Wokół cyberbezpieczeństwa narosło mnóstwo mitów – jedne nas usypiają, inne paraliżują strachem. Organizacje pozarządowe, operując często na wrażliwych danych darczyńców i ograniczonych budżetach, są dla cyberprzestępców wyjątkowo atrakcyjnym celem.
Poniższy materiał to skondensowane, praktyczne kompendium wiedzy oparte na wieloletniej praktyce.

Jak tworzyć „pancerne” hasła, czy zapisywanie ich w przeglądarce jest bezpieczne i jak darmowo oraz bezpiecznie współdzielić je w zespole?

• Twórz hasła-zdania (tzw. passphrase’y): Długość jest ważniejsza niż skomplikowanie. Zwykłe hasło typu wiosna2024! haker, z pomocą programów do łamania haseł złamie w parę chwil. Długie, zaskakujące zdanie – np. @Dz1ec1_z_Bullerbyn! (Dzieci z Bullerbyn)  – jest dla automatów “nie do przejścia”, a Tobie znacznie łatwiej je zapamiętać.
• Zasada unikalności: Nigdy nie używaj tego samego hasła w kilku miejscach. Jeśli wyciekną dane z jakiegoś mało bezpiecznego sklepu internetowego, hakerzy natychmiast użyją tych poświadczeń, by przejąć Twoją główną skrzynkę e-mail i całą tożsamość.
• Przeglądarki to pułapka: Zapisywanie haseł w Chrome czy innej przeglądarce jest wygodne, ale niebezpieczne. Ukryte pod gwiazdkami hasła można bardzo łatwo „rozgwiazdkować” i podejrzeć z poziomu kodu witryny.
• Używaj menedżerów haseł: Do bezpiecznego przechowywania i dzielenia się hasłami w zespole Łukasz rekomenduje darmowe narzędzia: Bitwarden lub ultra-bezpieczny KeePass (uwaga: jeśli zgubisz do niego hasło główne, bezpowrotnie stracisz dane). Dobrą alternatywą komercyjną jest też 1Password.

Czy istnieją darmowe lub niedrogie programy wspierające cyberbezpieczeństwo, które z powodzeniem może wdrożyć organizacja non-profit?

Większość skutecznych zabezpieczeń można wdrożyć bez wielkich nakładów finansowych. Oto kilka przykładów darmowego oprogramowaniaoprogramowanie o otwartym kodzie (open source), które sprawdzi się w organizacjach:

• Wazuh (klasa corporate): Genialne, w pełni darmowe narzędzie do monitorowania całej sieci w organizacji. Wyłapuje próby phishingu, rejestruje ruch, wykrywa luki w systemach oraz tworzy statystyki. Wymaga jedynie odrobiny wiedzy technicznej przy wdrożeniu.
• Zabbix: Świetny darmowy program do centralnego zarządzania urządzeniami. Pozwala monitorować sprzęt, sprawdzać dostępność aktualizacji i globalnie wymuszać upgrade’y.
• Headwind: Jeśli Wasz zespół korzysta ze służbowych telefonów lub tabletów z systemem Android, to darmowe narzędzie pozwoli na wygodne, globalne zarządzanie całą tą flotą urządzeń.
• ProtonVPN lub NordVPN: Darmowe wersje tych programów (choć z ograniczeniami serwerowymi) skutecznie szyfrują ruch w sieci i tworzą bezpieczny tunel, chroniąc Was przed podsłuchem danych.

Wyciek danych –  Jak uniknąć? Jak wygląda „pierwsza pomoc” po kliknięciu w phishing i podaniu danych?

Szybka reakcja potrafi uratować organizację przed kryzysem wizerunkowym, pozwami i karami z RODO. Oto plan działania:

