Jak ocenić ryzyko cyberbezpieczeństwa w małej firmie?

Ocena ryzyka cyberbezpieczeństwa w małej firmie nie musi zaczynać się od skomplikowanej metodyki, audytu ani kilkudziesięciu stron dokumentacji. Jej podstawowy cel jest prosty: ustalić, co może się wydarzyć, jak bardzo zaszkodzi firmie i które problemy trzeba rozwiązać najpierw.

Dobra analiza ryzyka pomaga uniknąć przypadkowych decyzji. Zamiast kupować kolejne narzędzie „bo może się przydać”, firma może ustalić, czy większym problemem jest brak MFA na poczcie, jedna kopia danych podłączona na stałe do sieci, niezaktualizowany router, dostęp byłego pracownika czy brak planu reakcji po przejęciu konta.

Jeżeli dopiero porządkujesz bezpieczeństwo firmy, zacznij od naszego szerszego poradnika Cyberbezpieczeństwo w małej firmie – od czego zacząć? Praktyczna checklista. Tutaj skupimy się już tylko na ocenie ryzyka.

Z tego artykułu dowiesz się:

jak zrobić prostą analizę ryzyka bez specjalistycznego oprogramowania,
jak wybrać najważniejsze procesy, dane i systemy,
jak tworzyć realne scenariusze zagrożeń,
jak oceniać prawdopodobieństwo i skutki,
jak uwzględnić istniejące zabezpieczenia,
jak zdecydować, które ryzyka ograniczać w pierwszej kolejności,
kiedy potrzebna jest bardziej formalna metodyka.

Analiza ryzyka nie powinna zaczynać się od listy wirusów

Łatwo wpaść w pułapkę tworzenia listy zagrożeń: ransomware, phishing, wyciek danych, awaria serwera, kradzież laptopa, atak na stronę WWW. Sama lista niewiele jednak mówi.

Ryzyko ma znaczenie dopiero wtedy, gdy połączysz zagrożenie z konkretnym elementem działalności firmy. Phishing na skrzynkę, która nie ma dostępu do ważnych systemów, może być mniej istotny niż phishing na konto właściciela używane do resetowania haseł do bankowości, domeny i hostingu.

Dlatego lepiej zaczynać od pytania:

Co w tej firmie musi działać, żebyśmy mogli świadczyć usługi, sprzedawać, wystawiać dokumenty i kontaktować się z klientami?

Dopiero później sprawdzamy, co może przerwać lub zakłócić te procesy.

Krok 1. Spisz najważniejsze procesy i zasoby

Nie trzeba od razu inwentaryzować każdej aplikacji i każdego kabla w biurze. Na początek wystarczy lista najważniejszych elementów, bez których firma miałaby realny problem.

Typowy zestaw dla małej firmy może obejmować:

pocztę firmową,
bankowość i płatności,
księgowość oraz fakturowanie,
CRM lub bazę klientów,
sklep internetowy albo stronę WWW,
dokumenty i pliki projektowe,
serwer, NAS lub chmurę,
komputery osób kluczowych dla działalności,
telefon używany do 2FA i kontaktu z klientami,
domenę, hosting i konta administratorów,
backup.

Przy każdym elemencie dopisz właściciela lub osobę odpowiedzialną. Jeśli nie jest jasne, kto powinien odpowiadać za poszczególne obszary, zobacz poradnik Kto odpowiada za cyberbezpieczeństwo w firmie?. Następnie odpowiedz na dwa pytania:

jak długo firma może działać bez tego zasobu,
czy potrafimy go odtworzyć lub zastąpić.

Jeżeli odpowiedź brzmi „nie wiemy”, to samo w sobie jest sygnałem ryzyka.

Krok 2. Twórz scenariusze, a nie ogólne hasła

Zamiast wpisywać do arkusza „phishing”, lepiej zapisać:

Pracownik podaje hasło do Microsoft 365 na fałszywej stronie, a atakujący uzyskuje dostęp do firmowej poczty i próbuje przejąć kolejne konta.

Zamiast „ransomware”:

Zainfekowany komputer ma dostęp do wspólnego dysku i kopii zapasowej, przez co ransomware szyfruje dane produkcyjne oraz backup dostępny z sieci.

Zamiast „awaria hostingu”:

Sklep internetowy jest niedostępny przez dwa dni, firma traci zamówienia, a zespół nie ma przygotowanego alternatywnego kanału sprzedaży.

