Cyberbezpieczeństwo kojarzy się często z zaawansowanymi systemami ochrony, analizą zagrożeń czy całodobowym monitoringiem. Tymczasem duża część realnego bezpieczeństwa organizacji zależy od znacznie bardziej podstawowych działań: sposobu zarządzania hasłami, aktualizacji komputerów, nadawania dostępów, wykonywania kopii zapasowych i zachowania pracowników w codziennych sytuacjach.
To właśnie te podstawy składają się na cyberhigienę. Można porównać ją do regularnego serwisowania samochodu – nie eliminuje wszystkich możliwych awarii, ale istotnie zmniejsza ryzyko wystąpienia problemów, którym można było wcześniej zapobiec.
Dobrze zaprojektowana cyberhigiena nie musi oznaczać wielomiesięcznego projektu. W ciągu 30 dni można uporządkować wiele podstawowych procesów i zbudować fundament pod bardziej zaawansowane bezpieczeństwo IT. Ważne jest jednak, aby nie ograniczać się do jednorazowego „sprzątania”, lecz zamienić nowe zasady w stały sposób działania organizacji.
Co to jest cyberhigiena?
Cyberhigiena to zestaw regularnych praktyk, które ograniczają ryzyko związane z korzystaniem z systemów informatycznych, urządzeń, danych i usług cyfrowych.
Obejmuje między innymi:
- zasady tworzenia i przechowywania haseł,
- uwierzytelnianie wieloskładnikowe,
- aktualizowanie systemów i aplikacji,
- kontrolę uprawnień,
- zabezpieczenie komputerów i urządzeń mobilnych,
- wykonywanie kopii zapasowych,
- ochronę poczty,
- monitorowanie podstawowych zdarzeń,
- szkolenia z bezpieczeństwa informacji,
- procedury zgłaszania podejrzanych sytuacji.
Nie chodzi więc o jedno konkretne narzędzie. Cyberhigiena to przede wszystkim regularność i konsekwencja.
Firma może posiadać zaawansowany firewall, ale jeśli pracownicy korzystają ze współdzielonych kont, nie stosują MFA, a nieaktualizowane laptopy mają lokalne uprawnienia administratora, podstawy bezpieczeństwa nadal pozostają słabe.
Dlaczego warto zacząć właśnie od podstaw?
Zaawansowane zabezpieczenia mają największą wartość wtedy, gdy środowisko jest odpowiednio uporządkowane.
Jeżeli organizacja nie wie:
- kto posiada dostęp do jakich systemów,
- ile aktywnych kont administracyjnych istnieje,
- które urządzenia nie są aktualizowane,
- czy wszystkie laptopy mają szyfrowane dyski,
- gdzie znajdują się kopie zapasowe,
- kto reaguje na podejrzane wiadomości,
wdrażanie kolejnych produktów bezpieczeństwa może jedynie zwiększyć złożoność środowiska.
Cyberhigiena pozwala najpierw usunąć najbardziej oczywiste słabe punkty. Dopiero później łatwiej zdecydować, gdzie potrzebne są bardziej zaawansowane rozwiązania.
Jeżeli trudno określić, w jakim stanie znajduje się obecne środowisko, punktem wyjścia może być audyt cyberbezpieczeństwa. Pozwala on uporządkować ryzyka i wskazać działania, które powinny otrzymać najwyższy priorytet.
Plan cyberhigieny na 30 dni
Najłatwiej podzielić wdrożenie na cztery tygodnie. Nie każda firma będzie mogła zakończyć wszystkie działania w ciągu miesiąca, ale taki harmonogram pozwala szybko uporządkować najważniejsze obszary.
Tydzień 1: konta, hasła i uprawnienia
Pierwszy tydzień warto poświęcić tożsamościom użytkowników. Przejęte konto może umożliwić dostęp do poczty, dokumentów, systemów biznesowych i innych zasobów organizacji, dlatego właśnie tutaj dobrze zacząć.
Wprowadź MFA dla kluczowych usług
Uwierzytelnianie wieloskładnikowe powinno być standardem przede wszystkim dla:
- poczty elektronicznej,
- usług Microsoft 365 lub Google Workspace,
- VPN,
- systemów administracyjnych,
- usług chmurowych,
- kont uprzywilejowanych.
Samo hasło nie powinno być jedynym zabezpieczeniem dostępu do ważnych danych.
MFA nie eliminuje wszystkich metod przejmowania kont, ale znacząco podnosi poziom ochrony w sytuacji, gdy hasło zostanie ujawnione.
