Wiedza / Zgodność
Cyberhigiena w firmie — czego wymaga ustawa i jak to udowodnić
Ustawa o krajowym systemie cyberbezpieczeństwa wymienia „podstawowe zasady cyberhigieny" wśród obowiązkowych środków, ale nigdzie ich nie definiuje. To nie przeoczenie ustawodawcy — to celowe pozostawienie treści po stronie organizacji. Poniżej konkretny zakres, który da się wdrożyć i pokazać kontrolującemu.
Gdzie dokładnie siedzi ten obowiązek
W art. 8 ust. 1 pkt 2 ustawy o KSC, w wyliczeniu środków technicznych i organizacyjnych, które musi obejmować system zarządzania bezpieczeństwem informacji podmiotu kluczowego lub ważnego:
lit. j) „podstawowe zasady cyberhigieny"
To dwa osobne punkty i warto to zauważyć, bo bywają mylone. Edukacja to działanie — szkolisz ludzi. Cyberhigiena to stan utrzymywany na co dzień: zestaw nawyków i ustawień, które mają obowiązywać niezależnie od tego, kiedy odbyło się ostatnie szkolenie. Wykazanie jednego nie zwalnia z drugiego.
Źródłem obu jest dyrektywa NIS2 — jej art. 21 ust. 2 lit. g wymaga stosowania „podstawowych praktyk cyberhigieny i szkoleń w zakresie cyberbezpieczeństwa". Preambuła dyrektywy podpowiada, co się pod tym kryje: zasady zerowego zaufania, aktualizacje oprogramowania, konfiguracja urządzeń, segmentacja sieci, zarządzanie tożsamością i dostępem oraz świadomość użytkowników, w tym szkolenia dotyczące phishingu i technik inżynierii społecznej.
Osiem obszarów, które składają się na cyberhigienę
Poniższy zakres nie jest cytatem z ustawy — to praktyczne rozwinięcie wskazówek dyrektywy w formie, którą da się wpisać do polityki i odhaczyć na audycie.
| Obszar | Minimum, które się broni | Dowód na audyt |
|---|---|---|
| Uwierzytelnianie | MFA na poczcie, VPN i kontach uprzywilejowanych; menedżer haseł zamiast powtarzanych haseł | Raport pokrycia MFA z katalogu tożsamości |
| Aktualizacje | Automatyczne łatanie systemów i przeglądarek; okno serwisowe dla serwerów | Raport zgodności z polityką aktualizacji |
| Zarządzanie dostępem | Zasada minimalnych uprawnień, przegląd uprawnień co najmniej raz w roku, natychmiastowe odbieranie dostępu przy odejściu | Rejestr przeglądów, checklista offboardingu |
| Kopie zapasowe | Kopia offline lub niezmienna; testowe odtworzenie, nie tylko wykonanie kopii | Protokół z próbnego odtworzenia z datą |
| Konfiguracja urządzeń | Szyfrowanie dysków, blokada ekranu, kontrola nośników USB, MDM dla telefonów | Eksport polityk z konsoli zarządzania |
| Poczta i domena | SPF, DKIM i DMARC w trybie egzekwującym; oznaczanie poczty z zewnątrz | Zrzut rekordów DNS i raporty DMARC |
| Zgłaszanie incydentów | Jeden znany kanał, znany każdemu pracownikowi; kultura zgłaszania bez karania | Procedura + statystyki zgłoszeń pracowniczych |
| Świadomość | Cykliczne szkolenia z weryfikacją wiedzy i regularne symulacje phishingu | Rejestr ukończeń, wyniki kampanii |
Dlaczego to nie jest lista dla działu IT
Połowa powyższych pozycji zależy od zachowania zwykłych użytkowników, a nie od konfiguracji serwera. MFA obchodzi się zmęczeniem powiadomieniami, a nie łamaniem kryptografii. Menedżer haseł nie pomoże, jeśli hasło główne wisi na karteczce. Kanał zgłoszeń nie zadziała, jeśli ludzie boją się przyznać do kliknięcia.
Jak często to odświeżać
Ustawa nie podaje częstotliwości dla cyberhigieny personelu — wskazuje ją tylko dla kadry kierowniczej: art. 8e ust. 1 wymaga szkolenia raz w roku kalendarzowym, a ust. 3 dodaje, że udział musi być udokumentowany. Dla pozostałych pracowników rozsądny rytm, który obroni się jako „odpowiedni i proporcjonalny do ryzyka", wygląda tak:
| Działanie | Częstotliwość | Uzasadnienie |
|---|---|---|
| Szkolenie wdrożeniowe nowego pracownika | przy zatrudnieniu | Największe ryzyko dotyczy osób bez znajomości procedur |
| Szkolenie odświeżające personel | raz w roku | Spójne z rytmem obowiązku kierowniczego z art. 8e |
| Krótkie moduły tematyczne | kwartalnie | Utrzymuje czujność między szkoleniami rocznymi |
| Symulacja phishingowa | kwartalnie | Mierzy stan faktyczny, nie deklarowany |
| Szkolenie kierownictwa | raz w roku kalendarzowym | Wymóg wprost — art. 8e ust. 1 i 3 |
Cztery błędy, które psują dowód
- Polityka bez potwierdzenia zapoznania. Dokument w intranecie nie dowodzi, że ktokolwiek go przeczytał. Art. 8d pkt 4 mówi o zapewnieniu, że personel „jest świadomy" — to obowiązek rezultatu.
- Szkolenie bez weryfikacji wiedzy. Lista obecności pokazuje, kto był na sali. Wynik testu pokazuje, kto zrozumiał.
- Symulacja traktowana jako kontrola pracownika. Publiczna lista osób, które kliknęły, niszczy kulturę zgłaszania i rodzi ryzyko po stronie prawa pracy. Zobacz symulacje phishingu a RODO.
- Jednorazowa akcja przed audytem. Cyberhigiena to stan ciągły — jedno szkolenie sprzed trzech lat nie wykazuje niczego poza tym, że temat kiedyś zauważono.
Od czego zacząć, jeśli nie ma nic
Kolejność, która daje najwięcej pokrycia najniższym kosztem:
- Tydzień 1 — MFA na poczcie i kontach administracyjnych. Pojedyncza zmiana eliminująca najwięcej scenariuszy przejęcia konta.
- Tydzień 2 — jeden kanał zgłaszania podejrzanych wiadomości plus jasny komunikat, że zgłoszenie nigdy nie kończy się konsekwencjami.
- Miesiąc 1 — szkolenie bazowe dla całego personelu z testem wiedzy i imiennym rejestrem ukończeń.
- Miesiąc 2 — pierwsza symulacja phishingowa jako pomiar odniesienia, bez komunikowania wyników indywidualnych.
- Miesiąc 3 — szkolenie kierownictwa w zakresie z art. 8e ust. 2 i uzupełnienie dokumentacji.
Cyberhigiena z dowodem w komplecie
Platforma prowadzi szkolenie, weryfikuje wiedzę testem i generuje imienne certyfikaty z datą — osobno dla personelu i dla kadry kierowniczej. Napisz, ilu macie pracowników i w jakich rolach, a odeślemy propozycję ścieżki szkoleniowej z wyceną.