Bezpieczeństwo danych w firmie: dlaczego to małe firmy, a nie korporacje, padają ofiarą ransomware

Spis treści
Dlaczego stare systemy to bomba z opóźnionym zapłonem dla bezpieczeństwa danych w firmie?
Ile kosztuje naruszenie bezpieczeństwa danych w firmie na świecie i w Polsce?
Czym jest ransomware i dlaczego najbardziej zagraża małym i średnim firmom?
Po czym poznać, że Twoja firma jest w grupie ryzyka?
Co możesz wdrożyć od razu, żeby poprawić bezpieczeństwo danych w firmie?
Jak wygląda pełny audyt bezpieczeństwa IT krok po kroku?
Ile możesz stracić, jeśli zlekceważysz RODO i bezpieczeństwo danych w firmie?
Dlaczego jeden audyt bezpieczeństwa danych w firmie nigdy nie wystarczy?
Najczęstsze pytania o bezpieczeństwo danych w firmie
Podsumowanie

Bezpieczeństwo danych w firmie kojarzy się większości przedsiębiorców z problemem korporacji i banków. Wyobrażają sobie hakera włamującego się do wielkiego serwera, a nie do biura kilka przecznic dalej. Tymczasem twarde dane pokazują coś zupełnie innego. Tam, gdzie w ogóle udało się ustalić wielkość zaatakowanej firmy, aż 96% ofiar ataków ransomware to małe i średnie firmy, a nie korporacje. Potwierdzają to dane przywoływane w tegorocznym raporcie Verizon Data Breach Investigations Report.

Cześć, z tej strony Kamil Zazula, założyciel Devesol, w siódmym odcinku podcastu "Nowe Technologie i Rozwój Firm". W poprzednich sześciu odcinkach mówiłem między innymi o długu technologicznym w firmie jako źródle strat. Poruszałem też moment, w którym firma wyrasta z Excela i zaczyna na tym tracić pieniądze. Przy okazji tamtych odcinków celowo nie rozwijałem wątku bezpieczeństwa danych - zasługuje na osobny, pełny odcinek. Dzisiaj się za niego biorę.

W tym artykule pokażę Ci, dlaczego stare systemy są bombą z opóźnionym zapłonem i ile realnie kosztuje naruszenie danych w Polsce i na świecie. Dowiesz się też, po czym rozpoznać, że Twoja firma jest w grupie ryzyka. Na koniec pokażę pełny audyt bezpieczeństwa IT krok po kroku - od działań, które wdrożysz w kilka dni, po podejście systemowe, jeśli przetwarzasz dużo wrażliwych danych.

Dlaczego stare systemy to bomba z opóźnionym zapłonem dla bezpieczeństwa danych w firmie?

Stare systemy są ryzykowne, ponieważ mają znane, udokumentowane luki bezpieczeństwa, których dostawca już dawno przestał łatać. Do tego często ukrywają domyślne hasła administratora, o których istnieniu nikt w firmie nie pamięta. Włamywacz nie musi szukać nowej dziury - wystarczy, że sprawdzi publicznie dostępną listę znanych podatności starej wersji Twojego oprogramowania.

Pisałem już o tym, jak przestarzały system hamuje firmę na poziomie samych procesów - wolniejsza praca, brak integracji, ręczne przepisywanie danych. Bezpieczeństwo to druga, mniej widoczna strona tego samego problemu. Podobnie działa fragmentacja narzędzi w firmie: im więcej rozproszonych, niezarządzanych systemów, tym więcej potencjalnych furtek do całej infrastruktury. Czasem wystarczy jedno zaniedbane hasło albo jedna nieaktualna wtyczka.

Do tego dochodzi brak dwuskładnikowego uwierzytelniania (2FA), czyli dodatkowego kodu poza samym hasłem. Brakuje też jakiejkolwiek segmentacji dostępu - każdy pracownik ma dostęp do wszystkiego, zamiast tylko do tego, co potrzebne do jego pracy. Jeśli korzystasz z narzędzi self-hosted, regularne aktualizacje nie są opcją, tylko koniecznością. To jeden z najtańszych sposobów na zamknięcie połowy tych luk, zanim ktoś je wykorzysta.

Ile kosztuje naruszenie bezpieczeństwa danych w firmie na świecie i w Polsce?

