Cyber-higiena dla małych organizacji i instytucji lokalnych

Organizacja ma zwykle więcej cyfrowego majątku, niż się wydaje. Spis zajmuje jedno spotkanie, a potem oszczędza nerwów przy każdej zmianie zarządu.

Co wpisać do inwentarza

Jak to zrobić w praktyce

1. Umówcie się na 30 minut z osobami, które prowadzą konta. Weźcie telefony i laptop.
2. Wypełnijcie rejestr z Załącznika B. Nie wpisujcie do niego haseł, tylko informację, gdzie są przechowywane (np. „menedżer haseł, sejf”).
3. Dla każdej pozycji wskażcie osobę odpowiedzialną i zastępcę.
4. Oznaczcie, co jest najważniejsze: wszystko, co dotyczy pieniędzy, danych osobowych i wizerunku organizacji.
5. Przechowujcie rejestr w bezpiecznym miejscu i aktualizujcie go przy każdej zmianie.

Dwie proste zasady: każdy ma tyle dostępu, ile potrzebuje do swojego zadania, i do każdego kluczowego konta mają dostęp co najmniej dwie osoby.

Role zamiast wspólnego hasła

Strona na Facebooku: zamiast dzielić się hasłem, nadajcie dostęp do strony konkretnym osobom w jej ustawieniach. Każda osoba loguje się swoim kontem z włączonym 2FA. Nie zakładajcie „wspólnego konta prywatnego” na fikcyjną osobę – regulamin Facebooka tego zabrania, a takie konta są łatwo blokowane. Pełny dostęp powinny mieć co najmniej dwie zaufane osoby.

Sołectwo: profil i skrzynka powinny należeć do sołectwa, a nie do prywatnego konta obecnego sołtysa. Po wyborach nowa osoba przejmuje konta sołectwa, a prywatne konto poprzednika zostaje prywatne.

Wspólna skrzynka e-mail

• Używajcie adresu organizacji (np. kontakt@… albo kgw.nazwa@…), a nie prywatnego adresu członka.
• Hasło przechowujcie w menedżerze haseł z funkcją bezpiecznego udostępniania. Zapiszcie w rejestrze, kto je zna.
• Jeśli usługa na to pozwala, korzystajcie z delegowania dostępu lub skrzynki współdzielonej. Wtedy każdy loguje się swoim kontem i nie trzeba podawać hasła.
• Telefon i e-mail do odzyskiwania konta powinny należeć do organizacji albo do dwóch osób z zarządu, nie do kogoś przypadkowego.

Menedżer haseł – sejf na wszystkie hasła

Menedżer haseł to program, który przechowuje hasła w zaszyfrowanej postaci, podpowiada je przy logowaniu i tworzy nowe, trudne do odgadnięcia. Pamiętacie tylko jedno, mocne hasło główne. Są wersje bezpłatne i wersje dla organizacji z udostępnianiem haseł w zespole. Przykłady to m.in. Bitwarden (w chmurze) lub KeePassXC (plik na komputerze). Podajemy je jako przykłady, nie jako rekomendację handlową.

Odejście członka i zmiana zarządu

Najwięcej problemów z dostępem pojawia się przy zmianach osób. Zasada: przekazujemy konta przed odejściem, a nie po. Pełna lista kroków jest w Załączniku D. Najważniejsze:

• spiszcie protokół przekazania (lista kont i urządzeń, bez haseł);
• dodajcie nowe osoby jako administratorów, zanim usuniecie dotychczasowe;
• zmieńcie hasła i dane do odzyskiwania (telefon, e-mail zapasowy), wylogujcie wszystkie sesje;
• odbierzcie sprzęt organizacji, klucze i nośniki;
• zaktualizujcie w banku listę osób uprawnionych – zwykle wymaga to dokumentów (np. uchwały, odpisu z rejestru), więc zacznijcie wcześniej.

Rozstanie w zgodzie czy w sporze – procedura jest ta sama. Dzięki temu nikt nie czuje się podejrzewany.

Jak tworzyć dobre hasło, wie już wiele osób. Tu chodzi o coś innego: o wspólne zasady dla całej organizacji, żeby hasła nie krążyły po czatach i karteczkach.

Logowanie dwuetapowe w organizacji

Logowanie dwuetapowe oznacza, że oprócz hasła potrzebny jest drugi składnik: kod z aplikacji, potwierdzenie w telefonie, klucz sprzętowy albo kod SMS. Od najmocniejszego:

• klucz sprzętowy lub klucz dostępu (passkey) – najbardziej odporne na fałszywe strony logowania;
• aplikacja uwierzytelniająca w telefonie (np. Google Authenticator, Microsoft Authenticator);
• kod SMS – słabszy, ale wciąż dużo lepszy niż samo hasło.

