MFA, hasła i poczta – podstawowe zabezpieczenia małej firmy

Najkrotsza odpowiedź

Zabezpieczenie małej firmy zaczyna sie od trzech obszarow: konta i dostępy (MFA oraz menedzer hasel), poczta (SPF, DKIM, DMARC), oraz backup danych i poczty. Kazdy z tych obszarow można wdrozyc stopniowo, bez przestojow w pracy i bez korporacyjnej infrastruktury. Skutecznosc tych srodkow jest wysoka przy stosunkowo niskim nakladzie pracy – pod warunkiem ze konfiguracja jest poprawna i konsekwentnie stosowana przez caly zespol.

Dlaczego mała firma jest celem atakow

Powszechne przekonanie, że hakerzy atakuja tylko duże korporacje, jest jednym z najczęstszych bledow w mysleniu o bezpieczenstwie. W praktyce male firmy sa atrakcyjnym celem z kilku powodow: rzadziej maja wdrozone podstawowe zabezpieczenia, czesto korzystaja z wielokrotnie uzywanych hasel, a ich pracownicy nie przechodzili zadnych szkolen z rozpoznawania phishingu.

Najczęstsze scenariusze w małych firmach to: przejecie skrzynki pocztowej i rozsylanie fałszywych faktur do kontrahentow, logowanie sie do firmowego konta ksiegowego po wycieku hasła z innego serwisu, a takze zaszyfrowanie danych przez ransomware po kliknieciu w zainfekowany zalacznik.

Zaden z tych scenariuszy nie wymaga zaawansowanego ataku technicznego. Wszystkie trzy można znacznie utrudnic przez wdrożenie MFA, unikalnych hasel i poprawnej konfiguracji poczty.

MFA – weryfikacja dwuetapowa: gdzie wlaczyc ja najpierw

MFA (Multi-Factor Authentication), czyli weryfikacja dwuetapowa, polega na tym, że poza hasłem wymagany jest drugi element potwierdzenia tozsamosci – najczęściej kod z aplikacji na telefonie lub powiadomienie push.

Nawet jesli hasło wycieknie, osoba nieuprawniona nie wejdzie na konto bez dostępu do drugiego skladnika. W praktyce MFA blokuje zdecydowana wiekszosc atakow opartych na wycieku lub odgadnieciu hasła.

Gdzie wlaczyc MFA w pierwszej kolejnosci:
– poczta firmowa (Google Workspace, Microsoft 365 lub inna) – to najwazniejszy punkt, bo przez pocztę można zresetowac dostępy do prawie wszystkiego,
– panel administracyjny domeny i hostingu,
– narzedzia ksiegowe i fakturowanie online,
– systemy CRM i sprzedazowe,
– dostęp zdalny do komputerów i sieci firmowej.

Najwygodniejsze aplikacje MFA dla małych firm to Google Authenticator, Microsoft Authenticator lub Aegis (Android). Kody SMS działają, ale sa mniej bezpieczne niz aplikacja – o ile to możliwe, warto uzyc aplikacji.

Wazna uwaga techniczna przed wdrożeniem: przed wlaczeniem MFA warto zapisac kody zapasowe (recovery codes) i ustalić procedure na wypadek zgubienia telefonu. Bez tego można trwale stracic dostęp do konta.

Menedzer hasel – jeden punkt porządku zamiast chaosu

Uzywanie tego samego hasła do kilku serwisow to jeden z najczęstszych powodow przejecia konta. Kiedy jedno z narzedzi online ma wyciek bazy uzytkownikow, atakujacy sprawdza te same dane logowania w dziesiatkach innych serwisow. Jesli hasło sie powtarza, dostęp jest natychmiastowy.

Menedzer hasel rozwiazuje ten problem praktycznie: generuje unikalne, silne hasło dla kazdego serwisu i zapamietuje je za uzytkownika. Pracownik musi pamietac tylko jedno hasło glowne.

Praktyczne opcje dla małych firm:
– Bitwarden – darmowy plan dla pojedynczych uzytkownikow, platny plan teamowy z udostepnianiem hasel,
– 1Password Teams – przejrzysty interfejs, wygodne udostepnianie w zespole,
– KeePassXC – rozwiazanie lokalne bez chmury, dla firm preferujacych pelna kontrole danych.

