BHP w IT — bezpieczna praca cyfrowa
20 praktycznych instrukcji: hasła, MFA, pendrive, phishing, HTTPS, dokumenty, praca zdalna, AI, incydenty i polityka dostępów. Dla pracowników oraz osób odpowiedzialnych za IT. Materiały LCPD / DATPOL, 24.10.2026.

Codzienne nawyki
Instrukcje i sytuacje z codziennej pracy.

Zacznij tutaj: BHP przełożone na IT
BHP w IT to codzienna ochrona ludzi, informacji i ciągłości pracy. Jasne zasady uzupełniają zabezpieczenia techniczne.
LCPD / DATPOL · aktualizacja: 24.10.2026 · materiał do dopasowania do procedur organizacji.
To samo podejście, inne zagrożenia
Oceń ryzyko przed działaniem: zanim podłączysz nośnik, zatwierdzisz logowanie lub wyślesz dokument. Osłoną są MFA, aktualizacje i ograniczone uprawnienia. Porządek na stanowisku oznacza blokadę ekranu i kontrolę wydruków. Instrukcją awaryjną jest znany kanał zgłoszenia incydentu.
Kto za co odpowiada
Pracownik rozpoznaje sygnał i zgłasza; administrator zabezpiecza system; kierownik zapewnia zasoby i podejmuje decyzje. Pracownik nie musi sam prowadzić dochodzenia. Materiały są dla urzędów, firm, szkół, instytucji kultury i operatorów obiektów.
Jak wdrażać
Wyznacz kontakt do IT i zastępstwo, dopasuj zasady do stanowiska i przećwicz zgłoszenie bez prawdziwego malware. To wzór do zatwierdzenia w organizacji, nie oświadczenie o działających u niej zabezpieczeniach. Cyberhigiena nie zastępuje oceny ergonomii ani instrukcji bezpieczeństwa fizycznego.
Sprawdź w praktyce
Wiem, do kogo zgłosić podejrzenie.
Mam własne konto i MFA, gdzie jest dostępne.
Znam chronione miejsce zapisu.
Mogę zatrzymać podejrzaną operację.
Sytuacja z pracy
Zgłoszenie pomyłki po minucie pozwala IT odwołać sesję. Ukrywanie pomyłki odbiera tę możliwość.
Źródła i dalsza lektura
NCSC — podstawy bezpieczeństwa
ENISA — cyberhigiena
BHP w IT na LCPD: zasady i szybkie działania
W podręczniku BHP w IT
Wszystkie tematy i rozdziały
Następny temat: Hasła, menedżer haseł i bezpieczna zmiana

Hasła, menedżer haseł i bezpieczna zmiana
Jedno konto — jedno długie, niepowtarzalne hasło. Szczególnie chroń pocztę, która często umożliwia odzyskanie innych kont.
LCPD / DATPOL · aktualizacja: 24.10.2026 · materiał do dopasowania do procedur organizacji.
Tworzenie i przechowywanie
Jako standard organizacyjny proponujemy minimum 16 znaków lub dłuższą frazę z niepowiązanych słów i zatwierdzony menedżer. Nie używaj nazwy firmy, daty urodzenia ani wzoru Lato2026 zmienianego na Jesien2026. Nie kopiuj przykładów z poradników jako własnego hasła.
Kiedy zmieniać
Natychmiast po podejrzeniu ujawnienia, wpisaniu na fałszywej stronie lub informacji o wycieku. Zmień hasło fabryczne przy uruchomieniu i tymczasowe po przekazaniu konta. Nie narzucaj rutynowej zmiany co 30 dni bez powodu: NIST odradza arbitralne zmiany okresowe. Wyjątek wynikający z systemu lub polityki wymaga uzasadnienia.
Jak zmienić bezpiecznie
Otwórz znany adres z zakładki na zaufanym urządzeniu, nie link z alarmującego maila. Ustaw unikatowe hasło, zapisz w menedżerze, sprawdź MFA i odzyskiwanie. Przy podejrzeniu przejęcia IT powinno także odwołać sesje i tokeny oraz przejrzeć reguły poczty. Sama zmiana hasła może nie wystarczyć.
Sprawdź w praktyce
Nie wysyłam haseł w SMS ani zgłoszeniu.
Nie zapisuję haseł na monitorze lub w arkuszu.
Nie powtarzam hasła prywatnie i służbowo.
Chronię kody odzyskiwania.
Sytuacja z pracy
Mail nakazuje pilną zmianę hasła. Otwierasz aplikację ze swojej zakładki i potwierdzasz komunikat z IT.
Źródła i dalsza lektura
CERT Polska — bezpieczne hasła
CERT Polska — kompleksowo o hasłach
NIST SP 800-63B-4
BHP w IT na LCPD: zasady i szybkie działania
W podręczniku BHP w IT
Wszystkie tematy i rozdziały
Poprzedni temat: Zacznij tutaj: BHP przełożone na IT
Następny temat: MFA, passkeys i niezamówione kody logowania