Według raportu IBM Cost of a Data Breach 2026, globalny średni koszt jednego naruszenia danych sięgnął w tym roku 4,99 mln dolarów. To o 12% więcej niż rok wcześniej. W Stanach Zjednoczonych ta liczba jest ponad dwukrotnie wyższa i wynosi 11,5 mln dolarów. Najwięcej płaci branża zdrowia: średnio 6,64 mln dolarów za jeden incydent, trzynasty rok z rzędu utrzymując pozycję najdroższego sektora. Ataki wspomagane sztuczną inteligencją podnoszą ten koszt jeszcze bardziej. Są średnio o milion dolarów droższe niż przeciętne naruszenie, bo są szybsze i trudniejsze do wykrycia.

W Polsce skala jest mniejsza, ale trend identyczny. Zespół CERT Polska zarejestrował w 2025 roku 260 783 unikalne incydenty bezpieczeństwa. To o 152% więcej niż rok wcześniej, przy 658 320 zgłoszeniach ogółem. Wcześniej, w 2023 roku, w jednym tylko zdarzeniu wyciekło ponad 1,8 mln kont polskich użytkowników. Dane opublikowano wtedy na forum w sieci Tor. To pokazuje, że nie potrzeba grupy przestępczej pokroju tych, które atakują banki, żeby wyrządzić realną szkodę tysiącom ludzi naraz.

Czym jest ransomware i dlaczego najbardziej zagraża małym i średnim firmom?

Ransomware to złośliwe oprogramowanie, które szyfruje pliki na komputerze lub blokuje dostęp do systemu. W zamian za odzyskanie danych żąda od ofiary okupu. To rodzaj ataku, który najbardziej bezpośrednio zagraża małym i średnim firmom. Atakujący liczą na to, że mniejsza firma szybciej zapłaci, niż będzie odtwarzać dane z niedziałającego backupu.

Zgodnie z analizami do raportu Verizon, oprogramowanie wymuszające okup pojawiło się aż w 88% incydentów w małych firmach - wobec 39% w dużych organizacjach. Mniejsze firmy po prostu rzadziej mają zasoby, żeby się przed tym bronić. Do tego dochodzi czynnik czasu. Według raportu Sophos Active Adversary, aż 88% operacji szyfrowania danych w atakach ransomware odbywa się poza godzinami pracy. Od włamania do pełnego zaszyfrowania systemów może minąć zaledwie kilka godzin. Atakujący uderzają w nocy, w weekendy i święta - dokładnie wtedy, kiedy nikt nie patrzy na monitoring.

Najbardziej niepokojące jest jednak co innego. Według badania Mastercard przeprowadzonego wśród polskich firm na przełomie 2025 i 2026 roku, aż 71% przedstawicieli małych firm ocenia ryzyko cyberataku jako niskie albo raczej niskie. Dzieje się tak, mimo że około jedna czwarta z nich już wcześniej padła ofiarą ataku. Największym zagrożeniem dla Twojej firmy nie jest sam atak. Jest nim przekonanie, że akurat Ciebie to nie dotyczy.

Po czym poznać, że Twoja firma jest w grupie ryzyka?

Jest pięć sygnałów, które warto sprawdzić. Jeśli rozpoznajesz u siebie trzy lub więcej z nich, to nie jest kwestia, czy dojdzie do incydentu, tylko kiedy.

1. Brak dwuskładnikowego uwierzytelniania na kluczowych systemach - logowanie odbywa się tylko przez hasło, bez dodatkowego kodu z telefonu czy aplikacji.
2. Słabe albo nigdy niezmieniane hasła - jeśli hasło do systemu księgowego jest takie samo od trzech lat i zna je kilka osób, to realne ryzyko.
3. Brak kopii zapasowych albo kopie, których nikt nigdy nie przetestował - wiele firm robi backup, ale nikt nie sprawdził, czy dane faktycznie da się z niego odtworzyć. Okazuje się to dopiero wtedy, gdy jest już za późno.
4. Przestarzały system operacyjny lub oprogramowanie, dla którego producent przestał wydawać aktualizacje bezpieczeństwa - to otwarte drzwi dla każdego, kto zna publiczną listę jego podatności.
5. Brak segmentacji dostępu do danych - każdy w firmie, niezależnie od stanowiska, ma dostęp do wszystkich systemów, zamiast tylko do tego, czego potrzebuje do swojej pracy.

