Kto odpowiada za cyberbezpieczeństwo w firmie? Właściciel, IT czy pracownicy?

Cyberbezpieczeństwo w firmie często traktuje się jako zadanie informatyka albo zewnętrznej firmy IT. To zbyt proste podejście. Administrator może zabezpieczyć konta, aktualizować systemy i reagować na awarie, ale nie podejmie za firmę wszystkich decyzji o ryzyku, dostępie do danych, priorytetach biznesowych czy akceptowalnym czasie przestoju.

Dlatego najważniejsze pytanie nie brzmi „kto zajmuje się komputerami?”, tylko kto odpowiada za poszczególne elementy bezpieczeństwa i kto ma prawo podejmować decyzje podczas incydentu.

W małej firmie jedna osoba może pełnić kilka ról. Ważne jednak, żeby odpowiedzialność była ustalona wcześniej, a nie dopiero wtedy, gdy ktoś przejmie konto, przestanie działać poczta albo ransomware zaszyfruje wspólny dysk. Ten temat jest częścią szerszego planu opisanego w pillarze Cyberbezpieczeństwo w małej firmie – od czego zacząć?.

Z tego artykułu dowiesz się:

• za co odpowiada właściciel lub zarząd firmy,
• co powinno należeć do IT lub administratora,
• jaką odpowiedzialność mają zwykli pracownicy,
• jak kontrolować dostęp zewnętrznych dostawców,
• jak uniknąć sytuacji „myślałem, że ktoś inny to robi”,
• jak rozpisać role w małej firmie na jednej stronie,
• kiedy odpowiedzialność kierownictwa ma również wymiar regulacyjny.

Cyberbezpieczeństwa nie można całkowicie „oddać informatykowi”

Firma IT może administrować komputerami, serwerami, pocztą, backupem czy firewallem. Nie powinna jednak samodzielnie decydować o wszystkich kwestiach biznesowych.

To właściciel firmy albo kierownictwo powinno określić między innymi:

• które systemy są krytyczne dla działalności,
• ile przestoju firma może zaakceptować,
• jak dużo danych może zostać utraconych,
• kto może mieć dostęp do informacji wrażliwych,
• jakie ryzyko firma akceptuje,
• ile środków przeznacza na zabezpieczenia,
• kto podejmuje decyzję o wyłączeniu systemu podczas incydentu.

Administrator może wyjaśnić konsekwencje techniczne i zaproponować rozwiązania. Decyzja o tym, co jest wystarczającym poziomem zabezpieczeń dla firmy, jest jednak szersza niż samo IT.

Rola właściciela lub zarządu

Właściciel lub zarząd nie musi znać szczegółów konfiguracji firewalla. Powinien natomiast wiedzieć, jakie są największe zagrożenia i czy firma ma przygotowane podstawowe mechanizmy ochrony.

Do odpowiedzialności kierownictwa warto przypisać:

• zatwierdzenie najważniejszych zasad bezpieczeństwa,
• wyznaczenie osób odpowiedzialnych,
• akceptację istotnych ryzyk,
• zapewnienie budżetu i zasobów,
• ustalenie priorytetów odtwarzania po awarii,
• nadzór nad dostawcami mającymi dostęp do systemów,
• decyzje dotyczące komunikacji podczas poważnego incydentu.

Dobrym punktem wyjścia jest regularny, krótki przegląd ryzyka. Nie musi to być długie spotkanie. Wystarczy sprawdzić kilka najważniejszych scenariuszy, status zabezpieczeń i działania, które nadal pozostają otwarte. Praktyczny model opisujemy w artykule Jak ocenić ryzyko cyberbezpieczeństwa w małej firmie?.

Rola IT lub administratora

Osoba odpowiedzialna za IT powinna przede wszystkim realizować i utrzymywać techniczne zabezpieczenia.

Typowy zakres obejmuje:

• zarządzanie kontami i uprawnieniami,
• aktualizacje systemów i oprogramowania,
• MFA i zabezpieczenia logowania,
• backup i testy odtwarzania,
• ochronę endpointów,
• konfigurację sieci i dostępu zdalnego,
• monitorowanie nietypowych zdarzeń,
• prowadzenie dokumentacji technicznej,
• wsparcie podczas incydentów.

Administrator powinien także sygnalizować ryzyko, a nie tylko „utrzymywać, żeby działało”. Jeśli np. wszystkie kopie zapasowe są dostępne z jednego konta administracyjnego, zadaniem IT jest wskazanie problemu i zaproponowanie bezpieczniejszego rozwiązania.

Rola pracowników

Pracownik nie powinien odpowiadać za architekturę bezpieczeństwa, ale jego codzienne decyzje mają realny wpływ na poziom ryzyka.

Od użytkownika można oczekiwać przede wszystkim:

• korzystania z firmowych zasad logowania,
• nieudostępniania haseł i kodów MFA,
• zgłaszania podejrzanych wiadomości i logowań,
• nieinstalowania przypadkowego oprogramowania,
• stosowania aktualizacji, jeśli nie są zarządzane centralnie,
• blokowania urządzenia po odejściu od stanowiska,
• szybkiego zgłoszenia zgubienia telefonu lub laptopa.