Zrezygnuj z wymuszania prostych, częstych zmian haseł
Polityka typu „zmień hasło co 30 dni i dodaj kolejną cyfrę” często prowadzi do przewidywalnych schematów.
Znacznie ważniejsze jest stosowanie:
- odpowiednio długich haseł lub fraz hasłowych,
- unikalnych haseł dla różnych usług,
- menedżera haseł,
- MFA,
- blokowania haseł znanych z wycieków.
Hasło powinno być zmieniane natychmiast wtedy, gdy istnieje podejrzenie jego przejęcia.
Usuń współdzielone konta
Konto „marketing”, „administracja” albo „biuro”, do którego hasło zna kilka osób, utrudnia kontrolę nad tym, kto wykonał określoną operację.
Każdy użytkownik powinien korzystać z własnej tożsamości, a dostęp do zasobów powinien być przyznawany poprzez odpowiednie uprawnienia.
Zweryfikuj konta byłych pracowników
Jednym z pierwszych testów może być porównanie listy aktywnych użytkowników z aktualną listą pracowników i współpracowników.
Należy sprawdzić między innymi:
- skrzynki pocztowe,
- VPN,
- aplikacje chmurowe,
- systemy biznesowe,
- konta administratorów,
- narzędzia używane przez zespoły projektowe.
Dostęp powinien być odbierany jako część procesu zakończenia współpracy, a nie wykonywany dopiero wtedy, gdy ktoś przypomni sobie o starym koncie.
Zasada najmniejszych uprawnień
Użytkownik powinien mieć tylko takie uprawnienia, jakie są mu potrzebne do wykonywania obowiązków.
Dotyczy to szczególnie:
- dostępu do danych osobowych,
- dokumentów finansowych,
- systemów administracyjnych,
- ustawień bezpieczeństwa,
- danych klientów,
- kont uprzywilejowanych.
Jeżeli pracownik zmienia dział lub stanowisko, jego uprawnienia również powinny zostać ponownie zweryfikowane.
W firmach pracujących z dużą liczbą dokumentów warto zwracać uwagę nie tylko na dostęp do aplikacji, ale również do samych informacji. Odpowiednio skonfigurowany system zarządzania dokumentami może wspierać kontrolę dostępu oraz uporządkowanie sposobu pracy z dokumentacją.
Tydzień 2: komputery, telefony i systemy operacyjne
Drugi etap powinien koncentrować się na urządzeniach końcowych. To właśnie z komputerów użytkowników odbywa się dostęp do poczty, dokumentów i większości aplikacji biznesowych.
Bezpieczeństwo Windows – podstawowe działania
W firmach korzystających z systemów Microsoft bezpieczeństwo Windows powinno obejmować co najmniej kilka podstaw.
Aktualizacje systemu
Urządzenia powinny regularnie otrzymywać poprawki bezpieczeństwa. Firma powinna wiedzieć:
- które komputery są aktualne,
- które nie mogą zainstalować poprawek,
- czy w środowisku nadal działają niewspierane wersje systemu,
- kto odpowiada za aktualizacje.
Brak zarządzania aktualizacjami powoduje, że część urządzeń może przez długi czas pozostawać podatna na znane problemy.
Szyfrowanie dysków
Laptopy są szczególnie narażone na zgubienie lub kradzież. Szyfrowanie dysku pozwala ograniczyć ryzyko dostępu do danych po fizycznym przejęciu urządzenia.
Ochrona endpointów
Standardem powinno być centralnie zarządzane rozwiązanie ochronne, które umożliwia przynajmniej wykrywanie podstawowych zagrożeń i kontrolę stanu urządzeń.
W zależności od poziomu ryzyka może to być tradycyjna ochrona antymalware albo bardziej rozbudowane rozwiązanie EDR.
Brak lokalnego administratora jako standard
Pracownik wykonujący codzienne obowiązki zazwyczaj nie potrzebuje stałych uprawnień administratora.
Ich ograniczenie może utrudnić:
- instalowanie nieautoryzowanego oprogramowania,
- modyfikowanie ustawień bezpieczeństwa,
- wykonywanie części działań przez złośliwe programy.
Wyjątki powinny być uzasadnione potrzebą biznesową.
Bezpieczeństwo Linux – inne środowisko, podobne zasady
System Linux bywa postrzegany jako z natury bezpieczny, ale takie podejście może prowadzić do zaniedbań.
