Dlaczego bezpieczeństwo informacji zaczyna się od codziennych decyzji użytkowników? Poznaj 10 reguł stosowania systemów bezpieczeństwa

Wprowadzenie: bezpieczeństwo nie jest już wyłącznie sprawą informatyków

Jeszcze kilkanaście lat temu bezpieczeństwo cyfrowe kojarzyło się przede wszystkim z działem IT, serwerownią, programem antywirusowym i specjalistycznym językiem technicznym. Dziś takie podejście jest niewystarczające. Strona internetowa, poczta elektroniczna, media społecznościowe, komunikatory, systemy do przechowywania dokumentów, panele administracyjne, urządzenia mobilne i konta użytkowników tworzą wspólny ekosystem informacyjny organizacji. Jego bezpieczeństwo zależy nie tylko od technologii, ale również od zachowań ludzi, jasnych zasad, świadomości ryzyka i odpowiedzialności za informacje.

Właśnie dlatego współczesne standardy bezpieczeństwa informacji nie ograniczają się do pytania: „jakie narzędzia techniczne wdrożyliśmy?”. Pytają raczej: „czy wiemy, jakie informacje chronimy, kto ma do nich dostęp, jakie ryzyka są z tym związane, jakie zabezpieczenia stosujemy i co zrobimy, gdy dojdzie do incydentu?”. To zmiana fundamentalna. Bezpieczeństwo przestaje być jednorazową konfiguracją systemu, a staje się procesem zarządzania ryzykiem.

Takie podejście jest zgodne z logiką rodziny norm ISO/IEC 27000, w szczególności ISO/IEC 27001 i ISO/IEC 27002. ISO/IEC 27001 opisuje wymagania dla systemu zarządzania bezpieczeństwem informacji, natomiast ISO/IEC 27002 stanowi praktyczny katalog dobrych praktyk i środków bezpieczeństwa, obejmujących obszary organizacyjne, ludzkie, fizyczne i technologiczne. Celem nie jest samo posiadanie dokumentów, ale wdrożenie reguł, które realnie ograniczają ryzyko utraty poufności, integralności i dostępności informacji.

Czym są systemy bezpieczeństwa?

W języku potocznym „system bezpieczeństwa” bywa rozumiany jako program antywirusowy, firewall albo system monitorowania. W praktyce pojęcie to należy rozumieć szerzej. System bezpieczeństwa to zbiór rozwiązań technicznych, organizacyjnych i proceduralnych, które służą ochronie informacji, kont, urządzeń, usług i kanałów komunikacji.

Do takich systemów należą między innymi:

indywidualne konta użytkowników,

hasła i menedżery haseł,

uwierzytelnianie wieloskładnikowe, czyli MFA/2FA,

role i uprawnienia w systemach,

zabezpieczenia poczty elektronicznej,

ochrona strony internetowej i panelu administracyjnego,

kopie zapasowe,

aktualizacje systemów, aplikacji i wtyczek,

programy ochronne,

monitoring logowań i zdarzeń,

procedury zgłaszania incydentów,

zasady publikacji treści w mediach społecznościowych,

zasady korzystania z urządzeń służbowych i prywatnych.

Z tej perspektywy bezpieczeństwo informacji nie jest jednym narzędziem. Jest zbiorem reguł, które muszą być znane, stosowane i okresowo sprawdzane. Nawet najlepsza technologia nie ochroni organizacji, jeśli użytkownicy będą udostępniać hasła, zatwierdzać nieznane logowania, ignorować aktualizacje albo klikać w fałszywe linki.

Dlaczego temat jest szczególnie ważny?

Cyberzagrożenia nie dotyczą wyłącznie dużych korporacji, banków czy administracji centralnej. Coraz częściej dotykają małych firm, organizacji pozarządowych, szkół, jednostek ochotniczych, lokalnych instytucji, portali społecznościowych, kół, stowarzyszeń i samorządów. W takich środowiskach często nie ma rozbudowanych działów IT, a bezpieczeństwo zależy od kilku osób, które prowadzą stronę, obsługują pocztę, publikują komunikaty albo zarządzają dokumentami.