Co wdrozyc w firmie:
– kazdy pracownik ma swoje konto w menedzerze hasel,
– wspolne dostępy (np. do skrzynki info@, konta na platformie kurierskiej) sa udostepniane przez funkcje organizacyjne menedzera, nie przez wyslanie hasła w SMSie,
– hasła do systemów firmowych nie sa zapisywane w przeglądarce na sluzbowym komputerze wspoldzielonym.

Najtrudniejszy etap to zmiana nawykow, nie konfiguracja techniczna. Wdrożenie menedzera hasel warto przeprowadzic krok po kroku: zacząć od najważniejszych kont i stopniowo przenosic pozostale.

SPF, DKIM i DMARC – dlaczego poczta firmowa wymaga konfiguracji DNS

Trzy rekordy DNS – SPF, DKIM i DMARC – to mechanizmy uwierzytelniania poczty elektronicznej. Bez nich kazdy może technicznie wyslac wiadomosc, ktora wygladem przypomina maila od Twojej firmy. To jedno z najczęstszych narzedzi w atakach phishingowych na kontrahentow.

Co robi kazdy z rekordow:

SPF (Sender Policy Framework) – okreslasz w DNS, które serwery pocztowe maja prawo wysylac maile z Twojej domeny. Jesli wiadomosc przychodzi z innego serwera, serwer odbiorcy może ja odrzucic lub oznaczyc jako podejrzana.

DKIM (DomainKeys Identified Mail) – kazdy wyslany mail jest podpisywany kryptograficznie. Serwer odbiorcy może zweryfikowac, czy mail rzeczywiscie pochodzi z Twojego serwera i nie byl modyfikowany w drodze.

DMARC (Domain-based Message Authentication, Reporting and Conformance) – latazy SPF i DKIM, definiujesz polityke: co zrobić z mailami, które nie przechodza weryfikacji (ignoruj, kwarantanna lub odrzuc), i opcjonalnie dostajesz raporty o probach podszywania sie pod Twoja domene.

Konfiguracja w praktyce:
– SPF i DKIM sa zazwyczaj dostępne w panelach Google Workspace i Microsoft 365 – czesto wystarczy skopiowac podane wartosci do DNS domeny,
– DMARC wymaga osobnego rekordu TXT w DNS; warto zacząć od polityki p=none (monitoring) i przejsc na p=quarantine lub p=reject po weryfikacji, że legalna poczta przechodzi poprawnie,
– jesli korzystasz z kilku narzedzi do wysylki (np. system fakturowania, newsletter, formularz kontaktowy), kazde z nich może wymagac wpisu w rekordzie SPF.

Brak tych konfiguracji nie zablokuje wysylki poczty, ale oznacza, że Twoja domena może byc uzyता do podszywania sie – a maile od Twojej firmy czesciej trafiaja do spamu u odbiorcow.

Uprawnienia pracownikow – zasada ograniczonego dostępu

Im więcej osob ma dostęp do wszystkiego, tym wieksze ryzyko wycieku – przez pomylke, phishing lub odejscie pracownika z firmy.

Praktyczna zasada: kazdy pracownik powinien miec dostęp tylko do tych zasobow, ktorych faktycznie potrzebuje do swojej pracy. Nazywa sie to zasada najmniejszych uprawnien.

Co warto zrobić w małej firmie:
– w Google Workspace lub Microsoft 365 sprawdz, kto jest administratorem – administratorami powinny byc tylko osoby, które faktycznie zarzadzaja kontami,
– wspoldzielone skrzynki i dokumenty udostepniaj przez konta, nie przez wyslanie hasła,
– ustal procedure offboardingu: co sie dzieje z kontem pracownika, ktory odchodzi z firmy – najczęściej nalezy zablokowac konto, zmienić hasła do wspolnych zasobow, do ktorych mial dostęp, i odebrac dostęp do paneli zewnetrznych,
– hasła do kont wspolnych (np. konto platformy kurierskiej, sklep online) zmieniaj po odejsciu kazdego pracownika, ktory z nich korzystal.

W praktyce wiele małych firm ma kilka osob z uprawnieniami administratora i brak jakiejkolwiek listy dostępu. To nie jest zarzut – to po prostu punkt startowy do porządkowania, które zajmuje kilka godzin.

Backup poczty – co sie dzieje, gdy skrzynka zostanie przejeta lub usunieta

Skrzynka pocztowa to jeden z najważniejszych zasobow informacyjnych w małej firmie: zamowienia, umowy, korespondencja z urzedami, faktury, dane klientow. Jesli zostanie przejeta, usunieta lub zablokowana, skutki moga byc powazne.