Nie warto budować kultury, w której pracownik boi się zgłosić błąd. Jeżeli ktoś kliknął podejrzany link lub podał hasło, szybka informacja do administratora może ograniczyć skutki. Opóźnienie z obawy przed konsekwencjami często jest znacznie groźniejsze niż sam początkowy błąd.

W razie takiego zdarzenia pomocny jest poradnik Co zrobić po cyberataku w firmie? Pierwsze godziny po incydencie.

Kto odpowiada za nadawanie i odbieranie dostępów?

To jeden z najczęstszych problemów organizacyjnych. W małej firmie dostęp powstaje często nieformalnie: „daj mu konto”, „dodaj ją do folderu”, „niech agencja ma administratora”. Później nikt nie pamięta, kto nadal ma dostęp.

Warto rozdzielić dwie role:

• właściciel biznesowy dostępu – decyduje, czy dana osoba naprawdę potrzebuje uprawnienia,
• administrator – technicznie nadaje lub usuwa dostęp.

Przykład: kierownik sprzedaży zatwierdza dostęp nowego pracownika do CRM, a administrator tworzy konto. Po zakończeniu współpracy przełożony informuje o odebraniu dostępu, a IT usuwa konto i aktywne sesje.

Takie podejście jest bezpieczniejsze niż sytuacja, w której informatyk sam musi zgadywać, kto powinien widzieć dane klientów.

Kto odpowiada za backup?

Stwierdzenie „backup robi się automatycznie” nie powinno kończyć tematu. Potrzebne są co najmniej trzy odpowiedzialności:

• kto konfiguruje kopie,
• kto sprawdza, czy wykonują się poprawnie,
• kto potwierdza, że dane da się odtworzyć.

W praktyce może to być ta sama osoba, ale wszystkie trzy zadania muszą być świadomie przypisane.

Model kopii 3-2-1 opisujemy w poradniku Kopia zapasowa 3-2-1 w małej firmie. Samą odporność firmy i kolejność przywracania usług rozwijamy w artykule Jak przygotować firmę na ransomware i utratę dostępu do danych?.

Dostawca IT nie przejmuje całej odpowiedzialności

Outsourcing administracji nie oznacza, że firma może przestać interesować się bezpieczeństwem.

Przedsiębiorstwo nadal powinno wiedzieć:

• do czego dostawca ma dostęp,
• jakie konta administracyjne posiada,
• czy poszczególni technicy mają własne konta,
• jak wygląda uwierzytelnianie,
• kto odpowiada za aktualizacje,
• kto monitoruje backup,
• jak szybko dostawca reaguje na incydent,
• jak odebrać dostęp po zakończeniu współpracy.

Warto unikać współdzielonych kont typu „admin”, do których hasło zna wiele osób. Jeżeli dojdzie do problemu, trudno wtedy ustalić, kto wykonał konkretną operację.

Co z hostingiem, agencją i dostawcami SaaS?

Lista podmiotów mających wpływ na bezpieczeństwo często jest znacznie dłuższa niż firma IT.

Dostęp mogą mieć także:

• agencja marketingowa,
• programista strony WWW,
• biuro księgowe,
• dostawca CRM,
• operator sklepu internetowego,
• hosting,
• firma obsługująca system płatności,
• serwis sprzętu.

Dlatego w rejestrze dostępów warto uwzględniać także partnerów zewnętrznych. Każdy dostęp powinien mieć konkretny cel, właściciela i możliwość szybkiego odebrania.

Jedna osoba nie powinna być jedynym punktem wiedzy

Jeżeli tylko jedna osoba zna hasło do hostingu, wie, gdzie znajduje się backup i potrafi przywrócić system, firma ma problem nawet wtedy, gdy nigdy nie dojdzie do cyberataku.

Taka osoba może być niedostępna z powodu choroby, urlopu, zakończenia współpracy albo zwykłego błędu.

Minimum to:

• bezpieczne przechowywanie dostępów awaryjnych,
• aktualna lista kluczowych dostawców,
• krótka instrukcja odtwarzania najważniejszych usług,
• druga osoba znająca procedurę,
• jasna ścieżka odzyskania kont administracyjnych.

Kto podejmuje decyzje podczas cyberataku?

W trakcie incydentu odpowiedzialności muszą być jeszcze bardziej jednoznaczne.

Warto wcześniej ustalić:

Decyzja	Przykładowa odpowiedzialność
Odłączenie urządzenia lub usługi	IT / administrator
Wyłączenie krytycznego systemu	IT + właściciel procesu
Kontakt z klientami	Kierownictwo / osoba odpowiedzialna za komunikację
Kontakt z dostawcami	IT lub wyznaczony koordynator
Przywrócenie z backupu	IT po potwierdzeniu bezpieczeństwa środowiska
Akceptacja dłuższego przestoju	Kierownictwo
Sprawdzenie obowiązków zgłoszeniowych	Kierownictwo + właściwa osoba prawna/compliance

Najważniejsze, żeby w kryzysie nie trzeba było dopiero szukać osoby, która ma prawo podjąć decyzję.

