Calmfox Watch · panel opieki technicznej

Obszar 1 z 6 · Człowiek

Wiadomości, które próbują Cię oszukać

Najłatwiej zaatakować nie system, tylko osobę, która ma do niego dostęp.

Przelewy, zmiany numeru konta i prośby o zalogowanie potwierdzamy drugim kanałem. Wiadomość o pilnym przelewie albo „poprawionej fakturze" z nowym kontem — telefon do osoby, która ją rzekomo wysłała, także gdy przyszła z prawdziwego adresu. „Zaloguj się ponownie" — nie z linku, tylko z własnej zakładki.
Pracownicy wiedzą, komu zgłosić podejrzaną wiadomość — i że nie będzie za to kary. Kliknięcie w zły link kosztuje mniej, gdy ktoś powie o tym od razu. Kara za pomyłkę uczy tylko milczenia.

Obszar 2 z 6 · Konta

Kto ma Twoją pocztę, ma resztę — bo wszystko inne resetuje hasło właśnie na nią.

Na firmowej poczcie działa logowanie dwuskładnikowe (MFA). Sprawdź na skrzynce właściciela, księgowości i tej, z której wychodzą faktury. Ustawienia konta → Bezpieczeństwo → Weryfikacja dwuetapowa.
MFA jest włączone także na koncie Google lub Microsoft, w social mediach, w banku i w panelu strony. Kolejność: najpierw poczta, potem konta, z których wychodzą pieniądze albo komunikacja z klientami.
Każda usługa ma inne hasło, a hasła trzyma menedżer haseł. Jedno hasło wszędzie znaczy, że wyciek z jednego sklepu otwiera pocztę. Menedżer pamięta za Ciebie — Ty pamiętasz jedno hasło główne.
Wiesz, kto dziś ma dostęp administracyjny: do Google, Microsoft, Meta, hostingu, domeny, strony, Analytics i reklam. Spisz to na kartce. Były pracownik, freelancer sprzed lat, agencja, z którą się rozstałeś, firma, która robiła stronę — każde z tych kont sprawdź osobno.
Jedna osoba = jedno konto = tylko potrzebne uprawnienia. Po zakończeniu współpracy dostęp odbieramy tego samego dnia. Konto „biuro" z hasłem na karteczce to nie konto, tylko drzwi bez zamka. Dostęp odbiera się jak klucze do biura — w dniu rozstania.

Obszar 3 z 6 · Urządzenia

Aktualizacja często nie dodaje niczego, co zobaczysz. Naprawia coś, czego nie chciałbyś zobaczyć.

Komputery, telefony i przeglądarki aktualizują się same. Automatyczne aktualizacje włączone w systemie i w przeglądarce. Komunikat „zaktualizuj później" odkładany od miesięcy to punkt do odhaczenia dopiero po aktualizacji.
Router w biurze ma zmienione hasło fabryczne i aktualne oprogramowanie. Urządzenie, którego nikt nie dotknął od zakupu. Panel routera → aktualizacja oprogramowania; hasło administratora inne niż na naklejce.
Laptopy i telefony firmowe mają blokadę ekranu i zaszyfrowany dysk. Zgubiony laptop bez szyfrowania to zgubione wszystkie dokumenty. W Windows: BitLocker, w macOS: FileVault, w telefonie: domyślnie, jeśli jest blokada.

Obszar 4 z 6 · Dane

Kopia zapasowa, której nigdy nie odtworzono, jest tylko obietnicą.

Kopia zapasowa najważniejszych danych robi się sama, bez udziału człowieka. Dokumenty, faktury, baza klientów, poczta. Kopia, o której trzeba pamiętać, kończy się w dniu, w którym ktoś zapomni.
Przynajmniej jedna kopia jest poza firmą: w chmurze albo na dysku w innym miejscu. Zasada 3-2-1: trzy kopie, dwa różne nośniki, jedna poza firmą. Dysk w tej samej szufladzie co laptop nie jest „poza firmą".
W ostatnim roku ktoś próbnie odtworzył plik z kopii — i wiesz, ile to trwało. To jedyny punkt, który sprawdza, czy kopia istnieje naprawdę. Wybierz jeden plik, odtwórz go do osobnego katalogu, zapisz datę.

Obszar 5 z 6 · Procedury

Procedurę pisze się przed incydentem, nie w jego trakcie. Kartka w szufladzie, nie system.

Istnieje kartka z odpowiedziami: kto decyduje, do kogo dzwonimy, kto ma dostępy, gdzie leży kopia, kto i jak informuje pracowników i klientów. Numery telefonów: informatyk, hosting, bank, prawnik. Jeden nadawca komunikatu, kanał inny niż ten, który mógł zostać przejęty. Kartka leży tam, gdzie znajdzie ją ktoś inny niż Ty — bo incydent nie pyta, czy jesteś na urlopie.
Wiadomo, co zrobić z zagrożonym komputerem albo kontem: odłączyć, nie kasować. Odłączenie od sieci zatrzymuje szkodę. Skasowanie zaciera ślady, po których dałoby się ustalić, co wyciekło — a to trzeba czasem zgłosić.

Obszar 6 z 6 · Strona WWW

Jedyny element firmy, który działa w nocy, w weekend i na urlopie — i jest publicznie dostępny z całego świata.

Strona odpowiada, a certyfikat i domena są ważne dłużej niż miesiąc. Trzy sprawdzenia bez konta i bez opłat. Certyfikat wygasa w niedzielę częściej, niż się wydaje; domena — w dniu, w którym karta do opłaty straciła ważność. Sprawdź teraz, bez konta ›
System strony i wtyczki są aktualne, a nieużywane wtyczki są usunięte, nie tylko wyłączone. Panel strony → aktualizacje. Wyłączona wtyczka nadal leży na serwerze i nadal ma swoje dziury.
Wiesz, kto jest właścicielem Twojej domeny w Google Search Console — i nie ma tam nikogo obcego. Search Console → Ustawienia → Użytkownicy i uprawnienia. Obcy „właściciel" może kasować Twoje adresy z wyników i czytać, na jakie hasła się wyświetlasz.
W wynikach wyszukiwania nie ma cudzych podstron pod Twoją domeną. Wpisz w Google: site:twojadomena.pl. Jeśli widzisz oferty, których nigdy nie napisałeś, strona jest przejęta — i działa przy tym normalnie.
Ktoś — człowiek albo narzędzie — codziennie sprawdza stronę i powie Ci, zanim powie klient. To jedyny punkt na tej liście, którego nie da się odhaczyć raz: certyfikat sprawdzony w środę nie mówi nic o piątku. Możesz to robić sam, może to robić Twój informatyk — albo Watch CalmFox.