Kiedy dostawca oprogramowania mówi, że jego system jest bezpieczny, to zdanie nie znaczy nic, dopóki nie zapytasz, co dokładnie się za nim kryje. Bezpieczny to słowo, które każdy wpisuje do oferty, bo dobrze wygląda. Problem w tym, że bezpieczeństwo danych nie jest jedną funkcją, którą się włącza. To zbiór konkretnych rozwiązań i nawyków, z których każde odpowiada za inny rodzaj ryzyka. Jeśli nie wiesz, o co pytać, łatwo dać się zbyć ładnym hasłem.

W firmie odszkodowawczej ten temat jest poważniejszy niż w większości biznesów. Trzymasz dane, które ludzie powierzają Ci w trudnym momencie: numery PESEL, informacje o zdarzeniach, czasem dane o zdrowiu. To nie są rzeczy, które można przechowywać byle gdzie. Chcę przełożyć bezpieczeństwo z marketingowego hasła na konkrety, żebyś wiedział, na co patrzeć i o co dopytywać, zanim komukolwiek powierzysz dane swoich klientów.

Zacznijmy od najważniejszego, czyli izolacji firm

Większość systemów, z których dziś korzystasz, to oprogramowanie, w którym wiele firm działa na tej samej infrastrukturze. To normalne i samo w sobie nie jest problemem. Problemem staje się dopiero wtedy, gdy te firmy nie są od siebie odpowiednio odseparowane. Pierwsze pytanie, które zadaję każdemu dostawcy, brzmi prosto: czy inna firma korzystająca z tego samego systemu ma jakąkolwiek techniczną możliwość zobaczyć moje dane.

Jeżeli odpowiedź nie jest natychmiastowym i pewnym zaprzeczeniem, rozmowa się dla mnie w tym miejscu kończy. W dobrze zbudowanym systemie każda firma widzi wyłącznie własne sprawy, a mechanizm, który tego pilnuje, działa na najniższym poziomie, przy każdym zapytaniu do danych, a nie jako grzecznościowe ukrywanie na ekranie. To różnica między prawdziwym rozdzieleniem a jego pozorem. Pozór wygląda tak samo na co dzień, ale wystarczy jeden błąd, żeby cudze dane wyświetliły się tam, gdzie nie powinny.

Dlaczego to jest aż tak ważne. Bo jeśli izolacja zawiedzie, konsekwencje są najgorsze z możliwych. Nie chodzi o awarię, którą się przeżyje, tylko o sytuację, w której dane Twoich klientów trafiają do kogoś obcego. To koniec zaufania, a w tej branży zaufanie jest fundamentem, na którym stoi cała reszta. Dlatego izolację stawiam ponad wszystkimi innymi funkcjami. Może nie brzmi efektownie, ale jest ważniejsza niż najładniejszy pulpit z wykresami.

Hasła, których nie da się odczytać

Druga rzecz, o którą pytam, dotyczy tego, jak przechowywane są hasła. Prawidłowa odpowiedź brzmi, że hasła są zapisywane w formie, której nie da się odwrócić. Nie są nigdzie trzymane jako czytelny tekst i nawet dostawca nie jest w stanie ich odczytać. Gdy zapominasz hasła, nie dostajesz go z powrotem, tylko ustawiasz nowe, i to jest właśnie znak, że robione jest to dobrze.

Jeśli kiedykolwiek jakiś system przypomina Ci Twoje stare hasło, wysyłając je mailem, to sygnał alarmowy. Znaczy to, że gdzieś jest ono przechowywane w czytelnej formie, a to poważny błąd. Hasła w czytelnej postaci to zaproszenie do katastrofy, bo wystarczy jeden wyciek, żeby ktoś dostał gotową listę dostępów. Poważny system nie zna Twojego hasła i nie ma jak go poznać, i tak właśnie ma być.

Do tego dochodzi kwestia tego, jak łatwo jest hasło złamać, gdyby ktoś próbował. Dlatego warto, żeby system wymuszał sensowną długość hasła i nie pozwalał na najprostsze kombinacje. To drobiazg, który w połączeniu z prawidłowym przechowywaniem daje realną ochronę, a nie jej namiastkę.

