Bezpieczeństwo IT jako element strategii biznesowej: Jak zbudować strategię cyberbezpieczeństwa, która realnie chroni ciągłość działania firmy?

Nowa norma cyfrowej rzeczywistości

Czy gdybyś wiedział, że zostaniesz zaatakowany, przygotowałbyś się do ataku? 

Jeszcze kilka lat temu cyberataki kojarzyły się przede wszystkim z dużymi organizacjami dysponującymi rozbudowaną infrastrukturą i cennymi zasobami danych. Dziś ryzyko dotyczy firm niezależnie od ich wielkości. Dlatego z perspektywy zarządów i liderów operacyjnych coraz mniej zasadne jest pytanie, czy organizacja zetknie się z incydentem bezpieczeństwa. Znacznie ważniejsze staje się to, czy będzie przygotowana, aby odpowiednio szybko go wykryć, ograniczyć jego skutki i przywrócić ciągłość działania. 

Cyberbezpieczeństwo przestało być więc wyłącznie technicznym obszarem pozostającym w gestii działu IT. Jest elementem zarządzania ryzykiem biznesowym – wpływa na ciągłość operacyjną, finanse, reputację firmy i jej zdolność do realizowania zobowiązań wobec klientów i partnerów.

Dlaczego cyberbezpieczeństwo jest ryzykiem biznesowym, a nie tylko problemem IT?

Działanie współczesnej organizacji jest w dużej mierze zależne od danych i systemów cyfrowych. Powstają one i są wykorzystywane praktycznie na każdym etapie działalności – w sprzedaży, obsłudze klientów, produkcji, logistyce czy zarządzaniu finansami. Utrata dostępu do nich, ich naruszenie lub przejęcie może więc bezpośrednio przełożyć się na możliwość prowadzenia biznesu. Skala problemu pokazuje, że nie jest to ryzyko ograniczone do określonej grupy przedsiębiorstw:

Jednocześnie inwestycje w bezpieczeństwo nadal konkurują z innymi potrzebami biznesowymi. 35% organizacji wskazuje zbyt niskie budżety, a 32% wysokie koszty wdrożeń jako bariery inwestycyjne. Odkładanie potrzebnych działań w czasie prowadzi jednak do narastania długu technologicznego i zwiększa skalę ryzyka, którym organizacja będzie musiała zarządzić w przyszłości. Dlatego decyzji dotyczących cyberbezpieczeństwa nie warto sprowadzać do pytania o koszt kolejnego zabezpieczenia. Istotniejsze jest to, jaki koszt może ponieść organizacja, jeśli kluczowy system, dane lub proces przestaną być dostępne.

Skutki skutecznego ataku mogą dotknąć firmę jednocześnie na kilku poziomach – od przestoju operacyjnego i utraconych przychodów, przez koszty odtworzenia infrastruktury, aż po konsekwencje prawne i reputacyjne.

Konsekwencje finansowe i prawne

Całkowity koszt incydentu (TCO) rzadko ogranicza się do samego ataku czy ewentualnego okupu. Trzeba uwzględnić również przestój operacyjny, dodatkową pracę zespołów IT, odtworzenie infrastruktury i danych, utracone przychody, a także potencjalne konsekwencje reputacyjne czy wzrost kosztów ubezpieczenia.

Do tego dochodzi ryzyko prawne i regulacyjne. Naruszenie bezpieczeństwa danych osobowych może skutkować konsekwencjami wynikającymi z RODO. Dyrektywa NIS2 i znowelizowana ustawa o Krajowym Systemie Cyberbezpieczeństwa dodatkowo  zwiększają wymagania wobec organizacji w zakresie zarządzania ryzykiem, reagowania na incydenty i odpowiedzialności osób zarządzających.

Dlatego cyberbezpieczeństwo nie sprowadza się do pytania, czy infrastruktura IT jest odpowiednio zabezpieczona. Z perspektywy biznesowej równie ważne jest to, jak długo organizacja może funkcjonować bez kluczowych systemów, danych lub procesów, jaki koszt wygeneruje ich niedostępność i jak szybko firma będzie w stanie wrócić do normalnego działania.

Kiedy organizacja powinna zbudować lub zrewidować strategię cyberbezpieczeństwa?

Strategia cyberbezpieczeństwa powinna powstać zanim organizacja stanie przed koniecznością reagowania na poważny incydent. Jej rolą jest przecież nie tylko ograniczanie prawdopodobieństwa ataku, ale także przygotowanie firmy na sytuację, w której część zabezpieczeń okaże się niewystarczająca. Nie oznacza to jednak, że raz przygotowana strategia może pozostać niezmienna przez kolejne lata. Poziom ryzyka zmienia się wraz z organizacją, technologią, otoczeniem regulacyjnym i wymaganiami partnerów biznesowych. Dlatego są sytuacje, które powinny uruchamiać jej ponowną ocenę. 

Gdy zmieniają się wymagania regulacyjne

Nowe regulacje, takie jak NIS2, oraz zmiany dotyczące Krajowego Systemu Cyberbezpieczeństwa mogą wpływać zarówno na zakres obowiązków organizacji, jak i wymagane środki zarządzania ryzykiem. To dobry moment, aby zweryfikować nie tylko formalną zgodność, ale również to, czy stosowane procedury i zabezpieczenia rzeczywiście odpowiadają aktualnym wymaganiom.

Przed ważnymi kontraktami i audytami partnerów

Poziom bezpieczeństwa coraz częściej podlega ocenie również w relacjach B2B. Duże organizacje i międzynarodowe przedsiębiorstwa weryfikują procedury, zabezpieczenia i sposób zarządzania ryzykiem u swoich dostawców oraz podwykonawców. Braki w tym obszarze mogą więc oznaczać nie tylko większą podatność na incydenty, ale również utrudniać udział w przetargach, przejście audytu lub rozpoczęcie współpracy z wymagającym klientem.

