który nabór programu Cyfrowa Europa pasuje do Twojej organizacji? Omawiamy siedem tematów z zestawienia CPPC: technologie podwójnego zastosowania, AI dla MŚP, zgodność z regulacjami, narzędzia AI dla cyberbezpieczeństwa, bezpieczeństwo kabli podmorskich, testowanie gotowości i rozwój sieci NCC. Wyjaśniamy budżety, poziomy dofinansowania, wymagania dotyczące uczestników oraz różnicę między beneficjentem a odbiorcą wsparcia. Dodajemy pytania do wstępnej kwalifikacji projektu przed przygotowaniem wniosku.
Opracowanie: Zespół redakcyjny CCyber
Nabory cyberbezpieczeństwa otwarte we wrześniu 2026 r. obejmują siedem tematów programu Cyfrowa Europa, z łączną pulą 96 mln euro i terminem składania wniosków do 14 stycznia 2027 r. Poszczególne tematy różnią się celem, poziomem finansowania i wymaganiami wobec uczestników.
Wybór zacznij od odpowiedzi: co organizacja chce dostarczyć i dla kogo? Następnie sprawdź, czy może wystąpić jako wnioskodawca, partner albo odbiorca rezultatów. Sama potrzeba poprawy bezpieczeństwa lub status MŚP nie przesądzają o dopasowaniu do konkursu.
20 września 2026 r.
Podstawą artykułu jest zestawienie CPPC „Nabory 2026 z obszaru Cyberbezpieczeństwo”. Zachowujemy kolejność siedmiu tematów i wskazane w nim parametry. Informacje uzupełniamy komunikatem ECCC oraz programem prac. Pytania kwalifikacyjne i przykład projektu są propozycją CCyber, nie oficjalnymi kryteriami punktowymi.
Przed złożeniem wniosku sprawdź aktualną dokumentację konkretnego tematu. Skrócone zestawienie nie rozstrzyga wszystkich warunków udziału, kosztów kwalifikowalnych ani wielkości pojedynczego grantu.
Dla firm cyberbezpieczeństwa, dostawców technologii, MŚP, startupów, uczelni i instytucji publicznych rozważających udział w programie Cyfrowa Europa. Szczególnie dla osób, które znalazły atrakcyjny temat, ale nie ustaliły jeszcze roli swojej organizacji i rzeczywistego zakresu projektu.
Omawiane tematy należą do naboru DIGITAL-ECCC-2027-DEPLOY-CYBER-11 w programie Cyfrowa Europa, czyli Digital Europe Programme. Prowadzi go Europejskie Centrum Kompetencji w dziedzinie Cyberbezpieczeństwa, ECCC.
Wspólny okres składania wniosków trwa od 1 września 2026 r. do 14 stycznia 2027 r., godz. 17:00 CET. Rok 2027 w identyfikatorze nie oznacza, że nabór zacznie się dopiero w styczniu. Daty potwierdza komunikat ECCC o otwarciu konkursu.
Nie należy też utożsamiać terminu złożenia wniosku z rozpoczęciem finansowania. Czas przygotowania aplikacji i okres realizacji wybranego projektu to odrębne etapy.
Identyfikator: DIGITAL-ECCC-2027-DEPLOY-CYBER-11-DUALUSE.
Parametry według CPPC: budżet tematu 10 mln euro, dofinansowanie 50%, realizacja około 36 miesięcy.
Temat dotyczy współpracy cywilnego i obronnego sektora cyberbezpieczeństwa. Rezultatem mają być działające prototypy, produkty gotowe do wprowadzenia na rynek lub infrastruktura operacyjna przydatna w obu obszarach. CPPC wymienia przedsiębiorstwa, w tym MŚP i startupy, oraz ministerstwa, agencje obrony i innych uczestników tego środowiska.
Konsorcjum międzynarodowe nie jest wskazane jako obowiązkowe. Współpraca między państwami może jednak wzmacniać znaczenie projektu, zgodnie z opisem tematu.
Pytanie kwalifikacyjne CCyber: czy potrafisz wskazać konkretne zastosowanie cywilne i obronne oraz sposób sprawdzenia rozwiązania w obu kontekstach? Sama możliwość sprzedaży produktu różnym klientom nie wyjaśnia jeszcze, jak projekt zrealizuje cel konkursu.
Identyfikator: DIGITAL-ECCC-2027-DEPLOY-CYBER-11-AI4SME.
