Codzienne nawyki

Instrukcje i sytuacje z codziennej pracy.

Zacznij tutaj: BHP przełożone na IT

BHP w IT to codzienna ochrona ludzi, informacji i ciągłości pracy. Jasne zasady uzupełniają zabezpieczenia techniczne.

LCPD / DATPOL · aktualizacja: 24.10.2026 · materiał do dopasowania do procedur organizacji.

To samo podejście, inne zagrożenia

Oceń ryzyko przed działaniem: zanim podłączysz nośnik, zatwierdzisz logowanie lub wyślesz dokument. Osłoną są MFA, aktualizacje i ograniczone uprawnienia. Porządek na stanowisku oznacza blokadę ekranu i kontrolę wydruków. Instrukcją awaryjną jest znany kanał zgłoszenia incydentu.

Kto za co odpowiada

Pracownik rozpoznaje sygnał i zgłasza; administrator zabezpiecza system; kierownik zapewnia zasoby i podejmuje decyzje. Pracownik nie musi sam prowadzić dochodzenia. Materiały są dla urzędów, firm, szkół, instytucji kultury i operatorów obiektów.

Jak wdrażać

Wyznacz kontakt do IT i zastępstwo, dopasuj zasady do stanowiska i przećwicz zgłoszenie bez prawdziwego malware. To wzór do zatwierdzenia w organizacji, nie oświadczenie o działających u niej zabezpieczeniach. Cyberhigiena nie zastępuje oceny ergonomii ani instrukcji bezpieczeństwa fizycznego.

Sprawdź w praktyce

Sytuacja z pracy

Zgłoszenie pomyłki po minucie pozwala IT odwołać sesję. Ukrywanie pomyłki odbiera tę możliwość.

Źródła i dalsza lektura

BHP w IT na LCPD: zasady i szybkie działania

W podręczniku BHP w IT

Wszystkie tematy i rozdziały

Następny temat: Hasła, menedżer haseł i bezpieczna zmiana

Hasła, menedżer haseł i bezpieczna zmiana

Jedno konto — jedno długie, niepowtarzalne hasło. Szczególnie chroń pocztę, która często umożliwia odzyskanie innych kont.

LCPD / DATPOL · aktualizacja: 24.10.2026 · materiał do dopasowania do procedur organizacji.

Tworzenie i przechowywanie

Jako standard organizacyjny proponujemy minimum 16 znaków lub dłuższą frazę z niepowiązanych słów i zatwierdzony menedżer. Nie używaj nazwy firmy, daty urodzenia ani wzoru Lato2026 zmienianego na Jesien2026. Nie kopiuj przykładów z poradników jako własnego hasła.

Kiedy zmieniać

Natychmiast po podejrzeniu ujawnienia, wpisaniu na fałszywej stronie lub informacji o wycieku. Zmień hasło fabryczne przy uruchomieniu i tymczasowe po przekazaniu konta. Nie narzucaj rutynowej zmiany co 30 dni bez powodu: NIST odradza arbitralne zmiany okresowe. Wyjątek wynikający z systemu lub polityki wymaga uzasadnienia.

Jak zmienić bezpiecznie

Otwórz znany adres z zakładki na zaufanym urządzeniu, nie link z alarmującego maila. Ustaw unikatowe hasło, zapisz w menedżerze, sprawdź MFA i odzyskiwanie. Przy podejrzeniu przejęcia IT powinno także odwołać sesje i tokeny oraz przejrzeć reguły poczty. Sama zmiana hasła może nie wystarczyć.

Sprawdź w praktyce

Sytuacja z pracy

Mail nakazuje pilną zmianę hasła. Otwierasz aplikację ze swojej zakładki i potwierdzasz komunikat z IT.

Źródła i dalsza lektura

BHP w IT na LCPD: zasady i szybkie działania

W podręczniku BHP w IT

Wszystkie tematy i rozdziały

Poprzedni temat: Zacznij tutaj: BHP przełożone na IT

Następny temat: MFA, passkeys i niezamówione kody logowania

MFA, passkeys i niezamówione kody logowania

Drugi etap logowania utrudnia przejęcie konta, ale nie każde potwierdzenie należy zatwierdzać.