Co może sie stac bez backupu poczty:
– atakujacy przejmuje skrzynke i usuwa maile przed odzyskaniem dostępu,
– przypadkowe usuniecie waznych wiadomosci przez pracownika bez możliwości odtworzenia,
– usuniecie konta przez dostawce (np. po braku oplatą lub bledzie administracyjnym),
– zakonczenie wspolpracy z pracownikiem i utrata historii korespondencji z klientami.

Podejscie do backupu poczty zalezne od uzywanej platformy:
– Google Workspace i Microsoft 365 maja wbudowane mechanizmy retencji, ale domyslne ustawienia nie zawsze sa wystarczajace dla małej firmy – warto sprawdzic polityki usuniecia i retencji,
– dla waznych skrzynek można uzyc zewnetrznych narzedzi do archiwizacji (np. Vaultastic, Barracuda lub lokalne rozwiazania IMAP),
– prosta metoda dla bardzo małych firm: periodyczny eksport poczty do pliku lokalnego lub zewnetrznego dysku jako dodatkowe zabezpieczenie.

Backup poczty to część szerszego tematu backupu firmowego. Jesli chcesz wdrozyc kompleksowe rozwiazanie, możesz zapoznac sie z tematem backupu i NAS dla firm.

Jak zacząć – kolejnosc działań dla właściciela małej firmy

Najczestszy blad to probowanie wdrożenia wszystkiego naraz i porzucenie po pierwszych trudnosciach. Zamiast tego warto działać etapami:

Etap 1 – Konta i MFA (pierwsza godzina):
– wlacz MFA na skrzynce pocztowej właściciela,
– wlacz MFA na panelu domeny i hostingu,
– pobierz aplikacje menedzera hasel i dodaj najważniejsze konta.

Etap 2 – Poczta i DNS (kilka godzin technicznych):
– sprawdz, czy domena ma poprawny rekord SPF,
– wlacz DKIM w panelu Google Workspace lub Microsoft 365,
– dodaj rekord DMARC z polityka monitoringu,
– jesli korzystasz z zewnetrznych narzedzi do wysylki, sprawdz ich autoryzacje w SPF.

Etap 3 – Uprawnienia i backup (kilka godzin organizacyjnych):
– przejrzyj liste kont administratorow,
– ustal procedure na wypadek odejscia pracownika,
– sprawdz ustawienia retencji poczty w uzywanych platformach.

Etap 4 – Szkolenie i nawyki:
– przygotuj krótka instrukcje dla pracownikow: jak rozpoznac podejrzany mail, co robic z prosba o hasło lub platnosc przez maila, jak uzywac menedzera hasel.

Jesli brakuje czasu lub pewnosci co do poprawnosci konfiguracji, wdrożenie tych elementów można zlecic w ramach podstawowego przeglądu zabezpieczeń.

Kiedy warto zamowic pomoc zamiast robic to samodzielnie

Opisane wyzej kroki można wdrozyc samodzielnie – dokumentacja Google Workspace i Microsoft 365 jest dobrze napisana, a konfiguracja rekordow DNS jest wykonalna bez wiedzy technicznej.

Warto rozwazyc skorzystanie z pomocy informatyka w nastepujacych sytuacjach:
– konfiguracja DNS i SPF/DKIM/DMARC budzi watpliwosci – bledna konfiguracja może spowodowac, że legalna poczta trafi do spamu lub w ogole nie bedzie wysylana,
– firma korzysta z kilku narzedzi do wysylki maili (system ERP, fakturowanie, formularz kontaktowy, newsletter) i trudno je wszystkie skoordynowac w SPF,
– chcesz jednorazowo sprawdzic stan konfiguracji bezpieczeństwa i dostac liste rzeczy do poprawy,
– planujesz wdrożenie MFA dla kilku pracownikow i chcesz miec pewnosc, że nie stracisz dostępu do kont,
– interesuje Cie stala opieka IT, żeby nie wracac do tych tematow przy kazdej zmianie.

Wdrożenie MFA, menedzera hasel i podstaw konfiguracji poczty może byc pierwszym etapem stalej obsługi IT – zamiast reagowac na problemy, firma ma regularnie weryfikowane podstawy bezpieczeństwa.

FAQ