Dostęp oparty na rolach

Nie każdy w firmie musi widzieć wszystko, i to nie jest kwestia braku zaufania do zespołu, tylko zdrowej zasady, że każdy ma dostęp tylko do tego, czego potrzebuje do swojej pracy. Likwidator zajmujący się swoimi sprawami nie musi mieć wglądu w finanse całej firmy. Osoba od floty nie potrzebuje dostępu do każdej sprawy prawnej. Im mniej danych ma przed oczami każdy pojedynczy pracownik, tym mniejsze ryzyko, że coś wycieknie przez przypadek albo przez złą wolę.

Dobrze zaprojektowany system pozwala nadawać role i przypisywać do nich zakres dostępu. Ty decydujesz, kto co widzi i co może zmieniać. To porządkuje pracę i jednocześnie chroni dane, bo ogranicza pole do pomyłek. Gdy ktoś odchodzi z firmy albo zmienia stanowisko, po prostu zmieniasz mu uprawnienia, zamiast się martwić, że nosi w głowie dostęp do wszystkiego.

Warto też, żeby system prowadził zapis tego, kto co zrobił. Nie po to, żeby śledzić ludzi, tylko po to, żeby w razie wątpliwości dało się odtworzyć, co się wydarzyło. Gdy pojawia się pytanie, dlaczego dana sprawa wygląda tak, a nie inaczej, albo kto zmienił konkretną informację, historia działań daje odpowiedź zamiast domysłów. To także forma bezpieczeństwa, tyle że skierowana do wewnątrz.

Kopie zapasowe, czyli plan na najgorszy dzień

Awaria się zdarza. Sprzęt się psuje, ktoś coś skasuje przez pomyłkę, zdarzają się rzeczy, których nikt nie przewidział. Pytanie nie brzmi, czy taki dzień kiedyś nadejdzie, tylko czy będziesz na niego przygotowany. Odpowiedzią są regularne kopie zapasowe. System, który tworzy je automatycznie, sprawia, że nawet w czarnym scenariuszu Twoja praca nie przepada.

Warto zapytać, jak często powstają kopie i jak wygląda odtworzenie danych, gdyby zaszła taka potrzeba. Kopia, której nie da się szybko przywrócić, jest tylko połowicznym zabezpieczeniem. Chodzi o to, żeby w razie problemu dało się wrócić do stanu sprzed awarii z jak najmniejszą stratą, a nie żeby zacząć wszystko od nowa. Dla firmy, która trzyma w systemie historię setek spraw, to różnica między drobną niedogodnością a katastrofą.

Jeśli pracujesz na własnym serwerze albo rozważasz takie rozwiązanie, kopie zapasowe stają się Twoim obowiązkiem i trzeba je zaplanować świadomie. Najgorszy wariant to firma, która myśli, że ma kopie, a w dniu awarii okazuje się, że nikt ich od miesięcy nie sprawdzał i nie działają. Kopia, którą raz na jakiś czas testujesz, jest warta swojej ceny. Kopia, w którą tylko wierzysz, bywa iluzją.

Potwierdzanie operacji, których nie da się cofnąć

Są w każdym systemie działania, które potrafią zaboleć, jeśli wykona się je pochopnie albo złośliwie. Usunięcie konta ze wszystkimi danymi. Zmiana danych logowania. To operacje nieodwracalne albo trudne do odkręcenia. Fajnie, gdy taki system wymaga przy nich dodatkowego potwierdzenia, na przykład kliknięcia w link wysłany na skrzynkę, zanim cokolwiek się wykona.

To prosty mechanizm, a chroni przed dwoma rzeczami naraz. Przed przypadkiem, gdy ktoś kliknie coś w pośpiechu i skasuje rzecz, której nie chciał skasować. I przed nadużyciem, gdy ktoś niepowołany próbuje zmienić dane za czyimiś plecami. Dodatkowe potwierdzenie sprawia, że najgroźniejsze działania nie dzieją się jednym nieostrożnym ruchem. To niewielka niewygoda w zamian za spory spokój.

Warto tylko wiedzieć, że taki mechanizm zwykle opiera się na poczcie, więc żeby działał, poczta musi być poprawnie skonfigurowana. To nie wada, tylko cecha, o której dobrze pamiętać, ustawiając system. Bezpieczeństwo często wygląda właśnie tak, jak drobna dodatkowa czynność, która w krytycznym momencie okazuje się warta każdego kliknięcia.