Parametry według CPPC: budżet 20 mln euro, dofinansowanie 75% dla MŚP i 50% dla pozostałych beneficjentów, realizacja 36 miesięcy.
Cel obejmuje rozwój, dostosowanie i wdrażanie bezpiecznych rozwiązań AI zwiększających cyberodporność europejskich MŚP. Zakres dotyczy między innymi zarządzania ryzykiem, wykrywania zagrożeń i podatności oraz obsługi i raportowania incydentów.
Wśród potencjalnych uczestników CPPC wskazuje firmy, startupy, jednostki badawcze i akademickie, sektor publiczny oraz dostawców technologii. Nie podaje obowiązkowego minimum partnerów ani państw.
Pytanie kwalifikacyjne CCyber: jakie zadanie bezpieczeństwa małej firmy będzie wykonywane lepiej dzięki proponowanemu rozwiązaniu i jak to zmierzysz? Rozdziel użycie AI do ochrony organizacji od ogólnej automatyzacji sprzedaży lub administracji.
Przy projektowaniu pilotażu warto uwzględnić również dane, uprawnienia i nadzór nad wynikami. Te zagadnienia rozwijamy w kategorii Bezpieczeństwo AI i nowe zagrożenia.
Identyfikator: DIGITAL-ECCC-2027-DEPLOY-CYBER-11-EULEG.
Parametry według CPPC: budżet 20 mln euro, dofinansowanie 50%, realizacja 36 miesięcy.
Temat wspiera wdrażanie europejskich wymagań cyberbezpieczeństwa, w tym CRA, NIS2, RODO, DORA, Cybersecurity Act i właściwych wymagań AI Act. Obejmuje narzędzia zgodności, certyfikację i ocenę zgodności, raportowanie, kompetencje oraz współpracę.
CPPC wskazuje szeroką grupę uczestników: przemysł, MŚP, startupy, właściwe organy, zespoły reagowania, centra operacji bezpieczeństwa i podmioty związane z certyfikacją. Nie określa minimalnej liczby partnerów ani państw, promuje natomiast współpracę transgraniczną i międzysektorową.
Pytanie kwalifikacyjne CCyber: które wymaganie lub problem wdrożeniowy adresuje projekt i jaki użyteczny rezultat pozostanie po jego zakończeniu? Odróżnij dostarczenie dokumentacji od zdolności wykonania wymaganej czynności.
Przy ustalaniu zakresu pomocne są materiały z kategorii Regulacje cyber UE i zgodność. Samo powołanie się na regulację nie potwierdza kwalifikowalności wydatku.
Identyfikator: DIGITAL-ECCC-2027-DEPLOY-CYBER-11-CYBERAI.
Parametry według CPPC: budżet 15 mln euro, dofinansowanie 50%, realizacja około 36 miesięcy.
Zakres obejmuje rozwój i wdrażanie narzędzi wykorzystujących AI, w tym generatywną AI, do wykrywania zagrożeń, analizy informacji o zagrożeniach, automatyzacji i reagowania. Rozwiązania mają wspierać między innymi Cyber Hubs, CSIRT-y, organy publiczne i podmioty z sektorów NIS2.
Wskazani uczestnicy obejmują dostawców technologii, operatorów takich centrów, jednostki naukowe oraz sektor publiczny i prywatny. Konsorcjum nie jest przedstawione jako obowiązkowe.
Pytanie kwalifikacyjne CCyber: czy projekt poprawia konkretną pracę operacyjną, na przykład analizę zdarzeń, i jak sprawdzisz błędne wyniki? W porównaniu z AI4SME zwróć uwagę przede wszystkim na odbiorcę i oczekiwany rezultat, nie tylko na obecność AI.
Identyfikator: DIGITAL-ECCC-2027-DEPLOY-CYBER-11-REGCABH.
Parametry według CPPC: budżet 5 mln euro, dofinansowanie 70%, realizacja około 36 miesięcy.
Regional Cable Hubs mają rozwijać transgraniczne zdolności monitorowania zagrożeń i ochrony strategicznej infrastruktury kabli podmorskich. W centrum projektu znajdują się właściwe organy publiczne.
Wymagana jest współpraca organów z co najmniej dwóch państw członkowskich związanych z danym basenem morskim. Inne potrzebne podmioty publiczne i prywatne mogą dołączyć. To istotna różnica wobec tematów niewymagających takiego składu.
