Tydzień domknięcia

Pakiet do samodzielnego przejścia w firmie 5–30 osób albo w solidnym home office. Checkboxy zostają w przeglądarce. Nic nie kupujesz — jeśli po tygodniu chcesz ocenę z zewnątrz, napisz przez formularz.

To nie jest kurs certyfikacyjny i nie zastępuje audytu. To kolejność prac, żeby przestać tracić konta i faktury, zanim kupisz kolejne narzędzie.

Zaznaczaj punkty na bieżąco — stan checklist wraca po odświeżeniu strony (lokalnie w przeglądarce).

Zasady tygodnia

• Jedna osoba prowadzi plan (właściciel IT albo Ty).
• Każdy dzień kończy się faktem (zrobione / świadomie odroczone z datą), nie hasłem „dbamy o bezpieczeństwo”.
• Nie otwieraj nowych usług „przy okazji”. Najpierw domknij to, co już wisi.

Pełna mapa kolejności: Kolejność bezpieczeństwa dla małej firmy.

Dzień 1 — konta i MFA {#dzien-1}

Cel: nikt krytyczny nie loguje się samym hasłem.

• Spisuję konta z dostępem do poczty firmowej, bankowości i paneli admina
• Włączam MFA na poczcie właściciela i na kontach administracyjnych
• Preferuję passkey / klucz FIDO2 tam, gdzie się da — checklista MFA
• Usuwam wspólne hasło „biuro@” albo planuję migrację na imienne konta (z datą)

Dzień 2 — oddziel admina od codzienności

Cel: poczta i przeglądarka nie siedzą na koncie, które może wszystko.

• Tworzę (albo potwierdzam) osobne, imienne konto administratora
• Codzienna praca idzie ze zwykłego konta
• Sprawdzam minimalny standard konta administratora
• Zapisuję, kto jeszcze ma Global Admin / Super Admin / lokalnego Administratora

Dzień 3 — poczta: przekierowania i podszywanie

Cel: wiem, kto może wysyłać „jako firma” i czy ktoś cicho przekazuje skrzynkę.

• Przeglądam reguły przekierowania / filtry na skrzynkach krytycznych
• Sprawdzam aplikacje OAuth / „połączone aplikacje” z dostępem do poczty
• Odczytuję SPF / DKIM / DMARC domeny (nawet jeśli p=none) — wprowadzenie
• Wyznaczam właściciela raportów DMARC albo datę, kiedy go wyznaczę

Dzień 4 — co wisi w internecie

Cel: lista usług z nasłuchem i właścicielem, bez „tymczasowych” portów bez daty.

• Wypełniam arkusz ekspozycji dla tego, co znam
• Sprawdzam RDP, panele, VPN, kamery, „testowe” publikacje
• Każda publikacja ma właściciela albo trafia na listę do zamknięcia
• Jeśli RDP jest z internetu — plan zamknięcia dziś / jutro, nie „kiedyś” — dlaczego

Dzień 5 — backup z dowodem odtworzenia

Cel: nie „mamy kopie”, tylko data ostatniego udanego odtworzenia.

• Wiem, gdzie leży kopia i czy ransomware na jednym hoście kasuje też backup
• Robię mały test odtworzenia (jeden plik / jedna baza) albo planuję go w kalendarzu na ten tydzień
• Zapisuję wynik według arkusza
• Ustalam, kto dostaje alert, gdy kopia się nie uda

Dzień 6 — dostawcy i zdalny dostęp

Cel: dostęp zewnętrzny ma imię, zakres i datę końca.

• Spisuję, kto spoza firmy ma VPN / RDP / panel (księgowość, software house, „kolega od IT”)
• Przechodzę checklistę dostępu dostawców
• Wyłączam konta po zakończonych projektach
• Zdalny pulpit „na chwilę” bez MFA / VPN trafia do naprawy albo do wyłączenia

Dzień 7 — kto odbiera telefon

Cel: przy rachunku, BLIK-u albo ransomware nie ma chaosu „dzwońcie wszędzie”.

• Wyznaczam pierwszą osobę kontaktową poza godzinami biura
• Czytam mapę: kto co robi przy incydencie
• Drukuję albo zapisuję w telefonie: bank (oficjalny numer), IT, ewentualnie prawnik
• Przechodzę pytania ubezpieczyciela — nawet bez polisy: to lista faktów

Po tygodniu

Masz trzy kolumny w głowie albo w notatniku: jest, brak, odroczone z datą.

Sensowny następny krok:

1. Baseline Microsoft 365 / Google Workspace — jeśli żyjecie w chmurze biurowej
2. Przykładowy kształt raportu oceny — żeby wiedzieć, jak wygląda wynik z zewnątrz
3. Higiena 48h — gdy jesteś sam i chcesz pliki pod jeden warsztat (79 PLN brutto), albo przegląd bazowy jednego celu
4. Formularz — gdy chcesz uzgodnić zakres oceny albo porządków IT

Produkt zostaje darmowy. Formularz jest od wdrożenia albo drugiej pary oczu — nie od odblokowania listy.