1. Wstęp: mit “jesteśmy za mali, żeby ktoś się nami zainteresował”
Prowadzę Ralkom i regularnie słyszę tę samą myśl od właścicieli małych firm. Mamy pięć, dziesięć osób, kto by się nami interesował, atakuje się banki i duże korporacje. To wygodne przekonanie, ale dane pokazują coś dokładnie odwrotnego.
Z raportu Verizon 2025 Data Breach Investigations Report wynika, że małe i średnie firmy odnotowały w analizowanym okresie około cztery razy więcej potwierdzonych naruszeń bezpieczeństwa niż duże organizacje, a udział ataków ransomware w tych naruszeniach sięgnął 88%, wobec 39% w dużych firmach. Powód jest prozaiczny. Małe firmy zwykle nie mają segmentacji sieci, nie monitorują końcówek i nie trzymają kopii zapasowych offline, więc są po prostu łatwiejszym celem, nie mniej atrakcyjnym.
European DIGITAL SME Alliance, podsumowując raport ENISA Threat Landscape 2025, pisze wprost, że zagrożenia cybernetyczne nie są już zarezerwowane dla dużych korporacji, a automatyzacja ataków (usługi typu ransomware jako usługa czy phishing jako usługa) czyni małe i średnie firmy celami o wysokiej wartości, mimo że mają mniejsze budżety na ochronę.
Nie znajdziesz tu kolejnej ogólnej listy porad na cyberbezpieczeństwo, jakich pełno w internecie. Znajdziesz plan. Co zrobić najpierw, co może poczekać do kolejnego kwartału, i ile to realnie kosztuje, jeśli nie masz w firmie własnego działu IT.
2. Skąd realnie przychodzi zagrożenie w małej firmie
Zanim zaczniesz cokolwiek wdrażać, warto wiedzieć, z czym w praktyce walczysz. To nie są hakerzy włamujący się przez skomplikowane, nieznane wcześniej luki. W zdecydowanej większości przypadków mechanizm jest dużo prostszy.
Według tego samego raportu ENISA, phishing odpowiadał za 60% obserwowanych przypadków pierwszej infiltracji sieci (analiza blisko 4900 incydentów z okresu od lipca 2024 do czerwca 2025). Descope, analizując dane Verizon DBIR, dodaje, że nadużycie skradzionych danych logowania było wektorem wejścia w 22% naruszeń, a phishing w kolejnych 16%, przy czym tylko 3% skompromitowanych haseł spełniało podstawowe wymogi złożoności.
W Polsce skalę problemu dobrze pokazuje raport roczny CERT Polska za 2025 rok. Zespół przyjął 658 320 zgłoszeń i odnotował 260 783 unikalnych incydentów, czyli wzrost o ponad 150% rok do roku, a liczba ataków ransomware wzrosła do 179 wobec 163 rok wcześniej. Dane NASK i PARP pokazują z kolei, że w 2024 roku cyberatak dotknął około 25% małych firm w Polsce i blisko połowy średnich przedsiębiorstw.
Kiedy robię u klienta audyt bezpieczeństwa, prawie zawsze widzę ten sam zestaw trzech luk. Jedno hasło używane w kilku miejscach, brak drugiego składnika logowania do poczty i systemów w chmurze, i backup, który teoretycznie istnieje, ale nikt nigdy nie sprawdził, czy faktycznie da się z niego coś odtworzyć. Żadna z tych trzech rzeczy nie wymaga wielkiego budżetu. Wymaga tylko, żeby ktoś się tym zajął.
3. Pierwsze 30 dni: co zrobić najpierw
Nie próbuj ogarnąć wszystkiego naraz. Poniższa kolejność wynika z prostego kryterium, co daje największą redukcję ryzyka przy najmniejszym koszcie i czasie wdrożenia.
- Włącz uwierzytelnianie wieloskładnikowe (MFA) wszędzie, gdzie się da, zaczynając od poczty firmowej. Microsoft w swoim raporcie bezpieczeństwa podaje, że samo MFA blokuje ponad 99,9% prób przejęcia konta, a nowsza analiza oparta na danych Azure Active Directory mówi o redukcji ryzyka o 99,22%, także dla kont, których hasła wcześniej wyciekły. To zwykle pojedyncza zmiana ustawień, bezpłatna w ramach istniejącej subskrypcji poczty czy Google Workspace.
- Sprawdź, czy backup faktycznie działa, nie tylko czy istnieje. CISA w swoich wytycznych dla małych firm rekomenduje automatyczne, ciągłe kopie zapasowe z regularnym testowaniem odtwarzania, nie jednorazowe ustawienie i zapomnienie. Jeśli nie pamiętasz, kiedy ostatni raz ktoś realnie odtworzył dane z backupu, potraktuj to jako czerwoną lampkę.
- Zaktualizuj systemy i aplikacje, ze szczególnym naciskiem na te wystawione do internetu. CISA zaleca priorytetyzowanie łatek z katalogu znanych, wykorzystywanych podatności, bo to właśnie one najczęściej stają się bramą wejścia dla atakujących.