Pytanie kwalifikacyjne CCyber: czy organizacja ma uzgodnioną rolę w takiej strukturze i dostęp do potrzebnych partnerów? Samo tworzenie technologii monitorowania nie zastępuje wymaganego uczestnictwa właściwych organów.
Identyfikator: DIGITAL-ECCC-2027-DEPLOY-CYBER-11-COORDPREP.
Parametry według CPPC: budżet 15 mln euro, dofinansowanie 50%, realizacja 24 miesiące.
Temat ma dwa komponenty. Pierwszy obejmuje skoordynowane testy gotowości w sektorach wysoce krytycznych, w tym testy penetracyjne, ocenę zagrożeń i ryzyka oraz środowiska ICT i OT/ICS.
Drugi dotyczy szerszych działań przygotowawczych w sektorach wysoce krytycznych i innych sektorach krytycznych. Obejmuje monitoring ryzyka, podatności i dostawców, koordynowane ujawnianie podatności, ćwiczenia i szkolenia. Może również zawierać działania testowe z pierwszej części.
CPPC wskazuje właściwe organy publiczne, CSIRT-y i podmioty publiczne objęte odpowiednimi regulacjami. Nie wskazuje minimalnego składu konsorcjum.
Pytanie kwalifikacyjne CCyber: czy organizacja ma realizować projekt, uczestniczyć w testach czy dostarczać usługę testową? To trzy różne role, których nie należy utożsamiać.
Zestawienie CPPC podaje 24 miesiące, natomiast szerszy program prac ECCC wskazuje orientacyjnie trzy lata dla działań przygotowawczych. Program prac opisuje też szerszy krąg uczestników drugiego komponentu.
Nie rozstrzygamy tych różnic przez samodzielne wybranie korzystniejszego wariantu. Przed ustaleniem harmonogramu i roli prywatnego partnera sprawdź dokument konkretnego konkursu lub uzyskaj wyjaśnienie punktu kontaktowego. Program wieloletni i karta danego naboru nie są dokumentami o identycznym zakresie. Kontekst znajduje się w programie prac ECCC, Amendment 3.
Identyfikator: DIGITAL-ECCC-2027-DEPLOY-CYBER-11-NCC.
Parametry według CPPC: budżet 11 mln euro, dofinansowanie 50%, realizacja 36-48 miesięcy.
Temat wspiera działalność National Coordination Centres, czyli NCC, oraz rozwój społeczności cyberbezpieczeństwa. Zakres obejmuje między innymi kompetencje, pomoc wnioskodawcom, poszukiwanie partnerów, rozwój startupów i upowszechnianie rozwiązań.
Udział NCC jest obowiązkowy. Inne podmioty mogą uczestniczyć w konsorcjum z centrum, ale nie powinny traktować tego tematu jako samodzielnego konkursu dla dowolnej firmy.
CPPC wskazuje także możliwość finansowego wsparcia podmiotów trzecich, określanego jako FSTP. Sama obecność takiej możliwości nie oznacza, że uruchomiono już odrębny nabór dla Twojej firmy.
Pytanie kwalifikacyjne CCyber: czy masz uzgodnione zadanie z NCC, czy dopiero szukasz przyszłego wsparcia dla własnej działalności? Najpierw ustal właściwą ścieżkę, a potem przygotowuj dokumenty.
CPPC informuje, że wszystkie siedem tematów podlega ograniczeniom bezpieczeństwa związanym z art. 12 ust. 5 rozporządzenia DEP. Znaczenie mają ustanowienie organizacji oraz kontrola nad nią w państwach kwalifikujących się do udziału, obejmujących UE i EOG.
Polski adres rejestrowy nie powinien kończyć tej oceny. Przy strukturze międzynarodowej sprawdź wymagania dotyczące kontroli właścicielskiej i dokumentów. Nie przesądzaj wyniku na podstawie samego kraju inwestora lub nazwy spółki.
Zgodnie z komunikatem CPPC o otwarciu naborów aplikacje przygotowuje się po angielsku w portalu EU Funding and Tenders. Konsultacja z punktem kontaktowym nie zastępuje formalnego złożenia wniosku.
Przy wyszukiwaniu sprawdzaj pełny identyfikator. Podobna nazwa tematu z wcześniejszej rundy nie oznacza tych samych warunków ani aktywnego terminu.