Scenariusz powinien łączyć cztery elementy:

zasób lub proces – co jest zagrożone,
zdarzenie – co może się stać,
przyczyna lub słabość – dlaczego jest to możliwe,
skutek – co to oznacza dla firmy.

Dzięki temu ryzyko można rzeczywiście ocenić i przypisać do konkretnego działania.

Krok 3. Oceń prawdopodobieństwo

Małej firmie wystarczy prosta skala, np. od 1 do 5. Nie chodzi o matematyczną precyzję, ale o konsekwentne porównanie scenariuszy.

Ocena	Przykładowa interpretacja
1	Bardzo mało prawdopodobne; wymaga nietypowych warunków.
2	Mało prawdopodobne, ale realne.
3	Może się wydarzyć; firma ma ekspozycję na taki scenariusz.
4	Prawdopodobne; podobne zdarzenia są częste albo zabezpieczenia są słabe.
5	Bardzo prawdopodobne lub firma obserwowała już takie próby/incydenty.

Przy ocenie nie patrz tylko na „popularność” ataku. Zwróć uwagę również na własną ekspozycję. Jeżeli firma codziennie otrzymuje dziesiątki wiadomości z załącznikami od nieznanych nadawców, phishing i złośliwe pliki będą miały inne prawdopodobieństwo niż w organizacji, gdzie poczta służy głównie do kontaktu wewnętrznego.

Dobrym przykładem jest phishing. Sam mechanizm opisujemy w poradniku Phishing – co to jest, jak go rozpoznać i jak się chronić?. W analizie ryzyka ważniejsze jest jednak pytanie, które konta mogą zostać przez phishing przejęte i do czego napastnik dostanie się dalej.

Krok 4. Oceń wpływ na firmę

Drugą częścią oceny jest skutek. Nie ograniczaj go do kosztu naprawy komputera. Cyberincydent może wpływać na kilka obszarów jednocześnie:

utrata przychodów,
przerwa w działaniu,
utrata lub ujawnienie danych,
koszt odtworzenia systemów,
utrata dostępu do kont,
problemy z klientami i partnerami,
konsekwencje prawne lub umowne,
utrata reputacji,
konieczność pracy ręcznej lub odtworzenia dokumentów.

Tu również można zastosować skalę 1–5:

Ocena	Przykładowy skutek
1	Niewielkie utrudnienie bez istotnej przerwy w pracy.
2	Ograniczony problem, łatwy do usunięcia w krótkim czasie.
3	Wyraźne zakłócenie pracy, koszt lub utrata części danych.
4	Poważna przerwa w działalności, istotne straty lub incydent dotyczący klientów.
5	Zdarzenie zagrażające ciągłości firmy, kluczowym danym lub możliwości dalszego działania.

Skala jest pomocnicza. Najważniejsze, żeby firma stosowała ją w podobny sposób dla wszystkich scenariuszy.

Krok 5. Połącz prawdopodobieństwo ze skutkiem

Najprostszym modelem jest pomnożenie prawdopodobieństwa przez wpływ. Jeśli oba elementy oceniasz od 1 do 5, wynik mieści się w zakresie od 1 do 25.

Przykładowo:

Scenariusz	Prawdopodobieństwo	Wpływ	Wynik
Przejęcie poczty właściciela bez MFA	4	5	20
Ransomware na komputerze z dostępem do wspólnego dysku	3	4	12
Kradzież telefonu służbowego zabezpieczonego PIN-em i szyfrowaniem	2	3	6
Awaria drukarki	3	1	3

To nie jest uniwersalny standard ani „jedyny poprawny” sposób liczenia ryzyka. Dla małej firmy jest jednak wystarczająco prosty, aby wymusić priorytety. Problem z wynikiem 20 powinien zwrócić uwagę wcześniej niż zdarzenie ocenione na 3.

Krok 6. Uwzględnij zabezpieczenia, które już masz

Ta sama sytuacja może mieć zupełnie inne ryzyko w dwóch firmach.

Przykład: przejęcie hasła do poczty.

Firma A: jedno hasło, brak MFA, brak monitoringu logowań, skrzynka służy do resetowania wszystkich pozostałych kont.

Firma B: unikalne hasło, MFA, ograniczone sesje, powiadomienia o logowaniach i dodatkowe zabezpieczenia kont administratorów.

Zagrożenie jest podobne, ale poziom ryzyka po uwzględnieniu zabezpieczeń – zdecydowanie inny.

