Jak zabezpieczyć firmę przed ransomware i awarią?

Ransomware nie jest już „problemem dużych korporacji”. Dziś ataki są zautomatyzowane, tanie i masowe, a celem bywa każda firma, która ma dane i płaci faktury. Co gorsza, skutki bywają podobne niezależnie od skali: przestoje, utrata danych, paraliż pracy, ryzyko prawne (RODO) i koszty odzyskiwania. Dobra wiadomość: większości incydentów można zapobiec, a jeśli nawet do nich dojdzie – można mieć plan, który ograniczy straty do minimum.

Artykuł sponsorowany

1) Zrozum, skąd bierze się ransomware (najczęstsze wektory ataku)

Ransomware prawie nigdy nie „wpada z powietrza”. Najczęstsze drogi wejścia to:

• phishing (podszyte faktury, linki do „dokumentu”, fałszywe logowania do M365),
• przejęte konta (brak MFA, słabe hasła, wycieki haseł),
• niezałatane podatności (stare systemy, wtyczki, VPN, routery),
• zdalny dostęp wystawiony do internetu (RDP bez zabezpieczeń, słabe VPN),
• zainfekowane urządzenia użytkowników (pendrive, prywatny laptop, brak EDR).

Zabezpieczenie firmy to więc nie jeden program antywirusowy, tylko „warstwy”: dostęp, endpointy, sieć, backup, monitoring i proces.

2) Fundament: kopie zapasowe, które faktycznie ratują firmę

Jeśli chcesz „przetrwać” ransomware i awarię, backup to absolutne minimum. Ale musi być zrobiony dobrze.

Zasada 3-2-1 (standard bezpieczeństwa)

• 3 kopie danych (produkcyjne + 2 kopie),
• 2 różne nośniki (np. serwer/NAS + chmura),
• 1 kopia poza siedzibą / odseparowana (offsite, najlepiej z immutability).

Najczęstsze błędy backupu

• backup na tym samym NAS-ie co dane (ransomware zaszyfruje wszystko),
• brak testów odtwarzania,
• backup tylko „serwera”, a dane pracowników są na laptopach,
• brak backupu usług chmurowych (M365/Google) – a ransomware potrafi usunąć/zaszyfrować dane również tam.

Co wdrożyć praktycznie

• automatyczny backup krytycznych danych (serwery, bazy, pliki firmowe),
• backup danych użytkowników (OneDrive/Drive z politykami, ewentualnie backup endpointów),
• backup poczty i dokumentów w chmurze (osobna warstwa),
• cykliczne testy odtwarzania (np. raz w miesiącu/kwartał),
• ustalenie RPO/RTO:
  • RPO: ile danych możesz stracić (np. 1 godzina),
  • RTO: jak szybko musisz wrócić do pracy (np. 4 godziny).

3) MFA i kontrola dostępu – najszybszy „win” przeciwko przejęciom kont

Jeśli dziś miałbyś zrobić tylko jedną rzecz poza backupem: włącz MFA wszędzie.

Co zabezpieczyć MFA

• poczta i konta M365/Google,
• VPN,
• panele administracyjne (hosting, domena, CMS),
• konta finansowe, bankowość,
• narzędzia zdalnego dostępu.

Dodatkowe zasady

• osobne konta administracyjne (admin nie służy do maila),
• zasada najmniejszych uprawnień,
• szybki offboarding (odejście pracownika = natychmiastowe wyłączenie dostępów),
• menedżer haseł i polityka silnych haseł.

4) Endpoint security: EDR zamiast „gołego antywirusa”

Tradycyjny antywirus często nie wystarcza, bo ransomware zmienia się szybko. Dlatego standardem w firmach jest dziś EDR (Endpoint Detection & Response), który monitoruje zachowania i wykrywa podejrzane akcje (np. masowe szyfrowanie plików).

Co powinno być wdrożone na komputerach:

• EDR/anty-malware klasy biznes,
• szyfrowanie dysków (BitLocker/FileVault),
• ograniczenie praw lokalnych adminów,
• blokady uruchamiania podejrzanych plików/makr,
• kontrola urządzeń zewnętrznych (USB) w zależności od profilu ryzyka.

Dlaczego to ważne: ransomware często startuje na jednym laptopie i rozprzestrzenia się dalej. EDR + segmentacja sieci potrafią zatrzymać incydent na poziomie „jednej stacji”, zamiast całej firmy.