Ten ostatni sygnał najczęściej wynika z tego, jak rosła firma. Kolejni pracownicy dostawali dostępy "na już", a nikt później nie wracał, żeby je ograniczyć albo odebrać po zmianie stanowiska czy odejściu z firmy. Widać to szczególnie wyraźnie w zintegrowanych systemach informatycznych, gdzie jedno konto potrafi otwierać dostęp do kilku połączonych ze sobą narzędzi naraz. W projektach, które realizujemy w Devesol, rozwiązujemy ten problem automatyzacją cyklu życia dostępu. Podobnie było w jednej z naszych realizacji: dostęp do płatnego kursu online jest przyznawany automatycznie po zaksięgowaniu płatności. Znika on też natychmiast po braku płatności - bez ręcznej kontroli i bez ryzyka, że ktoś zapomni go odebrać, choć dawno powinien zniknąć. Ta sama logika - dostęp tylko wtedy, kiedy jest naprawdę potrzebny - działa identycznie wszędzie. Nie ma znaczenia, czy chodzi o kurs online, czy o system finansowo-księgowy.

Co możesz wdrożyć od razu, żeby poprawić bezpieczeństwo danych w firmie?

Pięć rzeczy możesz wdrożyć praktycznie od razu, bez wielkiego budżetu i bez miesięcy pracy: 2FA, silne i rotowane hasła, przetestowany backup, krótkie szkolenie z phishingu oraz bezpłatne narzędzie diagnostyczne NASK.

1. Włącz dwuskładnikowe uwierzytelnianie wszędzie tam, gdzie to możliwe, szczególnie w systemach przechowujących dane klientów albo dane finansowe. Nawet jeśli hasło wycieknie, atakujący nadal nie ma dostępu bez drugiego składnika.
2. Wprowadź politykę silnych haseł i ich regularnej rotacji, na przykład co 90 dni, i zadbaj, żeby hasła nie były współdzielone między pracownikami.
3. Upewnij się, że masz działający, regularny backup danych - i przetestuj go. Zrób próbne odtworzenie danych z kopii zapasowej, zanim będziesz musiał zrobić to naprawdę w sytuacji kryzysowej.
4. Przeprowadź krótkie szkolenie z zespołem na temat rozpoznawania phishingu, czyli fałszywych maili i linków. Ludzie są najczęściej najsłabszym ogniwem w łańcuchu bezpieczeństwa, ale przy odpowiednim przygotowaniu stają się pierwszą linią obrony.
5. Skorzystaj z darmowego narzędzia Firma Bezpieczna Cyfrowo, stworzonego przez NASK. Pozwala szybko sprawdzić, w jakim miejscu jest Twoja firma, bez żadnych kosztów.

Jeśli któryś z tych punktów wymaga zmiany samego systemu, a nie tylko jego konfiguracji, to dobry moment na jedną decyzję. Zastanów się, czy dedykowany system IT, czy gotowy ERP lepiej odpowiada Twoim wymaganiom bezpieczeństwa. Gotowe oprogramowanie zwykle ma wbudowane 2FA i logi dostępu od ręki, a dedykowane rozwiązanie trzeba w tym zakresie świadomie zaprojektować.

Jak wygląda pełny audyt bezpieczeństwa IT krok po kroku?

Jeśli Twoja firma przechowuje dużo wrażliwych danych albo rozpoznajesz u siebie kilka sygnałów ostrzegawczych z poprzedniej sekcji, warto podejść do tematu systemowo. Pełny audyt bezpieczeństwa IT składa się z siedmiu kroków.

1. Inwentaryzacja zasobów - spisz cały sprzęt, oprogramowanie i licencje, z których korzysta firma. Nie da się zabezpieczyć czegoś, o czego istnieniu nie wiesz.
2. Sprawdzenie aktualności każdego urządzenia i systemu - które z nich działają na przestarzałych wersjach oprogramowania, pełnych znanych luk bezpieczeństwa.
3. Skan systemów operacyjnych i usług sieciowych pod kątem aktualności oraz domyślnych haseł administratora. To jeden z najczęstszych, a zarazem najłatwiejszych do naprawienia błędów. Jeśli firma utrzymuje własny serwer, warto sprawdzić też, jak realnie zabezpieczyć go przed atakiem DDoS i skanowaniem portów.
4. Analiza polityk dostępu - kto ma dostęp do jakich danych i czy to odpowiada temu, czego faktycznie potrzebuje do pracy. A może to dziedziczone uprawnienia sprzed lat, o których nikt już nie pamięta? Dotyczy to zwłaszcza sytuacji, w których wiele aplikacji firmowych jest ze sobą zintegrowanych. Jedno konto potrafi wtedy otwierać dostęp do kilku systemów naraz.
5. Test penetracyjny - kontrolowana symulacja prawdziwego ataku przeprowadzona przez specjalistów. Pokazuje realne, a nie tylko teoretyczne luki.
6. Plan reagowania na incydenty - kto w firmie wie, co robić w pierwszej godzinie po naruszeniu. Kto zgłasza je do UODO i w jakim terminie, kto komunikuje się z klientami.
7. Regularność - pełny audyt raz w roku i bieżące monitorowanie nowych zagrożeń, bo bezpieczeństwo to proces, a nie projekt odhaczony raz na zawsze.