Dlatego przy każdym scenariuszu zapisz, jakie mechanizmy już działają. Mogą to być między innymi:

MFA lub passkeys,
backup offline lub odseparowany,
aktualizacje automatyczne,
ochrona antywirusowa/endpointowa,
ograniczenie uprawnień,
szyfrowanie dysków,
segmentacja sieci,
monitoring logowań,
procedura potwierdzania przelewów,
szkolenie pracowników,
możliwość szybkiego zablokowania konta.

Jeżeli jednym z najważniejszych ryzyk jest przejęcie kont, zobacz także porównanie metod 2FA oraz poradnik co zrobić po ujawnieniu hasła.

Krok 7. Zdecyduj, co zrobić z ryzykiem

Po ocenie nie chodzi o to, żeby wszystkie ryzyka obniżyć do zera. To zwykle niemożliwe i nieopłacalne. Trzeba podjąć decyzję.

W praktyce masz cztery podstawowe możliwości:

ograniczyć – wdrożyć zabezpieczenie, które zmniejszy prawdopodobieństwo lub skutki,
uniknąć – zrezygnować z działania, które tworzy nieakceptowalne ryzyko,
przenieść część ryzyka – np. przez umowę, usługę zewnętrzną lub ubezpieczenie,
zaakceptować – jeśli koszt zabezpieczenia byłby nieproporcjonalny do możliwej szkody.

Najważniejsze jest przypisanie konkretnej czynności, właściciela i terminu.

Zapis „wdrożyć lepsze bezpieczeństwo poczty” jest mało użyteczny. Lepszy wpis wygląda tak:

Do 15 listopada administrator włącza MFA dla wszystkich skrzynek Microsoft 365 i blokuje logowanie starszymi metodami uwierzytelniania.

Wtedy analizę ryzyka można później sprawdzić, zamiast zostawić ją jako arkusz, do którego nikt nie wraca.

Przykładowy rejestr ryzyka dla małej firmy

Ryzyko	Ocena	Obecne zabezpieczenia	Działanie
Phishing przejmuje główną skrzynkę	Wysokie	Silne hasło	Włączyć MFA i sprawdzić metody odzyskiwania konta
Ransomware szyfruje dane i dostępny backup	Wysokie	Backup na NAS	Dodać kopię odseparowaną i przetestować odtwarzanie
Utrata laptopa pracownika	Średnie	Hasło do Windows	Włączyć szyfrowanie dysku i możliwość zdalnego zablokowania
Nieaktualna wtyczka WordPressa umożliwia przejęcie strony	Średnie	Aktualizacje ręczne	Ustalić cotygodniowy przegląd i automatyczne kopie
Awaria drukarki	Niskie	Brak	Zaakceptować ryzyko

Nie chodzi o idealne liczby. Taki rejestr ma przede wszystkim pokazać, gdzie firma ma największą ekspozycję i co z tym robi.

Ryzyko ransomware: dobry test jakości analizy

Ransomware jest dobrym przykładem, ponieważ łączy wiele obszarów naraz. Atak może zacząć się od phishingu, przejętego hasła, niezałatanej usługi zdalnego dostępu albo zainfekowanego urządzenia. Później napastnik może próbować przejąć kolejne konta i usunąć backup.

W praktyce analiza powinna więc sprawdzić nie tylko „czy mamy antywirusa”, ale także jak firma zareaguje po wykryciu ataku. Gotowy schemat pierwszych działań znajdziesz w poradniku Co zrobić po cyberataku w firmie? Pierwsze godziny po incydencie. Analiza powinna sprawdzić między innymi:

czy konta administracyjne mają MFA,
czy dostęp zdalny jest aktualizowany,
czy backup jest odseparowany,
czy firma testowała odtwarzanie,
czy wiadomo, kto może szybko wyłączyć konto lub odłączyć urządzenie,
czy atak na jeden komputer daje dostęp do całej sieci.

Realny przykład takiego łańcucha opisujemy w artykule SafePay ransomware – hasła, VPN, phishing i backup.

Jeżeli backup jest jednym z kluczowych zabezpieczeń, warto dodatkowo sprawdzić poradnik Kopia zapasowa 3-2-1 w małej firmie oraz materiał o tym, jak przetestować realne odtwarzanie danych.

Nie zapomnij o dostawcach

Mała firma często ma niewiele własnej infrastruktury, ale za to bardzo dużo zależności zewnętrznych: hosting, księgowość online, Microsoft 365 lub Google Workspace, CRM, system płatności, sklep SaaS, firma informatyczna, agencja obsługująca stronę.