Bezpieczeństwo Linux również wymaga:
- regularnych aktualizacji,
- ograniczenia kont z uprawnieniami root,
- kontroli usług dostępnych z sieci,
- odpowiedniej konfiguracji SSH,
- monitorowania logowań,
- usuwania niepotrzebnych pakietów i usług,
- kontroli kluczy i kont technicznych.
Szczególnie ważne są serwery, które bywają uruchamiane na lata i działają poprawnie z punktu widzenia użytkownika, mimo że ich konfiguracja bezpieczeństwa dawno przestała odpowiadać obecnym wymaganiom.
Spisz wszystkie urządzenia
Cyberhigiena wymaga wiedzy o tym, co znajduje się w środowisku.
Lista powinna obejmować:
- komputery stacjonarne,
- laptopy,
- serwery,
- smartfony,
- urządzenia sieciowe,
- urządzenia IoT,
- drukarki i urządzenia MFP.
Nowoczesne urządzenia wielofunkcyjne biurowe również są elementem infrastruktury sieciowej. Mogą posiadać własne konta administratora, interfejs sieciowy, pamięć, książki adresowe i mechanizmy komunikacji z innymi systemami.
Dlatego warto objąć je tymi samymi podstawowymi zasadami: aktualizacjami, kontrolą dostępu i bezpieczną konfiguracją.
Tydzień 3: dane, backup i monitoring
Po uporządkowaniu użytkowników oraz urządzeń można przejść do tego, co dzieje się z danymi i czy organizacja potrafi zauważyć niepożądaną aktywność.
Backup – sprawdź nie tylko, czy istnieje
Informacja „mamy backup” to za mało.
Firma powinna potrafić odpowiedzieć na pytania:
- co dokładnie jest kopiowane?
- jak często?
- gdzie znajdują się kopie?
- kto ma do nich dostęp?
- czy ransomware działające na koncie administratora może również usunąć backup?
- kiedy ostatnio sprawdzono możliwość odtworzenia danych?
Najważniejszym testem jest próba przywrócenia.
Dopiero wtedy wiadomo, czy:
- kopia jest kompletna,
- dane można odczytać,
- procedura działa,
- czas odtworzenia odpowiada potrzebom biznesowym.
Zidentyfikuj najważniejsze dane
Nie wszystkie informacje mają taką samą wartość.
Organizacja powinna określić, które dane są:
- krytyczne dla działania,
- poufne,
- objęte wymaganiami prawnymi,
- trudne lub niemożliwe do odtworzenia.
Może to obejmować:
- dokumentację kadrową,
- dane klientów,
- umowy,
- dane finansowe,
- dokumentację projektową,
- konfiguracje systemów.
Jeżeli dokumentacja krąży między komputerami, skrzynkami e-mail i współdzielonymi folderami, trudno utrzymać nad nią kontrolę. Uporządkowany system obiegu dokumentów w firmie może ograniczyć liczbę miejsc, w których powstają niekontrolowane kopie.
Włącz podstawowy monitoring
Nie każda organizacja potrzebuje od razu rozbudowanego SOC. Każda powinna jednak mieć możliwość zauważenia przynajmniej podstawowych anomalii.
W pierwszej kolejności warto kontrolować:
- nietypowe logowania,
- dużą liczbę błędnych prób logowania,
- logowania administratorów,
- tworzenie nowych kont,
- zmiany uprawnień,
- wyłączanie zabezpieczeń,
- nietypową aktywność urządzeń,
- alerty rozwiązania endpoint security,
- istotne zdarzenia z firewalla.
Kluczowe pytanie brzmi:
kto te informacje sprawdza?
Logi zbierane przez pół roku bez osoby odpowiedzialnej za ich analizę mają ograniczoną wartość operacyjną.
Ustal progi eskalacji
Nie każdy alert wymaga telefonu do zarządu.
Firma powinna mieć prostą klasyfikację zdarzeń, np.:
- informacyjne,
- wymagające analizy,
- poważne,
Dzięki temu wiadomo, które sytuacje można obsłużyć w normalnym trybie, a które wymagają natychmiastowej reakcji.
Tydzień 4: pracownicy i reakcja na incydenty
Ostatni tydzień warto przeznaczyć na czynnik, którego nie da się zastąpić technologią: sposób działania ludzi.
Szkolenia z bezpieczeństwa informacji powinny być praktyczne
Dobre szkolenia z bezpieczeństwa informacji nie polegają na przeczytaniu raz w roku kilkudziesięciu slajdów o silnych hasłach.