Sprawdźcie, czy adres organizacji nie wyciekł

Na stronie haveibeenpwned.com można wpisać adres e-mail i sprawdzić, czy pojawił się w znanych wyciekach danych. Jeśli tak, zmieńcie hasło do tego serwisu i wszędzie tam, gdzie było takie samo.

W małej organizacji sprawy prowadzi się na wspólnym laptopie w świetlicy albo na prywatnych telefonach. To normalne. Wystarczy kilka ustawień, żeby było bezpiecznie.

Wspólny komputer (świetlica, biblioteka, biuro)

• Osobne konta użytkowników: jedno dla organizacji (z hasłem), osobne dla gości lub uczestników zajęć. Goście nie widzą plików organizacji.
• Hasło lub PIN i automatyczna blokada ekranu po kilku minutach. Odchodząc od komputera, naciśnij Windows + L.
• Automatyczne aktualizacje systemu i przeglądarki włączone. Komputer raz na jakiś czas trzeba też uruchomić ponownie, żeby aktualizacje się zainstalowały.
• Ochrona antywirusowa włączona (w Windows wbudowany jest program Microsoft Defender). Programy instalujemy tylko z oficjalnych źródeł.
• Przeglądarka nie zapamiętuje haseł na koncie wspólnym. Komputer publiczny w bibliotece: tryb prywatny i wylogowanie po każdej osobie.
• Szyfrowanie dysku, jeśli system je oferuje. Wtedy skradziony laptop nie zdradza danych.

Prywatny telefon do spraw organizacji

To najczęstsza sytuacja i nie trzeba jej zakazywać. Ustalcie jednak minimum, które spełnia każdy telefon z dostępem do kont organizacji:

• Blokada ekranu (PIN co najmniej 6 cyfr, wzór lub biometria) i krótki czas do zablokowania.
• Aktualny system i aplikacje tylko z oficjalnego sklepu (Google Play, App Store).
• Włączona funkcja lokalizowania i zdalnego czyszczenia: „Znajdź moje urządzenie” (Android) lub „Lokalizator” (iPhone).
• Zdjęcia uczestników (zwłaszcza dzieci) po wydarzeniu przenosimy do folderu organizacji i usuwamy z telefonu. Pamiętajmy, że mogą się automatycznie kopiować do prywatnej chmury.
• Po odejściu z funkcji wylogowujemy się z kont organizacji na telefonie i usuwamy jej pliki.

Uprawnienia aplikacji – przegląd raz na kwartał

W ustawieniach telefonu (zwykle: Ustawienia → Prywatność lub Aplikacje → Uprawnienia) sprawdźcie, które aplikacje mają dostęp do aparatu, mikrofonu, lokalizacji, kontaktów i zdjęć. Edytor zdjęć nie potrzebuje kontaktów, a latarka – lokalizacji. Odbierzcie zbędne uprawnienia i usuńcie aplikacje, których nikt nie używa.

Pendrive’y, Wi-Fi i stary sprzęt

• Znalezionego pendrive’a nie podłączamy. Plików z danymi osobowymi nie nosimy na niezaszyfrowanych nośnikach.
• Router w świetlicy: zmieńcie domyślne hasło do panelu administracyjnego i hasło do Wi-Fi. Jeśli router na to pozwala, utwórzcie osobną sieć dla gości.
• Sprzedaż, przekazanie lub wyrzucenie sprzętu: wylogujcie konta, usuńcie urządzenie z konta Google/Apple/Microsoft, przywróćcie ustawienia fabryczne. Dysk z danymi, którego nie da się wyczyścić, trzeba fizycznie zniszczyć.

Dokumentację dotacji trzeba często przechowywać przez kilka lat. Zdjęcia z jubileuszu koła są nie do odtworzenia. Kopia zapasowa to najtańsze ubezpieczenie organizacji.

Zasada 3-2-1

Co kopiować w pierwszej kolejności

1. dokumenty dotacji i finansowe (umowy, faktury, sprawozdania, listy obecności);
2. dokumenty organizacji (statut, uchwały, protokoły, rejestr członków);
3. zgody i oświadczenia uczestników;
4. zdjęcia i nagrania z wydarzeń – także te, które leżą na prywatnych telefonach;
5. rejestr kont i dostępów (Załącznik B) oraz plan na incydent.

Test odtworzenia – raz na pół roku

1. Wybierzcie losowo kilka plików (np. jeden dokument, jedno zdjęcie, jeden arkusz).
2. Odtwórzcie je z kopii na innym komputerze lub do innego folderu.
3. Otwórzcie pliki i sprawdźcie, czy są kompletne i aktualne.
4. Zapiszcie datę testu i wynik w rejestrze. Jeśli się nie udało – poprawcie sposób robienia kopii.