Skutki incydentu mogą być jednak bardzo poważne. Przejęty profil społecznościowy może zostać wykorzystany do publikacji fałszywych informacji, wyłudzeń, podszywania się pod organizację lub niszczenia jej wiarygodności. Włamana strona internetowa może przekierowywać mieszkańców na fałszywe strony, rozsyłać spam, infekować urządzenia albo służyć jako narzędzie oszustwa. Przejęta poczta elektroniczna może posłużyć do rozsyłania fałszywych faktur, próśb o przelew, linków phishingowych lub dokumentów zawierających złośliwe oprogramowanie.

Dane CERT Polska i NASK pokazują, że problem ma charakter masowy. W 2024 roku CERT Polska odnotował rekordowy wzrost cyberzagrożeń: liczba zgłoszeń przekroczyła 600 tysięcy, a najczęstszym incydentem był phishing. W 2025 roku analitycy CERT Polska zarejestrowali blisko 80 tysięcy przypadków phishingu, co stanowiło około 30 procent wszystkich incydentów, a na Listę Ostrzeżeń wpisano niemal 250 tysięcy złośliwych domen.

Te liczby pokazują, że podstawowe reguły stosowania systemów bezpieczeństwa nie są dodatkiem administracyjnym. Są elementem codziennej odporności organizacji.

Od „zabezpieczenia komputera” do zarządzania ryzykiem

Nowoczesne podejście do bezpieczeństwa informacji opiera się na ryzyku. Nie chodzi o to, aby zabezpieczyć wszystko w jednakowy sposób, ale aby zrozumieć, które informacje, konta i systemy są najważniejsze, jakie zagrożenia są najbardziej prawdopodobne i jakie działania mogą ograniczyć skutki incydentu.

ISO/IEC 27001 kładzie nacisk na ustanawianie, wdrażanie, utrzymywanie i ciągłe doskonalenie systemu zarządzania bezpieczeństwem informacji. Oznacza to, że organizacja powinna określić zakres ochrony, odpowiedzialności, ryzyka, zabezpieczenia i sposób monitorowania skuteczności tych zabezpieczeń. ISO wskazuje również, że bezpieczeństwo informacji wymaga podejścia całościowego, obejmującego ludzi, polityki i technologię.

Podobną logikę przyjmuje NIST Cybersecurity Framework 2.0, który porządkuje zarządzanie cyberbezpieczeństwem wokół sześciu funkcji: Govern, Identify, Protect, Detect, Respond i Recover. W praktyce oznacza to: zarządzaj, identyfikuj, chroń, wykrywaj, reaguj i odtwarzaj. To użyteczna mapa myślenia dla każdej organizacji, również lokalnej.

Najpierw trzeba wiedzieć, co posiadamy: jakie konta, systemy, urządzenia, strony, profile i dane. Następnie trzeba ustalić, kto odpowiada za ich bezpieczeństwo. Później należy wdrożyć środki ochrony, takie jak silne hasła, MFA, kopie zapasowe, aktualizacje i ograniczenie uprawnień. Kolejnym etapem jest wykrywanie nieprawidłowości, reagowanie na incydenty i odtwarzanie działania po awarii lub ataku.

W tym sensie bezpieczeństwo nie jest stanem, który raz się osiąga. Jest cyklem.

Pierwsza reguła: każdy użytkownik korzysta z własnego konta

Jedną z podstawowych zasad bezpieczeństwa jest indywidualna odpowiedzialność za konto użytkownika. Wspólne loginy, współdzielone hasła i konta „dla wszystkich” są wygodne, ale niebezpieczne. Uniemożliwiają ustalenie, kto wykonał daną czynność, utrudniają odebranie dostępu jednej osobie i zwiększają ryzyko niekontrolowanego rozpowszechniania danych dostępowych.

