Pięć kroków do wykonania, zanim cokolwiek Państwo kupią.
Większości tego, co chroni firmę MŚP, nie da się zamówić: to się robi. Pięć kroków, tydzień pracy, żadnej licencji. To, co się kupuje, przychodzi potem — i kosztuje mniej, gdy te pięć jest zrobione.
Opublikowano 4 sierpnia 2026 · 6 min czytania · autor: zespół techniczny SkyNet
We wtorek wpada handlowiec. Wychodzi, zostawiając wycenę: licencje na stanowisko, konsola, abonament miesięczny. Dokument jest poważny. Po prostu przychodzi za wcześnie w kolejności rzeczy.
W instalacjach, które przejmujemy, tym, czego brakuje, prawie nigdy nie jest produkt. To sieć gościnna podpięta do tego samego kabla co kasa. Skrzynka pocztowa chroniona jednym hasłem. Kopia zapasowa, której nikt nigdy nie próbował odtworzyć. Firewall (urządzenie, które filtruje to, co wchodzi do Państwa sieci i z niej wychodzi) pozostały w wersji z dnia swojej instalacji. A wieczorem, w dniu incydentu, nikogo, kto wiedziałby, jaki numer wybrać.
Żadnego z tych pięciu punktów nie załatwi licencja. Wszystkie załatwia się godzinami pracy: to jedyny obowiązkowy wydatek.
Pięć kroków.
Tydzień pracy.
Żaden z tych pięciu nie wymaga zamówienia. Wszystkie wymagają, by usiąść na godzinę, zobaczyć, co jest naprawdę podłączone, i spisać to, co się znalazło.
Proszę oddzielić WiFi gości.
Sieć to korytarz. Domyślnie wszystko, co jest do niej podłączone, może rozmawiać z całą resztą: telefon klienta, komputer usługodawcy, serwer księgowości. W sieci płaskiej (bez separacji), czyjś nieznany laptop, który łapie WiFi w poczekalni, jest z punktu widzenia sieci kolegą z firmy.
Krok: dwie odrębne sieci WiFi, położone na dwóch VLAN-ach (oddzielne korytarze wewnątrz tego samego kabla), oraz reguła firewalla, która zabrania korytarzowi gości zaglądać do korytarza firmowego. Na sprzęcie profesjonalnym to jedno popołudnie konfiguracji. Na routerze konsumenckim to często niemożliwe — i jest to jedyne miejsce w tym artykule, w którym zakup od razu się uzasadnia.
Uwierzytelnianie dwuskładnikowe na poczcie.
Uwierzytelnianie dwuskładnikowe (drugi kod, na Państwa telefonie, oprócz hasła) nie czyni Państwa hasła nie do złamania. Czyni je bezużytecznym dla tego, kto je ukradnie. Samo hasło natomiast można odtworzyć z dowolnego miejsca na świecie, po cichu, przez wiele tygodni.
Tymczasem oszustwo na przelew nie zaczyna się od wirusa: zaczyna się od czytania skrzynki pocztowej. Atakujący obserwuje, kto komu płaci, a potem wcina się w odpowiednim momencie z nowym numerem konta. A przejęta skrzynka to naruszenie ochrony danych osobowych, które trzeba zgłosić do CNIL w ciągu 72 godzin — RODO nie przewiduje wyjątku dla małych struktur. Wszędzie jest to darmowe: proszę zacząć od zarządu, księgowości i zakupów.
Proszę odtworzyć kopię zapasową. Raz, naprawdę.
Kopia zapasowa, która nigdy nie została odtworzona, nie jest kopią zapasową: jest hipotezą. To, co odkrywa się przy próbie, jest zawsze tego samego rodzaju. Pliki są skopiowane, ale baza oprogramowania branżowego już nie. Hasło do sejfu odeszło razem z osobą, która je stworzyła. Albo przywrócenie wymaga więcej czasu, niż działalność jest w stanie znieść.
Ćwiczenie: proszę wybrać ważny katalog, odłożyć go na bok, skasować, a potem odtworzyć z kopii zapasowej. Proszę zmierzyć czas. Proszę zapisać datę i czas trwania na kartce. Proszę powtarzać co pół roku. Przy okazji proszę sprawdzić, czy jedna kopia żyje poza siecią: ransomware (program, który szyfruje Państwa pliki i żąda okupu) szyfruje również kopie zapasowe, do których może dotrzeć.
Proszę zaktualizować firewall i punkty dostępowe.
Nikt o tym nie myśli, bo te urządzenia nigdy nie narzekają.