Dlatego ryzyko dostawcy też powinno pojawić się w analizie. Wystarczy kilka pytań:

czy dostawca ma dostęp administracyjny do naszych systemów,
czy używa indywidualnych kont,
co się stanie, jeśli usługa przestanie działać,
czy możemy wyeksportować swoje dane,
jak odzyskamy kontrolę, jeśli stracimy dostęp do konta,
kto odpowiada za aktualizacje,
jak szybko dostawca poinformuje nas o incydencie.

W wielu małych firmach właśnie zależność od zewnętrznej usługi okazuje się większym ryzykiem niż własny komputer.

Jak często aktualizować analizę ryzyka?

Nie ma sensu robić jej codziennie. Nie warto też tworzyć dokumentu raz i zapomnieć o nim na kilka lat.

Dla małej firmy rozsądne minimum to przegląd:

po poważnym incydencie,
po wdrożeniu nowego systemu lub usługi,
po zmianie dostawcy,
po istotnej zmianie sposobu pracy,
po pojawieniu się nowej ważnej zależności,
okresowo, np. raz lub dwa razy w roku.

Jeśli ryzyko wcześniej ocenione jako wysokie zostało ograniczone, warto zmienić jego ocenę dopiero po sprawdzeniu, że zabezpieczenie naprawdę działa.

Kiedy prosty arkusz przestaje wystarczać?

Opisany wyżej model jest przeznaczony przede wszystkim do uporządkowania cyberbezpieczeństwa w małej firmie. W większych organizacjach, podmiotach regulowanych lub środowiskach wymagających formalnego systemu zarządzania bezpieczeństwem potrzebna może być bardziej szczegółowa metodyka, dokumentacja, rejestr ryzyka i formalny plan postępowania.

Szczególnie istotne jest to w organizacjach objętych wymaganiami NIS2/KSC. Tam analiza ryzyka może być częścią znacznie szerszego systemu obejmującego także procesy, dostawców, ciągłość działania, odpowiedzialności i dokumentowanie decyzji.

Ten bardziej formalny poziom opisuje Omegasoft w materiale Analiza ryzyka NIS2 – aktywa, procesy, dostawcy i plan postępowania z ryzykiem.

Dla firmy, która nie podlega takim wymaganiom, nadal warto korzystać z tej samej logiki: najpierw proces i zasób, później scenariusz, wpływ, prawdopodobieństwo, zabezpieczenia i konkretna decyzja.

Analiza ryzyka w 30 minut – wersja minimum

Jeśli nie masz dziś żadnego rejestru, zacznij od prostego ćwiczenia:

Wypisz 10 najważniejszych systemów, kont i danych.
Przy każdym zapisz jeden najbardziej prawdopodobny poważny problem.
Oceń prawdopodobieństwo 1–5.
Oceń wpływ 1–5.
Pomnóż obie wartości i posortuj tabelę od najwyższego wyniku.
Dla pięciu najwyższych ryzyk zapisz istniejące zabezpieczenia.
Dopisz jedno konkretne działanie, które najbardziej obniży ryzyko.
Przypisz właściciela i termin.

Taki arkusz nie zastąpi profesjonalnej analizy tam, gdzie jest ona wymagana, ale dla małej firmy będzie znacznie bardziej użyteczny niż ogólne stwierdzenie „musimy poprawić cyberbezpieczeństwo”.

FAQ

Czy analiza ryzyka wymaga specjalnego programu?

Nie. Na początek wystarczy arkusz kalkulacyjny. Narzędzie ma mniejsze znaczenie niż spójny sposób oceny i regularne aktualizowanie wyników.

Czy każde ryzyko trzeba usunąć?

Nie. Część ryzyk można zaakceptować, jeśli ich wpływ jest mały albo koszt zabezpieczenia byłby nieproporcjonalny. Ważne, żeby była to świadoma decyzja.

Czy prawdopodobieństwo razy wpływ to poprawna metoda?

To prosty model, który dobrze sprawdza się do wstępnego porządkowania ryzyk. Bardziej dojrzałe organizacje mogą stosować dodatkowe kryteria, osobne oceny wpływu, ryzyko bazowe i rezydualne albo własne metodyki.

Kto powinien robić analizę ryzyka?

Nie tylko informatyk. Osoba techniczna może dobrze znać systemy i zabezpieczenia, ale właściciel procesu najlepiej wie, co dla firmy oznacza dzień przestoju, utrata danych lub brak dostępu do konkretnej usługi.

Jaki jest najczęstszy błąd?

Tworzenie listy zagrożeń bez powiązania ich z realną działalnością firmy. Analiza ma prowadzić do decyzji: co zabezpieczyć, kto ma to zrobić i do kiedy.