kwiecień 2026 | 10 min czytania | Bezpieczeństwo i Backup

Jak Zabezpieczyć Dane Firmowe Bez Działu IT: Dysk Sieciowy, Backup, Szyfrowanie

71% właścicieli małych firm w Polsce uważa, że ryzyko cyberataku ich nie dotyczy. Statystyki mówią coś zupełnie innego — co czwarta mała firma w Polsce już została zaatakowana, a w 2024 roku CERT Polska zarejestrował ponad 103 tysiące incydentów cyberbezpieczeństwa.

Jeśli prowadzisz firmę 10–15 osób bez działu IT, ten artykuł jest dla Ciebie. Pokażę Ci trzy proste filary ochrony danych, które wdrożysz bez informatyka, za mniej niż 35 złotych miesięcznie na pracownika. Bez żargonu, bez straszenia „cyfrową apokalipsą" — z konkretnymi liczbami, cenami i planem na trzy tygodnie.

Dlaczego akurat Twoja firma? Skala problemu w liczbach

Co czwarta mała firma w Polsce już oberwała

Cyberataki przestały być problemem wyłącznie dużych banków i międzynarodowych korporacji. Badanie Mastercard z 2025/2026 roku wykazało, że 25% małych firm w Polsce już padło ofiarą cyberataku lub wycieku danych. Wśród firm średnich ten odsetek rośnie do 40%, a w dużych — powyżej 50%.

CERT Polska odnotował w 2024 roku 103 449 incydentów cyberbezpieczeństwa — o 29% więcej niż rok wcześniej. W pierwszych dziesięciu miesiącach 2025 ta liczba przekroczyła już 200 000. Według badania KPMG „Barometr Cyberbezpieczeństwa 2025" aż 83% polskich firm zgłosiło co najmniej jeden incydent w 2024 roku.

Najczęściej ginie nie przez hakera, tylko przez zużyty dysk

Tu jest niespodzianka. Kiedy myślisz „utrata danych", w głowie zapala się obraz zagranicznego hakera w kapturze. Tymczasem statystyki laboratoriów odzyskiwania danych Kroll Ontrack są brutalnie prozaiczne:

• 56% utraty danych = awaria sprzętu (zużyte dyski, spalona elektronika)
• 23% = błąd człowieka (przypadkowe skasowanie, formatowanie niewłaściwej partycji)
• Pozostałe 21% to wirusy, błędy oprogramowania, pożary, zalania, kradzieże

Innymi słowy: nawet jeśli naprawdę wierzysz, że „hakerzy mnie nie znajdą", dysk w laptopie Twojej księgowej i tak kiedyś padnie. Pytanie brzmi tylko — czy będziesz miał z czego odtworzyć faktury z ostatnich trzech lat.

Ile kosztuje dzień bez danych

Według danych z konferencji Cybersec Expo 2025 średni koszt udanego cyberataku na polskie małe i średnie przedsiębiorstwo mieści się w przedziale 50 000 – 500 000 zł. Średni koszt ataku typu ransomware (oprogramowanie szyfrujące dane dla okupu) to ponad 450 000 zł. Średni czas przestoju po takim incydencie: 16–24 dni.

Dla 12-osobowej firmy usługowej to w praktyce oznacza jedno: jeden poważny incydent może zjeść półroczny zysk albo zamknąć firmę.

Trzy filary ochrony — prosty plan dla firmy bez informatyka

Zabezpieczenie danych w małej firmie opiera się na trzech filarach. Tak jak w budownictwie — bez fundamentu, ścian i dachu dom się nie ostoi. Te trzy filary to: dysk sieciowy (NAS), kopia zapasowa w dwóch miejscach i szyfrowanie urządzeń.

Filar 1 — Dysk sieciowy (NAS): jedno miejsce na wszystkie firmowe dane

NAS (po polsku: dysk sieciowy) to mała skrzynka z dyskami, podłączona do routera w biurze. Wszyscy pracownicy widzą ją jednocześnie jako dodatkowy dysk na swoich komputerach. Zastępuje chaos pendrive'ów krążących po biurze i załączników do maili z dopiskami „wersja_final_ostateczna_poprawiona_v3.docx".

Popularne marki dla małych firm: Synology, QNAP, Western Digital.

Całe środowisko dla 12-osobowej firmy zamkniesz w kwocie 3 000–3 500 zł za sprzęt.

Dlatego NAS to dopiero pierwszy filar. Potrzebujesz drugiego — kopii zapasowej, która jest od niego niezależna.