Powinny odpowiadać na realne sytuacje, z którymi pracownik może spotkać się podczas codziennej pracy.
Przykładowe scenariusze to:
- wiadomość z prośbą o pilną zmianę numeru rachunku,
- fałszywe logowanie do Microsoft 365,
- dokument wysłany do niewłaściwego odbiorcy,
- zagubiony laptop,
- nietypowa prośba przełożonego,
- podejrzany załącznik,
- seria powiadomień MFA, których użytkownik nie inicjował.
Pracownik powinien wiedzieć nie tylko, że sytuacja jest podejrzana, ale również co ma zrobić dalej.
Jedna prosta ścieżka zgłoszenia
Jeżeli użytkownik zauważy problem, nie powinien zastanawiać się, do kogo napisać.
Firma powinna mieć jeden prosty sposób zgłaszania:
- podejrzanych wiadomości,
- utraty urządzenia,
- przypadkowego udostępnienia danych,
- nietypowej aktywności,
- potencjalnego malware.
Może to być dedykowany adres, formularz albo przycisk w aplikacji pocztowej. Ważne jest, żeby użytkownicy wiedzieli o jego istnieniu.
Nie karz za szybkie zgłaszanie błędów
Pracownik kliknął podejrzany link i zorientował się po 30 sekundach.
Najgorszy scenariusz to taki, w którym boi się powiedzieć o zdarzeniu i przez kilka godzin liczy, że „nic się nie stało”.
Kultura bezpieczeństwa powinna zachęcać do natychmiastowego zgłaszania pomyłek. Szybka informacja daje zespołowi IT możliwość:
- zablokowania konta,
- zmiany hasła,
- unieważnienia sesji,
- sprawdzenia logów,
- odizolowania urządzenia.
Czas jest często ważniejszy niż sam fakt popełnienia błędu.
Przygotuj minimum procedury reagowania
Nie trzeba od razu tworzyć kilkusetstronicowego planu.
Na początek warto mieć jasne scenariusze dla kilku typowych sytuacji.
Przejęte konto
Procedura może obejmować:
- zablokowanie konta,
- unieważnienie aktywnych sesji,
- zmianę danych uwierzytelniających,
- sprawdzenie aktywności użytkownika,
- ocenę dostępu do danych,
- przywrócenie konta po zabezpieczeniu.
Zainfekowany komputer
Możliwe działania:
- odizolowanie urządzenia,
- zabezpieczenie informacji diagnostycznych,
- sprawdzenie zakresu zdarzenia,
- ocena używanych na urządzeniu kont,
- usunięcie zagrożenia lub ponowna instalacja systemu.
Utracony laptop
Warto wcześniej wiedzieć:
- czy dysk był szyfrowany,
- czy można zdalnie zablokować urządzenie,
- jakie dane były dostępne,
- jakie sesje trzeba unieważnić,
- czy konieczna jest dalsza analiza formalna.
W przygotowaniu organizacji do takich scenariuszy pomocna jest szersza ocena zabezpieczeń w ramach audytu cyberbezpieczeństwa.
30-dniowa checklista cyberhigieny
Po miesiącu warto sprawdzić, czy udało się zrealizować najważniejsze działania.
Konta i dostęp
- MFA jest włączone dla najważniejszych usług.
- Nie ma niepotrzebnych współdzielonych kont.
- Konta byłych pracowników zostały wyłączone.
- Uprawnienia administratorów są ograniczone.
- Pracownicy korzystają z indywidualnych kont.
- Istnieje proces nadawania i odbierania dostępów.
Urządzenia
- Firma posiada aktualną listę urządzeń.
- Systemy Windows i Linux są aktualizowane.
- Laptopy mają szyfrowane dyski.
- Ochrona endpointów działa i jest monitorowana.
- Użytkownicy nie mają bez potrzeby lokalnych praw administratora.
- Urządzenia sieciowe i MFP są objęte podstawową kontrolą konfiguracji.
Dane
- Określono dane krytyczne.
- Backup jest wykonywany regularnie.
- Kopie są chronione przed nieautoryzowanym dostępem.
- Przeprowadzono test odtwarzania danych.
- Dostęp do dokumentacji odpowiada obowiązkom pracowników.
Monitoring
- Zbierane są logi z najważniejszych systemów.
- Monitorowane są istotne próby logowania i zmiany uprawnień.
- Alerty mają przypisanych właścicieli.
- Wiadomo, które zdarzenia wymagają eskalacji.