MFA, passkeys i niezamówione kody logowania
Drugi etap logowania utrudnia przejęcie konta, ale nie każde potwierdzenie należy zatwierdzać.
LCPD / DATPOL · aktualizacja: 24.10.2026 · materiał do dopasowania do procedur organizacji.
Wybór metody
Preferuj zatwierdzone passkeys lub klucze FIDO2 odporne na phishing. Gdy nie są dostępne, użyj aplikacji uwierzytelniającej; SMS może być rozwiązaniem przejściowym. Dwa hasła to nie dwa niezależne czynniki. Kodu nie podawaj osobie przedstawiającej się jako informatyk.
Nieoczekiwane powiadomienie
Nie zatwierdzaj. Zapisz czas i usługę, zgłoś do IT. Seria powiadomień może mieć zmęczyć użytkownika. Zgodność numeru na ekranie także nie uprawnia do akceptacji, jeśli nie rozpocząłeś logowania.
Utrata telefonu
Zgłoś natychmiast. IT odwołuje stare uwierzytelniacze i sesje oraz potwierdza tożsamość ustalonym kanałem. Przy planowanej wymianie najpierw dodaj i przetestuj nową metodę. Nie twórz wspólnego telefonu uwierzytelniającego wszystkich administratorów.
Sprawdź w praktyce
Akceptuję wyłącznie własne logowania.
Nie pokazuję kodu ani ekranu z kodem.
Mam bezpieczną metodę odzyskania.
Sytuacja z pracy
„Proszę zaakceptować powiadomienie, testujemy system”. Odmawiasz i sam dzwonisz na znany numer IT.
Źródła i dalsza lektura
NIST SP 800-63B-4
ENISA — cyberhigiena
BHP w IT na LCPD: zasady i szybkie działania
W podręczniku BHP w IT
Wszystkie tematy i rozdziały
Poprzedni temat: Hasła, menedżer haseł i bezpieczna zmiana
Następny temat: Pendrive, dysk USB i obce akcesoria

Pendrive, dysk USB i obce akcesoria
Znalezionego, prywatnego lub otrzymanego bez uzgodnienia pendrive’a nie podłączaj do sprzętu służbowego.
LCPD / DATPOL · aktualizacja: 24.10.2026 · materiał do dopasowania do procedur organizacji.
Czego nie robić
Nie sprawdzaj nośnika „tylko na chwilę”, na komputerze kolegi ani w domu. Dotyczy to kart pamięci, dysków, adapterów i nieznanych urządzeń USB. Firmowe logo nie dowodzi bezpieczeństwa. Urządzenie może udawać klawiaturę lub kartę sieciową: sam skan antywirusowy nie wyklucza całego ryzyka.
Potrzebny transfer danych
Wybierz zatwierdzony kanał. Jeśli nośnik jest konieczny, IT ustala pochodzenie, dopuszczenie, szyfrowanie i analizę poza stanowiskiem użytkownika. Nie wyłączaj blokady USB lub ochrony punktu końcowego. Na nośniku umieszczaj numer ewidencyjny, nie hasło do szyfrowania.
Nośnik już podłączono
Przerwij pracę i zgłoś czas, urządzenie oraz wykonane czynności. Nie otwieraj kolejnych plików, nie przenoś nośnika między komputerami, nie uruchamiaj własnego czyszczenia. Przy podejrzeniu infekcji komputera pracownika odłącz jego sieć i zgłoś z innego urządzenia. Obsługę nośnika uzgodnij z IT.
Sprawdź w praktyce
Używam wyłącznie dopuszczonych nośników.
Obcy pendrive przekazuję IT bez podłączania.
Do ładowania telefonu używam własnej zatwierdzonej ładowarki.
Sytuacja z pracy
Pendrive z etykietą „Płace” znaleziony na parkingu jest powodem do zgłoszenia, nie do sprawdzenia zawartości.
Źródła i dalsza lektura
DCSA — zagrożenia nośników wymiennych
BHP w IT na LCPD: zasady i szybkie działania
W podręczniku BHP w IT
Wszystkie tematy i rozdziały
Poprzedni temat: MFA, passkeys i niezamówione kody logowania
Następny temat: Strony internetowe, HTTPS i kłódka

Strony internetowe, HTTPS i kłódka
HTTPS szyfruje transmisję do wskazanej domeny. Nie potwierdza uczciwości właściciela ani prawdziwości oferty.
LCPD / DATPOL · aktualizacja: 24.10.2026 · materiał do dopasowania do procedur organizacji.
Przed logowaniem
Sprawdź pełną domenę, nie tylko logo. Uważaj na literówki, podstawione znaki i dodatkowe człony. Adres urzad.example.oszust.invalid nie staje się stroną urzędu przez pierwszy człon. Domena .invalid służy wyłącznie przykładowi. Ważne usługi otwieraj z zakładki lub oficjalnej aplikacji.
Ostrzeżenia i fałszywe instrukcje
Nie omijaj ostrzeżenia o certyfikacie lub złośliwej stronie. Nie instaluj dodatku „do dokumentu” i nie wklejaj komend do PowerShella, terminala lub okna Uruchom w ramach rzekomego CAPTCHA. Tryb prywatny nie chroni przed oszustwem.
Pobieranie
Reklama w wyszukiwarce też może podszywać się pod producenta. Instalatory pobieraj z zatwierdzonego katalogu lub zweryfikowanego serwisu. Darmowy konwerter PDF nie jest miejscem na poufny plik. Instalacje uzgadniaj z IT.
Sprawdź w praktyce
Domena odpowiada usłudze.
Nie ignoruję alertu przeglądarki.
Nie podaję hasła po niezweryfikowanym linku.
Sytuacja z pracy
Kłódka i znane logo pojawiają się przy domenie z literówką. Rezygnujesz z logowania i zgłaszasz adres.
Źródła i dalsza lektura
Mozilla — bezpieczeństwo połączenia
NCSC — ochrona przed phishingiem
BHP w IT na LCPD: zasady i szybkie działania
W podręczniku BHP w IT
Wszystkie tematy i rozdziały
Poprzedni temat: Pendrive, dysk USB i obce akcesoria
Następny temat: E-mail, załączniki i fałszywe dokumenty