LCPD / DATPOL · aktualizacja: 24.10.2026 · materiał do dopasowania do procedur organizacji.

Wybór metody

Preferuj zatwierdzone passkeys lub klucze FIDO2 odporne na phishing. Gdy nie są dostępne, użyj aplikacji uwierzytelniającej; SMS może być rozwiązaniem przejściowym. Dwa hasła to nie dwa niezależne czynniki. Kodu nie podawaj osobie przedstawiającej się jako informatyk.

Nieoczekiwane powiadomienie

Nie zatwierdzaj. Zapisz czas i usługę, zgłoś do IT. Seria powiadomień może mieć zmęczyć użytkownika. Zgodność numeru na ekranie także nie uprawnia do akceptacji, jeśli nie rozpocząłeś logowania.

Utrata telefonu

Zgłoś natychmiast. IT odwołuje stare uwierzytelniacze i sesje oraz potwierdza tożsamość ustalonym kanałem. Przy planowanej wymianie najpierw dodaj i przetestuj nową metodę. Nie twórz wspólnego telefonu uwierzytelniającego wszystkich administratorów.

Sprawdź w praktyce

Sytuacja z pracy

„Proszę zaakceptować powiadomienie, testujemy system”. Odmawiasz i sam dzwonisz na znany numer IT.

Źródła i dalsza lektura

BHP w IT na LCPD: zasady i szybkie działania

W podręczniku BHP w IT

Wszystkie tematy i rozdziały

Poprzedni temat: Hasła, menedżer haseł i bezpieczna zmiana

Następny temat: Pendrive, dysk USB i obce akcesoria

Pendrive, dysk USB i obce akcesoria

Znalezionego, prywatnego lub otrzymanego bez uzgodnienia pendrive’a nie podłączaj do sprzętu służbowego.

LCPD / DATPOL · aktualizacja: 24.10.2026 · materiał do dopasowania do procedur organizacji.

Czego nie robić

Nie sprawdzaj nośnika „tylko na chwilę”, na komputerze kolegi ani w domu. Dotyczy to kart pamięci, dysków, adapterów i nieznanych urządzeń USB. Firmowe logo nie dowodzi bezpieczeństwa. Urządzenie może udawać klawiaturę lub kartę sieciową: sam skan antywirusowy nie wyklucza całego ryzyka.

Potrzebny transfer danych

Wybierz zatwierdzony kanał. Jeśli nośnik jest konieczny, IT ustala pochodzenie, dopuszczenie, szyfrowanie i analizę poza stanowiskiem użytkownika. Nie wyłączaj blokady USB lub ochrony punktu końcowego. Na nośniku umieszczaj numer ewidencyjny, nie hasło do szyfrowania.

Nośnik już podłączono

Przerwij pracę i zgłoś czas, urządzenie oraz wykonane czynności. Nie otwieraj kolejnych plików, nie przenoś nośnika między komputerami, nie uruchamiaj własnego czyszczenia. Przy podejrzeniu infekcji komputera pracownika odłącz jego sieć i zgłoś z innego urządzenia. Obsługę nośnika uzgodnij z IT.

Sprawdź w praktyce

Sytuacja z pracy

Pendrive z etykietą „Płace” znaleziony na parkingu jest powodem do zgłoszenia, nie do sprawdzenia zawartości.

Źródła i dalsza lektura

BHP w IT na LCPD: zasady i szybkie działania

W podręczniku BHP w IT

Wszystkie tematy i rozdziały

Poprzedni temat: MFA, passkeys i niezamówione kody logowania

Następny temat: Strony internetowe, HTTPS i kłódka

Strony internetowe, HTTPS i kłódka

HTTPS szyfruje transmisję do wskazanej domeny. Nie potwierdza uczciwości właściciela ani prawdziwości oferty.

LCPD / DATPOL · aktualizacja: 24.10.2026 · materiał do dopasowania do procedur organizacji.

