Krótka odpowiedź: bezpieczeństwo strony firmowej sprowadza się do pięciu rzeczy, które da się sprawdzić w jedno popołudnie: ważny certyfikat i wymuszone HTTPS, aktualne oprogramowanie, kopia zapasowa, którą ktoś kiedyś odtworzył, uporządkowane konta administratorów oraz wiedza o tym, gdzie trafiają dane z formularzy. Żadna z nich nie daje pewności, ale brak którejkolwiek jest zwykle powodem, dla którego strona przestaje działać albo wypływa z niej coś, co wypłynąć nie powinno.
Certyfikat: co faktycznie daje, a czego nie
Certyfikat SSL/TLS szyfruje połączenie między przeglądarką a serwerem. Chroni to, co jedzie po drodze: treść formularza, hasło do panelu, zawartość koszyka. Nie chroni samej strony ani serwera — witryna z kłódką może być zainfekowana tak samo jak każda inna. Kłódka mówi tylko tyle, że połączenie jest szyfrowane.
- Sprawdź, czy certyfikat jest ważny i kto go odnawia. Darmowe certyfikaty Let's Encrypt są wydawane na 90 dni (dokumentacja Let's Encrypt) i mają odnawiać się automatycznie. Gdy mechanizm się zepsuje, dowiesz się o tym od klienta, który zobaczył ostrzeżenie przeglądarki.
- Wpisz adres strony z przedrostkiem http i zobacz, czy przeglądarka przeniesie Cię na wersję szyfrowaną. Jeśli nie — przekierowanie nie jest ustawione.
- Sprawdź, czy certyfikat obejmuje wszystkie adresy, pod którymi strona działa: domenę i wariant z www, a także subdomeny, jeśli z nich korzystacie.
- Ustal, na jaką skrzynkę przychodzą powiadomienia o wygaśnięciu certyfikatu i domeny. Bywa, że to adres byłego pracownika albo poprzedniego wykonawcy.
Aktualizacje: najczęstsza droga do włamania
Typowe włamanie na małą stronę nie jest atakiem wymierzonym w konkretną firmę. To automat, który przeszukuje internet pod kątem znanej, opisanej publicznie luki w popularnym rozszerzeniu i wchodzi wszędzie tam, gdzie znajdzie starą wersję. Dlatego zdanie „kto by akurat nas atakował” nie jest argumentem — nikt Was nie wybierał.
- System zarządzania treścią, motyw i wtyczki aktualizowane w stałym rytmie, a nie przy okazji większej przebudowy raz na kilka lat.
- Wersja PHP po stronie hostingu. Starsze gałęzie przestają dostawać poprawki bezpieczeństwa; aktualny harmonogram wsparcia publikuje php.net.
- Rozszerzenia, których autor już nie rozwija. Porzucona wtyczka nie dostanie poprawki, nawet gdy luka będzie powszechnie znana — trzeba ją wymienić na utrzymywany odpowiednik.
- Wtyczki nieużywane. Wyłączona wtyczka nadal leży na serwerze i nadal bywa podatna. Lepiej ją usunąć niż dezaktywować.
- Aktualizacje większych wersji robione najpierw na kopii strony, jeśli serwis jest dla firmy ważny sprzedażowo.
Kopia zapasowa, którą da się odtworzyć
Kopia zapasowa to jedyna pozycja z tej listy, która ratuje sytuację po fakcie: po włamaniu, po nieudanej aktualizacji, po skasowaniu czegoś przez pomyłkę. Kopia, której nikt nigdy nie odtworzył, jest tylko założeniem.
- Kopiowane są pliki i baza danych. Jedno bez drugiego nie odtworzy działającej strony.
- Kopia leży poza serwerem, na którym stoi strona. Kopia na tym samym koncie hostingowym znika razem z tym kontem.
- Znana częstotliwość i znany okres przechowywania. Jeśli trzymacie wyłącznie ostatnią dobę, a infekcja jest sprzed tygodnia, kopia zawiera już infekcję.
- Odtworzenie przećwiczone przynajmniej raz, na środowisku testowym. To jedyny sposób, żeby wiedzieć, ile ono trwa i czy w ogóle działa.
- Kopia robiona przez hostingodawcę to wygoda, nie gwarancja. Sprawdź w regulaminie, czy odtworzenie jest usługą płatną i w jakim trybie się o nie występuje.
Zasadę, według której układa się kopie w małej firmie, opisaliśmy osobno w tekście o regule 3-2-1.
