Dlaczego hasła w Excelu to wciąż standard w polskich firmach

Prowadząc audyty bezpieczeństwa w firmach różnej wielkości i bardzo często trafiam na ten sam obrazek: arkusz „hasła.txt” udostępniony działowi albo na dysku sieciowym, karteczka przy monitorze recepcji lub pod klawiaturą, jedno hasło do systemu księgowego znane trzem osobom, z których jedna już nie pracuje w firmie. To nie jest wyjątek. To wciąż standard. Z danych […]

Pierwsze 90 dni po odkryciu, że firma podlega KSC

Firma dowiaduje się, że podlega ustawie o KSC, zwykle w najgorszym możliwym momencie: po pytaniu od dużego kontrahenta w przetargu, po pierwszej kontroli, albo przypadkiem, przy okazji lektury artykułu o nowelizacji przepisów. Ten artykuł pokazuje, jak zaplanować pierwsze dziewięćdziesiąt dni od takiego odkrycia, żeby zamiast chaosu i gaszenia pożarów powstał uporządkowany, realistyczny plan. Od czego […]

Analiza ryzyka pod NIS2 – od czego zacząć

Analiza ryzyka brzmi jak projekt na miesiące. Da się zacząć w jeden dzień. Wielu przedsiębiorców słyszy hasło „systematyczne szacowanie ryzyka” i wyobraża sobie wielotygodniowy projekt z udziałem zewnętrznych konsultantów, grubym raportem i skomplikowaną metodyką. Pierwszy krok wygląda inaczej: to konkretna, ograniczona czasowo praca, którą da się zacząć od razu, bez czekania na idealne warunki. Minimalny […]

Masz 24 godziny na incydentu wg NIS2

Masz 24 godziny. Często firma dowiaduje się o tym terminie dopiero po jego przekroczeniu. Ustawa o Krajowym Systemie Cyberbezpieczeństwa wprowadza wieloetapowy, mocno sformalizowany harmonogram zgłaszania poważnych incydentów, a zegar zaczyna tykać od momentu wykrycia incydentu, nie od momentu, gdy ktoś w firmie zdąży to formalnie potwierdzić. Harmonogram zgłoszeń wg NIS2 – 24h, 72h, raport końcowy […]

NIS2 nie kończy się na Twojej firmie

NIS2 nie kończy się na Twojej firmie. Ciągnie się dalej, do każdego, komu zlecasz pracę. Ustawa o Krajowym Systemie Cyberbezpieczeństwa nie pozwala podmiotowi kluczowemu czy ważnemu ograniczyć się do zabezpieczenia własnej infrastruktury i uznać tematu za zamknięty. Odpowiedzialność sięga dalej, do dostawców oprogramowania, usług IT, a czasem nawet firm sprzątających czy ochroniarskich, jeśli mają dostęp […]

Kto naprawdę podlega NIS2? Kwalifikacja, którą firmy wciąż mylą

Całkiem sporo firm, które myślą, że NIS2 ich nie dotyczy, myli się w tej ocenie. Nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa, wdrażająca unijną dyrektywę NIS2, weszła w życie 3 kwietnia 2026 roku i objęła nawet kilkadziesiąt tysięcy polskich podmiotów, znacznie więcej niż poprzednia wersja przepisów, która dotyczyła kilkuset operatorów usług kluczowych. Problem w tym, że […]

Twoja firma miała incydent. Może o tym nie wiesz

W badaniu CloudComp przeprowadzonym wśród polskich firm MŚP w 2026 roku 36% respondentów potwierdziło, że ich firma doświadczyła incydentu cyberbezpieczeństwa. Ta liczba, choć już sama w sobie wysoka, prawdopodobnie jest zaniżona. Pytanie o przebyte incydenty należy do najtrudniejszych w badaniach tego typu, ponieważ organizacje często nie identyfikują zdarzenia jako incydentu albo w ogóle nie wiedzą, […]

MFA tylko dla zarządu? To nie jest MFA

Uwierzytelnianie wieloskładnikowe (MFA) trafiło już na listę podstawowych wymogów bezpieczeństwa w niemal każdej organizacji. Problem w tym, że sam fakt jego wdrożenia niewiele mówi o rzeczywistym poziomie ochrony. Z badania CloudComp przeprowadzonego wśród polskich firm MŚP w 2026 roku wynika, że 46% z nich nie ma MFA dla wszystkich użytkowników – co oznacza, że ich […]

Audyt uprawnień w firmie – jak znaleźć konta, które powinny być dawno usunięte

Konto po pracowniku, który odszedł rok temu, wciąż ma dostęp do systemu księgowego. Nikt tego nie zauważył, bo nikt nie musiał. System działał, faktury wychodziły, a stare konto po prostu tam było, zapomniane w katalogu użytkowników. Widziałem taki obraz wielokrotnie. Zazwyczaj nikt świadomie nie decyduje, że dane konto ma zostać aktywne po odejściu pracownika. To […]

Twoje konto może zostać przejęte bez złamanego hasła

Badacze z Malwarebytes opisali kampanię phishingową, w której punktem wejścia jest załącznik podszywający się pod fakturę PDF. Plik nosi nazwę w stylu Faktura-2819889242.pfd.js, ale wyświetlany jest jako Faktura-26189991026.pdf – różnica jednej litery w rozszerzeniu (.pfd.js zamiast .pdf) wystarcza, żeby uśpić czujność. W rzeczywistości to zaciemniony plik JavaScript, który zrzuca kolejne pliki do folderu tymczasowego i […]