ISO 27001: certyfikat czy proces zgodności? Jak to rozróżnić, zanim zapłacisz za audyt
Klienci pytają mnie o certyfikat ISO 27001. Prawie żadna firma nie pyta jednak, co ten certyfikat miałby właściwie udowodnić. To pytanie jest ważniejsze niż pytanie o cenę audytu, bo od odpowiedzi zależy, czy dana organizacja w ogóle potrzebuje certyfikacji, czy wystarczy jej dobrze zbudowany system zarządzania bezpieczeństwem informacji, bez formalnego dokumentu na ścianie. Kiedy certyfikat […]
MFA tylko dla zarządu? To nie jest MFA
Uwierzytelnianie wieloskładnikowe (MFA) trafiło już na listę podstawowych wymogów bezpieczeństwa w niemal każdej organizacji. Problem w tym, że sam fakt jego wdrożenia niewiele mówi o rzeczywistym poziomie ochrony. Z badania CloudComp przeprowadzonego wśród polskich firm MŚP w 2026 roku wynika, że 46% z nich nie ma MFA dla wszystkich użytkowników – co oznacza, że ich […]
Jak przygotować pracowników na atak socjotechniczny przez telefon
Phishing mailowy ludzie być może już rozpoznają. Podejrzany link, dziwny nadawca, błąd w domenie – większość pracowników po odpowiednim szkoleniu potrafi to złapać. Telefon od „działu IT” wciąż działa jak dziesięć lat temu. W rozmowach z klientami regularnie wraca ten sam wątek: firmy inwestują w filtry antyspamowe i programy uświadamiające dotyczące poczty, a zapominają, że […]
CyberRadar #19 – Lipiec 2026
Cztery tematy zdominowały lipiec: luka widoczności wokół „Shadow AI”, ewolucja krajobrazu zagrożeń e-mailowych według Microsoftu, coraz trudniejsze do rozpoznania oszustwa telefoniczne wspierane AI oraz włamanie do Hugging Face przeprowadzone przez autonomicznego agenta AI. 🕶️ Shadow AI – największa luka widoczności w bezpieczeństwie firm Pracownicy wykorzystują AI do podsumowywania dokumentów, tworzenia treści, analizy arkuszy czy pisania […]
Audyt wewnętrzny czy zewnętrzny – co wybrać
Wybór złego audytora wewnętrznego kosztuje więcej niż jego brak. Brzmi jak paradoks, ale to jedna z najczęstszych pułapek, jakie widzę u firm przygotowujących się do certyfikacji ISO 27001. Ktoś w organizacji dostaje zadanie „zrób audyt wewnętrzny”, bo tak wymaga norma i robi go tak, żeby nikomu nie podpaść. Po audycie jest raport bez zastrzeżeń, brak […]
Audyt uprawnień w firmie – jak znaleźć konta, które powinny być dawno usunięte
Konto po pracowniku, który odszedł rok temu, wciąż ma dostęp do systemu księgowego. Nikt tego nie zauważył, bo nikt nie musiał. System działał, faktury wychodziły, a stare konto po prostu tam było, zapomniane w katalogu użytkowników. Widziałem taki obraz wielokrotnie. Zazwyczaj nikt świadomie nie decyduje, że dane konto ma zostać aktywne po odejściu pracownika. To […]
ISO 27001 nie chroni Cię przed atakiem – chroni Cię przed konsekwencjami po ataku
Certyfikat nie zatrzyma ransomware. Nie zablokuje phishingu, nie wykryje exploitu zero-day, nie powstrzyma pracownika przed kliknięciem w link, który nie powinien być kliknięty. Ale zatrzyma coś innego – proces, który zdecyduje, czy Twoja firma przeżyje atak jako organizacja, czy się w nim rozpadnie. To rozróżnienie brzmi jak szczegół ale nim nie jest. Co ISO 27001 […]
Twoje konto może zostać przejęte bez złamanego hasła
Badacze z Malwarebytes opisali kampanię phishingową, w której punktem wejścia jest załącznik podszywający się pod fakturę PDF. Plik nosi nazwę w stylu Faktura-2819889242.pfd.js, ale wyświetlany jest jako Faktura-26189991026.pdf – różnica jednej litery w rozszerzeniu (.pfd.js zamiast .pdf) wystarcza, żeby uśpić czujność. W rzeczywistości to zaciemniony plik JavaScript, który zrzuca kolejne pliki do folderu tymczasowego i […]
CyberRadar #18 – Czerwiec 2026
Wyciek danych z menedżera haseł, kradzież sesji Chrome przejmująca konta użytkowników, ataki brute force na narzędzia do zarządzania hasłami oraz kontrola certyfikatów SSL – zobacz, co działo się w świecie cyberbezpieczeństwa w czerwcu. 🔐 Certyfikaty SSL pod kontrolą – zarządzanie bezpieczeństwem domen Certyfikaty SSL są dziś podstawowym elementem bezpieczeństwa stron i usług online, ale ich […]
Jak przygotować firmę do NIS2
NIS2 zmienia podejście do cyberbezpieczeństwa w firmach. Nie chodzi już tylko o zabezpieczenie komputerów, instalację antywirusa czy wykonywanie kopii zapasowych. Teraz firmy muszą bardziej świadomie zarządzać ryzykiem, wiedzieć jakie systemy są kluczowe, kto odpowiada za bezpieczeństwo i jak zareagować, kiedy pojawi się incydent. Wiele firm nadal traktuje cyberbezpieczeństwo jako temat techniczny, którym zajmuje się dział […]