Ochrona przed automatami i skanerami

W internecie nieustannie krążą automaty, które szukają słabych punktów w systemach, próbują się włamać, testują znane luki. To nie są wymierzone w Ciebie ataki hakerów z filmów, tylko masowe, automatyczne skanowanie wszystkiego, co jest dostępne w sieci. Dobrze, gdy system potrafi rozpoznać i zablokować znane narzędzia tego typu, zanim zdążą cokolwiek zrobić.

Taka ochrona działa w tle i na co dzień jej nie widać, co jest zresztą jej zaletą. Blokuje ruch, który nie ma nic wspólnego z prawdziwymi użytkownikami, a jednocześnie nie przeszkadza w normalnej pracy. To jedna z tych rzeczy, o które nie myślisz, dopóki działają, i o których pomyślałbyś boleśnie, gdyby ich zabrakło. Warto po prostu wiedzieć, że dostawca się tym zajmuje.

Gdzie fizycznie są Twoje dane

Dane muszą gdzieś być. Siedzą na serwerach, które stoją w konkretnym miejscu i są przez kogoś utrzymywane. Warto zapytać, gdzie to jest i kto za to odpowiada. To pytanie ma znaczenie i praktyczne, i formalne, bo od tego zależy między innymi to, jak wygląda kwestia zgodności z przepisami o ochronie danych.

Nie chodzi o to, żeby stać się ekspertem od infrastruktury. Chodzi o świadomość, że powierzasz dane komuś, kto z kolei trzyma je gdzieś fizycznie, i że w tym łańcuchu powinien panować porządek. Poważny dostawca odpowie na to pytanie bez wykrętów i wyjaśni, jak to jest zorganizowane. Wykręty albo mgliste odpowiedzi to znak, żeby dopytywać dalej albo poszukać kogoś innego.

Osobno warto pomyśleć o tym, co się dzieje, gdy chcesz zmienić dostawcę albo zakończyć współpracę. Czy odzyskasz swoje dane, w jakim formacie i jak szybko. To też element bezpieczeństwa, choć rzadko się go tak nazywa. Dane, których nie możesz wyjąć, to dane, nad którymi nie masz pełnej kontroli. Zawsze pytaj o eksport, zanim zaczniesz, a nie wtedy, gdy będziesz chciał odejść.

Co możesz zrobić po swojej stronie

Najlepiej zabezpieczony system nie pomoże, jeśli po Twojej stronie panuje bałagan. Bezpieczeństwo to gra zespołowa, w której narzędzie odpowiada za jedną część, a Ty i Twoi ludzie za drugą. Kilka nawyków robi tu ogromną różnicę i żaden z nich nie wymaga wiedzy technicznej.

Każdy pracownik ma własne konto, a nie wszyscy logują się na jedno wspólne. Wspólne konto to koniec kontroli, bo nie wiadomo, kto co zrobił, i nie da się odebrać dostępu jednej osobie bez blokowania wszystkich. Hasła są mocne i nie zapisane na kartkach przyklejonych do monitora. Dostęp do danych mają tylko ci, którzy naprawdę go potrzebują. Gdy ktoś odchodzi, natychmiast traci dostęp, a nie miesiąc później, gdy ktoś sobie o tym przypomni.

Do tego dochodzą drobne, codzienne rzeczy, o których łatwo zapomnieć. Nie zostawiaj otwartego systemu na niepilnowanym komputerze. Nie omawiaj wrażliwych spraw tam, gdzie słyszą Cię obcy. Uważaj, do kogo wysyłasz dokumenty z danymi. Bezpieczeństwo w dużej mierze składa się właśnie z takich małych nawyków, a nie tylko z wielkich mechanizmów w tle. To one najczęściej zawodzą i to one najłatwiej naprawić.

Pytania, które warto zadać dostawcy

Jeśli miałbym zostawić Ci gotowy zestaw pytań na rozmowę z dostawcą oprogramowania, to wyglądałby tak. Czy moje dane są technicznie odseparowane od danych innych firm. Jak przechowujecie hasła. Czy mogę nadawać role i ograniczać dostęp pracownikom. Jak często robicie kopie zapasowe i jak wygląda odtworzenie danych. Czy najbardziej wrażliwe operacje wymagają dodatkowego potwierdzenia. Gdzie fizycznie znajdują się dane. Czy w każdej chwili mogę wyeksportować swoje dane i w jakim formacie. Czy dostanę umowę powierzenia przetwarzania danych.