Brak planu reagowania z kroku szóstego oznacza, że w sytuacji kryzysowej wszyscy będą improwizować. To zwykle kończy się dodatkowymi błędami - o czym za chwilę, na przykładzie realnej kary UODO.

Ile możesz stracić, jeśli zlekceważysz RODO i bezpieczeństwo danych w firmie?

Poza kosztami operacyjnymi samego incydentu dochodzi ryzyko kary administracyjnej od Prezesa UODO - a polskie precedensy pokazują, że to nie jest ryzyko teoretyczne.

Prezes UODO nałożył na Pocztę Polską rekordową karę w wysokości 27 mln zł za przetwarzanie danych PESEL 30 mln obywateli bez odpowiedniej podstawy prawnej. Warto jednak dodać, że sąd administracyjny w Warszawie uchylił tę decyzję w marcu 2026 roku. Sprawa trafiła do kasacji. Bardziej jednoznaczny jest przypadek Toyota Bank Polska. Bank zapłacił 78 575,40 zł kary za zgłoszenie naruszenia do UODO z ponad rocznym opóźnieniem - zamiast wymaganych 72 godzin od wykrycia incydentu. Sąd oddalił jego skargę na tę decyzję.

Maksymalna kara, jaką w ogóle przewiduje RODO, to 20 mln euro albo 4% całkowitego rocznego obrotu firmy. Obowiązuje ta wartość, która jest wyższa. Do tego dochodzą jeszcze koszty prawników, koszty dochodzenia, utrata zaufania klientów i spadek wydajności firmy na wiele tygodni po incydencie. Jeśli dopiero zaczynasz porządkować ten obszar, dobrym punktem startowym jest RODO w małej firmie - od czego zacząć.

Dlaczego jeden audyt bezpieczeństwa danych w firmie nigdy nie wystarczy?

Bezpieczeństwo nie jest projektem jednorazowym, a fałszywe poczucie bezpieczeństwa po jednym audycie bywa równie niebezpieczne jak brak audytu w ogóle. Zagrożenia zmieniają się z miesiąca na miesiąc. Firma, która zrobiła audyt rok temu i uznała temat zamknięty, jest w praktyce niewiele bezpieczniejsza niż ta, która nigdy audytu nie zrobiła.

Do tego dochodzi trudny kompromis: im więcej warstw bezpieczeństwa wprowadzisz, tym czasem trudniej i wolniej pracuje się na co dzień Twojemu zespołowi. Dobre zabezpieczenia to nie maksimum restrykcji, tylko równowaga między ochroną a wygodą pracy, dopasowana do tego, jak wrażliwe dane faktycznie przetwarzasz. Jeśli nie masz pewności, gdzie leży ta równowaga w Twojej firmie, właśnie od tego zaczynamy każdą współpracę. Zaczynamy od audytu, a nie od sprzedaży konkretnego narzędzia.

Najczęstsze pytania o bezpieczeństwo danych w firmie

Podsumowanie

Bezpieczeństwo danych w firmie zaczyna się od pięciu prostych sygnałów, a nie od drogich narzędzi. Stare systemy są ryzykowne, bo mają znane, niezałatane luki bezpieczeństwa, domyślne hasła i brak segmentacji dostępu. Koszty naruszeń rosną z roku na rok - globalnie średnio 4,99 mln dolarów za incydent. W Polsce liczba incydentów zarejestrowanych przez CERT Polska wzrosła w 2025 roku o 152% rok do roku. Wbrew powszechnemu przekonaniu to małe i średnie firmy, a nie korporacje, są głównym celem ataków ransomware.

Pokazałem Ci 5 sygnałów ostrzegawczych, 5 działań do wdrożenia od razu oraz 7-krokowy proces pełnego audytu bezpieczeństwa, jeśli Twoja sytuacja tego wymaga. Jeśli rozpoznajesz u siebie kilka z opisanych sygnałów, umów się na bezpłatną konsultację - sprawdzimy razem, od czego najlepiej zacząć w Twojej firmie.

O autorze
Kamil Zazula - założyciel i konsultant ds. automatyzacji procesów biznesowych i integracji systemów w Devesol. Od kilku lat pomagam polskim firmom wdrażać automatyzacje i Agentów AI, opierając się na doświadczeniu zdobytym wcześniej jako programista aplikacji webowych. Więcej o mnie: devesol.pl/o-nas