• Zasada 10 sekund (Zanim klikniesz): Najlepszą obroną jest profilaktyka – weź głęboki oddech. Atakujący zawsze bazują na pośpiechu i emocjach. Jeśli e-mail wymusza natychmiastowe działanie, zadzwoń do nadawcy na znany Ci wcześniej numer, aby zweryfikować sprawę.
• Jeśli już kliknąłeś i podałeś dane: Natychmiast zmień hasła do skompromitowanych usług. Jeśli sprawa dotyczy finansów, pilnie skontaktuj się z bankiem w celu zablokowania dostępu do konta lub kart.
• Odłącz urządzenie od sieci: Jeżeli podejrzewasz, że pobrałeś złośliwy skrypt (np. z pliku .exe, .bat lub zainfekowanego archiwum ZIP), odetnij komputer od internetu/Wi-Fi, aby złośliwe oprogramowanie nie zaczęło szyfrować danych w całej sieci firmowej.
• W przypadku Ransomware (zaszyfrowanie dysków): Przestępcy często szyfrują też backupy, jeśli są w tej samej sieci. Aby tego uniknąć, kluczowe jest wyrzucanie kopii zapasowych na zewnątrz organizacji (izolowany backup). 
• Dopełnij formalności prawnych: Jeśli doszło do wycieku danych osobowych (np. bazy darczyńców), macie ustawowy obowiązek zgłoszenia incydentu do odpowiednich organów w określonym czasie. Niedopełnienie tego obowiązku potęguje kary finansowe.

Jak uodpornić się na próby wyłudzenia środków?

• Zagrożenie leży w manipulacji i psychologii człowieka (CEO Fraud): Same przelewy przychodzące nie są niebezpieczne, ale przestępcy mogą wykorzystać wiedzę o Waszych finansach. Wykorzystując techniki socjotechniczne lub sztuczną inteligencję (klonowanie głosu), hakerzy mogą podszyć się pod prezesa NGO i wydać księgowości pilne, poufne polecenie wykonania przelewu na fałszywe konto.
• Weryfikujcie dane dwoma kanałami: Jeśli otrzymujecie nagłą prośbę o zmianę numeru konta do rozliczeń, zmianę sposobu transferu środków czy realizację nietypowego przelewu – zawsze stosujcie zasadę ograniczonego zaufania. Sprawdźcie dokładnie domenę mailową nadawcy i potwierdźcie tę prośbę telefonicznie.
• Wpływ kondycji finansowej na ryzyko ataku: Hakerzy działają jak zorganizowane korporacje. Zanim zaatakują, potrafią przeanalizować obroty organizacji za zeszły rok i sprawdzić Waszą kondycję finansową, aby idealnie dobrać wysokość żądanego okupu (np. przy ransomware). Ochrona rejestracji wpływów i planów budżetowych przed wyciekiem chroni Was przed staniem się „atrakcyjnym” celem.

Jak zadbać o bezpieczeństwo pracy w chmurze i skuteczniej chronić dane przechowywane na dyskach takich jak Google Drive czy OneDrive?

Zarówno Google, jak i Microsoft oferują zbliżony, bardzo wysoki poziom bezpieczeństwa, ale klucz tkwi w sposobie zarządzania dostępem przez samych użytkowników:

• Pułapka Google Drive: Google stosuje bardzo wygodne opcje udostępniania plików. Często użytkownicy dzielą się dokumentami za pomocą opcji “każda osoba mająca link”. Taki link może zostać zaindeksowany przez wyszukiwarkę. Używając zaawansowanych zapytań (Google hackingu), hakerzy są w stanie te linki wyłapać i przejąć Wasze dane. Wymaga to stałej czujności i audytu uprawnień oraz ograniczania wglądu w dane gdy to tylko możliwe.
• Przewaga OneDrive: System od Microsoftu znacznie bardziej restrykcyjnie podchodzi do bezpieczeństwa – domyślnie blokuje i wyraźnie sygnalizuje próby udostępniania plików poza obręb Waszej organizacji.
• Złote zasady w chmurze: Kluczem jest bezwzględne włączenie MFA/2FA (weryfikacji dwuetapowej) w ustawieniach konta.

Jak bezpiecznie korzystać ze służbowej poczty elektronicznej i chronić dane na telefonie komórkowym?

Smartfon w kieszeni to dziś pełnoprawny, potężny komputer, który wymaga takiej samej ochrony jak każdy komputer który służy nam do  pacy:

