Ten artykuł pokazuje, gdzie realnie leży granica między "to musicie mieć" a "to Wam ktoś sprzedaje, bo brzmi poważnie" — dla firmy w tej konkretnej skali, nie dla korporacji i nie dla mikrofirmy. Dotyczy to zarówno firm produkcyjnych z jedną halą, jak i firm usługowych z kilkoma biurami — mechanika ryzyka jest podobna, mimo różnic w samej infrastrukturze.
Dlaczego skala 20-200 osób to inna kategoria ryzyka
Mikrofirma (poniżej 20 osób) zwykle nie ma na tyle rozbudowanej infrastruktury, żeby segmentacja sieci czy osobny plan reakcji na incydent miały sens ekonomiczny — awaria dotyka kilku osób, nie całej organizacji naraz.
Duża korporacja (powyżej 200-300 osób) ma zwykle własny dział IT i budżet na pełny Security Operations Center z osobnym zespołem monitorującym alerty całą dobę.
Firma pomiędzy tymi progami jest w najbardziej ryzykownym miejscu: wystarczająco duża, żeby atak realnie zaszkodził, ale często zbyt mała, żeby mieć wewnętrzne kompetencje bezpieczeństwa. To właśnie tu najczęściej widzimy dwa skrajne błędy: albo zero zabezpieczeń poza antywirusem, albo zakup drogiego pakietu enterprise, którego nikt nie potrafi obsłużyć.
Dodatkowo firmy tej wielkości często mają rozproszone IT — część systemów w chmurze, część na lokalnym serwerze, czasem jeszcze dodatkowa lokalizacja z własną, osobną siecią. Ta fragmentacja sama w sobie jest ryzykiem: im więcej miejsc, w których żyją dane, tym trudniej mieć pewność, że wszędzie stosuje się te same zasady dostępu i te same procedury backupu.
Co jest niezbędne, a co zbędne na tę skalę
| Element | Firma 20-200 osób | Uzasadnienie |
|---|---|---|
| Segmentacja sieci (VLAN) | Niezbędne | Ogranicza skutek pojedynczego incydentu do jednej strefy sieci, nie całej firmy naraz |
| Backup 3-2-1 (w tym offline/off-site) | Niezbędne | Jedyna realna ochrona przed ransomware — kopia, której atak nie zaszyfruje razem z resztą |
| MFA (uwierzytelnianie wieloskładnikowe) | Niezbędne | Najtańsza, najskuteczniejsza bariera przeciw przejęciu konta |
| Plan reakcji na incydent (choćby 2-stronicowy) | Niezbędne | Różnica między opanowanym incydentem a chaosem pierwszych godzin |
| Pełny SOC 24/7 z własnym zespołem | Zbędne na tę skalę | Koszt uzasadniony dopiero przy setkach pracowników lub wysokim ryzyku branżowym |
| Testy penetracyjne co kwartał | Zbędne (wystarczy 1x/rok) | Częstsze testy mają sens przy szybko zmieniającej się infrastrukturze, nie stabilnym środowisku MŚP |
| Rozbudowany SIEM enterprise | Zbędne bez zespołu do obsługi | Narzędzie generujące alerty, których nikt nie przegląda, nie zwiększa bezpieczeństwa |
Trzy poziomy usług — od czego zależy zakres
| Zakres | Koszt (netto) | Co obejmuje |
|---|---|---|
| Zwiad bezpieczeństwa | od 6 500 zł | Przegląd stanu obecnego, lista realnych ryzyk wg wagi, rekomendacje z kosztorysem |
| Wdrożenie pełne | od 28 000 zł | Segmentacja sieci, backup 3-2-1, MFA, polityki dostępu, plan reakcji na incydent |
| Stała opieka (vCISO + SOC) | od 120 000 zł/rok | Monitoring ciągły, wirtualny CISO, wsparcie przy audytach NIS2/DORA, reakcja na incydenty |
Cena z umowy jest ostateczna dopiero po Zwiadzie — zależy od liczby lokalizacji, obecnego stanu infrastruktury i tego, czy firma podlega regulacjom sektorowym (NIS2, DORA dla finansów). Firma z jedną lokalizacją i ustandaryzowanym stackiem systemów zwykle mieści się bliżej dolnej granicy widełek; firma z kilkoma biurami, różnymi systemami legacy i wieloma dostawcami zewnętrznymi — bliżej górnej.
Pełne wdrożenie na poziomie środkowym z tabeli obejmuje zwykle sześć do dziesięciu tygodni pracy — od pierwszego mapowania sieci, przez konfigurację segmentacji i polityk dostępu, po testowe uruchomienie procedury reakcji na incydent z zespołem klienta. To nie jest projekt, który kończy się w dniu wdrożenia — pierwsze trzy miesiące po starcie to zwykle okres dopracowywania szczegółów, które wychodzą dopiero przy realnej pracy zespołu w nowym systemie.