Reguła powinna być prosta: każdy użytkownik korzysta z własnego konta, a loginu i hasła nie przekazuje innym osobom. Dotyczy to poczty elektronicznej, panelu administracyjnego strony internetowej, systemów organizacyjnych, chmury dokumentów i narzędzi do publikacji w mediach społecznościowych.

W przypadku profili społecznościowych należy unikać sytuacji, w której wiele osób zna jedno hasło do konta. Bezpieczniejsze jest korzystanie z mechanizmów ról i uprawnień, np. administrator, redaktor, moderator, analityk. Każda osoba powinna logować się swoim kontem i posiadać tylko takie uprawnienia, których rzeczywiście potrzebuje.

Druga reguła: hasło jest zabezpieczeniem, ale nie może być jedynym zabezpieczeniem

Hasła nadal są podstawowym elementem dostępu do systemów, ale ich skuteczność zależy od sposobu stosowania. Największym problemem jest powtarzanie tego samego hasła w wielu usługach. Jeżeli jedno hasło wycieknie z mało istotnego serwisu, może zostać użyte do przejęcia poczty, konta społecznościowego, panelu strony lub systemu organizacji.

Dlatego każde ważne konto powinno mieć unikalne hasło. Hasła powinny być długie, trudne do odgadnięcia i niepowiązane z oczywistymi informacjami, takimi jak nazwa organizacji, imię, miejscowość, data urodzenia lub popularne frazy. W praktyce najlepszym rozwiązaniem jest korzystanie z menedżera haseł, który pozwala generować i przechowywać silne, unikalne hasła bez konieczności ich zapamiętywania.

Współczesne wytyczne dotyczące tożsamości cyfrowej, takie jak NIST SP 800-63B, traktują uwierzytelnianie jako proces zarządzania cyklem życia dostępu, a nie tylko jako „wpisanie hasła”. Dokument ten opisuje wymagania dla zdalnego uwierzytelniania użytkowników na różnych poziomach zaufania.

Dla użytkownika praktyczny wniosek jest prosty: hasło ma być unikalne, odpowiednio długie i nieudostępniane. Ale nawet dobre hasło nie powinno być jedyną barierą.

Trzecia reguła: MFA/2FA powinno być standardem

Uwierzytelnianie wieloskładnikowe, czyli MFA lub 2FA, polega na tym, że oprócz hasła potrzebny jest dodatkowy element potwierdzenia logowania. Może to być kod z aplikacji, powiadomienie na telefonie, klucz sprzętowy albo inny mechanizm potwierdzający, że osoba logująca się rzeczywiście ma prawo dostępu.

MFA należy traktować jako standard dla kont o znaczeniu organizacyjnym. Powinno być włączone co najmniej dla:

poczty elektronicznej,

kont administratorów strony WWW,

hostingu i domeny,

panelu CMS,

mediów społecznościowych,

chmury dokumentów,

systemów finansowych i administracyjnych,

kont osób decyzyjnych.

Szczególnie ważne jest, aby użytkownik nie zatwierdzał logowania, którego sam nie rozpoczął. Jeżeli na telefonie pojawia się prośba o potwierdzenie logowania, a użytkownik nie próbował się logować, należy ją odrzucić i zgłosić sytuację osobie odpowiedzialnej za bezpieczeństwo.

Czwarta reguła: nie każdy musi być administratorem

Zasada najmniejszych uprawnień jest jedną z najważniejszych praktyk bezpieczeństwa. Polega na tym, że użytkownik otrzymuje tylko taki dostęp, jaki jest niezbędny do wykonania jego zadań. Osoba publikująca aktualności nie musi mieć dostępu do konfiguracji technicznej strony. Osoba odpowiadająca za wydarzenia nie musi mieć dostępu do skrzynki finansowej. Współpracownik przygotowujący grafiki nie musi być administratorem profilu.