Przed planowaniem przychodów lub kosztów ustal, czy organizacja ma wykonywać zadania jako beneficjent, uczestniczyć w uzgodnionej roli projektowej czy realizować zamówienie jako dostawca. Nie traktuj każdego rodzaju współpracy jako dotacji otrzymywanej przez Twoją firmę.
Opis konkretnych obowiązków i warunków udziału musi wynikać z dokumentacji projektu. Nasza rekomendacja: rozstrzygnij rolę przed przygotowaniem szczegółowego budżetu.
50%, 70% lub 75% odnosi się do odpowiedniej podstawy kosztów kwalifikowalnych, nie automatycznie do wszystkich wydatków organizacji. Stawki zależą od tematu i statusu uczestnika. Wysokość wsparcia MŚP z AI4SME nie przechodzi automatycznie na jego udział w CYBERAI lub EULEG.
Przykład rachunkowy: przy 200 000 euro zaakceptowanych kosztów kwalifikowalnych stawka 75% oznacza 150 000 euro dofinansowania i 50 000 euro pozostałej części. Przy stawce 50% podział wynosi po 100 000 euro. Nie jest to rekomendowany budżet ani potwierdzenie kwalifikowalności konkretnego projektu.
Rekomendujemy osobno oszacować koszty niekwalifikowalne, zasoby potrzebne do przygotowania wniosku oraz płynność podczas realizacji. Budżetu tematu, maksymalnej kwoty dla projektu i wartości całego przedsięwzięcia nie należy stosować zamiennie.
Proponujemy krótką kartę wstępnej decyzji. Każde pole powinno prowadzić do uzasadnienia albo pytania wymagającego wyjaśnienia.
Rezultat: co będzie działało po zakończeniu projektu i kto będzie z tego korzystał?
Dopasowanie: które oczekiwane rezultaty wskazanego tematu realizujemy, a których nie obejmujemy?
Rola: dlaczego nasza organizacja może uczestniczyć właśnie w tej roli?
Partnerzy: czy wymagany skład jest zapewniony i co wnosi każda organizacja?
Wykonalność: czy mamy ludzi, technologię, dostęp do danych lub środowisk testowych i środki na realizację?
Weryfikacja: jak potwierdzimy efekt i które kwestie trzeba wyjaśnić przed decyzją o aplikowaniu?
Decyzja: składamy wniosek, szukamy partnera, dopracowujemy zakres albo wybieramy inne finansowanie.
To narzędzie wewnętrznej kwalifikacji, nie punktacja konkursowa. Nie zastępuje sprawdzenia wymogów formalnych.
Przykład modelowy CCyber. Firma rozwija rozwiązanie, które analizuje sygnały bezpieczeństwa i proponuje działania. Zespół rozważa dwa tematy, ponieważ w obu występuje AI.
W pierwszym wariancie użytkownikiem ma być mała firma bez rozbudowanego zespołu bezpieczeństwa. Projekt zakłada prostą obsługę, zrozumiałe rekomendacje i pilotaż z MŚP. Zespół powinien szczegółowo sprawdzić dopasowanie do AI4SME.
W drugim wariancie narzędzie wspiera analityków centrum cyberbezpieczeństwa, integruje informacje o zagrożeniach i pomaga w pracy operacyjnej. Punktem do analizy może być CYBERAI.
O wyborze nie powinien decydować wyłącznie wyższy procent wsparcia. Najpierw porównaj użytkownika, rezultat i warunki. Żaden z opisanych wariantów nie jest automatycznie zakwalifikowany do finansowania.
Przygotuj krótki opis problemu, odbiorców, rezultatu i proponowanej roli organizacji. Dodaj identyfikator tematu, orientacyjny budżet oraz konkretne pytania o kwalifikowalność, partnerów i koszty.
Krajowy Punkt Kontaktowy Digital Europe w CPPC udziela nieodpłatnej pomocy dotyczącej programu, aplikowania i realizacji. Wspiera również poszukiwanie partnerów. Komunikat o naborach wskazuje możliwość konsultacji także z NCC-PL.
Do rozpoznania partnerów można wykorzystać wskazaną przez CPPC platformę matchmakingową Digital Europe. Przed rozmową określ, jakiej kompetencji lub roli brakuje, zamiast szukać partnera wyłącznie „do liczby”.
Nie należy wyprowadzać z niego automatycznej decyzji o kwalifikowalności firmy, pełnego katalogu kosztów ani gwarantowanej kwoty grantu. Dla konkretnego projektu trzeba sprawdzić między innymi oczekiwaną skalę, kryteria oceny, wymagane załączniki, koszty i zasady rozliczenia.