Przed logowaniem

Sprawdź pełną domenę, nie tylko logo. Uważaj na literówki, podstawione znaki i dodatkowe człony. Adres urzad.example.oszust.invalid nie staje się stroną urzędu przez pierwszy człon. Domena .invalid służy wyłącznie przykładowi. Ważne usługi otwieraj z zakładki lub oficjalnej aplikacji.

Ostrzeżenia i fałszywe instrukcje

Nie omijaj ostrzeżenia o certyfikacie lub złośliwej stronie. Nie instaluj dodatku „do dokumentu” i nie wklejaj komend do PowerShella, terminala lub okna Uruchom w ramach rzekomego CAPTCHA. Tryb prywatny nie chroni przed oszustwem.

Pobieranie

Reklama w wyszukiwarce też może podszywać się pod producenta. Instalatory pobieraj z zatwierdzonego katalogu lub zweryfikowanego serwisu. Darmowy konwerter PDF nie jest miejscem na poufny plik. Instalacje uzgadniaj z IT.

Sprawdź w praktyce

Sytuacja z pracy

Kłódka i znane logo pojawiają się przy domenie z literówką. Rezygnujesz z logowania i zgłaszasz adres.

Źródła i dalsza lektura

BHP w IT na LCPD: zasady i szybkie działania

W podręczniku BHP w IT

Wszystkie tematy i rozdziały

Poprzedni temat: Pendrive, dysk USB i obce akcesoria

Następny temat: E-mail, załączniki i fałszywe dokumenty

E-mail, załączniki i fałszywe dokumenty

Znane imię nadawcy, poprawna polszczyzna i wcześniejszy wątek nie potwierdzają autentyczności wiadomości.

LCPD / DATPOL · aktualizacja: 24.10.2026 · materiał do dopasowania do procedur organizacji.

Oceń żądanie

Sprawdź adres nadawcy, adres odpowiedzi i sens prośby. Pośpiech, tajemnica, zmiana rachunku lub żądanie hasła wymagają niezależnego potwierdzenia. Wiadomość może pochodzić z rzeczywiście przejętej skrzynki współpracownika.

Załącznik i chmura

Nie włączaj makr ani aktywnej zawartości, aby „odblokować fakturę”. Uważaj na archiwa z hasłem, skróty, instalatory i podwójne rozszerzenia. Legalna usługa chmurowa również może przechowywać złośliwy plik. Nieoczekiwany dokument potwierdź znanym kanałem.

Zgłoś zamiast rozsyłać

Użyj firmowego przycisku zgłaszania lub ustalonego kontaktu do IT. Jeżeli zespół potrzebuje oryginału, prześlij EML/MSG; zrzut ekranu nie zachowuje pełnych nagłówków. Nie rozsyłaj podejrzanego pliku do całego działu. Filtr antyspamowy nie jest gwarancją bezpieczeństwa.

Sprawdź w praktyce

Sytuacja z pracy

„Skan z drukarki” prosi o logowanie w nieznanym portalu. Sprawdzasz z IT, czy organizacja w ogóle go używa.

Źródła i dalsza lektura

BHP w IT na LCPD: zasady i szybkie działania

W podręczniku BHP w IT

Wszystkie tematy i rozdziały

Poprzedni temat: Strony internetowe, HTTPS i kłódka

Następny temat: SMS, kody QR, telefon i podszywanie się głosem

SMS, kody QR, telefon i podszywanie się głosem

Numer na telefonie, głos rozmówcy i kod QR nie są dowodem tożsamości.

LCPD / DATPOL · aktualizacja: 24.10.2026 · materiał do dopasowania do procedur organizacji.

Telefon od banku lub wsparcia

Nie podawaj hasła, kodu MFA, danych karty lub BLIK. Nie instaluj zdalnego pulpitu na polecenie niezweryfikowanej osoby. Rozłącz się i oddzwoń na wcześniej znany numer, nie numer z tej rozmowy. Pilny głos szefa także może być podrobiony.