OWASP wskazuje kontrolę dostępu jako jeden z kluczowych obszarów bezpieczeństwa aplikacji internetowych. Błędy w kontroli dostępu mogą prowadzić do nieuprawnionego ujawnienia, modyfikacji albo zniszczenia danych.

W praktyce organizacja powinna regularnie sprawdzać:

kto ma dostęp do strony internetowej,

kto ma dostęp do hostingu i domeny,

kto jest administratorem profili społecznościowych,

kto ma dostęp do skrzynek pocztowych,

kto może publikować informacje,

kto może pobierać lub udostępniać dokumenty,

czy konta byłych pracowników i współpracowników zostały usunięte lub zablokowane.

Brak przeglądu dostępów jest jednym z najczęstszych źródeł ryzyka. Konto osoby, która zakończyła współpracę, ale nadal ma dostęp do systemów, może stać się niekontrolowaną furtką do organizacji.

Piąta reguła: aktualizacje są elementem bezpieczeństwa, a nie przeszkodą w pracy

Aktualizacje bywają odkładane, bo „teraz nie ma czasu”, „wszystko działa”, „lepiej nie ruszać” albo „może się coś zepsuje”. To zrozumiałe z punktu widzenia codziennej pracy, ale ryzykowne z punktu widzenia bezpieczeństwa. Nieaktualne systemy, wtyczki, motywy, przeglądarki i aplikacje mogą zawierać znane podatności, które są wykorzystywane przez atakujących.

Dotyczy to szczególnie stron internetowych opartych o popularne systemy CMS. Wtyczki i motywy rozszerzają funkcjonalność, ale jednocześnie zwiększają powierzchnię ataku. Jeżeli nie są aktualizowane, mogą stać się źródłem włamania, spamu, przekierowań na złośliwe strony lub podmiany treści.

OWASP Top 10 jest uznawany za dokument świadomościowy dla twórców i administratorów aplikacji webowych, wskazujący najpoważniejsze ryzyka bezpieczeństwa aplikacji internetowych. Wśród nich znajdują się m.in. błędy kontroli dostępu, błędy kryptograficzne, błędna konfiguracja bezpieczeństwa, podatne i nieaktualne komponenty oraz błędy identyfikacji i uwierzytelniania.

Reguła powinna być jasna: aktualizacje są częścią systemu bezpieczeństwa. Nie należy ich ignorować, ale trzeba je wykonywać w sposób kontrolowany, najlepiej po wykonaniu kopii zapasowej.

Szósta reguła: kopia zapasowa musi być możliwa do odtworzenia

Backup jest jednym z najważniejszych zabezpieczeń organizacji, ale często bywa traktowany zbyt powierzchownie. Samo stwierdzenie „mamy kopię” nie wystarcza. Trzeba jeszcze wiedzieć, co obejmuje kopia, gdzie jest przechowywana, kto ma do niej dostęp, jak często jest wykonywana i czy da się ją odtworzyć.

Kopie zapasowe powinny obejmować co najmniej:

pliki strony internetowej,

bazę danych strony,

ważne dokumenty organizacji,

konfiguracje istotnych systemów,

dane niezbędne do odtworzenia działania po awarii.

Dobrą praktyką jest przechowywanie kopii w miejscu innym niż główny serwer. Jeśli kopia znajduje się wyłącznie na tym samym hostingu, który uległ awarii lub został przejęty, może okazać się bezużyteczna.

Kopia zapasowa nie jest tylko narzędziem technicznym. Jest elementem ciągłości działania. W przypadku awarii, włamania, zaszyfrowania danych lub błędu ludzkiego może zdecydować o tym, czy organizacja szybko wróci do normalnej pracy.

Siódma reguła: media społecznościowe są częścią systemu bezpieczeństwa informacji

Profile w mediach społecznościowych często są traktowane jako narzędzia promocji, a nie jako element bezpieczeństwa organizacji. To błąd. Profil społecznościowy może być oficjalnym kanałem komunikacji z mieszkańcami, klientami, członkami, wolontariuszami, partnerami i mediami. Jego przejęcie może mieć skutki porównywalne z przejęciem strony internetowej.