To ostatnie pytanie jest zarazem formalne i praktyczne. Umowa powierzenia przetwarzania danych to Twój obowiązek wynikający z przepisów, gdy powierzasz komuś dane klientów, a poważny dostawca ma ją gotową i udostępnia bez problemu. Reakcja na to pytanie sporo mówi o tym, z kim masz do czynienia. Kto ma sprawy poukładane, odpowie spokojnie i konkretnie. Kto kręci, ten prawdopodobnie kręci też w innych, mniej widocznych miejscach.

Bezpieczeństwo jako argument, a nie tylko koszt

Łatwo myśleć o bezpieczeństwie danych jak o przykrym obowiązku i koszcie, który trzeba ponieść, bo tak każą przepisy. To zrozumiałe, ale niepełne spojrzenie. Dobrze poukładane bezpieczeństwo jest też argumentem sprzedażowym, i to mocnym, zwłaszcza w branży, w której klient powierza Ci swoje najbardziej wrażliwe sprawy.

Klient rzadko zapyta wprost o szyfrowanie haseł czy izolację danych, bo to nie jego świat. Ale wyczuje, czy firma jest poukładana, czy działa na łapu capu. Firma, która potrafi powiedzieć, że dane klientów są u niej bezpieczne, i stoi za tym realnymi rozwiązaniami, buduje zaufanie, które przekłada się na kolejne sprawy i polecenia. To coś, czym konkurencja działająca po łebkach nie może się pochwalić, bo po prostu tego nie ma.

Traktuj więc bezpieczeństwo nie jak podatek, który płacisz niechętnie, tylko jak część tego, co sprzedajesz. Klient przychodzi do Ciebie po pomoc w trudnej sprawie, a przy okazji powierza Ci swoje dane. Kiedy zadbasz o jedno i drugie, dajesz mu spokój, którego szuka. A spokój, w chwili gdy komuś zawalił się kawałek życia po wypadku, jest wart więcej, niż się wydaje.

Bezpieczne połączenie, czyli co się dzieje po drodze

Dane nie leżą tylko w jednym miejscu. Podróżują między Twoim komputerem a serwerem za każdym razem, gdy otwierasz sprawę, dodajesz notatkę czy wysyłasz dokument. Ta droga też musi być zabezpieczona, bo gdyby ktoś podsłuchał, co przesyłasz, zabezpieczenia po stronie serwera nie miałyby znaczenia. Dlatego połączenie z systemem powinno być szyfrowane, tak żeby nikt po drodze nie mógł odczytać, co wędruje między Tobą a bazą danych.

W praktyce poznasz to po tym, że adres systemu zaczyna się od bezpiecznego protokołu, a przeglądarka nie ostrzega Cię, że połączenie jest niezaufane. To dziś standard i żaden poważny system nie powinien działać inaczej. Jeśli kiedykolwiek widzisz ostrzeżenie, że połączenie nie jest bezpieczne, potraktuj to jako sygnał, żeby nie wpisywać tam żadnych danych, dopóki sprawa się nie wyjaśni. To ta sama zasada, którą stosujesz przy bankowości internetowej, tyle że tu chodzi o dane Twoich klientów.

Warto o tym pamiętać zwłaszcza wtedy, gdy pracujesz spoza biura, na przykład w kawiarni albo na publicznej sieci. Otwarte, niezabezpieczone sieci to miejsce, w którym łatwiej o podsłuch, więc korzystanie z zaszyfrowanego połączenia staje się jeszcze ważniejsze. Sam system dbający o szyfrowanie robi tu większość roboty, ale zdrowy rozsądek po Twojej stronie dopełnia całości.

Praca zdalna i urządzenia, na których pracujesz

Coraz częściej pracuje się nie tylko przy jednym biurowym komputerze, ale też z domu, z telefonu, z laptopa w terenie. To wygodne i często konieczne, ale poszerza pole, o które trzeba zadbać. Każde urządzenie, z którego logujesz się do systemu, jest potencjalną furtką, jeśli samo nie jest zabezpieczone.

Podstawy są proste i nie wymagają wiedzy technicznej. Urządzenia, na których pracujesz, powinny być chronione hasłem albo blokadą, żeby zgubiony telefon czy laptop nie dawał od razu dostępu do danych. Warto mieć na nich aktualne oprogramowanie, bo stare, niełatane systemy są łatwiejszym celem. Nie warto trzymać na prywatnym sprzęcie kopii danych klientów poza samym systemem, bo taka kopia wymyka się spod kontroli i zostaje, gdy urządzenie zmieni właściciela.

