Małe firmy trafiają zwykle na jeden z dwóch biegunów. Albo nie mają nic — cała wiedza o systemach siedzi w głowie jednej osoby. Albo ktoś kupił szablon na dwieście stron, wpisał nazwę firmy w nagłówek i odłożył segregator na półkę, gdzie stoi do dziś.
Obie sytuacje kończą się tak samo w dniu, w którym coś się psuje albo kontrahent przysyła ankietę bezpieczeństwa. Poniżej zestaw, który realnie u siebie wdrażam: osiem dokumentów, każdy na jedną lub dwie strony, każdy z konkretnym powodem istnienia.
Po co to w ogóle jest
Dokumentacja bezpieczeństwa w małej firmie ma odpowiadać na pytania zadawane pod presją czasu: co mamy, kto ma do tego dostęp, kto dzwoni, gdy się pali, i skąd to odtworzyć. Wszystko, co nie odpowiada na żadne z tych pytań, jest wypełniaczem.
Sprawdzian jest prosty. Jeśli osoba, która nie zna firmy, nie potrafi z tego dokumentu podjąć decyzji w ciągu pięciu minut, dokument jest za długi albo napisany dla audytora, nie dla człowieka.
Spis zasobów
Jedna tabela: co mamy, gdzie to stoi, kto za to odpowiada, do kiedy ważne. Serwery, stacje robocze, routery, licencje, domeny, certyfikaty, konta u dostawców chmurowych. Bez tego każde inne pytanie o bezpieczeństwo jest bez sensu, bo nie wiadomo, czego dotyczy.
Wersja minimalna mieści się w arkuszu na jednym ekranie. Kolumna „do kiedy” jest tą, która oszczędza najwięcej nerwów — wygasła domena albo certyfikat to najczęstsza awaria, która nie jest awarią. W firmie z dwudziestoma stanowiskami taki spis powstaje w dwie godziny i po raz pierwszy pokazuje właścicielowi, za ile abonamentów faktycznie płaci.
Rejestr kont i uprawnień
Kto ma dostęp do czego. Nie „pracownicy mają dostęp do systemów”, tylko konkretne osoby przy konkretnych systemach. Najważniejsze są dwie kategorie, które zwykle wypadają ze spisu: konta serwisowe (te, którymi loguje się program, nie człowiek) i konta współdzielone, gdzie hasło zna pięć osób, a odpowiada nikt.
Ten rejestr jest pierwszą rzeczą, o którą pytam przy audycie infrastruktury, i pierwszą, której nikt nie ma. Jego brak widać po objawach: po odejściu pracownika nikt nie wie, co odłączyć, więc konto zostaje aktywne przez rok.
Zasady haseł i drugiego składnika
Jedna strona, cztery decyzje: gdzie hasła są przechowywane, jak wyglądają wymagania, gdzie obowiązkowo działa drugi składnik i co się dzieje, gdy ktoś zgubi telefon z aplikacją uwierzytelniającą. Ostatni punkt pomija prawie każdy szablon, a to on generuje telefon o siódmej rano.
Realnie działa polityka krótka i wymuszona technicznie. Menedżer haseł zamiast kartki, długie frazy zamiast wymiany co trzydzieści dni, drugi składnik przy logowaniu na poczcie, w banku i w panelach administracyjnych. Zasada, której system nie egzekwuje, istnieje wyłącznie w dokumencie.
Procedura zgłaszania incydentu
Jeden numer, jedna skrzynka, jedna osoba decyzyjna. Tyle. Cała wartość tego dokumentu polega na tym, że pracownik, który właśnie kliknął w podejrzany załącznik, nie zastanawia się przez dwadzieścia minut, komu wypada o tym powiedzieć.
Dopisuję do tego trzy zdania o tym, czego nie robić: nie kasować podejrzanych wiadomości, nie wyłączać komputera przed konsultacją, nie płacić nikomu za nic bez zgody właściciela. Wyłączony komputer bywa gorszy niż zainfekowany, bo w tym pierwszym nie da się już sprawdzić, co się działo.
Kluczowa jest kultura zgłaszania. Jeśli pierwsza reakcja firmy na zgłoszenie to szukanie winnego, następnym razem nikt nic nie zgłosi i dowiecie się o problemie od kontrahenta.
Plan backupu z datą ostatniego testu odtwarzania
Co jest kopiowane, jak często, gdzie leży kopia poza siedzibą, ile czasu zajmuje powrót i — pole najważniejsze — kiedy ostatni raz ktoś to sprawdził. Bez daty testu ten dokument opisuje nadzieję, nie zabezpieczenie.