QR jest linkiem

Przed otwarciem i logowaniem przeczytaj domenę. Nie skanuj kodu parowania komunikatora z obcej instrukcji: może przekazać sesję innej osobie. Uważaj na naklejki na parkingomatach i fałszywe komunikaty HR. Nie przenoś logowania na prywatny telefon tylko na żądanie maila.

Zgłoszenie w Polsce

Podejrzany SMS przekaż w oryginalnej treści na 8080. Stronę lub e-mail zgłoś przez incydent.cert.pl. Powiadom też IT, gdy sprawa dotyczy służbowego konta. CERT nie zastępuje wewnętrznej reakcji ani banku, jeśli zagrożone są pieniądze.

Sprawdź w praktyce

Sytuacja z pracy

QR z maila „Nowy regulamin HR” prowadzi do rzekomego Microsoft 365. Otwierasz firmowy portal ze swojej zakładki.

Źródła i dalsza lektura

BHP w IT na LCPD: zasady i szybkie działania

W podręczniku BHP w IT

Wszystkie tematy i rozdziały

Poprzedni temat: E-mail, załączniki i fałszywe dokumenty

Następny temat: Przelewy, faktury i zmiana rachunku

Przelewy, faktury i zmiana rachunku

Zmianę rachunku lub nietypową dyspozycję płatniczą potwierdzaj poza wiadomością, która ją zgłasza.

LCPD / DATPOL · aktualizacja: 24.10.2026 · materiał do dopasowania do procedur organizacji.

Dwie niezależne kontrole

Osoba wprowadzająca zmianę zbiera dokument i potwierdza ją na wcześniej znanym numerze kontrahenta. Druga upoważniona osoba zatwierdza według lokalnej procedury. Kontakt do weryfikacji nie może pochodzić wyłącznie z dokumentu ze zmienionym rachunkiem.

Mail od szefa

Nie omijaj akceptacji z powodu prośby o dyskrecję lub pilny przelew. Porównaj kontrahenta, kwotę, rachunek, zakres i zamówienie. Dopisanie zmiany w istniejącym wątku nie dowodzi jej legalności.

Przelew już wyszedł

Natychmiast skontaktuj się z bankiem oficjalnym kanałem. Równolegle zawiadom przełożonego i IT, zachowaj korespondencję i potwierdzenie transakcji. Nie czekaj na zakończenie analizy technicznej, by zgłosić sprawę bankowi. Odzyskanie pieniędzy nie jest gwarantowane.

Sprawdź w praktyce

Sytuacja z pracy

Stały dostawca przesyła fakturę z nowym kontem. Wstrzymujesz płatność do potwierdzenia przez dotychczasowego opiekuna.

Źródła i dalsza lektura

BHP w IT na LCPD: zasady i szybkie działania

W podręczniku BHP w IT

Wszystkie tematy i rozdziały

Poprzedni temat: SMS, kody QR, telefon i podszywanie się głosem

Następny temat: Blokada ekranu, dokumenty i stanowisko

Blokada ekranu, dokumenty i stanowisko

Odejście od biurka nie powinno udostępniać systemu przypadkowej osobie.

LCPD / DATPOL · aktualizacja: 24.10.2026 · materiał do dopasowania do procedur organizacji.

Ekran i papier

Blokuj sesję przy odejściu: Windows+L lub Control+Command+Q w macOS. Automatyczna blokada pomaga, ale nie zastępuje nawyku. Odbieraj wydruki od razu, zabezpieczaj dokumenty i używaj zatwierdzonego niszczenia papieru.

Goście

Nie wpuszczaj nieznajomego za sobą do strefy chronionej, nawet gdy ma narzędzia i mówi, że jest serwisantem. Sprawdź wizytę ustalonym kanałem. Nie fotografuj ekranów z danymi do prywatnego komunikatora.

Ergonomia i zasilanie

Dopasuj stanowisko i ogranicz odblaski. PIP wskazuje górną krawędź monitora na poziomie oczu. Stosuj lokalne zasady przerw i zalecenia BHP. Nie zasłaniaj wentylacji, nie używaj nadpalonych przewodów, nie naprawiaj zasilacza ani UPS samodzielnie. Przy dymie lub zagrożeniu elektrycznym priorytetem jest bezpieczeństwo ludzi.