• Włącz MFA, gdzie tylko się da: Logowanie dwuetapowe to absolutny fundament ochrony poczty (Google, Onet, Interia itp.). Nawet jeśli haker pozna Twoje hasło, krótki czas życia kodu w aplikacji autoryzującej (np. Google Authenticator czy OCTA) uniemożliwi mu przejęcie skrzynki.
• Unikaj publicznych sieci Wi-Fi: Darmowe sieci na lotniskach czy w hotelach to idealne miejsce dla hakerów stosujących sniffing (podsłuchiwanie pakietów danych). Przestępcy potrafią podstawić niepozorne urządzenie, które udaje sieć hotelową/lotniskową i automatycznie przechwytuje loginy oraz hasła użytkowników do niej zalogowanych..
• Zamiast darmowego Wi-Fi: Korzystaj z pakietu danych komórkowych i twórz bezpieczny hotspot z telefonu. Jeśli musisz użyć publicznego Wi-Fi, zawsze uruchamiaj VPN (np. darmowy ProtonVPN, NordVPN), który bezpiecznie zaszyfruje cały Twój ruch z urządzenia.
• Aktualizuj system i aplikacje: Ignorowanie aktualizacji w telefonie lub używanie starszych modeli, które straciły wsparcie producenta (tzw. EOL – End of Life), to ogromne ryzyko. Wiele luk bezpieczeństwa (jak głośne podatności typu one-click, gdzie telefon można zainfekować samym otwarciem specjalnie skompresowanego zdjęcia) jest łatanych właśnie przez regularne update’y.

Jak bezpiecznie administrować głównym kontem organizacji, zapobiegać wyciekom danych i jak najlepiej przekazywać tę wiedzę współpracownikom?

• Zasada najmniejszych uprawnień: Nie dawaj każdemu pracownikowi dostępu administratora do systemów chmurowych czy serwerów. Użytkownicy powinni mieć dostęp tylko do tych zasobów, które są im niezbędne do wykonywania codziennych zadań. Mniejsze uprawnienia to mniejsze ryzyko wycieku.
• Wprowadzaj polityki i procedury: Bezpieczeństwo to nie tylko technologia, ale i procedury. Dlatego dobrze jest tworzyć procedury oraz dbać o edukację pracowników i wdrażanie bezpiecznych rozwiązań takich jak dobrze znana “Polityka Czystego Biurka” (niezostawianie dokumentów i haseł na wierzchu) oraz procedury czyszczenia urządzeń po pracownikach odchodzących z organizacji, czy okresowego przeglądu uprawnień nadawanych w organizacji.
• Jak uczyć zespół? Poprzez praktykę: Zamiast nudnych wykładów, najlepszą metodą edukacji są symulowane testy phishingowe. Możesz wysłać do pracowników kontrolowany, „podejrzany” e-mail i sprawdzić, kto w niego kliknie. To buduje nawyk czujności o wiele skuteczniej niż sucha teoria.
• Słuchaj głosu pracowników: Edukacja powinna działać w obie strony. Zespół musi czuć się bezpiecznie na tyle, by bez strachu zgłosić administratorowi: „Hej, chyba kliknąłem w coś dziwnego”, zamiast ukrywać ten fakt z obawy przed karą.

W jaki sposób sztuczna inteligencja (AI) wpływa na cyberbezpieczeństwo i jak można ją wykorzystać w organizacji?

Sztuczna inteligencja to miecz obosieczny – rewolucjonizuje działania zarówno obrońców, jak i przestępców:

• Jak AI wykorzystują hakerzy? Przestępcy masowo używają modeli językowych do tworzenia perfekcyjnych, spersonalizowanych e-maili phishingowych. Dawniej phishing łatwo było wykryć po błędach językowych i koślawej polszczyźnie. Dziś AI generuje maile bezbłędne, pisane profesjonalnym językiem biznesowym. Co więcej, potrafi ona w zaledwie kilka sekund sklonować próbkę ludzkiego głosu, co ułatwia oszustwa telefoniczne (tzw. vishing).
• Jak organizacja może wykorzystać AI do obrony? Sztuczna inteligencja jest niezastąpiona w automatyzacji i analizie danych w czasie rzeczywistym. Narzędzia bezpieczeństwa oparte na AI potrafią w ułamku sekundy przetworzyć gigantyczne ilości logów sieciowych, wykryć nietypowe zachowania użytkowników (np. logowanie z egzotycznego kraju o nietypowej porze) i natychmiast zablokować zagrożenie, zanim człowiek w ogóle zauważyłby incydent.

Pamiętajmy, że w cyberbezpieczeństwie najsłabszym, ale i najważniejszym ogniwem jest zawsze człowiek – technologia ma nas jedynie wspierać. 

Wdrożenie nawet kilku prostych nawyków, takich jak zmiana haseł na dłuższe zdania czy włączenie weryfikacji dwuetapowej, drastycznie podnosi odporność całej organizacji na ataki. Nie odkładajcie tych zmian na jutro – bezpieczne NGO to organizacja, która może bez zakłóceń nieść pomoc tym, którzy potrzebują jej najbardziej.