- Przeprowadź krótkie szkolenie z rozpoznawania phishingu dla wszystkich pracowników, nie tylko działu księgowości czy sprzedaży. KnowBe4, analizując dziesiątki milionów symulowanych ataków phishingowych, pokazuje, że bazowy odsetek osób klikających w podejrzany link wynosi około 33%, a po dwunastu miesiącach regularnych, krótkich szkoleń spada do około 5%.
Trzy z tych czterech kroków, czyli antywirus z monitoringiem incydentów, szyfrowany backup i porządek w hasłach, to dokładnie to, czym na co dzień zajmujemy się w outsourcingu IT. Jeśli wolisz, żeby ktoś to po prostu ogarnął zamiast czytać dalej, to naturalny punkt wejścia.
4. Kolejny kwartał: audyt i polityki
Kiedy pierwsze 30 dni masz za sobą, czas na coś, co daje pełniejszy obraz, ale wymaga trochę więcej czasu, czyli formalny audyt bezpieczeństwa. Nie chodzi o gruby dokument, który wyląduje w szufladzie, tylko o realną listę luk uszeregowaną według ryzyka.
Dane Mastercard z przełomu 2025 i 2026 roku pokazują, że aż 85% małych firm w Polsce nie przeprowadziło żadnej oceny ryzyka w ciągu ostatnich dwunastu miesięcy. To o tyle niepokojące, że wśród firm, które padły ofiarą ataku, 32% nie wprowadziło potem żadnych zmian w zabezpieczeniach, mimo że 42% zgłosiło poważne lub umiarkowane skutki incydentu.
Jeśli chcesz zacząć od czegoś bezpłatnego, NASK PIB razem z Ministerstwem Rozwoju i Technologii prowadzi program “Firma Bezpieczna Cyfrowo”, w ramach którego dostępne jest darmowe narzędzie do samooceny mocnych i słabych stron firmy, kończące się spersonalizowanym poradnikiem krok po kroku. To dobry punkt startowy, zanim zdecydujesz się na pełny, płatny audyt. My w Ralkom prowadzimy własną, bezpłatną ankietę dojrzałości cyfrowej, a pełny audyt pokazuje realne ryzyka konkretnie w twojej infrastrukturze, nie w generycznej ankiecie.
Do audytu warto dołożyć podstawowe polityki spisane na jednej, dwóch stronach, nie w formie korporacyjnego elaboratu. Kto ma dostęp do czego, co robić, gdy ktoś zgubi laptopa albo telefon firmowy, i do kogo dzwonić, gdy podejrzewasz, że coś poszło nie tak. CERT Polska prowadzi ogólnodostępną bazę wiedzy z gotowymi scenariuszami reagowania na typowe zagrożenia, od phishingu po ransomware, więc nie musisz tego pisać od zera.
5. Ile to kosztuje i jak zacząć bez dużego budżetu
Tu jest dobra wiadomość. Większość rzeczy z pierwszych 30 dni nie kosztuje prawie nic poza czasem. MFA jest zwykle wliczone w subskrypcję poczty, testowanie backupu to kwestia jednego popołudnia, aktualizacje są bezpłatne, a krótkie szkolenie z phishingu możesz przeprowadzić samodzielnie, choćby na bazie materiałów z biznes.gov.pl, który prowadzi dedykowany, bezpłatny poradnik o cyberbezpieczeństwie w małej i średniej firmie.
Dane Mastercard pokazują, że aż 26% małych firm w Polsce nie wydaje na cyberbezpieczeństwo dosłownie nic. Rozumiem tę logikę przy napiętym budżecie, ale skala potencjalnych strat robi tę oszczędność ryzykowną. Raport Sophos State of Ransomware 2025, choć próba badawcza dotyczy głównie firm średniej i większej wielkości, pokazuje, że mediana okupu żądanego przez atakujących sięgnęła miliona dolarów, a średni koszt samego odzyskania danych po ataku, bez płacenia okupu, przekroczył półtora miliona dolarów. Nawet jeśli twoja firma jest znacznie mniejsza i te konkretne kwoty jej nie dotyczą wprost, kierunek jest jasny. Kilka godzin pracy nad podstawami wychodzi wielokrotnie taniej niż sprzątanie po incydencie.
Jeśli wolisz mieć to z głowy zamiast pilnować tego samodzielnie, nasze pakiety pokazują, ile kosztuje regularna opieka nad tymi tematami przy stałej, przewidywalnej stawce miesięcznej, zamiast jednorazowego, awaryjnego wezwania, gdy coś już się wydarzy.
6. Podsumowanie
Cyberbezpieczeństwo małej firmy nie zaczyna się od drogiego audytu ani skomplikowanych narzędzi. Zaczyna się od czterech rzeczy, które możesz wdrożyć w miesiąc. MFA, sprawdzony backup, aktualne oprogramowanie i pracownicy, którzy rozpoznają phishing. Dopiero na tej bazie ma sens formalny audyt i spisane polityki w kolejnym kwartale.
Jeśli po przeczytaniu tego tekstu wiesz już, że wolisz to komuś zlecić niż pilnować samemu, skontaktuj się z nami. Zajmujemy się dokładnie tym na co dzień. W Ralkom jestem założycielem i jedyną osobą stojącą za firmą, więc każdą taką rozmowę prowadzę osobiście, a jeśli chcesz sprawdzić, z kim rozmawiasz, zobacz, kim jesteśmy.