E-mail, załączniki i fałszywe dokumenty
Znane imię nadawcy, poprawna polszczyzna i wcześniejszy wątek nie potwierdzają autentyczności wiadomości.
LCPD / DATPOL · aktualizacja: 24.10.2026 · materiał do dopasowania do procedur organizacji.
Oceń żądanie
Sprawdź adres nadawcy, adres odpowiedzi i sens prośby. Pośpiech, tajemnica, zmiana rachunku lub żądanie hasła wymagają niezależnego potwierdzenia. Wiadomość może pochodzić z rzeczywiście przejętej skrzynki współpracownika.
Załącznik i chmura
Nie włączaj makr ani aktywnej zawartości, aby „odblokować fakturę”. Uważaj na archiwa z hasłem, skróty, instalatory i podwójne rozszerzenia. Legalna usługa chmurowa również może przechowywać złośliwy plik. Nieoczekiwany dokument potwierdź znanym kanałem.
Zgłoś zamiast rozsyłać
Użyj firmowego przycisku zgłaszania lub ustalonego kontaktu do IT. Jeżeli zespół potrzebuje oryginału, prześlij EML/MSG; zrzut ekranu nie zachowuje pełnych nagłówków. Nie rozsyłaj podejrzanego pliku do całego działu. Filtr antyspamowy nie jest gwarancją bezpieczeństwa.
Sprawdź w praktyce
Weryfikuję prośbę innym kanałem.
Nie uruchamiam makr ani instalatora z maila.
Zachowuję oryginał dla IT.
Sytuacja z pracy
„Skan z drukarki” prosi o logowanie w nieznanym portalu. Sprawdzasz z IT, czy organizacja w ogóle go używa.
Źródła i dalsza lektura
NCSC — ochrona przed phishingiem
CERT Polska — zgłaszanie incydentów
BHP w IT na LCPD: zasady i szybkie działania
W podręczniku BHP w IT
Wszystkie tematy i rozdziały
Poprzedni temat: Strony internetowe, HTTPS i kłódka
Następny temat: SMS, kody QR, telefon i podszywanie się głosem

SMS, kody QR, telefon i podszywanie się głosem
Numer na telefonie, głos rozmówcy i kod QR nie są dowodem tożsamości.
LCPD / DATPOL · aktualizacja: 24.10.2026 · materiał do dopasowania do procedur organizacji.
Telefon od banku lub wsparcia
Nie podawaj hasła, kodu MFA, danych karty lub BLIK. Nie instaluj zdalnego pulpitu na polecenie niezweryfikowanej osoby. Rozłącz się i oddzwoń na wcześniej znany numer, nie numer z tej rozmowy. Pilny głos szefa także może być podrobiony.
QR jest linkiem
Przed otwarciem i logowaniem przeczytaj domenę. Nie skanuj kodu parowania komunikatora z obcej instrukcji: może przekazać sesję innej osobie. Uważaj na naklejki na parkingomatach i fałszywe komunikaty HR. Nie przenoś logowania na prywatny telefon tylko na żądanie maila.
Zgłoszenie w Polsce
Podejrzany SMS przekaż w oryginalnej treści na 8080. Stronę lub e-mail zgłoś przez incydent.cert.pl. Powiadom też IT, gdy sprawa dotyczy służbowego konta. CERT nie zastępuje wewnętrznej reakcji ani banku, jeśli zagrożone są pieniądze.
Sprawdź w praktyce
Weryfikuję rozmówcę niezależnie.
Nie działam pod presją tajemnicy.
Czytam adres po zeskanowaniu QR.
Sytuacja z pracy
QR z maila „Nowy regulamin HR” prowadzi do rzekomego Microsoft 365. Otwierasz firmowy portal ze swojej zakładki.
Źródła i dalsza lektura
CERT Polska — oszustwa z kodami QR
CERT Polska — zgłaszanie incydentów
FBI IC3 — oszustwa BEC
BHP w IT na LCPD: zasady i szybkie działania
W podręczniku BHP w IT
Wszystkie tematy i rozdziały
Poprzedni temat: E-mail, załączniki i fałszywe dokumenty
Następny temat: Przelewy, faktury i zmiana rachunku