Dostępy: kto ma konto administratora
Lista kont z najwyższymi uprawnieniami bywa dłuższa, niż pamięta właściciel firmy — zwłaszcza w serwisie, który przechodził przez ręce kilku osób. Przejrzyj ją raz na jakiś czas.
- Każde konto z najwyższymi uprawnieniami ma przypisanego człowieka. Konto o nazwie "admin" z czasów wdrożenia nie spełnia tego warunku.
- Konta byłych pracowników i byłych wykonawców usunięte, a nie wyłączone „na wszelki wypadek”.
- Osobne konta zamiast jednego wspólnego loginu. Przy wspólnym haśle nie da się ustalić, kto wprowadził zmianę.
- Uprawnienia dobrane do roli: osoba, która pisze teksty, pracuje na koncie redaktora, nie administratora.
- Logowanie dwuskładnikowe tam, gdzie da się je włączyć: panel strony, panel hostingu, konto u rejestratora domeny.
- Konta FTP, SSH i dostępy do bazy danych — ile ich jest, czy wszystkie są jeszcze potrzebne i czy hasła nie krążą w mailach.
Warto też mieć spisane w jednym miejscu, gdzie zarejestrowana jest domena, gdzie stoi hosting, kto płaci za odnowienia i kto jest formalnie właścicielem każdego z kont. To ta sama lista, którą odbiera się przy zmianie firmy od IT.
Dane osobowe w formularzach
Formularz kontaktowy to moment, w którym strona zaczyna przetwarzać dane osobowe. RODO nie narzuca tu konkretnej technologii — art. 32 rozporządzenia (tekst RODO w EUR-Lex) mówi o środkach odpowiednich do ryzyka. W praktyce dla zwykłego formularza kontaktowego sprowadza się to do kilku decyzji.
- Zbieraj tylko te pola, które są potrzebne do odpowiedzi. Każde dodatkowe pole to dane, które trzeba potem chronić i kiedyś usunąć.
- Ustal, gdzie zgłoszenia faktycznie lądują: na skrzynce mailowej, w bazie danych strony, czy w obu miejscach naraz. Wtyczki formularzy często zapisują kopię w bazie, o której po roku nikt już nie pamięta.
- Jeśli kopie zostają w bazie, wyznacz termin ich usuwania i sprawdź, czy ktoś go pilnuje.
- Informacja o tym, kto jest administratorem danych i w jakim celu je przetwarzacie, powinna być dostępna przy formularzu — zwykle przez link do polityki prywatności.
- Hosting, narzędzie do formularzy, system mailingowy czy CRM to podmioty przetwarzające dane w Waszym imieniu. Z każdym potrzebna jest umowa powierzenia (art. 28 RODO).
- Zgoda na kontakt handlowy to coś innego niż odpowiedź na zapytanie. Nie łącz ich w jedno pole i nie zaznaczaj go z góry.
Jeśli mimo wszystko dojdzie do naruszenia ochrony danych, art. 33 RODO przewiduje zgłoszenie do organu nadzorczego bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od stwierdzenia naruszenia; formularze prowadzi UODO. Incydent techniczny — phishing podszywający się pod Waszą domenę, podmieniona strona — można zgłosić również do CERT Polska.
Czego ta lista nie załatwia
- Nie zabezpiecza komputerów i skrzynek pracowników. Tam zaczyna się duża część problemów — o rozpoznawaniu takich wiadomości piszemy w tekście o phishingu w firmie.
- Nie zastępuje przeglądu całego środowiska IT, jeśli oprócz strony macie serwer, systemy branżowe i kilka lokalizacji.
- Nie jest czynnością jednorazową. Certyfikaty wygasają, wtyczki się starzeją, ludzie odchodzą z firmy, a konta po nich zostają.
- Nie daje odporności na wszystko. Daje tyle, że typowy automatyczny atak nie znajduje u Was nic łatwego, a po awarii jest z czego wrócić.
Jeśli w firmie nie ma kogoś, kto pilnuje tych pięciu punktów na bieżąco, można to oddać na zewnątrz. Utrzymanie strony internetowej zaczyna się u nas od 219 zł netto miesięcznie i obejmuje monitoring dostępności i certyfikatu oraz kontrolę kopii zapasowych. Jednorazowy przegląd konfiguracji strony i hostingu rozliczamy godzinowo, po 239 zł netto za godzinę, a szacowany zakres podajemy przed rozpoczęciem pracy — ceny pozostałych usług znajdziesz w cenniku. Pracujemy zdalnie z całej Polski, w dni robocze. Nie prowadzimy dyżuru całodobowego i nie obiecujemy umownych czasów reakcji.