Nie zakładaj również, że każdy wydatek opisany jako „NIS2”, „AI” albo „szkolenie” pasuje do jednego z tematów. Możliwość sfinansowania określonego działania zależy od jego roli w projekcie i dokumentacji konkursowej.
Nasza rekomendacja: jeśli ważnego warunku nie potrafisz potwierdzić, zapisz go jako nierozstrzygnięty. Nie zastępuj brakującej odpowiedzi założeniem korzystnym dla budżetu.
Przygotowanie zakresu i realizację przedsięwzięcia rozwijamy w kategorii Finansowanie i dotacje na cyberbezpieczeństwo, między innymi w poradniku o przygotowaniu i prowadzeniu projektu z programu Cyfrowa Europa.
Ten artykuł służy przede wszystkim wyborowi tematu i roli organizacji. Szczegółowe pisanie wniosku powinno rozpocząć się po rozstrzygnięciu tych kwestii.
W ramach projektów cyberbezpieczeństwa z dofinansowaniem CCyber wspiera dobór instrumentu, przygotowanie zakresu, budżetu i dokumentacji oraz realizację i rozliczenie przedsięwzięcia.
Sprawdź dopasowanie pomysłu do naboru przed zamówieniem pełnego wniosku. Punktem wyjścia może być karta decyzji z tego artykułu. Pozwoli ustalić, czy potrzebujesz dopracowania projektu, partnera lub innej ścieżki finansowania. Konsultacja ani przygotowanie dokumentacji nie gwarantują przyznania grantu.
Nie. To łączna pula siedmiu europejskich tematów, a nie krajowy budżet rozdzielany wyłącznie między polskie organizacje.
Nie. W zestawieniu taka stawka dotyczy MŚP w AI4SME. Pozostałe tematy mają własne poziomy wsparcia. Firma i projekt muszą spełnić właściwe warunki.
W wielu opisanych tematach konsorcjum międzynarodowe nie jest obowiązkowe. REGCABH wymaga jednak udziału odpowiednich organów z co najmniej dwóch państw członkowskich, a temat NCC wymaga udziału centrum NCC. Zawsze sprawdź pełne warunki.
Zestawienie CPPC wskazuje obowiązkowy udział NCC. Samo prowadzenie szkoleń nie zastępuje tego warunku. Rola innego podmiotu wymaga uzgodnienia w odpowiednim projekcie.
Samo zestawienie nie daje takiego potwierdzenia. Zakup musi pasować do celu projektu i zasad kosztowych. Nie należy utożsamiać tych naborów z automatycznym zwrotem części dowolnej faktury IT.
Siedem tematów otwartych w 2026 r. obejmuje różne potrzeby: rozwój technologii, wsparcie MŚP, realizację regulacji, gotowość operacyjną i współpracę instytucjonalną. Wspólny termin nie oznacza wspólnych zasad uczestnictwa.
Najpierw wybierz rezultat i rolę organizacji. Dopiero potem porównuj stawki dofinansowania. Takie podejście pomaga ograniczyć pracę nad wnioskiem, który od początku nie odpowiada celowi lub warunkom konkursu.
Cyberhigiena w małej firmie: 5 prostych kroków
Jak poprawić cyberhigienę w małej firmie bez zaczynania od rozbudowanego projektu? Zabezpiecz konta, uporządkuj aktualizacje, sprawdź odtwarzanie danych, wprowadź potwierdzanie nietypowych próśb i ustal sposób zgłaszania problemów. Przy każdym kroku pokazujemy, co powinien zrobić właściciel firmy lub dostawca IT, czego oczekiwać od pracowników i jak sprawdzić rezultat. Mini-przewodnik zawiera również przykład fałszywej faktury oraz prosty rytm utrzymywania zabezpieczeń.
Opracowanie: Zespół redakcyjny CCyber
Poprawę cyberhigieny w małej firmie zacznij od pięciu działań: ochrony kont, aktualizacji urządzeń, sprawdzenia backupu, potwierdzania nietypowych próśb i szybkiego zgłaszania problemów. Przy każdym ustal, kto odpowiada za konfigurację, jakie zachowanie obowiązuje pracowników i jak sprawdzić wykonanie.