Dobrze też ustalić w firmie jasną zasadę, z jakich urządzeń wolno pracować i co się dzieje, gdy ktoś zgubi telefon albo laptop. Kiedy istnieje prosty scenariusz na taką sytuację, reagujesz szybko i spokojnie, zamiast panikować. Bezpieczeństwo pracy zdalnej to w dużej mierze właśnie takie przyziemne nawyki, a nie skomplikowane technologie. To one najczęściej decydują o tym, czy wygoda pracy z każdego miejsca kosztuje Cię spokój, czy nie.

Bezpieczeństwo to proces, a nie jednorazowy zakup

Łatwo pomyśleć, że skoro raz wybrało się bezpieczny system, to temat jest zamknięty. Tak to nie działa. Zagrożenia się zmieniają, pojawiają się nowe sposoby ataków, a firma z czasem rośnie, dochodzą nowi ludzie i nowe dane. Bezpieczeństwo trzeba więc traktować jak coś, do czego się wraca, a nie jak pudełko, które się kupiło i odstawiło na półkę.

W praktyce oznacza to kilka prostych nawyków po Twojej stronie. Co jakiś czas warto przejrzeć, kto ma dostęp do czego, i odebrać uprawnienia osobom, które ich już nie potrzebują. Warto upewnić się, że kopie zapasowe faktycznie powstają i dają się odtworzyć, a nie tylko figurują w ustawieniach. Warto od czasu do czasu przypomnieć zespołowi podstawowe zasady, bo z czasem czujność siada i wracają stare, wygodne nawyki. To nie jest wielka praca, ale robiona regularnie utrzymuje poziom, który przy zakupie ustawiłeś wysoko.

Po stronie dostawcy proces oznacza z kolei to, że system jest utrzymywany i aktualizowany, a nie zamrożony w wersji sprzed lat. Oprogramowanie, które nikt nie rozwija, z czasem staje się słabszym punktem, bo świat idzie do przodu, a ono stoi. Dlatego wybierając narzędzie, warto patrzeć nie tylko na to, jak wygląda dziś, ale też na to, czy stoi za nim ktoś, kto o nie dba na bieżąco. Bezpieczeństwo, tak jak zdrowie, utrzymuje się codzienną troską, a nie jednym wielkim wysiłkiem raz na jakiś czas.

Dobrze jest raz na jakiś czas usiąść i spojrzeć na całość z boku, zamiast reagować dopiero, gdy coś się wydarzy. Kto ma dziś dostęp do danych i czy nadal go potrzebuje. Czy wszyscy w zespole trzymają się ustalonych zasad, czy gdzieś wróciły stare przyzwyczajenia. Czy nic ważnego nie umknęło, na przykład konto pracownika, który odszedł pół roku temu, a wciąż figuruje w systemie. Taki przegląd zajmuje niewiele czasu, a wyłapuje rzeczy, które w codziennym biegu łatwo przeoczyć. To trochę jak sprzątanie, którego nikt nie lubi, a po którym zawsze robi się lżej i bezpieczniej.

Na koniec

Bezpieczeństwo danych w systemie nie jest jedną rzeczą do odhaczenia, tylko zestawem konkretnych rozwiązań, z których każde odpowiada za inny rodzaj ryzyka. Izolacja firm chroni przed najgorszym, czyli przeciekiem danych do obcych. Prawidłowe hasła i kontrola dostępu ograniczają pole do błędów i nadużyć. Kopie zapasowe ratują w dniu awarii. Potwierdzenia operacji i blokada automatów pilnują reszty. A Twoje własne nawyki spinają to wszystko w całość, która naprawdę działa.

Nie musisz znać się na technice, żeby wymagać tych rzeczy. Musisz tylko wiedzieć, o co pytać, i nie zadowalać się hasłem, że system jest bezpieczny. Dobre bezpieczeństwo jest konkretne i daje się opisać prostymi słowami. Jeśli dostawca potrafi to zrobić, jesteś w dobrych rękach. Jeśli chowa się za ogólnikami, lepiej dopytaj, zanim powierzysz mu dane, za które odpowiadasz przed swoimi klientami. Bo to Ty, a nie on, będziesz musiał spojrzeć im w oczy, gdyby coś poszło nie tak.