Ludzie i procedury
- Pracownicy wiedzą, jak zgłosić incydent.
- Przeprowadzono krótkie szkolenie bezpieczeństwa.
- Istnieją podstawowe procedury reakcji.
- Wiadomo, kto podejmuje decyzje podczas incydentu.
- Przynajmniej jeden scenariusz został przećwiczony.
Czego nie próbować zrobić w 30 dni?
Miesięczny plan powinien służyć uporządkowaniu podstaw, a nie wdrożeniu wszystkiego naraz.
Nie warto próbować w tak krótkim czasie:
- przebudować całej architektury sieciowej,
- wdrożyć wszystkich możliwych systemów bezpieczeństwa,
- naprawić każdej historycznej konfiguracji,
- stworzyć kilkuset procedur,
- monitorować każdego możliwego zdarzenia.
Znacznie lepszym podejściem jest eliminowanie największych luk etapami.
Pierwszy miesiąc może uporządkować fundamenty. Kolejne etapy mogą obejmować między innymi:
- bardziej rozbudowany monitoring,
- segmentację sieci,
- zarządzanie podatnościami,
- kontrolę aplikacji,
- testy bezpieczeństwa,
- rozwój procesów reagowania,
- regularne ćwiczenia zespołu.
Bezpieczne IT wymaga utrzymania, a nie jednorazowej akcji
Po 30 dniach najważniejsze jest niedopuszczenie do powrotu starych problemów.
Jeżeli firma jednorazowo usunie nieaktywne konta, ale nie wdroży procesu offboardingu, za pół roku sytuacja się powtórzy.
Jeżeli jednorazowo zaktualizuje wszystkie komputery, ale nie stworzy procesu aktualizacji, środowisko ponownie zacznie się rozjeżdżać.
Dlatego bezpieczne IT opiera się na powtarzalności.
Warto ustalić cykl:
co miesiąc:
- kontrola aktualizacji,
- przegląd krytycznych alertów,
- kontrola nowych kont i uprawnień;
co kwartał:
- przegląd użytkowników,
- test odtwarzania wybranych danych,
- kontrola najważniejszych polityk,
- krótkie szkolenie lub ćwiczenie;
co najmniej okresowo:
- przegląd architektury,
- ocena podatności,
- aktualizacja procedur,
- szersza ocena bezpieczeństwa.
Czy cyberhigiena zastępuje bardziej zaawansowane zabezpieczenia?
Nie. Jest ich fundamentem.
Cyberhigiena nie zastąpi:
- zaawansowanego monitoringu,
- systemów EDR/XDR,
- firewalla,
- ochrony anty DDoS,
- SOC,
- testów bezpieczeństwa,
- profesjonalnej reakcji na poważny incydent.
Pozwala jednak znacząco ograniczyć liczbę prostych problemów i stworzyć środowisko, w którym bardziej zaawansowane rozwiązania mają sens.
Firma z dobrym SIEM-em, ale dziesiątkami nieużywanych kont administratorów, nadal ma problem. Organizacja bez zaawansowanego SOC, ale posiadająca MFA, aktualne systemy, backup, ograniczone uprawnienia i sprawne procedury reagowania może być znacznie lepiej przygotowana na część codziennych zagrożeń.
Podsumowanie
Cyberhigiena nie wymaga rozpoczęcia od najbardziej zaawansowanych narzędzi. Pierwsze 30 dni warto wykorzystać przede wszystkim na uporządkowanie kont, dostępów, urządzeń, aktualizacji, backupu, monitoringu i sposobu reagowania pracowników.
Najważniejsze działania to:
- włączenie MFA,
- uporządkowanie kont i uprawnień,
- aktualizacja urządzeń,
- szyfrowanie laptopów,
- zabezpieczenie komputerów Windows i serwerów Linux,
- test kopii zapasowych,
- monitoring najważniejszych zdarzeń,
- przygotowanie podstawowych procedur,
- praktyczne szkolenia z bezpieczeństwa informacji,
- jasna ścieżka zgłaszania incydentów.
Po miesiącu organizacja nie stanie się odporna na każde zagrożenie. Może jednak usunąć wiele podstawowych słabości i stworzyć fundament, na którym można rozwijać kolejne warstwy cyberbezpieczeństwa.
Najważniejsza zasada pozostaje prosta: cyberhigiena działa wtedy, gdy podstawowe czynności bezpieczeństwa przestają być jednorazową akcją, a stają się częścią codziennego funkcjonowania firmy.