Nie wszystko musi robić właściciel firmy. Część zadań wykonuje IT lub zewnętrzny dostawca. Pracownik powinien natomiast wiedzieć, z jakich narzędzi korzystać, kiedy zatrzymać podejrzaną operację i do kogo zgłosić wątpliwość. Pięć kroków to punkt wyjścia do poprawy bezpieczeństwa, nie gwarancja ochrony przed każdym atakiem.
19 września 2026 r.
Zalecenia oparto na materiałach NCSC, NIST i CERT Polska. Dobór pięciu kroków, przykłady oraz proponowany rytm przeglądów są opracowaniem CCyber. Nie stanowią pełnego audytu ani listy wszystkich obowiązków organizacji.
Dla właścicieli małych firm, kierowników biur i osób współpracujących z zewnętrznym dostawcą IT. Szczególnie dla zespołów korzystających z poczty, aplikacji chmurowych, bankowości i danych klientów, które potrzebują jasnych zasad codziennej pracy.
Poczta zasługuje na pierwszeństwo, ponieważ może służyć do odzyskiwania dostępu do innych usług. Przejęta skrzynka umożliwia także wysyłanie wiadomości w imieniu firmy. Na te zależności zwraca uwagę NCSC w poradniku ochrony poczty.
Co zrobić: poproś IT o włączenie i sprawdzenie uwierzytelniania wieloskładnikowego, czyli MFA, dla poczty, administratorów i pozostałych ważnych usług. Tam, gdzie jest to obsługiwane, rozważ metody odporne na phishing, takie jak passkeys lub klucze bezpieczeństwa. Zabezpiecz również odzyskiwanie konta po utracie telefonu.
Dla kont korzystających z haseł używaj długich, unikalnych haseł przechowywanych w zatwierdzonym menedżerze. Nie kopiuj tego samego hasła między pracą a prywatnymi usługami. Wspieranie menedżerów haseł opisują również wytyczne NIST dotyczące uwierzytelniania.
Zasada dla zespołu: nie zatwierdzaj logowania, którego nie rozpocząłeś, i nie przekazuj kodów osobie kontaktującej się z Tobą. Zgłoś nieoczekiwaną prośbę o potwierdzenie dostępu.
Jak sprawdzić: poproś administratora o wskazanie kont objętych ochroną, wyjątków i sposobu odzyskania dostępu. Przy odejściu pracownika dopilnuj odebrania zbędnych uprawnień, także w usługach zamawianych poza IT. Taki przegląd zaleca NCSC w materiale o kontach firmowych.
Poprawki bezpieczeństwa usuwają błędy, które mogą zostać wykorzystane do ataku. Aktualizacji wymagają nie tylko systemy operacyjne, ale także przeglądarki i aplikacje. Korzystanie z oprogramowania nadal wspieranego przez producenta oraz automatyczne aktualizacje opisuje NCSC w poradniku ochrony urządzeń.
Co zrobić: przygotuj z IT prostą listę firmowych komputerów i telefonów oraz osób odpowiedzialnych za ich utrzymanie. Uzgodnij automatyczne aktualizacje tam, gdzie są odpowiednie. Dla serwerów i aplikacji ważnych dla działalności zaplanuj kontrolowane wdrożenie zmian, zamiast aktualizować je przypadkowo podczas pracy.
Oddziel konto do codziennych zadań od uprawnień administracyjnych. Usuwaj niepotrzebne aplikacje i włącz blokowanie urządzenia. Zasada ograniczania codziennej pracy na koncie administratora znajduje się w zaleceniach NCSC dotyczących dostępu.
Zasada dla zespołu: nie odkładaj uzgodnionego restartu bez końca i nie instaluj programu tylko dlatego, że ktoś przesłał link. Problem z aktualizacją zgłoś do IT.
Jak sprawdzić: wybierz z administratorem kilka urządzeń i potwierdź, czy poprawki faktycznie się zainstalowały. Sama informacja „aktualizacje są włączone” nie wyjaśnia, czy nie ma błędów lub oczekującego restartu.
Przechowywanie danych w chmurze nie zwalnia ze sprawdzenia ich odzyskiwania. Historia wersji i kosz mogą pomagać, ale mają określony zakres. NCSC zaleca zabezpieczenie niezależnej kopii ważnych danych i ustalenie sposobu przywrócenia, zamiast polegania wyłącznie na podstawowych funkcjach usługi.
