Tożsamość i dostęp — fundamenty bezpieczeństwa
MFA włączone na wszystkich kontach (poczta, CRM, systemy grantowe, media społecznościowe, bankowość online). Menedżer haseł wdrożony dla wszystkich pracowników — każde konto ma unikalne, silne hasło. Konta byłych pracowników i wolontariuszy dezaktywowane w ciągu 24 godzin od zakończenia współpracy. Kontrola dostępu oparta na rolach — każdy użytkownik ma dostęp tylko do danych niezbędnych do swoich zadań. Lista administratorów przeglądana kwartalnie — minimum 2, maksimum 3 osoby z pełnymi uprawnieniami. Procedura odzyskiwania dostępu w przypadku utraty urządzenia z MFA.
Ochrona danych i kopie zapasowe
Reguła 3-2-1 dla kopii zapasowych — 3 kopie, 2 nośniki, 1 kopia offline. Automatyczne kopie zapasowe CRM darczyńców codziennie. Testowanie odtwarzania danych z backupu co kwartał. Szyfrowanie dysków na wszystkich urządzeniach (BitLocker/FileVault). Polityka retencji danych zgodna z RODO — dane usuwane po upływie okresu przechowywania. Dane wrażliwe beneficjentów przechowywane z podwyższoną ochroną. Rejestr czynności przetwarzania danych osobowych aktualny i przeglądany co pół roku.
Ochrona poczty i sieci
Rekordy SPF, DKIM i DMARC skonfigurowane dla domeny organizacji. Filtr antyspamowy i antyphishingowy aktywny na serwerze poczty. Strona internetowa chroniona certyfikatem SSL/TLS. Firewall i antywirus aktywne na wszystkich urządzeniach. Automatyczne aktualizacje systemów operacyjnych i oprogramowania włączone. Sieć Wi-Fi w biurze zabezpieczona silnym hasłem WPA3 i oddzielona od sieci dla gości. VPN dla pracowników łączących się zdalnie.
Ludzie i procedury
Szkolenie z cyberbezpieczeństwa w onboardingu każdego nowego pracownika i wolontariusza. Kwartalne symulacje phishingu i omówienie wyników. Wyznaczona osoba odpowiedzialna za bezpieczeństwo IT. Spisana procedura reagowania na incydenty bezpieczeństwa. Procedura zgłaszania naruszenia danych osobowych do UODO (72 godziny). Umowy powierzenia przetwarzania danych z dostawcami IT. Roczny przegląd bezpieczeństwa — audyt wewnętrzny lub zewnętrzny. Plan ciągłości działania na wypadek poważnego incydentu.
Dlaczego to ważne dla organizacji
Kompletna lista kontrolna cyberbezpieczeństwa dla organizacji pozarządowych na 2026 rok. 30 punktów w pięciu kategoriach — od podstaw po zaawansowane zabezpieczenia. W kontekście rosnących zagrożeń cybernetycznych i zaostrzających się regulacji (NIS2, DORA, UKSC), organizacje muszą proaktywnie zarządzać tym obszarem bezpieczeństwa. Brak odpowiednich zabezpieczeń może prowadzić do naruszenia danych, kar finansowych i utraty reputacji.
Dobre praktyki wdrożenia
Skuteczne wdrożenie wymaga kilku kluczowych kroków:
- Inwentaryzacja i ocena ryzyka — zidentyfikuj zasoby, zagrożenia i podatności w kontekście specyfiki Twojej organizacji.
- Opracowanie polityk i procedur — udokumentuj wymagania, role i odpowiedzialności.
- Wdrożenie zabezpieczeń technicznych — dobierz narzędzia i konfiguracje adekwatne do zidentyfikowanych ryzyk.
- Szkolenia i świadomość — zaangażuj pracowników w ochronę bezpieczeństwa organizacji.
- Monitoring i ciągłe doskonalenie — regularnie weryfikuj skuteczność i adaptuj zabezpieczenia do zmieniającego się krajobrazu zagrożeń.
Najczęściej zadawane pytania
Ile punktów z checklisty powinno spełniać NGO na start?
Na początek skup się na kategorii ‘Tożsamość i dostęp’ oraz podstawach z ‘Ochrona danych’. Te 10-12 punktów eliminuje 80% ryzyka. Stopniowo rozszerzaj wdrożenie o kolejne kategorie.
Jak często aktualizować checklist bezpieczeństwa?
Przeglądaj checklist co pół roku i po każdym incydencie bezpieczeństwa. Zagrożenia ewoluują — w 2026 szczególną uwagę zwracaj na ataki z wykorzystaniem sztucznej inteligencji i deepfake.
Czy nFlo pomaga NGO we wdrożeniu checklisty bezpieczeństwa?
Tak — nFlo oferuje audyty bezpieczeństwa i wsparcie wdrożeniowe dostosowane do budżetu organizacji pozarządowych. Audyt identyfikuje luki i priorytetyzuje działania naprawcze.