Kopia, której nikt nigdy nie sprawdził, to tylko nadzieja. Pamiętajcie też o profilach społecznościowych: Facebook pozwala pobrać kopię informacji ze strony. Raz w roku warto ją zapisać razem z innymi kopiami.

Organizacje lokalne przetwarzają dane sąsiadów, dzieci i seniorów. Najlepsza ochrona jest prosta: zbierać mniej, wiedzieć, gdzie dane leżą, i nie udostępniać ich szerzej, niż trzeba.

Wskazówki praktyczne, nie porada prawna. Obowiązki wynikają z RODO, przepisów krajowych i umów dotacji. Materiały dla organizacji publikuje Urząd Ochrony Danych Osobowych (uodo.gov.pl).

Minimalizacja: zbieraj tylko to, czego potrzebujesz

• Lista obecności zawiera tylko rubryki wymagane przez grantodawcę lub cel spotkania. Jeśli nie trzeba numeru PESEL, adresu czy telefonu – nie zbieramy ich „na wszelki wypadek”.
• Na liście lub formularzu umieszczamy krótką informację: kto zbiera dane, w jakim celu, jak długo je przechowuje i do kogo można się zgłosić.
• Dane o zdrowiu (np. dieta, alergie, niepełnosprawność przy wycieczce) zbieramy tylko wtedy, gdy są niezbędne, trzymamy osobno i usuwamy po wydarzeniu.

Listy obecności i dokumenty papierowe

• Po wydarzeniu lista nie zostaje na stole. Trafia do teczki i do zamykanej szafy.
• Nie fotografujemy list z danymi telefonem „dla siebie” i nie publikujemy ich zdjęć.
• Skany trzymamy w folderze z dostępem tylko dla osób, które go potrzebują – nie w folderze udostępnionym „każdemu, kto ma link”.
• Przechowujemy je tak długo, jak wymaga umowa dotacji lub przepisy, a potem niszczymy (niszczarka, nie kosz na papier).

Zdjęcia i zgody

• Na początku wydarzenia mówimy, że robimy zdjęcia i gdzie je opublikujemy.
• Na publikację zdjęć, na których ktoś jest wyraźnie widoczny, prosimy o zgodę. W przypadku dzieci zgodę wyraża rodzic lub opiekun.
• Dajemy łatwy sposób odmowy, np. kolorową naklejkę „bez zdjęć” albo miejsce na sali poza kadrem. Odmowa nie ma żadnych konsekwencji.
• Nie podpisujemy zdjęć dzieci imieniem i nazwiskiem ani nazwą szkoły czy klasy.
• Na prośbę osoby szybko usuwamy zdjęcie z profilu.

Grupy na Messengerze i WhatsAppie

Grupy są świetne do szybkiej informacji, ale nie nadają się na archiwum dokumentów. Zasady:

• Grupa ma dwie osoby administrujące. Osoby, które odeszły z organizacji, usuwamy z grupy.
• Pamiętamy, że wszyscy członkowie grupy widzą numery telefonów lub profile pozostałych. Mówimy o tym nowym osobom.
• W grupie nie wysyłamy skanów dowodów, list z danymi, informacji o zdrowiu ani haseł.
• Do ogłoszeń dla wielu osób lepszy jest kanał, w którym piszą tylko administratorzy (np. ustawienie „tylko administratorzy mogą wysyłać wiadomości”).
• E-mail do wielu osób spoza zarządu wysyłamy w polu UDW (ukryta kopia), żeby nie ujawniać adresów wszystkim odbiorcom.

Proste oznaczanie informacji

Organizacje mają rachunek bankowy, profil z wieloma obserwującymi i dobre imię w okolicy. Oszuści o tym wiedzą. Ich metody bazują na pośpiechu, autorytecie i zaufaniu.

Cztery zasady, które zatrzymują większość prób

Czaty AI, tłumacze i generatory grafik pomagają napisać post, plakat czy szkic wniosku. Warto z nich korzystać – z głową. Ten rozdział inspirowany jest normą o zarządzaniu sztuczną inteligencją, ISO/IEC 42001.

Korzyści i ryzyka w skrócie

Prosta polityka AI na jedną stronę

Gotowy wzór jest w Załączniku C. Wystarczy go przyjąć na zebraniu, uzupełnić i wywiesić. Zawiera m.in.: kto odpowiada za AI w organizacji, z jakich narzędzi korzystamy, czego nie wklejamy, kto sprawdza treści i jak je oznaczamy.

Czego nie wklejamy do narzędzi AI

• danych osobowych: list uczestników, numerów PESEL, adresów, telefonów, zdjęć osób;
• danych o zdrowiu, sytuacji rodzinnej i materialnej, informacji o dzieciach;
• haseł, kodów, danych logowania i danych bankowych;
• dokumentów wewnętrznych i poufnych (spory w zarządzie, niepublikowane umowy, skany dokumentów);
• nagrań głosu i wizerunku innych osób bez ich zgody.

