Cyberbezpieczeństwo zaczyna się przed atakiem. Firmy muszą wiedzieć, co naprawdę potrafią odtworzyć

NIST Cybersecurity Framework porządkuje bezpieczeństwo wokół kilku funkcji: identyfikacji zasobów, ochrony, wykrywania, reagowania, odtwarzania i zarządzania ryzykiem. Ta logika jest ważna, bo przesuwa uwagę z samego muru obronnego na zdolność organizacji do działania mimo incydentu. Firma może mieć dobre zabezpieczenia, a mimo to przegrać, jeśli nie wie, co robić po ich przełamaniu.

Nie ochronisz tego, czego nie znasz

Najbardziej niedocenianym elementem pozostaje inwentaryzacja. Nie da się chronić systemów, o których nikt nie pamięta, kont, których nikt nie wyłączył, ani danych, których właściciel nie jest znany. W praktyce atakujący często wykorzystują nie spektakularną lukę, ale zwykły bałagan: stare uprawnienia, zapomniany serwer, brak aktualizacji albo dostawcę bez kontroli.

Backup musi przejść próbę

Backup jest konieczny, ale sam w sobie nie jest planem ciągłości działania. Liczy się to, czy kopia jest odseparowana, regularnie testowana i możliwa do odtworzenia w czasie akceptowalnym dla biznesu. Inaczej firma ma tylko poczucie bezpieczeństwa zapisane w regulaminie, a nie realną zdolność powrotu do pracy.

Drugi problem to decyzje. W czasie incydentu trzeba wiedzieć, kto może odłączyć system, kto informuje klientów, kto kontaktuje się z dostawcą, kto rozmawia z organami państwa i kto decyduje o przywróceniu usług. Bez takiej ścieżki organizacja traci godziny na narady, a atakujący zyskuje czas.

Dla mniejszych firm najważniejszy wniosek jest praktyczny: cyberodporność nie zaczyna się od najdroższego narzędzia, lecz od listy systemów, kopii zapasowych, dostawców, osób decyzyjnych i scenariusza awaryjnego. Dopiero potem warto kupować kolejne zabezpieczenia. Technologia pomaga, ale nie zastąpi porządku.

Coraz większe znaczenie ma także łańcuch dostaw. Firma może dobrze zabezpieczać własne komputery, ale korzystać z zewnętrznego systemu fakturowania, magazynu, hostingu, poczty albo narzędzia do zdalnego wsparcia. Atak na takiego dostawcę może szybko stać się problemem wielu klientów jednocześnie.

Dlatego podstawowe pytania powinny trafiać również do umów. Kto informuje o incydencie, w jakim czasie, jakie kopie są przechowywane, gdzie znajdują się dane, kto ma dostęp administracyjny i jak wygląda procedura rozstania z dostawcą. Bez takich odpowiedzi cyberbezpieczeństwo kończy się na własnym regulaminie, choć realne ryzyko leży poza firmą.