Przelewy, faktury i zmiana rachunku
Zmianę rachunku lub nietypową dyspozycję płatniczą potwierdzaj poza wiadomością, która ją zgłasza.
LCPD / DATPOL · aktualizacja: 24.10.2026 · materiał do dopasowania do procedur organizacji.
Dwie niezależne kontrole
Osoba wprowadzająca zmianę zbiera dokument i potwierdza ją na wcześniej znanym numerze kontrahenta. Druga upoważniona osoba zatwierdza według lokalnej procedury. Kontakt do weryfikacji nie może pochodzić wyłącznie z dokumentu ze zmienionym rachunkiem.
Mail od szefa
Nie omijaj akceptacji z powodu prośby o dyskrecję lub pilny przelew. Porównaj kontrahenta, kwotę, rachunek, zakres i zamówienie. Dopisanie zmiany w istniejącym wątku nie dowodzi jej legalności.
Przelew już wyszedł
Natychmiast skontaktuj się z bankiem oficjalnym kanałem. Równolegle zawiadom przełożonego i IT, zachowaj korespondencję i potwierdzenie transakcji. Nie czekaj na zakończenie analizy technicznej, by zgłosić sprawę bankowi. Odzyskanie pieniędzy nie jest gwarantowane.
Sprawdź w praktyce
Rachunek potwierdzono znanym kanałem.
Zmianę zatwierdziła druga osoba.
Nie pominięto kontroli na polecenie rozmówcy.
Sytuacja z pracy
Stały dostawca przesyła fakturę z nowym kontem. Wstrzymujesz płatność do potwierdzenia przez dotychczasowego opiekuna.
Źródła i dalsza lektura
FBI IC3 — oszustwa BEC
BHP w IT na LCPD: zasady i szybkie działania
W podręczniku BHP w IT
Wszystkie tematy i rozdziały
Poprzedni temat: SMS, kody QR, telefon i podszywanie się głosem
Następny temat: Blokada ekranu, dokumenty i stanowisko

Blokada ekranu, dokumenty i stanowisko
Odejście od biurka nie powinno udostępniać systemu przypadkowej osobie.
LCPD / DATPOL · aktualizacja: 24.10.2026 · materiał do dopasowania do procedur organizacji.
Ekran i papier
Blokuj sesję przy odejściu: Windows+L lub Control+Command+Q w macOS. Automatyczna blokada pomaga, ale nie zastępuje nawyku. Odbieraj wydruki od razu, zabezpieczaj dokumenty i używaj zatwierdzonego niszczenia papieru.
Goście
Nie wpuszczaj nieznajomego za sobą do strefy chronionej, nawet gdy ma narzędzia i mówi, że jest serwisantem. Sprawdź wizytę ustalonym kanałem. Nie fotografuj ekranów z danymi do prywatnego komunikatora.
Ergonomia i zasilanie
Dopasuj stanowisko i ogranicz odblaski. PIP wskazuje górną krawędź monitora na poziomie oczu. Stosuj lokalne zasady przerw i zalecenia BHP. Nie zasłaniaj wentylacji, nie używaj nadpalonych przewodów, nie naprawiaj zasilacza ani UPS samodzielnie. Przy dymie lub zagrożeniu elektrycznym priorytetem jest bezpieczeństwo ludzi.
Sprawdź w praktyce
Odchodzę — blokuję ekran.
Odbieram i chowam wydruk.
Nie udostępniam identyfikatora lub sesji.
Sytuacja z pracy
Telefon wywołuje Cię do innego pokoju, a przy biurku czeka gość. Blokujesz ekran przed odejściem.
Źródła i dalsza lektura
PIP — ergonomia monitora
NCSC — podstawy bezpieczeństwa
BHP w IT na LCPD: zasady i szybkie działania
W podręczniku BHP w IT
Wszystkie tematy i rozdziały
Poprzedni temat: Przelewy, faktury i zmiana rachunku
Następny temat: Pliki, dane osobowe i udostępnianie

Pliki, dane osobowe i udostępnianie
Udostępniaj właściwy dokument właściwej osobie, na potrzebny czas i z możliwie małym zakresem uprawnień.
LCPD / DATPOL · aktualizacja: 24.10.2026 · materiał do dopasowania do procedur organizacji.
Przed wysłaniem
Rozwiń adres odbiorcy i sprawdź załącznik oraz wersję. Autouzupełnianie może wybrać inną osobę. Nie ujawniaj niepotrzebnie adresów niezależnych odbiorców. Poufnych plików nie wysyłaj na prywatną pocztę do pracy w domu.
Uprawnienia linku
Preferuj konkretne konta, odczyt zamiast edycji i termin wygaśnięcia. Sprawdź dostęp do folderu nadrzędnego. Hasło zatwierdzonego zaszyfrowanego pliku przekaż innym zweryfikowanym kanałem. Samo rozszerzenie ZIP nie oznacza bezpiecznego szyfrowania.
Błędny odbiorca
Odwołaj link, jeśli możesz, i od razu zgłoś do IT oraz wyznaczonej osoby od ochrony danych. „Odwołaj wiadomość” nie gwarantuje usunięcia wszystkich kopii. Zachowaj czas, nazwę pliku i odbiorcę; kwalifikację zdarzenia prowadzą upoważnione osoby.
Sprawdź w praktyce
Znam odbiorców i zakres.
Link nie jest publiczny bez uzasadnienia.
Przesyłam tylko potrzebne dane.
Sytuacja z pracy
Folder z ofertą zawiera także płace. Udostępniasz samą ofertę zamiast całego katalogu.
Źródła i dalsza lektura
NCSC — ochrona przed phishingiem
NCSC — bezpieczne spotkania online
BHP w IT na LCPD: zasady i szybkie działania
W podręczniku BHP w IT
Wszystkie tematy i rozdziały
Poprzedni temat: Blokada ekranu, dokumenty i stanowisko
Następny temat: Aktualizacje, instalacje i administrator