Zamiast tego anonimizujemy: „uczestniczka, 70 lat” zamiast imienia i nazwiska; opis sytuacji zamiast skanu. W ustawieniach wielu usług można wyłączyć wykorzystywanie rozmów do trenowania modeli – sprawdźcie to w swoim narzędziu.

AI pisze szkic, człowiek odpowiada

• Weryfikacja: każdą datę, kwotę, nazwę, przepis, cytat i link sprawdzamy w źródle (regulaminie konkursu, na stronie urzędu). AI potrafi wymyślić nieistniejący paragraf lub termin.
• Oznaczanie: realistyczne obrazy, nagrania i głos wygenerowane przez AI podpisujemy, np. „Grafika wygenerowana z pomocą AI”. Przepisy UE o sztucznej inteligencji (AI Act) przewidują obowiązki przejrzystości m.in. dla treści typu deepfake. Uczciwe oznaczanie buduje zaufanie mieszkańców.
• Wizerunek: nie generujemy realistycznych obrazów ani głosu prawdziwych osób (np. wójta, sołtysa, członkiń koła) bez ich zgody.
• Człowiek decyduje: AI nie decyduje o ludziach – o przyjęciu do organizacji, przyznaniu nagrody, ocenie prac dzieci w konkursie czy wyborze wolontariuszy. Może pomóc uporządkować informacje, ale decyzję i odpowiedzialność ponosi człowiek.

Ocena ryzyka użycia AI w 4 pytaniach

Zanim zaczniecie używać AI do nowego zadania, odpowiedzcie:

1. Jakie dane trafią do narzędzia? Jeśli osobowe lub poufne – stop albo anonimizacja.
2. Kogo może dotknąć błąd? Ludzi, pieniądze, dobre imię organizacji?
3. Kto i jak sprawdzi wynik, zanim zostanie użyty?
4. Czy odbiorcy powinni wiedzieć, że użyliśmy AI?

Gogle wirtualnej rzeczywistości, kamery czy interaktywne pokazy przyciągają mieszkańców w każdym wieku. Zanim sprzęt trafi w ręce uczestników, zadbajcie o prywatność, higienę i bezpieczeństwo.

Prywatność

• Sprzęt działa na koncie organizacji z 2FA, a nie na prywatnym koncie wolontariusza. Do konta nie podpinamy karty płatniczej albo blokujemy zakupy PIN-em.
• Pamiętamy, że gogle VR mają kamery i mikrofony do śledzenia otoczenia. Nie używamy ich tam, gdzie leżą dokumenty z danymi.
• Jeśli obraz z gogli jest wyświetlany na ekranie lub nagrywany, mówimy o tym uczestnikowi przed założeniem gogli.
• Po wydarzeniu usuwamy zrzuty ekranu i nagrania uczestników, chyba że mamy zgodę na ich wykorzystanie.
• Instalujemy tylko aplikacje ze sklepu producenta, sprawdzone wcześniej przez osobę prowadzącą.

Higiena i dbałość o sprzęt

• Jednorazowe nakładki higieniczne lub wymienne wyściółki; przecieranie części stykających się z twarzą między osobami środkami zgodnymi z instrukcją producenta.
• Soczewki czyścimy suchą ściereczką z mikrofibry, bez płynów.
• Gogli nie zostawiamy na słońcu – światło skupione przez soczewki może uszkodzić wyświetlacze.

Bezpieczeństwo, dobrowolność i dzieci

• Wolna przestrzeń wokół osoby w goglach i asystent obok. Osobom z zawrotami głowy proponujemy pozycję siedzącą i krótkie sesje.
• Przekazujemy ostrzeżenia zdrowotne producenta (np. dotyczące padaczki i choroby lokomocyjnej) i każdemu pozwalamy przerwać w dowolnym momencie.
• Udział jest dobrowolny. Zawsze jest alternatywa, np. oglądanie pokazu na ekranie. Bez namawiania i presji grupy.
• Dzieci: przestrzegamy minimalnego wieku podanego przez producenta, mamy zgodę rodzica lub opiekuna, skracamy czas sesji, opiekun jest obok. Nie zakładamy dzieciom kont.

Incydent to każde zdarzenie, które zagraża kontom, pieniądzom, danym lub dobremu imieniu organizacji: przejęty profil, przelew do oszusta, zgubiony telefon z dostępem do kont, zaszyfrowane pliki, wyciek listy uczestników, fałszywy profil podszywający się pod organizację.

Kto dzwoni do kogo – uzupełnijcie i wywieście

Zasada: kto zauważy problem, od razu dzwoni do koordynatora, a nie próbuje sam „naprawić po cichu”.

Cztery kroki