Zanim zamówisz bezpłatny audyt bezpieczeństwa IT, możesz w 10 minut sam sprawdzić, w jakim miejscu jest Twoja firma. Wystarczy dziesięć pytań, na które odpowiadasz “tak” albo “nie”. Bez programów, bez logowania do serwerów i bez fachowego słownictwa. Pytania układałem tak, żeby odpowiedział na nie właściciel firmy, a nie informatyk.
1. Po co test, zanim zamówisz audyt
W małych firmach informatyka zwykle “jakoś działa”. Komputery się włączają, poczta przychodzi, faktury wychodzą. Problem w tym, że większość luk w bezpieczeństwie nie daje żadnych objawów aż do dnia, w którym coś się stanie. Kopia zapasowa, której nikt nie sprawdzał, wygląda dokładnie tak samo jak kopia, która działa.
A tych dni jest coraz więcej. Według raportu rocznego CERT Polska za 2025 rok zespół zarejestrował 260 783 incydenty, o 152% więcej niż rok wcześniej. Zdecydowana większość to oszustwa komputerowe, czyli dokładnie to, co trafia do skrzynek zwykłych firm, a nie tylko banków i ministerstw.
Ten test nie zastąpi audytu. Daje za to coś, czego często brakuje na starcie. Uczciwą odpowiedź na pytanie, czy w ogóle jest się czym martwić.
2. Jak liczyć odpowiedzi
Weź kartkę i przy każdym pytaniu zapisz “tak” albo “nie”. Odpowiedź “nie wiem” licz jako “nie”. To nie jest złośliwość. Jeśli właściciel firmy nie wie, czy kopie zapasowe działają, to w praktyce nikt tego nie pilnuje. Na końcu policz, ile masz odpowiedzi “nie”.
3. Dziesięć pytań
Pytanie 1. Czy w ostatnim roku ktoś odtworzył plik z kopii zapasowej?
Nie pytam, czy kopie są robione. Pytam, czy ktoś sprawdził, że da się z nich coś odzyskać. CERT Polska w zaleceniach dotyczących kopii bezpieczeństwa wymienia testy odtworzeniowe jako osobny, konieczny element, bo dopiero one pokazują, czy procedura działa i ile czasu zajmuje. Kopia, której nikt nigdy nie odtworzył, to tylko nadzieja na kopię. Więcej o tym, dlaczego jedna kopia nie wystarcza, piszę w artykule o backupie danych firmowych.
Pytanie 2. Czy masz u siebie dostęp do panelu strony internetowej i domeny?
To pytanie zaskakuje wiele osób. Stronę zrobiła agencja albo znajomy kilka lat temu, domenę zarejestrował ktoś “na chwilę” na swoje dane, a hasła są u niego. Dopóki wszystko działa, nikt o tym nie myśli. Kłopot zaczyna się, gdy domena wygasa, strona przestaje działać albo trzeba zmienić coś w poczcie, a osoba z hasłami nie odbiera telefonu. Odpowiedz “tak” tylko wtedy, gdy dane do logowania są w firmie, a domena jest zarejestrowana na firmę.
Pytanie 3. Czy logowanie do firmowej poczty wymaga kodu z telefonu?
Chodzi o uwierzytelnianie dwuskładnikowe, czyli hasło plus kod z aplikacji albo SMS. To najtańsza i najskuteczniejsza ochrona skrzynki, jaką znam. Badanie Microsoft Research wykazało, że takie logowanie zmniejsza ryzyko przejęcia konta o 99,22%, a nawet przy haśle, które już wyciekło, o 98,56%. Poczta to klucz do wszystkiego innego, bo przez nią resetuje się hasła do banku, księgowości i portali.
Pytanie 4. Czy wszystkie komputery mają system, który dostaje poprawki bezpieczeństwa?
Najczęstszy problem w 2026 roku ma konkretną nazwę. Windows 10. Według Microsoftu jego wsparcie zakończyło się 14 października 2025 roku i system nie dostaje już poprawek. Firmy mogą wykupić płatne rozszerzenie, które Microsoft wycenia na 61 dolarów za komputer w pierwszym roku, z ceną rosnącą w kolejnych latach. To ma znaczenie, bo według raportu Verizon DBIR 2026 wykorzystanie niezałatanych luk było najczęstszym sposobem wejścia do sieci małych i średnich firm. O tym, jak ogarnąć aktualizacje bez przestojów, piszę w artykule o aktualizacjach systemów w firmie.
Pytanie 5. Czy ktoś dostaje informację, gdy antywirus coś wykryje?
Sam antywirus na komputerze to dziś minimum. Ważniejsze pytanie brzmi, czy ktokolwiek się dowie, że coś znalazł. Jeśli komunikat wyskakuje tylko pracownikowi, który go zamyka i pracuje dalej, firma nie wie o problemie. Odpowiedz “tak”, jeśli ochrona jest na każdym komputerze i ktoś konkretny widzi jej alarmy.
Pytanie 6. Czy hasła firmowe są w menedżerze haseł?