Aktualizacje, instalacje i administrator
Codziennie pracuj na zwykłym koncie. Instalowanie programów i nadawanie uprawnień traktuj jako kontrolowaną zmianę.
LCPD / DATPOL · aktualizacja: 24.10.2026 · materiał do dopasowania do procedur organizacji.
Oprogramowanie
Nie instaluj cracków, niezatwierdzonych rozszerzeń, „optymalizatorów” ani narzędzi z wyskakującego okna. Nie wyłączaj antywirusa lub EDR na żądanie pliku. Rozszerzenie przeglądarki może odczytywać strony i sesje; niewinny dodatek też wymaga oceny.
Aktualizacje
Zezwalaj na zarządzane aktualizacje i uzgodnione restarty. Konflikt z ważnym terminem zgłoś do IT, nie odkładaj aktualizacji bez końca. Antywirus nie przywraca wsparcia przestarzałej aplikacji. IT planuje jej wymianę, izolację lub uzasadniony wyjątek z terminem.
Zdalny serwis
Używaj zatwierdzonego narzędzia. Zlecenie i tożsamość serwisanta potwierdź znanym kanałem. Dostęp przyznawaj na czas prac. Nie wysyłaj hasła administratora na czacie ani kodu dostępu nieoczekiwanemu rozmówcy.
Sprawdź w praktyce
Nie pracuję stale jako administrator.
Nie obchodzę zabezpieczeń dla instalatora.
Znam dopuszczone narzędzie zdalnej pomocy.
Sytuacja z pracy
„Pomoc banku” żąda instalacji pulpitu zdalnego. Nie instalujesz i potwierdzasz sprawę oficjalnym kanałem.
Źródła i dalsza lektura
ENISA — cyberhigiena
NCSC — podstawy bezpieczeństwa
BHP w IT na LCPD: zasady i szybkie działania
W podręczniku BHP w IT
Wszystkie tematy i rozdziały
Poprzedni temat: Pliki, dane osobowe i udostępnianie
Następny temat: Telefon, BYOD, praca zdalna i Wi-Fi

Telefon, BYOD, praca zdalna i Wi-Fi
Miejsce pracy może się zmieniać, ale ochrona służbowych danych pozostaje potrzebna.
LCPD / DATPOL · aktualizacja: 24.10.2026 · materiał do dopasowania do procedur organizacji.
Sprzęt i sieć
Stosuj blokadę, szyfrowanie i aktualizacje; utratę sprzętu zgłaszaj natychmiast. Prywatny komputer do pracy dopuszcza się po ustaleniu zasad BYOD. Nie dawaj domownikom służbowej sesji. W nieznanym miejscu wybieraj zatwierdzony dostęp lub własny hotspot zamiast przypadkowego otwartego Wi-Fi.
VPN
Używaj firmowego VPN lub innego zatwierdzonego dostępu, jeśli wymaga go usługa. VPN nie ochroni przed podaniem hasła oszustowi i nie uwiarygadnia każdej strony. Nie wystawiaj pulpitu i panelu routera publicznie. Nie obchodź kontroli prywatnym tunelem.
Spotkanie i podróż
Sprawdź uczestników, udostępniaj konkretne okno, zamknij poufne powiadomienia. Nie publikuj linku do zamkniętego spotkania. Nagrywanie i transkrypcję uzgodnij według zasad organizacji. Pilnuj torby i dokumentów; nie zostawiaj laptopa na widoku w samochodzie.
Sprawdź w praktyce
Korzystam z zatwierdzonego sprzętu.
Kontroluję udostępnianą treść.
Utratę telefonu zgłaszam od razu.
Sytuacja z pracy
Przed udostępnieniem ekranu wybierasz okno prezentacji, a nie cały pulpit ze skrzynką i arkuszem płac.
Źródła i dalsza lektura
NCSC — bezpieczne spotkania online
NCSC — podstawy bezpieczeństwa
BHP w IT na LCPD: zasady i szybkie działania
W podręczniku BHP w IT
Wszystkie tematy i rozdziały
Poprzedni temat: Aktualizacje, instalacje i administrator
Następny temat: AI, tłumacze i konwertery PDF

AI, tłumacze i konwertery PDF
Wklejenie dokumentu do usługi online jest przekazaniem danych jej dostawcy. Etykieta „AI” nie zwalnia z kontroli.
LCPD / DATPOL · aktualizacja: 24.10.2026 · materiał do dopasowania do procedur organizacji.
Co przekazywać
Używaj zatwierdzonej usługi i zakresu danych. Nie wklejaj haseł, kluczy API, kodów MFA, danych mieszkańców lub poufnych ofert do publicznego narzędzia bez oceny i zgody. Usunięcie imienia nie zawsze anonimizuje dokument. Retencja i wykorzystanie danych zależą od dostawcy oraz planu usługi.
Weryfikacja wyniku
Sprawdź liczby, źródła i wnioski przed wysłaniem. Wygenerowany tekst nie jest automatycznie prawdziwy. Nie uruchamiaj komend z odpowiedzi lub dokumentu bez zrozumienia i upoważnienia. Obcy plik może zawierać instrukcje nakłaniające narzędzie do ujawnienia danych.
Nowa aplikacja
Właściciel procesu uzgadnia z IT potrzebę, kategorie danych, uprawnienia integracji, retencję i wyjście z usługi. Nie łącz prywatnego konta z całą służbową pocztą dla pojedynczego zadania. Błędne wysłanie danych zgłoś z zakresem i czasem, bez dalszego powielania pliku.
Sprawdź w praktyce
Sprawdziłem dopuszczenie usługi.
Nie przekazuję sekretów.
Weryfikuję wynik.
Sytuacja z pracy
Do streszczenia umowy wybierasz zatwierdzone środowisko lub bezpieczny fragment zgodny z procedurą.
Źródła i dalsza lektura
NCSC — ryzyko publicznych modeli językowych
BHP w IT na LCPD: zasady i szybkie działania
W podręczniku BHP w IT
Wszystkie tematy i rozdziały
Poprzedni temat: Telefon, BYOD, praca zdalna i Wi-Fi
Następny temat: Kliknąłem link lub podałem hasło: pierwsze kroki