Filar 2 — Kopia zapasowa: zasada 3-2-1 dla normalnych ludzi

W praktyce dla 12-osobowej firmy: oryginał na komputerze pracownika, pierwsza kopia automatycznie zgrywana na NAS w biurze, druga kopia automatycznie wysyłana do chmury. Wszystko po godzinach pracy, bez Twojego udziału.

Lokalnie, w chmurze, czy hybrydowo?

• Tylko lokalnie (NAS, dysk USB): odzyskasz dane w minutę, ale spłoną razem z biurem
• Tylko w chmurze: przeżyją pożar, ale pobranie 500 GB z powrotem przez internet trwa kilkanaście godzin
• Hybrydowo (lokalnie + chmura): standard branżowy — masz jedno i drugie

RPO i RTO po polsku

Planując kopie zapasowe, warto odpowiedzieć sobie na dwa pytania:

• RPO („ile godzin pracy mogę stracić?") — dla większości małych firm rozsądne jest 24 godziny. To oznacza kopię robioną codziennie w nocy. Jeśli pracujesz z bardzo dynamiczną bazą (np. sklep internetowy), skróć do 4 godzin.
• RTO („ile godzin mogę być bez danych po awarii?") — dla firmy usługowej zwykle 4–24 godziny. Krótszy czas wymaga droższych rozwiązań.

Ceny chmurowego backupu na 2026: Backblaze B2 około 24 zł/TB miesięcznie, Synology C2 w przedziale 150–300 zł rocznie za 1 TB. Dla typowej 12-osobowej firmy wystarcza 1–2 TB, czyli realnie 200–400 zł miesięcznie.

Filar 3 — Szyfrowanie: gdy ukradną laptop z samochodu

Scenariusz z życia: kierownik budowy zostawił laptopa w aucie na parkingu przed sklepem. Rano auto wybite, laptopa brak. Na dysku: kosztorysy, faktury klientów, kontakty podwykonawców.

Bez szyfrowania: złodziej wyjmuje dysk śrubokrętem w 15 sekund, podpina do innego komputera, czyta wszystko jak otwartą książkę. Hasło do Windowsa nic nie daje — można je ominąć na poziomie płyty głównej.

Z szyfrowaniem: tylko bezużyteczny ciąg losowych znaków. Co więcej, zgodnie z art. 34 RODO — jeśli zgubiony sprzęt był zaszyfrowany, nie masz obowiązku powiadamiać klientów o wycieku danych.

Komunikacja z klientem — dodatkowa warstwa

Wysyłasz ważny PDF z kosztorysem lub umowę mailem? Spakuj go darmowym programem 7-Zip z silnym hasłem. Hasło przekaż klientowi SMS-em. Nigdy w tym samym mailu. Nawet jeśli przestępca przejmie Twoją skrzynkę — załączniki pozostaną dla niego bezużyteczne.

Hasła i weryfikacja dwuetapowa

Menedżer haseł (Bitwarden, KeePass) pozwala każdemu pracownikowi używać unikalnych, silnych haseł, pamiętając tylko jedno — główne. Koszt dla 12 osób: od 0 zł (KeePass) do ok. 200 zł miesięcznie (Bitwarden Teams).

Weryfikacja dwuetapowa (aplikacja Authenticator na telefonie) jest darmowa, a zmienia zasady gry. Bez niej jedna skradziona baza haseł to włamanie na pocztę, a stamtąd reset wszystkich innych kont. Z nią — kod z telefonu jest niezbędny do zalogowania.

RODO i kary UODO — dlaczego to nie teoria

Co konkretnie wymaga RODO od Twojej 12-osobowej firmy

Artykuł 32 RODO mówi wprost: każda firma przetwarzająca dane osobowe musi wdrożyć „odpowiednie środki techniczne i organizacyjne". W praktyce to:

• szyfrowanie danych tam, gdzie to sensowne
• zdolność szybkiego odtworzenia danych po incydencie (czyli kopia zapasowa — tak, to obowiązek prawny, nie „dobra praktyka")
• kontrola dostępu (kto co widzi)
• regularne testy skuteczności zabezpieczeń

Zasada rozliczalności oznacza coś ważnego: to Ty musisz udowodnić Urzędowi Ochrony Danych Osobowych, że zrobiłeś co należy. Nie oni Tobie, że zaniedbałeś.