Sprawdź w praktyce

Sytuacja z pracy

Telefon wywołuje Cię do innego pokoju, a przy biurku czeka gość. Blokujesz ekran przed odejściem.

Źródła i dalsza lektura

BHP w IT na LCPD: zasady i szybkie działania

W podręczniku BHP w IT

Wszystkie tematy i rozdziały

Poprzedni temat: Przelewy, faktury i zmiana rachunku

Następny temat: Pliki, dane osobowe i udostępnianie

Pliki, dane osobowe i udostępnianie

Udostępniaj właściwy dokument właściwej osobie, na potrzebny czas i z możliwie małym zakresem uprawnień.

LCPD / DATPOL · aktualizacja: 24.10.2026 · materiał do dopasowania do procedur organizacji.

Przed wysłaniem

Rozwiń adres odbiorcy i sprawdź załącznik oraz wersję. Autouzupełnianie może wybrać inną osobę. Nie ujawniaj niepotrzebnie adresów niezależnych odbiorców. Poufnych plików nie wysyłaj na prywatną pocztę do pracy w domu.

Uprawnienia linku

Preferuj konkretne konta, odczyt zamiast edycji i termin wygaśnięcia. Sprawdź dostęp do folderu nadrzędnego. Hasło zatwierdzonego zaszyfrowanego pliku przekaż innym zweryfikowanym kanałem. Samo rozszerzenie ZIP nie oznacza bezpiecznego szyfrowania.

Błędny odbiorca

Odwołaj link, jeśli możesz, i od razu zgłoś do IT oraz wyznaczonej osoby od ochrony danych. „Odwołaj wiadomość” nie gwarantuje usunięcia wszystkich kopii. Zachowaj czas, nazwę pliku i odbiorcę; kwalifikację zdarzenia prowadzą upoważnione osoby.

Sprawdź w praktyce

Sytuacja z pracy

Folder z ofertą zawiera także płace. Udostępniasz samą ofertę zamiast całego katalogu.

Źródła i dalsza lektura

BHP w IT na LCPD: zasady i szybkie działania

W podręczniku BHP w IT

Wszystkie tematy i rozdziały

Poprzedni temat: Blokada ekranu, dokumenty i stanowisko

Następny temat: Aktualizacje, instalacje i administrator

Aktualizacje, instalacje i administrator

Codziennie pracuj na zwykłym koncie. Instalowanie programów i nadawanie uprawnień traktuj jako kontrolowaną zmianę.

LCPD / DATPOL · aktualizacja: 24.10.2026 · materiał do dopasowania do procedur organizacji.

Oprogramowanie

Nie instaluj cracków, niezatwierdzonych rozszerzeń, „optymalizatorów” ani narzędzi z wyskakującego okna. Nie wyłączaj antywirusa lub EDR na żądanie pliku. Rozszerzenie przeglądarki może odczytywać strony i sesje; niewinny dodatek też wymaga oceny.

Aktualizacje

Zezwalaj na zarządzane aktualizacje i uzgodnione restarty. Konflikt z ważnym terminem zgłoś do IT, nie odkładaj aktualizacji bez końca. Antywirus nie przywraca wsparcia przestarzałej aplikacji. IT planuje jej wymianę, izolację lub uzasadniony wyjątek z terminem.

Zdalny serwis

Używaj zatwierdzonego narzędzia. Zlecenie i tożsamość serwisanta potwierdź znanym kanałem. Dostęp przyznawaj na czas prac. Nie wysyłaj hasła administratora na czacie ani kodu dostępu nieoczekiwanemu rozmówcy.

Sprawdź w praktyce

Sytuacja z pracy

„Pomoc banku” żąda instalacji pulpitu zdalnego. Nie instalujesz i potwierdzasz sprawę oficjalnym kanałem.