5) Aktualizacje i podatności: patch management, czyli mniej „otwartych drzwi”

Wiele ataków to wykorzystanie znanych podatności, które mają już łatki. Problem w tym, że firmy ich nie wdrażają.

W praktyce potrzebujesz:

• harmonogramu aktualizacji (systemy, aplikacje, przeglądarki, wtyczki),
• aktualizacji urządzeń sieciowych (routery, firewalle, AP),
• wycofywania sprzętu i systemów EOL (end-of-life),
• kontroli wtyczek i CMS (WordPress to częsty cel, jeśli jest zaniedbany).

6) Sieć: segmentacja i zasada „nie ufaj wszystkim w LAN”

Jeśli w firmie wszystko jest w jednej sieci, ransomware ma autostradę do serwerów i zasobów.

Co robi różnicę:

• VLAN-y: użytkownicy, serwery, drukarki, IoT, goście,
• ograniczenia ruchu między VLAN-ami,
• osobna sieć dla gości,
• blokady niepotrzebnych usług (np. SMB tam, gdzie nie jest potrzebny),
• firewall z sensownymi regułami.

7) Ochrona poczty i antyphishing

Phishing to nadal numer 1. Najlepsze firmy robią to warstwowo:

• filtry antyspam/antyphishing,
• DMARC, SPF, DKIM (ochrona domeny przed podszywaniem),
• szkolenia użytkowników + symulacje phishingu,
• szybka ścieżka zgłaszania podejrzanych maili (jeden przycisk, jedna procedura).

Dobrze skonfigurowana poczta potrafi uciąć ogromną część ryzyka.

8) Plan na awarię i ransomware: IR + DR w wersji „dla ludzi”

Najlepsze zabezpieczenia to jedno, ale w kryzysie liczy się reakcja. Wiele firm traci godziny, bo nikt nie wie, co robić.

Minimalny plan reagowania (Incident Response)

Powinien odpowiadać na pytania:

• kto decyduje o odłączeniu sieci?
• kto kontaktuje się z dostawcą IT?
• jak izolujemy zainfekowane urządzenia?
• jak zabezpieczamy dowody (logi, kopie)?
• jak komunikujemy się wewnętrznie (np. gdy poczta nie działa)?

Minimalny plan ciągłości (Disaster Recovery)

• lista krytycznych systemów,
• kolejność odtwarzania,
• dane dostępowe do backupów w bezpiecznym miejscu,
• procedura uruchomienia „trybu awaryjnego” (np. praca na urządzeniach zastępczych).

9) Testuj: bez testów nie wiesz, czy jesteś bezpieczny

W bezpieczeństwie działa zasada: jeśli czegoś nie testujesz, to tego nie masz.

Co warto testować:

• odtwarzanie backupu (regularnie),
• logowanie alarmów z monitoringu,
• procedury offboardingu,
• podatności (skan podatności / audyt),
• scenariusz „co robimy, gdy padnie internet/poczta/serwer”.

10) Minimalny plan wdrożenia w 30 dni (dla MŚP)

Jeśli chcesz szybko podnieść bezpieczeństwo, zacznij od tego:

Tydzień 1

• MFA na poczcie i kluczowych kontach,
• wprowadzenie menedżera haseł,
• przegląd uprawnień i kont admin.

Tydzień 2

• EDR na wszystkich urządzeniach,
• szyfrowanie dysków,
• aktualizacje systemów i aplikacji.

Tydzień 3

• backup 3-2-1 + odseparowana kopia,
• pierwszy test odtworzenia.

Tydzień 4

• segmentacja sieci (minimum: goście vs. firma),
• polityki antyphishing,
• mini-procedura incydentu (1 strona, jasne kroki).

To daje ogromny wzrost odporności bez „przebudowy całego świata”.

Podsumowanie

Zabezpieczenie firmy przed ransomware i awarią to kombinacja trzech rzeczy: prewencji (MFA, EDR, aktualizacje, segmentacja, antyphishing), odporności (backup 3-2-1, testy odtwarzania, plan DR) oraz reakcji (procedury IR i jasne role). Największy błąd to liczyć na jedno narzędzie — prawdziwa ochrona działa warstwowo.

Jeśli chcesz zabezpieczyć swoją firmę, warto poszukać firmy, która jest specjalistą od kompleksowej obsługi informatycznej w Warszawie i innych miastach w Polsce.