Realne kary UODO dla firm podobnych do Twojej

To nie są abstrakcyjne kwoty dla międzynarodowych korporacji. Spójrz:

Łączna suma kar nałożonych przez UODO w 2025 roku: 64,5 mln zł — dziesięć razy więcej niż w roku 2023. Trend jest wyraźnie wzrostowy.

W uzasadnieniu decyzji dla Res-Gastro UODO szczególnie podkreślił, że w polityce bezpieczeństwa firmy w ogóle nie przewidziano scenariusza zgubienia sprzętu przenośnego. Nie było szyfrowania, nie było procedur — i dlatego kara była tak wysoka.

Czy NIS2 dotyczy mojej firmy?

Krótka, uczciwa odpowiedź: Twojej 12-osobowej firmy usługowej NIS2 bezpośrednio raczej nie obejmie. Dyrektywa dotyczy około 18 sektorów kluczowych (energetyka, transport, ochrona zdrowia, bankowość) i zwykle tylko podmiotów średnich i dużych.

Ale jest druga strona medalu: duże firmy objęte NIS2 są odpowiedzialne za bezpieczeństwo swojego łańcucha dostaw. Już teraz w kwestionariuszach dla podwykonawców pojawiają się pytania o szyfrowanie, weryfikację dwuetapową i procedury zgłaszania incydentów w 24 godziny. Nawet jeśli prawo Cię nie zmusza, rynek zmusi.

Ile to kosztuje — pełna kalkulacja dla 12-osobowej firmy

Jednorazowy start

Opłaty miesięczne

Porównanie z potencjalną stratą:

• Minimalny koszt udanego ataku: 50 000 zł → stosunek 1:5
• Średni koszt ransomware w Polsce: 450 000 zł → stosunek 1:40
• Najgorszy scenariusz (kara UODO + przestój + odzyskiwanie): 1,5 mln zł → 1:140

Trudno znaleźć inną inwestycję firmową z takim zwrotem.

Lista kontrolna: 10 pytań, na które musisz znać odpowiedź

Przejrzyj ją w sobotę, przy kawie. Każde „nie" to konkretne zadanie na najbliższe tygodnie.

• Czy wiem, gdzie fizycznie znajdują się wszystkie dane mojej firmy — serwer, laptopy, pendrive'y, chmura, skrzynki pocztowe?
• Czy mam automatyczny backup wykonywany przynajmniej raz dziennie, działający bez mojej ingerencji?
• Czy kopia zapasowa istnieje w co najmniej dwóch miejscach — lokalnie (NAS, dysk) ORAZ poza biurem (chmura lub inny budynek)?
• Czy kiedykolwiek testowałem odtworzenie danych z backupu? Kiedy ostatnio?
• Czy dyski laptopów wszystkich pracowników są zaszyfrowane? A pendrive'y z danymi firmowymi?
• Czy każdy pracownik używa unikalnych, silnych haseł do każdego systemu? Czy korzystamy z menedżera haseł?
• Czy mamy weryfikację dwuetapową na poczcie firmowej, bankowości, systemach księgowych?
• Czy istnieje spisana procedura na wypadek utraty danych — kto dzwoni do kogo, co robimy w pierwszej kolejności?
• Czy spełniam obowiązki RODO — rejestr czynności przetwarzania, umowy powierzenia z dostawcami IT, klauzule informacyjne?
• Czy regularnie (co kwartał) sprawdzam, czy wszystkie systemy mają aktualne łatki bezpieczeństwa?

Jeśli na którekolwiek pytanie odpowiedziałeś „nie" — to nie porażka, tylko punkt startu.

Od czego zacząć w poniedziałek

Nie musisz zrobić wszystkiego naraz. Oto plan na trzy tygodnie, który realnie uporządkuje bezpieczeństwo Twoich danych:

Po tych trzech tygodniach masz wdrożone minimum, które wypełnia obowiązki RODO, chroni przed 90% realnych scenariuszy utraty danych i kosztuje mniej niż 35 zł miesięcznie na pracownika.

Podsumowanie

Zabezpieczenie danych w małej firmie nie wymaga działu IT, kosztownego audytu ani grubych podręczników. Wymaga trzech filarów: centralnego miejsca na dane (NAS), automatycznej kopii zapasowej w dwóch miejscach (zasada 3-2-1) i szyfrowania urządzeń (BitLocker lub FileVault). Reszta to konsekwencja i kwartalny przegląd.

Nie musisz zrobić wszystkiego naraz. Musisz tylko zacząć — zanim zrobi to za Ciebie awaria dysku albo złodziej z parkingu przed budową.