NIS2 — kiedy to realnie dotyczy firmy tej wielkości
Dyrektywa NIS2 rozszerzyła krąg podmiotów zobowiązanych do wykazania odpowiednich zabezpieczeń o średnie firmy w wielu sektorach — nie tylko duże korporacje. Firma 20-200 osób może podlegać NIS2 bezpośrednio (jeśli działa w sektorze objętym regulacją) albo pośrednio, jako dostawca dla firmy, która sama podlega NIS2 i wymaga potwierdzenia zabezpieczeń od swoich partnerów.
W praktyce oznacza to, że coraz częściej pytanie o bezpieczeństwo IT pojawia się nie od razu, tylko przy podpisywaniu lub przedłużaniu kontraktu z większym partnerem biznesowym — i wtedy brak dokumentacji staje się realnym problemem handlowym, nie tylko technicznym.
Warto to rozróżnić od DORA, która dotyczy konkretnie sektora finansowego i ma jeszcze bardziej rygorystyczne wymogi dotyczące odporności operacyjnej systemów. Firma spoza finansów, współpracująca z bankiem czy instytucją finansową jako dostawca, może zostać objęta wymogami DORA pośrednio — przez zapisy umowy, nie przez własną klasyfikację sektorową.
Kolejność wdrażania — co najpierw, jeśli budżet jest ograniczony
Nie trzeba wdrażać wszystkiego naraz. Jeśli budżet nie pozwala na pełne wdrożenie od razu, sensowna kolejność wygląda tak:
- MFA na wszystkich kontach z dostępem do danych — najniższy koszt, największy natychmiastowy efekt. Wdrożenie w dni, nie tygodnie.
- Weryfikacja i naprawa backupu — sprawdzenie, czy kopie faktycznie działają (nie tylko czy proces backupu "się wykonuje"), i czy istnieje kopia offline lub off-site.
- Segmentacja sieci — oddzielenie kluczowych systemów od reszty infrastruktury, żeby pojedynczy incydent nie rozlał się na całą firmę.
- Spisany plan reakcji na incydent — nawet prosty dokument, który mówi, kto dzwoni do kogo i w jakiej kolejności, gdy coś pójdzie nie tak.
Dopiero po tych czterech krokach ma sens rozmowa o stałej opiece (vCISO, monitoring ciągły) — bo bez fundamentu z punktów 1-4 nawet najlepszy monitoring tylko szybciej poinformuje o problemie, którego dało się uniknąć znacznie taniej i prościej.
Najczęstsze błędy przy budowaniu bezpieczeństwa na tę skalę
| Błąd | Konsekwencja |
|---|---|
| Kupowanie narzędzia enterprise bez zespołu do jego obsługi | Koszt licencji bez realnego wzrostu bezpieczeństwa — alerty nikt nie czyta |
| Backup na tym samym serwerze/w tej samej sieci co dane produkcyjne | Ransomware szyfruje backup razem z oryginałem — kopia bezużyteczna |
| MFA tylko dla działu IT, nie dla wszystkich kont z dostępem do danych | Najsłabsze ogniwo (konto bez MFA) staje się punktem wejścia dla ataku |
| Plan reakcji na incydent istniejący tylko "w głowie" jednej osoby | Gdy ta osoba jest niedostępna w chwili ataku, nikt nie wie, co robić w pierwszej godzinie |
Ile realnie kosztuje zaniedbanie
Koszt incydentu bezpieczeństwa rzadko ogranicza się do samego okupu czy kosztu naprawy systemów. Przestój produkcji lub sprzedaży podczas przywracania systemów, czas pracowników spędzony na ręcznym odtwarzaniu danych z kopii zapasowych, utrata zaufania klientów, którzy dowiedzieli się o wycieku danych — te koszty regularnie przewyższają cenę samego wdrożenia zabezpieczeń, które by do incydentu nie dopuściły. To jest właśnie ta konkretna kalkulacja, którą warto zrobić przed decyzją "zaczekamy z tym jeszcze rok", nie dopiero po fakcie, gdy jest już za późno.
Dochodzi do tego koszt reputacyjny wobec partnerów biznesowych — jeśli firma podlegająca NIS2 dowie się, że jej dostawca miał incydent bezpieczeństwa, konsekwencją bywa nie tylko utrata tego jednego kontraktu, ale też trudniejsze, dłuższe negocjacje z kolejnymi, ostrożniejszymi partnerami na rynku.
Nie wiecie, czy Wasze zabezpieczenia są adekwatne do skali firmy, czy przesadzone w jednym miejscu i dziurawe w drugim? Umówcie Zwiad — sprawdzimy realny stan i pokażemy, co jest niezbędne, a co zbędne, zanim padnie jakakolwiek kwota.
Więcej o naszym podejściu: Cyberbezpieczeństwo. Zobacz też: Audyt IT dla MŚP.