W mediach społecznościowych należy stosować te same podstawowe reguły bezpieczeństwa:

dostęp tylko dla uprawnionych osób,

MFA/2FA u każdego administratora,

regularny przegląd ról,

usuwanie dostępów po zakończeniu współpracy,

ostrożność wobec fałszywych komunikatów o blokadzie konta,

brak udostępniania kodów logowania,

publikacja z zaufanych urządzeń,

rozdzielenie kont prywatnych i organizacyjnych tam, gdzie to możliwe.

Szczególne ryzyko stanowią fałszywe wiadomości podszywające się pod platformy społecznościowe. Często informują o rzekomym naruszeniu regulaminu, konieczności weryfikacji konta, blokadzie strony albo prawach autorskich. Ich celem jest wyłudzenie danych logowania.

Ósma reguła: phishing wykorzystuje emocje, a nie tylko technologię

Phishing jest jednym z najczęstszych i najskuteczniejszych typów ataków, ponieważ wykorzystuje nie tylko luki techniczne, ale przede wszystkim emocje: pośpiech, strach, ciekawość, presję autorytetu, chęć pomocy albo rutynę. Fałszywa wiadomość może wyglądać jak informacja z banku, firmy kurierskiej, urzędu, platformy społecznościowej, hostingu, systemu pocztowego albo od przełożonego.

NASK trafnie zwraca uwagę, że w oszustwach internetowych często kluczowe są emocje, a nie sama technologia. Skuteczność ataku wynika z tego, że użytkownik zostaje skłoniony do szybkiego działania: kliknięcia, podania hasła, zatwierdzenia logowania, pobrania pliku lub wykonania przelewu.

Sygnały ostrzegawcze to między innymi:

presja czasu,

groźba blokady konta,

nietypowy adres nadawcy,

błędy językowe,

podejrzany link,

załącznik, którego się nie spodziewamy,

prośba o hasło, kod SMS lub zatwierdzenie logowania,

prośba o zmianę numeru rachunku,

wiadomość, która wygląda nietypowo dla danego nadawcy.

W przypadku wątpliwości należy zatrzymać się, nie klikać i zweryfikować sprawę innym kanałem. Jeżeli wiadomość rzekomo pochodzi od znanej osoby, warto zadzwonić lub napisać do niej niezależnym kanałem. Jeżeli dotyczy banku, urzędu, platformy społecznościowej lub hostingu, należy wejść na stronę samodzielnie, a nie przez link z wiadomości.

Dziewiąta reguła: incydent trzeba zgłosić szybko, nie ukrywać

W wielu organizacjach użytkownicy obawiają się zgłaszania błędów. Boją się konsekwencji, oceny albo wstydu. To niebezpieczne, ponieważ opóźnienie reakcji może zwiększyć skalę szkód. Jeżeli użytkownik kliknął podejrzany link, podał hasło, zatwierdził logowanie, zgubił telefon, wysłał dane do złego odbiorcy albo zauważył nietypową aktywność, powinien jak najszybciej zgłosić sytuację.

Zgłoszenie incydentu nie jest przyznaniem się do winy. Jest elementem odpowiedzialności. Szybka informacja pozwala zablokować konto, zmienić hasło, unieważnić sesje, ostrzec innych użytkowników, zabezpieczyć dowody i ograniczyć skutki zdarzenia.

CERT Polska i NASK podkreślają znaczenie zgłaszania podejrzanych wiadomości i stron internetowych. Zgłoszenia pomagają ograniczać działanie przestępców i chronić innych użytkowników internetu.

Organizacja powinna zatem określić prostą ścieżkę zgłaszania: kto przyjmuje zgłoszenie, jak je opisać, jakie informacje przekazać i czego nie robić po zauważeniu problemu.