Stanowisko pracy dopomina się o swoje aktualizacje. Firewall — nie: działa dokładnie tak samo lata później. Tyle że luki załatane przez producenta są publikowane — a więc znane wszystkim, poza Państwem.
- Proszę sporządzić listę — firewall, punkty dostępowe WiFi, przełączniki, router zapasowy, wraz z wersją zainstalowaną na każdym z nich.
- Proszę porównać do ostatniej wersji opublikowanej przez producenta.
- Proszę zaplanować to na wieczór — aktualizacja firewalla przerywa łącze.
- Proszę zmienić hasło administratora — wciąż często jest to hasło technika.
Proszę wiedzieć, do kogo zadzwonić w sobotę o 21:00.
Ten akurat nic nie kosztuje i to jego najczęściej brakuje. Wieczorem, gdy na stanowisku wyświetla się żądanie okupu, pytanie nie jest techniczne, lecz organizacyjne. Kto decyduje o odłączeniu wszystkiego? Kto uprzedza pracowników? Gdzie jest lista numerów, jeśli to właśnie poczta jest problemem?
Krok: jedna wydrukowana kartka A4, w szufladzie i w samochodzie. Pięć linijek na niej. Kto decyduje pod nieobecność szefa. Numer bezpośredni do Państwa firmy sieciowej, nie do jej centrali. Ubezpieczyciel, z numerem polisy. Bank, żeby zablokować przelewy w toku. Komisariat lub posterunek, gdzie złożyć zawiadomienie. I odruch: odłącza się kabel sieciowy, nie wyłącza się maszyny — wyłączona maszyna traci ślady.
Czego nie sprzedajemy
Lepiej powiedzieć to wcześniej, niż odkryć w trakcie.
- Żadnego SOC — nie prowadzimy centrum, które obserwuje Państwa stanowiska 24 godziny na dobę.
- Żadnego zarządzanego EDR — nie zajmujemy się stałym nadzorem nad Państwa komputerami prowadzonym przez analityków.
- Brak reakcji na incydent — jeśli zostaną Państwo zaatakowani tej nocy, nie jesteśmy właściwymi rozmówcami.
- Łącze obsługiwane pod naszym własnym identyfikatorem operatora Arcep: SKBS
- Sieć, jej separacja, jej reguły filtrowania
- Sprzęt, jego konfiguracja i wersje
- Nadzór nad tym, co obsługujemy — i spisany zakres, wraz z tym, co nie jest objęte
Usługodawca, który twierdzi, że obejmuje wszystko, nie przeczytał własnej umowy.
Pięć pytań
oddzielających ziarno od plew.
Usługodawca, który odpowie precyzyjnie na te pięć pytań, obejrzał Państwa instalację. Ten, który odpowiada gamą produktów, jeszcze jej nie otworzył.
- „Do jakiej sieci podłączone jest WiFi dla odwiedzających?” A potem: proszę pokazać mi regułę, która nie pozwala mu dotrzeć do księgowości.
- „Jaka jest data ostatniego udanego odtworzenia?” I ile ono zajęło.
- „Jaka wersja działa na moim firewallu?” I jaka jest ostatnia opublikowana przez producenta.
- „Co obejmuje Państwa umowa poza godzinami pracy?” Pod jakim numerem i w jakim zapisanym terminie.
- „Co NIE jest objęte?” Milczenie w tej właśnie kwestii jest już odpowiedzią.
Nie mamy dla Państwa żadnej liczby na temat średniego kosztu incydentu i żadnej nie wymyślimy. Jedyna, która Państwa dotyczy, mierzy się u Państwa: ile godzin Państwa działalność wytrzyma bez sieci, bez telefonu i bez oprogramowania branżowego.
Co warto zapamiętać
- Cztery z pięciu kroków nie kosztują żadnej licencji: kosztują godziny pracy.
- Kopia zapasowa nigdy nieodtworzona nie jest kopią zapasową. Data ostatniej udanej próby to jedyna liczba, która się liczy.
- WiFi dla gości położone na tej samej sieci co księgowość unieważnia całą resztę, niezależnie od kupionego produktu.
- Nie sprzedajemy ani SOC, ani nadzoru nad stanowiskami, ani reagowania na incydenty. Trzymamy łącze, sieć i ich separację — i piszemy o tym.
Proszę dać obejrzeć swoją sieć przed zakupem
Jak rozdzielone są Państwa sieci, w jakiej wersji działa Państwa sprzęt, co naprawdę obejmuje obecna umowa. Wychodzą Państwo z dokumentem na piśmie — łącznie z tym, czego nie potrafimy zrobić.