Zeszyt w szufladzie, plik Excel na pulpicie i karteczki pod klawiaturą to “nie”. CERT Polska pisze wprost, że zapamiętanie silnego, innego hasła do każdego konta jest nierealne i rozwiązaniem jest menedżer haseł. Jak to wygląda w praktyce i czego menedżer nie załatwi, opisałem w tekście o menedżerze haseł dla firmy.
Pytanie 7. Czy konta byłych pracowników są blokowane w dniu ich odejścia?
Brzmi oczywiście, a zdarza się nagminnie, także w instytucjach, które mają procedury. Najwyższa Izba Kontroli sprawdziła 240 osób, które odeszły z kontrolowanych urzędów. 52 z nich, czyli 22%, nadal miały aktywne konta. W małej firmie bez listy kont skala bywa podobna, tylko nikt jej nie liczy. Odpowiedz “tak”, jeśli przy odejściu ktoś zmienia hasła i wyłącza dostęp do poczty, plików i programów.
Pytanie 8. Czy goście łączą się z osobną siecią Wi-Fi?
Klient w poczekalni, kurier czy znajomy pracownika nie powinien być w tej samej sieci co komputer z księgowością. CERT Polska zaleca rozdzielanie sieci dla grup o różnym poziomie zaufania, w tym gości, bo wtedy zainfekowane urządzenie nie dosięgnie reszty firmy. Większość routerów ma opcję sieci dla gości, często po prostu nikt jej nie włączył.
Pytanie 9. Czy wiesz, do kogo dzwonisz, gdy padnie poczta albo podejrzewasz atak?
Nie chodzi o “jakoś się znajdzie”. Chodzi o konkretną osobę albo firmę, z numerem zapisanym w telefonie, która zna Twoją infrastrukturę. W godzinie awarii nie ma czasu szukać informatyka w internecie. Warto też wiedzieć, że incydenty można zgłaszać do CERT Polska przez formularz na incydent.cert.pl.
Pytanie 10. Czy firma przetrwa dzień bez najważniejszego komputera?
Wyobraź sobie, że jutro rano komputer, na którym jest księgowość albo program do zamówień, nie włącza się. Czy wiesz, jak szybko wrócisz do pracy? Jeśli odpowiedź brzmi “kilka dni” albo “nie wiem”, to jest “nie”. Ten sam scenariusz dotyczy ataku ransomware, który szyfruje dane. Według Verizon DBIR 2025 ransomware pojawiał się w 88% naruszeń w małych i średnich firmach, wyraźnie częściej niż w dużych organizacjach.
4. Co oznacza Twój wynik
0 do 2 odpowiedzi “nie”. Masz dobre podstawy. Zajmij się brakującymi punktami w najbliższych tygodniach i wracaj do tego testu raz na pół roku, bo firmy zmieniają się szybciej, niż się wydaje.
3 do 5 odpowiedzi “nie”. Nic jeszcze się nie stało, ale kilka luk naraz sprawia, że jedno zdarzenie, na przykład awaria dysku albo przejęta skrzynka, może kosztować dni pracy. Warto ustalić kolejność poprawek, zaczynając od kopii zapasowych i poczty.
6 i więcej odpowiedzi “nie”. Firma działa dzięki temu, że do tej pory miała szczęście. To nie jest ocena Ciebie, tylko stanu, w którym jest wiele firm bez osoby odpowiedzialnej za IT. Tu nie ma sensu poprawiać wszystkiego naraz. Potrzebny jest plan, co zrobić w tym tygodniu, a co może poczekać miesiąc.
5. Czego ten test nie pokaże
Test ma jedno poważne ograniczenie. Opiera się na tym, co wiesz albo co Ci się wydaje. Odpowiedź “tak, kopie są robione” bywa prawdziwa do dnia, w którym okazuje się, że ostatnia udana kopia jest sprzed pół roku. Z doświadczenia wiem, że różnica między tym, co właściciel firmy sądzi o swoim IT, a tym, jak jest naprawdę, to zwykle najciekawsza część rozmowy.
Test nie pokaże też, jak Twoja firma wygląda z zewnątrz, czyli tego, co widzi każdy, kto zajrzy na Twoją stronę albo dostanie maila z Twojej domeny. I nie powie, którą z luk zamknąć najpierw w Twojej branży.
Dlatego przygotowałem bezpłatny audyt bezpieczeństwa IT dla małych firm. To krótka ankieta, na którą odpowiadasz zwykłym językiem, sprawdzenie od strony technicznej i raport z planem, co poprawić w pierwszej kolejności. Jeśli wynik pokaże poważne problemy albo firma ma bardziej złożoną infrastrukturę, następnym krokiem może być pełny audyt bezpieczeństwa.
6. Podsumowanie
Dziesięć pytań nie zrobi z nikogo specjalisty od bezpieczeństwa, ale wystarczy, żeby przestać zgadywać. Jeśli masz choć jedno “nie” przy kopiach zapasowych albo poczcie, zacznij od tego, bo tam najszybciej da się uniknąć dużej straty.
Jeśli chcesz sprawdzić to dokładniej, zgłoś firmę do bezpłatnego audytu IT i użyj kodu RALKOM26. Jeden bezpłatny audyt na firmę, bez zobowiązań. A jeśli wolisz najpierw porozmawiać, napisz do mnie.