Dziesiąta reguła: bezpieczeństwo musi być proporcjonalne, ale nie może być przypadkowe

Nie każda organizacja potrzebuje takiego samego poziomu zabezpieczeń jak bank, szpital czy operator infrastruktury krytycznej. Ale każda organizacja potrzebuje podstawowego porządku bezpieczeństwa. Proporcjonalność nie oznacza dowolności. Oznacza dopasowanie zabezpieczeń do skali działania, rodzaju danych, liczby użytkowników i możliwych skutków incydentu.

Podobną logikę zawiera dyrektywa NIS2, która wprowadza zarządzanie ryzykiem cyberbezpieczeństwa i obowiązki raportowania dla szerszego katalogu podmiotów w Unii Europejskiej. Nawet jeśli dana lokalna organizacja nie jest bezpośrednio objęta wszystkimi obowiązkami NIS2, kierunek regulacyjny jest czytelny: odpowiedzialność za bezpieczeństwo informacji staje się elementem normalnego zarządzania organizacją.

CIS Controls v8.1 uzupełnia tę perspektywę praktycznym podejściem. CIS opisuje swoje kontrole jako priorytetowy zestaw zabezpieczeń mających chronić przed najczęstszymi atakami na systemy i sieci. Szczególnie istotna jest koncepcja podstawowej cyberhigieny, czyli działań, które powinny być wdrażane niezależnie od wielkości organizacji.

Reguły stosowania systemów bezpieczeństwa w praktyce

Aby reguły nie pozostały teorią, powinny być zapisane prostym językiem i powiązane z codzienną pracą. Pracownik, współpracownik lub wolontariusz powinien wiedzieć:

jak tworzyć i przechowywać hasła,

gdzie włączyć MFA,

kiedy nie wolno klikać linków,

komu zgłaszać podejrzane wiadomości,

jak korzystać z poczty organizacyjnej,

jak publikować w mediach społecznościowych,

jak chronić dane osobowe,

co zrobić po utracie telefonu lub laptopa,

jak reagować na przejęcie konta,

dlaczego nie należy ignorować aktualizacji,

dlaczego backup musi być regularny i testowany.

Tego typu reguły nie powinny być ukryte w długim, formalnym regulaminie, którego nikt nie czyta. Powinny być przedstawione w formie przewodnika, checklisty, grafik, krótkich komunikatów i materiałów przypominających. Celem jest nie tylko spełnienie wymogu formalnego, ale realna zmiana zachowań.

Odporność organizacji buduje się przed incydentem

Najgorszy moment na ustalanie zasad bezpieczeństwa to chwila, w której konto zostało już przejęte, strona przestała działać, a mieszkańcy widzą fałszywy komunikat. Dlatego reguły trzeba przygotować wcześniej.

Minimalny zestaw powinien obejmować:

wykaz kluczowych systemów i kont,

osoby odpowiedzialne,

zasady nadawania i odbierania dostępów,

wymagania dotyczące haseł i MFA,

zasady aktualizacji,

zasady wykonywania kopii zapasowych,

procedurę zgłaszania incydentów,

reguły publikacji w mediach społecznościowych,

zasady reagowania na phishing,

cykliczny przegląd uprawnień.

Nie musi to być dokument skomplikowany. Ważne, żeby był zrozumiały, stosowany i aktualizowany.

Podsumowanie: system bezpieczeństwa działa wtedy, gdy ludzie znają zasady

Bezpieczeństwo informacji nie jest wyłącznie kwestią zakupu narzędzi. Jest kulturą pracy z informacją. Tworzą ją codzienne decyzje: czy użyję własnego konta, czy włączę 2FA, czy sprawdzę link, czy zgłoszę podejrzaną wiadomość, czy wykonam aktualizację, czy odbiorę dostęp osobie, która zakończyła w

Czytaj cały artykuł u źródła — Pińczowska (Gazeta. Radio. Telewizja. Nad Nidą)