Co zrobić: wybierz dane potrzebne do wznowienia pracy, na przykład dokumenty zamówień, korespondencję lub dane systemu księgowego. Ustal, co obejmuje kopia, jak często powstaje, kto ma do niej dostęp i jak jest chroniona przed usunięciem. Pomocny punkt odniesienia to poradnik NCSC o ochronie danych krytycznych.
W przypadku kopii na zewnętrznym dysku nie pozostawiaj go stale podłączonego do zwykłego komputera. Bezpieczeństwo nośnika oraz sprawdzanie odtwarzania opisuje NCSC w podstawowym poradniku backupu.
Zasada dla zespołu: zapisuj materiały firmowe w zatwierdzonych miejscach, a nie wyłącznie na pulpicie lub prywatnym dysku. IT musi wiedzieć, gdzie znajdują się dane wymagające ochrony.
Jak sprawdzić: uzgodnij odtworzenie wybranego zestawu do bezpiecznej lokalizacji testowej. Otwórz dokumenty i potwierdź ich przydatność do pracy. Zapisz wynik i czas. Nie nadpisuj danych produkcyjnych. Ten test potwierdza tylko sprawdzony zakres, nie odzyskanie całej firmy.
Wiadomość może wyglądać wiarygodnie i nadal być próbą oszustwa. NIST zwraca uwagę, że AI pomaga tworzyć przekonujące treści. Dlatego poprawna polszczyzna, logo i znajome imię nie wystarczają do potwierdzenia żądania. Więcej wyjaśnia poradnik NIST o phishingu dla małych firm.
Co zrobić: ustal zasadę niezależnego potwierdzania zmiany rachunku kontrahenta, nietypowego przelewu i prośby o przekazanie poufnych danych. Weryfikuj je przez wcześniej znany kanał. Nie korzystaj wyłącznie z numeru telefonu lub linku podanego w sprawdzanej wiadomości, zgodnie z zaleceniami NCSC dotyczącymi podejrzanych próśb.
Zasada dla zespołu: pilność nie wyłącza weryfikacji. Do banku lub ważnej aplikacji wchodź przez znany adres, zakładkę albo oficjalną aplikację, zamiast przez nieoczekiwany link.
Jak sprawdzić: omów z księgowością modelową prośbę o zmianę numeru konta. Zapytaj, do kogo pracownik zadzwoni, skąd weźmie numer i co zrobi podczas nieobecności osoby zatwierdzającej. To ćwiczenie procesu, bez prawdziwego przelewu i bez zbierania haseł.
Pracownik nie musi samodzielnie udowodnić ataku, zanim poprosi o pomoc. NIST zaleca przygotowanie ludzi do zgłaszania także podejrzenia, że padli ofiarą phishingu. Plan reakcji powinien określać role i kontakty, co rozwija NCSC w poradach dla mniejszych organizacji.
Co zrobić: przygotuj krótką instrukcję z kontaktem do IT, zastępstwem, godzinami obsługi i sposobem kontaktu przy awarii poczty. Uzgodnij, kto może podjąć pilną decyzję. Zapewnij pracowników, że szybkie zgłoszenie pomyłki jest oczekiwanym zachowaniem.
Zasada dla zespołu: po wpisaniu hasła na podejrzanej stronie, nieoczekiwanym zatwierdzeniu logowania lub wysłaniu dokumentu niewłaściwej osobie zgłoś problem od razu. Podaj czas, aplikację i wykonane czynności. Nie przesyłaj w zgłoszeniu hasła ani kodów.
Gdy podejrzewasz oszustwo finansowe, skontaktuj się niezwłocznie z bankiem przez znany kanał. W Polsce podejrzane wiadomości i incydenty można również zgłaszać przez kanały CERT Polska, a SMS ze złośliwym linkiem przekazać na 8080. Nie zastępuje to reakcji wewnątrz firmy.
Jak sprawdzić: przeprowadź zapowiedziany test kontaktu. Potwierdź, że zgłoszenie dotarło do osoby mogącej działać, także gdy główny administrator jest nieobecny.
Przykład modelowy CCyber. Pracownik małej firmy otrzymuje wiadomość z informacją, że kontrahent zmienił rachunek. Treść zawiera poprawne dane zamówienia i prośbę o pilne opłacenie faktury.