Zdarzenia i reakcja
Instrukcje i sytuacje z codziennej pracy.

Kliknąłem link lub podałem hasło: pierwsze kroki
Zgłoś zdarzenie od razu, nawet bez pewności. Nie trzeba udowodnić ataku, aby poprosić o pomoc.
LCPD / DATPOL · aktualizacja: 24.10.2026 · materiał do dopasowania do procedur organizacji.
Otwarta strona
Przerwij dalsze działania. Nie wpisuj danych ani nie pobieraj kolejnych plików. Zapisz adres i czas, zawiadom IT. Samo otwarcie linku nie dowodzi infekcji: ważne jest, co pobrano, uruchomiono i jakie uprawnienia przyznano.
Ujawnione dane
Z zaufanego urządzenia otwórz znany adres usługi. Zmień ujawnione hasło i hasła kont, gdzie użyto tego samego sekretu. IT powinno odwołać sesje, tokeny, nieznane metody MFA i zgody aplikacji oraz sprawdzić przekazywanie poczty. Zamknięcie karty nie unieważnia dostępu atakującego.
Uruchomiony plik lub szyfrowanie
Na komputerze pracownika odłącz Wi-Fi i Ethernet, zgłoś z innego urządzenia. Nie kasuj plików, nie uruchamiaj „czyścicieli” i nie wyłączaj komputera bez uzgodnienia, chyba że wymaga tego bezpieczeństwo fizyczne. Izolację urządzeń sterujących i systemów krytycznych uzgadnia się z odpowiedzialnym personelem, by nie zagrozić procesowi.
Sprawdź w praktyce
Zgłosiłem znanym kanałem.
Ujawniłem wszystkie wykonane czynności.
Nie zacieram śladów i nie testuję linku ponownie.
Sytuacja z pracy
Po wpisaniu hasła strona znika. Powiedz IT także, czy podałeś MFA i czy uruchomiłeś plik — to zmienia zakres reakcji.
Źródła i dalsza lektura
CERT Polska — zgłaszanie incydentów
NCSC — ochrona przed ransomware
BHP w IT na LCPD: zasady i szybkie działania
W podręczniku BHP w IT
Wszystkie tematy i rozdziały
Poprzedni temat: AI, tłumacze i konwertery PDF
Następny temat: Jak zgłosić incydent bez wysyłania sekretów

Jak zgłosić incydent bez wysyłania sekretów
Dobre zgłoszenie zawiera fakty, nie hasła i kody jednorazowe.
LCPD / DATPOL · aktualizacja: 24.10.2026 · materiał do dopasowania do procedur organizacji.
Co podać
Czas i strefę czasową, numer sprzętu, usługę, objaw, wykonane czynności i kontakt zwrotny. Wskaż, czy wpisano dane, otwarto plik, zaakceptowano MFA, wykonano przelew lub udostępniono dokument. Oddziel obserwacje od przypuszczeń.
Dowody
Korzystaj z ustalonego kanału. Zrzut ekranu nie powinien ujawniać haseł, kodów lub przypadkowych danych osób. Nie wklejaj aktywnych tokenów i linków odzyskiwania na publiczny czat. EML/MSG przekaż zespołowi bez uruchamiania załączników.
Gdzie jeszcze zgłosić
Podejrzany SMS: oryginalna treść na 8080. Strona lub e-mail: incydent.cert.pl. Odpowiedzialna osoba ustala dodatkowe obowiązki wobec właściwych instytucji. Nie przyjmujemy jednego terminu prawnego dla wszystkich podmiotów i zdarzeń. Przy zagrożeniu pieniędzy równolegle kontaktuj się z bankiem.
Sprawdź w praktyce
Znam wewnętrzny kontakt i zastępstwo.
Nie przesyłam sekretów.
Zachowuję numer zgłoszenia.
Sytuacja z pracy
Wzór: „24.10, 10:15, LAP-042, poczta. Otworzyłem link i podałem hasło. Nie podałem kodu i nie uruchamiałem pliku. Proszę o pilny kontakt”.
Źródła i dalsza lektura
CERT Polska — zgłaszanie incydentów
BHP w IT na LCPD: zasady i szybkie działania
W podręczniku BHP w IT
Wszystkie tematy i rozdziały
Poprzedni temat: Kliknąłem link lub podałem hasło: pierwsze kroki
Następny temat: Backup i ransomware: zadania użytkownika