Źródła i dalsza lektura

BHP w IT na LCPD: zasady i szybkie działania

W podręczniku BHP w IT

Wszystkie tematy i rozdziały

Poprzedni temat: Pliki, dane osobowe i udostępnianie

Następny temat: Telefon, BYOD, praca zdalna i Wi-Fi

Telefon, BYOD, praca zdalna i Wi-Fi

Miejsce pracy może się zmieniać, ale ochrona służbowych danych pozostaje potrzebna.

LCPD / DATPOL · aktualizacja: 24.10.2026 · materiał do dopasowania do procedur organizacji.

Sprzęt i sieć

Stosuj blokadę, szyfrowanie i aktualizacje; utratę sprzętu zgłaszaj natychmiast. Prywatny komputer do pracy dopuszcza się po ustaleniu zasad BYOD. Nie dawaj domownikom służbowej sesji. W nieznanym miejscu wybieraj zatwierdzony dostęp lub własny hotspot zamiast przypadkowego otwartego Wi-Fi.

VPN

Używaj firmowego VPN lub innego zatwierdzonego dostępu, jeśli wymaga go usługa. VPN nie ochroni przed podaniem hasła oszustowi i nie uwiarygadnia każdej strony. Nie wystawiaj pulpitu i panelu routera publicznie. Nie obchodź kontroli prywatnym tunelem.

Spotkanie i podróż

Sprawdź uczestników, udostępniaj konkretne okno, zamknij poufne powiadomienia. Nie publikuj linku do zamkniętego spotkania. Nagrywanie i transkrypcję uzgodnij według zasad organizacji. Pilnuj torby i dokumentów; nie zostawiaj laptopa na widoku w samochodzie.

Sprawdź w praktyce

Sytuacja z pracy

Przed udostępnieniem ekranu wybierasz okno prezentacji, a nie cały pulpit ze skrzynką i arkuszem płac.

Źródła i dalsza lektura

BHP w IT na LCPD: zasady i szybkie działania

W podręczniku BHP w IT

Wszystkie tematy i rozdziały

Poprzedni temat: Aktualizacje, instalacje i administrator

Następny temat: AI, tłumacze i konwertery PDF

AI, tłumacze i konwertery PDF

Wklejenie dokumentu do usługi online jest przekazaniem danych jej dostawcy. Etykieta „AI” nie zwalnia z kontroli.

LCPD / DATPOL · aktualizacja: 24.10.2026 · materiał do dopasowania do procedur organizacji.

Co przekazywać

Używaj zatwierdzonej usługi i zakresu danych. Nie wklejaj haseł, kluczy API, kodów MFA, danych mieszkańców lub poufnych ofert do publicznego narzędzia bez oceny i zgody. Usunięcie imienia nie zawsze anonimizuje dokument. Retencja i wykorzystanie danych zależą od dostawcy oraz planu usługi.

Weryfikacja wyniku

Sprawdź liczby, źródła i wnioski przed wysłaniem. Wygenerowany tekst nie jest automatycznie prawdziwy. Nie uruchamiaj komend z odpowiedzi lub dokumentu bez zrozumienia i upoważnienia. Obcy plik może zawierać instrukcje nakłaniające narzędzie do ujawnienia danych.

Nowa aplikacja

Właściciel procesu uzgadnia z IT potrzebę, kategorie danych, uprawnienia integracji, retencję i wyjście z usługi. Nie łącz prywatnego konta z całą służbową pocztą dla pojedynczego zadania. Błędne wysłanie danych zgłoś z zakresem i czasem, bez dalszego powielania pliku.

Sprawdź w praktyce

Sytuacja z pracy

Do streszczenia umowy wybierasz zatwierdzone środowisko lub bezpieczny fragment zgodny z procedurą.

Źródła i dalsza lektura

BHP w IT na LCPD: zasady i szybkie działania

W podręczniku BHP w IT

Wszystkie tematy i rozdziały

Poprzedni temat: Telefon, BYOD, praca zdalna i Wi-Fi

Następny temat: Kliknąłem link lub podałem hasło: pierwsze kroki