Zamiast oceniać wyłącznie wygląd wiadomości, pracownik stosuje przyjętą zasadę. Dzwoni do kontaktu zapisanego wcześniej w dokumentacji współpracy. Dowiaduje się, że zmiany nie zlecano, wstrzymuje operację i przekazuje wiadomość do sprawdzenia.
W tym scenariuszu znaczenie mają jasna procedura, dostępny kontakt i możliwość zatrzymania płatności. Nie oczekujemy, że pracownik sam ustali techniczny sposób podszycia się pod nadawcę.
Na początek: dla każdego z pięciu kroków zapisz właściciela, najbliższe działanie i termin sprawdzenia. Oddziel „nie sprawdzono” od „nie działa”. Nie wymagaj od pracowników zgadywania konfiguracji, którą może potwierdzić administrator.
W codziennej pracy: stosuj zasady logowania, zapisywania danych, weryfikacji próśb i zgłaszania problemów. Przy odejściu osoby albo zmianie aplikacji sprawdź związane z tym dostępy i ochronę danych.
Na krótki przegląd cykliczny: proponujemy comiesięczne omówienie otwartych błędów, nowych kont, zmian usług i wyników zaplanowanych testów. To propozycja organizacyjna CCyber, nie uniwersalna częstotliwość wszystkich czynności. Nie czekaj do przeglądu, aby zareagować na incydent.
Wystarczy prosty rejestr: zadanie, odpowiedzialna osoba, termin i wynik. Nie zapisuj w nim haseł, kodów odzyskiwania ani niepotrzebnych danych klientów.
Rozwinięcie zasad kont i uprawnień znajdziesz w kategorii Tożsamość, dostęp i bezpieczeństwo chmury. Przy planowaniu testów przydadzą się materiały o reagowaniu na incydenty i ciągłości działania.
W kategorii Cyberbezpieczeństwo dla MŚP dostępne są szersze poradniki dotyczące bezpieczeństwa małych firm. Ten mini-przewodnik skupia się na codziennych zasadach i pierwszym sprawdzeniu ich działania.
W ramach cyberbezpieczeństwa dla MŚP CCyber wspiera analizę ryzyka, wdrożenie zabezpieczeń, przygotowanie zasad i szkolenia pracowników.
Zacznij od sprawdzenia pięciu podstaw w swojej firmie. Do rozmowy przygotuj listę ważnych aplikacji, dane o obecnej obsłudze IT i pytania, na które nie masz potwierdzonej odpowiedzi. Pozwoli to ustalić zakres potrzebnych prac bez kupowania narzędzi na zapas.
Część zasad ustala właściciel firmy, ale konfigurację i testy powinien wykonać kompetentny administrator lub dostawca. Uzgodnij zakres usługi i sposób potwierdzenia wykonania, zamiast zakładać, że wszystko obejmuje obecny abonament.
Nie. Ochrona urządzenia nie zastępuje zabezpieczenia kont, odzyskiwania danych ani potwierdzania przelewów. NIST zaleca łączenie ochrony technicznej, uwierzytelniania i przygotowania pracowników.
Nie. Nie wymagaj od ludzi rozpoznawania każdej fałszywej wiadomości. Szkolenie powinno uczyć bezpiecznej weryfikacji i zgłaszania, a konfiguracja ograniczać możliwość nadużycia i jego skutki.
Nie. To zakres startowy. Potrzebne działania zależą również od usług, danych, dostawców i wymagań organizacji. Pierwszy przegląd powinien pokazać, co działa, czego nie sprawdzono i co wymaga dalszej pracy.
Cyberhigiena nie polega na jednorazowym szkoleniu ani na oczekiwaniu, że wszyscy będą zawsze czujni. Połącz ochronę kont, aktualizacje, odtwarzanie danych, potwierdzanie próśb i zgłaszanie problemów z konkretną odpowiedzialnością.
Wybierz dziś jeden punkt, którego działania nie potrafisz potwierdzić. Ustal, kto i kiedy go sprawdzi. Od takiej decyzji zaczyna się praktyczna poprawa bezpieczeństwa.
Piszemy o regulacjach takich jak NIS2, DORA, CRA i ISO 27001, o bezpieczeństwie MŚP i infrastruktury krytycznej, a także o cyberhigienie, cyberzagrożeniach i budowaniu świadomości bezpieczeństwa w organizacji.
Każdy artykuł to praktyczna wiedza - bez żargonu i z konkretnymi wskazówkami do wdrożenia, które pomagają firmom skutecznie chronić dane, ludzi i ciągłość działania.