Backup i ransomware: zadania użytkownika
Synchronizacja może powielić także usunięcie lub zaszyfrowanie. Nie zastępuje niezależnej kopii.
LCPD / DATPOL · aktualizacja: 24.10.2026 · materiał do dopasowania do procedur organizacji.
Gdzie pracować
Dokumenty zapisuj w zatwierdzonym miejscu objętym ochroną. Nie trzymaj jedynej kopii na pulpicie, prywatnym dysku lub w prywatnej chmurze. Potwierdź z IT, czy folder rzeczywiście jest kopiowany i jaka jest retencja.
Plan administratora
Plan określa właściciela, zakres, harmonogram, odseparowanie, uprawnienia i testy odtworzenia. Część kopii powinna być odporna na skasowanie z przejętego konta produkcyjnego. „Backup zakończony” nie dowodzi, że można odtworzyć usługę.
Podejrzenie ransomware
Nie podłączaj kopii do podejrzanego komputera i nie odtwarzaj samodzielnie. IT wybiera czysty punkt i kolejność uruchamiania. Użytkownik podaje ostatni poprawny stan i priorytet dokumentów. Nie obiecuj dostępności każdej zmiany z ostatniej godziny bez sprawdzenia parametrów kopii.
Sprawdź w praktyce
Znam chronione miejsce zapisu.
Nie podłączam kopii do podejrzanego sprzętu.
Odtwarzanie jest uzgodnione i testowane.
Sytuacja z pracy
Usunięty folder znika też z chmury. Potrzebujesz historii wersji lub niezależnej kopii, nie ponownej synchronizacji.
Źródła i dalsza lektura
NCSC — ochrona przed ransomware
BHP w IT na LCPD: zasady i szybkie działania
W podręczniku BHP w IT
Wszystkie tematy i rozdziały
Poprzedni temat: Jak zgłosić incydent bez wysyłania sekretów
Następny temat: Wzór polityki haseł i dostępów

Organizacja i wdrożenie
Instrukcje i sytuacje z codziennej pracy.

Wzór polityki haseł i dostępów
Wzór wymaga wskazania właścicieli i zatwierdzenia. Publikacja sama nie wymusza ustawień w systemach.
LCPD / DATPOL · aktualizacja: 24.10.2026 · materiał do dopasowania do procedur organizacji.
Konta i hasła
Każda osoba ma własne konto; administracja jest oddzielona od zwykłej pracy. Dostęp zatwierdza właściciel zasobu. Proponujemy minimum 16 znaków, unikatowość i menedżer; konta techniczne preferują klucze, certyfikaty lub dłuższe losowe sekrety. System odrzuca hasła z wycieków i ogranicza próby logowania.
MFA i odzyskiwanie
MFA w pierwszej kolejności obejmuje pocztę, zdalny dostęp, administratorów i systemy wrażliwe; preferowane są metody odporne na phishing. Reset wymaga niezależnego potwierdzenia tożsamości. Pomoc nie wysyła hasła na numer właśnie podany przez rozmówcę. Konta awaryjne są ewidencjonowane, a ich użycie kontrolowane.
Zmiany i wyjątki
Zmieniaj po podejrzeniu ujawnienia oraz hasła fabryczne i tymczasowe. Nie narzucaj arbitralnego kalendarza zmian wszystkim kontom. Rotację sekretów serwisowych planuj z zależnościami i testem, aby nie przerwać integracji. Wyjątek ma właściciela, uzasadnienie ryzyka, zabezpieczenie zastępcze, termin i akceptację.
Nadzór i dowody
Monitoruj logowania i zmiany uprawnień bez jawnych haseł. Właściciele przeglądają dostępy według ryzyka i reagują na zmianę roli lub odejście. Przetestuj reset, utratę MFA i odwołanie sesji; samo istnienie dokumentu nie wystarcza.
Sprawdź w praktyce
Wskazano właściciela i kontakt do IT.
Uzgodniono MFA i wyjątki.
Odejście odwołuje także tokeny i sesje.
Zasady opublikowano i przećwiczono.
Sytuacja z pracy
Po odejściu administratora odbierz nie tylko login, ale VPN, klucze SSH, certyfikaty i tokeny, które posiadał.
Źródła i dalsza lektura
NIST SP 800-63B-4
CERT Polska — kompleksowo o hasłach
BHP w IT na LCPD: zasady i szybkie działania
W podręczniku BHP w IT
Wszystkie tematy i rozdziały
Poprzedni temat: Backup i ransomware: zadania użytkownika
Następny temat: Przyjęcie, zmiana stanowiska i odejście