Test wpisuję do kalendarza jako cykliczne zadanie i odhaczam w tabeli. Odtworzenie jednego pliku raz w miesiącu, odtworzenie całej maszyny raz na pół roku. Jak to poukładać od zera, rozpisałem w tekście o wdrożeniu kopii zapasowych.
Przyjęcie i odejście pracownika
Dwie listy kontrolne, po kilkanaście pozycji każda. Przy przyjęciu: konto, skrzynka, uprawnienia, sprzęt, dostęp do lokalu. Przy odejściu ta sama lista czytana od tyłu, plus rzeczy specyficzne — klucze, karty, prywatny telefon z firmową pocztą, konta u zewnętrznych dostawców.
Offboarding jest tym miejscem, gdzie małe firmy przeciekają najbardziej. Człowiek odchodzi w piątek, w poniedziałek nikt nie pamięta, a konto żyje dalej. Znacznie łatwiej to opanować, gdy dostępy idą przez jedno logowanie — wtedy odcięcie w jednym miejscu zamyka wszystko naraz.
Lista dostawców z dostępem do systemów
Firma od księgowości, informatyk, dostawca programu magazynowego, agencja od strony, ktoś, kto raz w roku wchodzi zdalnie na serwer kadrowy. Każdy z nich ma dostęp do części danych, a prawie żadna mała firma nie ma tego wypisanego w jednym miejscu.
Kolumny: nazwa, do czego ma dostęp, w jaki sposób się łączy, kto jest kontaktem, umowa powierzenia danych — tak lub nie. Ta lista rozwiązuje jednocześnie obowiązek z zakresu ochrony danych i pytanie z ankiety kontrahenta o podwykonawców. Dwie potrzeby, jeden arkusz.
Plan ciągłości na trzy scenariusze
Nie na dwadzieścia. Na trzy najczęstsze: brak internetu, awaria serwera lub systemu kluczowego dla pracy, utrata dostępu do poczty. Dla każdego trzy zdania — kto stwierdza, jak pracujemy w międzyczasie, kto informuje klientów.
Reszta scenariuszy jest wariacją tych trzech. Pożar serwerowni różni się od awarii serwera skalą, nie procedurą pierwszej godziny.
Jeden zestaw zamiast trzech segregatorów
Te same dokumenty obsługują naraz trzy różne oczekiwania. Ochrona danych osobowych pyta o rejestr uprawnień, listę podmiotów przetwarzających i procedurę reagowania na naruszenie. Ankieta bezpieczeństwa od dużego kontrahenta pyta o backup, uwierzytelnianie i ciągłość działania. Wymogi cyberbezpieczeństwa pytają o spis zasobów i incydenty.
To ten sam materiał w trzech opakowaniach. Firmy prowadzą trzy osobne komplety, bo każdy temat przyszedł do nich osobno i w innym momencie — z inną firmą doradczą i innym szablonem. Scalenie ich w jeden zestaw zajmuje jedno popołudnie i od razu obcina pracę przy każdej kolejnej ankiecie.
Nieaktualny dokument jest gorszy niż jego brak
Firma bez rejestru uprawnień wie, że go nie ma, i sprawdza uprawnienia ręcznie. Firma z rejestrem sprzed dwóch lat wierzy, że wie, kto ma dostęp — i się nie sprawdza. Fałszywe poczucie kontroli kosztuje więcej niż jawna luka.
Dlatego każdy z tych dokumentów ma u mnie dwa pola w nagłówku: data ostatniego przeglądu i imię osoby odpowiedzialnej. Przegląd raz na kwartał, trzydzieści minut, z listą zmian kadrowych i sprzętowych w ręku. Jeśli przez rok nikt niczego nie poprawił, to znaczy, że dokumentu nikt nie używa — i lepiej go skasować niż udawać, że obowiązuje.
Dobra dokumentacja bezpieczeństwa w małej firmie mieści się w jednym folderze i daje się przeczytać w kwadrans. Wszystko powyżej tego progu przestaje być używane w tym samym tygodniu, w którym powstało.
Zestaw od zera powstaje w jeden dzień pracy, jeśli ktoś zada właściwe pytania i spisze odpowiedzi. Najczęściej robię to przy okazji audytu infrastruktury, bo połowa danych i tak wychodzi w trakcie inwentaryzacji — szkoda, żeby została w raporcie zamiast w dokumencie, którego firma używa na co dzień.