Prosty podział odpowiedzialności dla małej firmy

W niewielkiej organizacji wystarczy prosta tabela.

Obszar	Właściciel decyzji	Realizacja
Konta i dostępy	Właściciel procesu / przełożony	IT
Aktualizacje	IT	IT
Backup	Kierownictwo określa wymagania	IT
Ocena ryzyka	Kierownictwo	Kierownictwo + IT
Reakcja na incydent	Wyznaczony koordynator	IT + biznes
Ciągłość działania	Kierownictwo	IT + właściciele procesów
Dostawcy zewnętrzni	Właściciel umowy	Biznes + IT

Nie trzeba trzymać się dokładnie tego modelu. Ważniejsze jest, aby przy każdym obszarze dało się wskazać konkretną osobę.

Jak sprawdzić, czy odpowiedzialności są naprawdę jasne?

Zadaj w firmie kilka prostych pytań:

• Kto może zablokować konto pracownika?
• Kto wie, gdzie znajduje się backup?
• Kto sprawdza, czy backup działa?
• Kto może wyłączyć dostęp zdalny?
• Kto decyduje o odtworzeniu systemu?
• Kto kontaktuje się z klientami podczas awarii?
• Kto sprawdza obowiązki związane ze zgłoszeniem incydentu?
• Kto może odebrać dostęp zewnętrznej firmie IT?

Jeżeli przy kilku pytaniach odpowiedź brzmi „chyba informatyk” albo „nie wiem”, warto uporządkować ten obszar.

Odpowiedzialność kierownictwa a NIS2

W zwykłej małej firmie podział odpowiedzialności jest przede wszystkim elementem dobrego zarządzania ryzykiem i ciągłością działania. W organizacjach objętych NIS2/KSC temat może mieć dodatkowy, formalny wymiar.

W takim przypadku cyberbezpieczeństwo nie jest wyłącznie technicznym zadaniem działu IT. Znaczenie mają również nadzór kierownictwa, zarządzanie ryzykiem, procedury, obsługa incydentów i dokumentowanie działań.

Szczegółowe wymagania dla podmiotów znajdujących się w zakresie regulacji są opisane w klastrze Omegasoft: NIS2 – obowiązki, wdrożenie i odpowiedzialność kierownictwa. Punktem startowym może być też opracowanie NIS2 w Polsce – najważniejsze obowiązki podmiotów kluczowych i ważnych.

Jeżeli firma może podlegać tym regulacjom, odpowiedzialności warto weryfikować na podstawie aktualnych wymagań dotyczących konkretnego podmiotu, a nie wyłącznie ogólnej checklisty bezpieczeństwa.

Checklista odpowiedzialności

• Wiemy, kto odpowiada za najważniejsze systemy.
• Każde kluczowe konto ma właściciela.
• IT nie decyduje samodzielnie o dostępie do danych biznesowych.
• Istnieje procedura odbierania dostępów po zakończeniu współpracy.
• Wiemy, kto odpowiada za backup i test odtwarzania.
• Dostawcy mają tylko potrzebne uprawnienia.
• Istnieje zastępstwo dla kluczowego administratora.
• Podczas incydentu wiadomo, kto koordynuje działania.
• Kierownictwo zna najważniejsze ryzyka cyberbezpieczeństwa.
• Firma wie, kto sprawdza obowiązki prawne i regulacyjne.

FAQ

Czy za cyberbezpieczeństwo odpowiada informatyk?

Za techniczne zabezpieczenia często odpowiada IT, ale decyzje dotyczące ryzyka, priorytetów, dostępów do danych i ciągłości działania wymagają udziału właściciela firmy lub kierownictwa.

Czy można całkowicie przenieść odpowiedzialność na zewnętrzną firmę IT?

Nie w sensie organizacyjnym. Dostawca może realizować określone zadania, ale firma nadal musi określić wymagania, kontrolować dostęp i podejmować decyzje biznesowe.

Kto powinien nadawać dostęp do danych?

Najlepiej, gdy właściciel biznesowy zatwierdza potrzebę dostępu, a administrator technicznie go nadaje.

Czy mała firma potrzebuje formalnego podziału ról?

Nie musi tworzyć skomplikowanej struktury. Wystarczy prosta tabela wskazująca, kto odpowiada za konta, backup, aktualizacje, incydenty, dostawców i ciągłość działania.

Czy NIS2 dotyczy odpowiedzialności kierownictwa?

W podmiotach objętych regulacją rola kierownictwa jest jednym z istotnych elementów systemu cyberbezpieczeństwa. Zakres konkretnych obowiązków należy jednak sprawdzić dla danego podmiotu i aktualnego stanu prawnego.