1. Praca zdalna zmieniła to, gdzie faktycznie leżą dane firmy
Kilka lat temu dane firmowe kończyły dzień w biurowej szafie albo na serwerze pod biurkiem. Teraz część z nich mieszka na prywatnym laptopie w salonie, część w telefonie w kieszeni, a część w chmurze, do której ktoś loguje się z domowego Wi-Fi z hasłem ustawionym raz, przy zakupie routera. Według Eurostatu, w 2024 roku 52,9% przedsiębiorstw w Unii Europejskiej (zatrudniających 10 i więcej osób) prowadziło spotkania zdalne przez internet, o 2,9 punktu procentowego więcej niż w 2022 roku. To nie jest niszowy model pracy, to codzienność wielu małych firm, które nigdy formalnie nie usiadły i nie zapytały, co to znaczy dla bezpieczeństwa danych firmowych.
Problem nie jest sam fakt pracy zdalnej. Problem to brak audytu bezpieczeństwa danych firmy, który pokazałby, gdzie te dane realnie wędrują i kto, albo co, ma do nich dostęp poza biurem.
2. Ryzyka, o których łatwo zapomnieć
Największym zagrożeniem rzadko jest jeden spektakularny atak. Częściej to seria drobnych zaniedbań, które nakładają się na siebie. Ten sam Eurostat policzył, że pełny zdalny dostęp do poczty, dokumentów i aplikacji biznesowych naraz miało w 2024 roku tylko 56,0% małych firm (10 do 49 pracowników) w Unii Europejskiej, wobec 91,9% dużych firm (250 i więcej pracowników). Innymi słowy, małe firmy dużo częściej łatają zdalny dostęp na szybko, bez przemyślanej architektury, po prostu dlatego, że nie mają zasobów, żeby zrobić to tak jak korporacja.
To ma konsekwencje. CERT Polska i NASK w raporcie za 2024 rok odnotowały ponad 600 tysięcy zgłoszeń (wzrost o 62% rok do roku) i ponad 100 tysięcy zarejestrowanych incydentów (wzrost o 29%), czyli średnio około 300 dziennie. Phishing był najczęściej obsługiwanym typem ataku, a system ostrzegający przed niebezpiecznymi stronami zablokował w tym czasie ponad 70 milionów prób wejścia na złośliwe adresy, 33% więcej niż rok wcześniej. KPMG w Barometrze cyberbezpieczeństwa 2025 dodaje, że 83% firm w Polsce miało w 2024 roku przynajmniej jeden incydent związany z cyberbezpieczeństwem, wzrost o 16 punktów procentowych, a odsetek firm bez żadnego incydentu spadł do 17%, najniżej w ośmiu edycjach tego badania. Ciekawy szczegół z tego samego raportu, wyciek danych przez złośliwe oprogramowanie wyprzedził w 2024 roku phishing jako największe źródło zagrożeń, co pokazuje, że samo szkolenie z rozpoznawania podejrzanych maili już nie wystarcza.
Prywatny laptop, na którym dziecko robi lekcje, a rodzic loguje się wieczorem do systemu księgowego, to nie abstrakcyjny przykład z prezentacji. To typowy dzień pracy zdalnej w małej firmie.
3. Co realnie sprawdzić, zanim coś się stanie
Nie potrzebujesz korporacyjnego działu bezpieczeństwa, żeby zamknąć największe dziury. Wystarczy usiąść i sprawdzić kilka konkretnych rzeczy, najlepiej zanim, a nie po incydencie.
- Czy dostęp do systemów firmowych z domu wymaga czegoś więcej niż samego hasła, czyli uwierzytelniania dwuetapowego, najlepiej razem z szyfrowanym połączeniem typu VPN.
- Czy laptopy i telefony używane do pracy mają aktualne oprogramowanie i choć podstawowe zarządzanie urządzeniami, tak żeby zgubiony albo skradziony sprzęt dało się zdalnie zablokować.
- Czy dane na urządzeniach zdalnych są w ogóle objęte backupem, czy zostają tylko na jednym dysku w czyimś domu.
- Czy istnieje prosta, spisana zasada, jakich urządzeń i kont wolno używać do pracy, czyli podstawy polityki BYOD, a nie ustne “no jakoś to się ustali”.
ENISA w swoich wskazówkach dla bezpiecznej pracy zdalnej wymienia właściwie ten sam zestaw z drugiej strony, po stronie pracodawcy. Uwierzytelnianie i szyfrowanie połączeń zdalnych, procedury reagowania na incydenty, wsparcie techniczne dla pracujących zdalnie i ograniczanie dostępu do systemów wrażliwych tylko do tych, którzy go faktycznie potrzebują.
Backup i porządek w hasłach to akurat obszary, w które regularnie wchodzimy przy outsourcingu IT, bo to zwykle pierwsze rzeczy, które szwankują, kiedy firma rośnie szybciej niż jej infrastruktura.
Jest jeszcze wątek, o którym łatwo zapomnieć, dokumentacja papierowa. UODO przypomina, że pracodawca jako administrator danych osobowych ma obowiązek ocenić, czy wynoszenie papierowych dokumentów z danymi osobowymi do domu jest w ogóle potrzebne, ograniczyć to do minimum, prowadzić rejestr wydanych dokumentów, wymagać ich przechowywania w zamykanych na klucz szafkach, chronić przed wglądem domowników i zapewnić bezpieczne niszczenie, a nie wyrzucanie do zwykłego kosza.
4. Audyt bezpieczeństwa jako sposób, żeby to sprawdzić systematycznie
Wszystkie powyższe punkty można sprawdzić samodzielnie, na oko, i część firm faktycznie tak robi. Problem w tym, że na oko łatwo przeoczyć rzeczy, o których się nie wie, że trzeba ich szukać, zwłaszcza gdy nikt w firmie nie zajmuje się bezpieczeństwem na pełny etat. Dlatego zamiast zgadywać, lepiej zrobić audyt bezpieczeństwa danych firmy, czyli systematyczny przegląd tego, gdzie faktycznie są dane, kto i z jakich urządzeń ma do nich dostęp, i które z tych dostępów są zabezpieczone tylko z nazwy.
Taki audyt bezpieczeństwa nie musi być wielkim projektem rozłożonym na miesiące. W praktyce to raczej konkretna lista rzeczy do poprawienia, z priorytetami, żeby wiedzieć od czego zacząć, a nie próbować naprawić wszystko naraz w jeden weekend.
5. Krótki przykład z życia
Widzieliśmy to na żywo przy jednym z wdrożeń. Podczas migracji 78 baz Optima dla PoznanKsiegowosc.pl trzeba było poukładać nie tylko same dane księgowe, ale też to, kto i jak się do nich loguje, gdzie faktycznie leży backup i jak wygląda zabezpieczenie stanowisk pracy. Dokładnie te same pytania, które warto sobie zadać przy pracy zdalnej, tylko przy okazji migracji trzeba było odpowiedzieć na nie wszystkie naraz, pod presją czasu.
6. Podsumowanie
Praca zdalna sama w sobie nie jest zagrożeniem. Jest po prostu inną architekturą pracy, która wymaga innych zabezpieczeń niż biuro z zamykanymi na klucz drzwiami. Największym ryzykiem jest sprawdzenie tego dopiero po incydencie, kiedy poprawki są dużo droższe niż profilaktyka. Jeśli nie wiesz, od czego zacząć, audyt bezpieczeństwa albo krótka rozmowa przez kontakt to prostszy pierwszy krok niż próba ogarnięcia tego wszystkiego samemu w jedno popołudnie.