Przyjęcie, zmiana stanowiska i odejście
Dostęp odpowiada aktualnym obowiązkom. Nie kopiuj pełnych uprawnień poprzednika dla wygody.
LCPD / DATPOL · aktualizacja: 24.10.2026 · materiał do dopasowania do procedur organizacji.
Początek pracy
Przełożony wskazuje potrzebne zasoby. IT tworzy imienne konto, konfiguruje MFA, zatwierdzony sprzęt i odzyskiwanie. Pracownik poznaje miejsce zapisu, zgłoszenia i zasady nośników. Nie przejmuje hasła poprzednika.
Zmiana i serwis
Nowe obowiązki wymagają przeglądu starych uprawnień. Dostawca ma cel, opiekuna i termin dostępu. Współdzieloną skrzynkę udostępnia się delegacją zamiast rozsyłaniem hasła. Wiadomość na czacie nie zastępuje akceptacji właściciela.
Odejście
W uzgodnionym czasie wyłącz logowanie i odwołaj sesje, VPN, klucze, certyfikaty, tokeny API i urządzenia MFA. Odbierz sprzęt i nośniki, zmień znane sekrety wspólne, przekaż dokumenty uprawnionej osobie. Dalsza obsługa poczty i retencja danych wymagają ustalenia, nie automatycznego przekazania wszystkich treści następcy.
Sprawdź w praktyce
Dostęp ma właściciela i cel.
Dostęp czasowy ma termin.
Sprawdzono skuteczność odebrania.
Sytuacja z pracy
Były pracownik nie zna nowego hasła, ale nadal ma działającą aplikację mobilną. Odwołanie sesji jest osobnym krokiem.
Źródła i dalsza lektura
NIST SP 800-63B-4
NCSC — podstawy bezpieczeństwa
BHP w IT na LCPD: zasady i szybkie działania
W podręczniku BHP w IT
Wszystkie tematy i rozdziały
Poprzedni temat: Wzór polityki haseł i dostępów
Następny temat: Kamery, drukarki, IoT, OT i serwis

Kamery, drukarki, IoT, OT i serwis
Kamera, drukarka, falownik lub sterownik też są systemami IT i wymagają zarządzania dostępem.
LCPD / DATPOL · aktualizacja: 24.10.2026 · materiał do dopasowania do procedur organizacji.
Uruchomienie
Zapisz właściciela, lokalizację, model, wersję, wsparcie i sposób zarządzania. Zmień hasło fabryczne, usuń zbędne konta, ogranicz panel. Nie wystawiaj panelu na internet dla wygody; serwis powinien korzystać z zatwierdzonego, imiennego dostępu.
Sieci i aktualizacje
Oddzielaj sieć gości, pracowników i urządzeń według ryzyka. IT dopuszcza potrzebną komunikację, planuje aktualizacje, kopię konfiguracji i wycofanie zmiany. Nie aktualizuj sam sterownika procesu podczas działania instalacji.
Podgląd a sterowanie
Podgląd obrazu nie musi dawać PTZ, eksportu nagrań lub konfiguracji. Operator ma określone obiekty i operacje. Nie testuj przekaźników i bram bez potwierdzenia, co uruchamiają i czy jest bezpiecznie. Zgłoszenie awarii nie jest zgodą na dowolne przełączenie.
Sprawdź w praktyce
Sprzęt ma opiekuna i ewidencję.
Zmieniono hasło fabryczne.
Serwis jest ograniczony, imienny i rejestrowany.
Sytuacja z pracy
Serwisant potrzebuje jednego rejestratora. Dostaje czasowy dostęp do obiektu, nie wspólne hasło całej sieci.
Źródła i dalsza lektura
ENISA — cyberhigiena
NCSC — ochrona przed ransomware
BHP w IT na LCPD: zasady i szybkie działania
W podręczniku BHP w IT
Wszystkie tematy i rozdziały
Poprzedni temat: Przyjęcie, zmiana stanowiska i odejście
Następny temat: Plan wdrożenia i codzienna checklista

Plan wdrożenia i codzienna checklista
Szkolenie ma pomóc w realnej sytuacji. Krótki quiz nie jest certyfikatem bezpieczeństwa.
LCPD / DATPOL · aktualizacja: 24.10.2026 · materiał do dopasowania do procedur organizacji.
Pierwszy tydzień
Ustal kanał zgłoszeń i zastępstwo, sprawdź krytyczne konta, MFA i miejsce kopii. Daj pięć zasad: blokuj ekran, sprawdzaj żądanie, nie podłączaj obcego USB, nie ujawniaj kodu, zgłaszaj szybko. Każda zasada powinna mieć osobę, która pomoże przy problemie.
Pierwszy miesiąc
Przećwicz zmianę rachunku, utratę telefonu, QR i błędnego odbiorcę. Scenariusze muszą być autoryzowane i bezpieczne, bez zbierania prawdziwych haseł. Omów reakcję i proces; nie publikuj rankingów ośmieszających pracowników.
Utrzymanie
Szkolenie powtarzaj przy przyjęciu, zmianie roli i ważnej zmianie systemu. Mierz czas zgłoszenia, pokrycie MFA, usuwanie starych dostępów i testy odtwarzania. Więcej zgłoszeń może oznaczać lepszą świadomość, nie pogorszenie bezpieczeństwa. Zbieraj tylko potrzebne dane o uczestnikach.
Sprawdź w praktyce
Start: aktualizacje, alerty i chroniony zapis.
Przed wysłaniem: odbiorca, załącznik i uprawnienia.
Odejście od biurka: blokada i dokumenty.
Koniec dnia: zapis pracy i zamknięcie zbędnych sesji.
Sytuacja z pracy
Szef prosi na czacie o pilny przelew. Właściwa reakcja to niezależne potwierdzenie i zwykła ścieżka akceptacji.
Źródła i dalsza lektura
NCSC — ochrona przed phishingiem
NCSC — podstawy bezpieczeństwa
BHP w IT na LCPD: zasady i szybkie działania
W podręczniku BHP w IT
Wszystkie tematy i rozdziały
Poprzedni temat: Kamery, drukarki, IoT, OT i serwis