Gdy organizacja wdraża nowe technologie

Wdrożenie nowych systemów, migracja do chmury, zmiana modelu pracy czy szersze wykorzystanie nowych narzędzi mogą zmienić zarówno sposób dostępu do danych, jak i powierzchnię potencjalnego ataku. Każda większa zmiana technologiczna lub organizacyjna powinna więc pociągać za sobą ocenę, czy dotychczasowa strategia nadal odpowiada rzeczywistym ryzykom.

Dobrym przykładem jest rozwój narzędzi opartych na AI. Ich wykorzystanie może wiązać się z nowymi sposobami przetwarzania i udostępniania informacji, dlatego wymaga osobnego podejścia do zasad korzystania z danych i kontroli ryzyka. To jednak jeden z wielu przykładów pokazujących, że strategia bezpieczeństwa musi nadążać za sposobem, w jaki zmienia się organizacja.

Po incydencie, audycie lub wykryciu istotnych luk

Incydent bezpieczeństwa, negatywny wynik audytu, nieudany test odtworzenia danych czy wykrycie istotnych podatności powinny prowadzić nie tylko do usunięcia pojedynczego problemu, ale również do sprawdzenia, dlaczego obecne mechanizmy nie zadziałały wystarczająco dobrze. W takich sytuacjach warto zweryfikować, czy źródłem problemu była technologia, procedury, podział odpowiedzialności, czy sposób przygotowania pracowników.

Strategia cyberbezpieczeństwa nie jest więc dokumentem przygotowywanym raz i odkładanym na półkę. Powinna być regularnie weryfikowanym elementem zarządzania ryzykiem, aktualizowanym zawsze wtedy, gdy istotnie zmienia się organizacja lub jej otoczenie.

Kto powinien być zaangażowany w budowę strategii cyberbezpieczeństwa?

Cyberbezpieczeństwo nie jest wyłącznie odpowiedzialnością działu IT. Strategia dotyczy sposobu działania całej organizacji, dlatego jej przygotowanie wymaga połączenia perspektywy biznesowej, technologicznej i regulacyjnej. Każda z zaangażowanych grup wnosi przy tym inny rodzaj wiedzy i odpowiada za inne decyzje.

Zarząd: Rolą Zarządu jest określenie priorytetów, akceptowalnego poziomu ryzyka oraz zapewnienie zasobów potrzebnych do realizacji strategii. To na tym poziomie powinny zapadać decyzje dotyczące tego, które ryzyka organizacja jest gotowa zaakceptować, a które wymagają ograniczenia. Cyberbezpieczeństwo staje się więc elementem zarządzania biznesem, a nie wyłącznie domeną techniczną.

IT i zespoły odpowiedzialne za bezpieczeństwo: Ich zadaniem jest przełożenie priorytetów biznesowych na konkretne wymagania i środki ochrony. Identyfikują podatności, monitorują zagrożenia, oceniają stan zabezpieczeń i przygotowują organizację do wykrywania incydentów, reagowania na nie oraz przywracania działania.

Właściciele procesów biznesowych: To oni najlepiej wiedzą, które procesy, systemy i dane są rzeczywiście krytyczne dla funkcjonowania organizacji. Ich udział pozwala ocenić nie tylko prawdopodobieństwo danego ryzyka, ale przede wszystkim jego potencjalny wpływ na działalność firmy – np. obsługę klientów, sprzedaż, produkcję czy realizację zobowiązań.

Obszary prawne i compliance: Pomagają określić obowiązki wynikające z regulacji, wymagania dotyczące ochrony i przetwarzania danych, zasady raportowania incydentów oraz zakres odpowiedzialności organizacji i osób nią zarządzających. 

Pracownicy: Nie uczestniczą bezpośrednio w projektowaniu strategii, ale jej skuteczność w dużej mierze zależy od ich codziennych zachowań. Dlatego przyjęte zasady i zabezpieczenia powinny uwzględniać sposób, w jaki ludzie rzeczywiście korzystają z danych, systemów i narzędzi – oraz to, czy wiedzą, jak reagować w przypadku podejrzanej sytuacji.

Dobra strategia cyberbezpieczeństwa powstaje więc na styku kilku perspektyw. IT może wskazać podatność, ale to biznes określa, jak poważne będą jej konsekwencje. Zarząd z kolei decyduje, jaki poziom ryzyka organizacja jest gotowa zaakceptować i gdzie potrzebna jest inwestycja. Dopiero połączenie tych informacji pozwala ustalić właściwe priorytety.

Jak zbudować strategię cyberbezpieczeństwa?

Skuteczna strategia cyberbezpieczeństwa nie powinna zaczynać się od wyboru konkretnych technologii. Najpierw trzeba ustalić, co organizacja chce chronić, przed jakimi ryzykami i jak poważne byłyby ich konsekwencje dla biznesu. Dopiero na tej podstawie można określić priorytety, dobrać odpowiednie zabezpieczenia i przygotować organizację do działania w przypadku incydentu. 

Punktem odniesienia mogą być uznane standardy, takie jak NIST Cybersecurity Framework, który ujmuje cyberbezpieczeństwo jako ciągły proces obejmujący zarządzanie ryzykiem, identyfikację zasobów, ochronę, wykrywanie zagrożeń, reagowanie i odtwarzanie działania. W praktyce można przełożyć tę logikę na kilka podstawowych kroków.

Krok 1. Zidentyfikuj ryzyka i kluczowe zasoby 

Pierwszym krokiem nie jest pytanie „jakich zabezpieczeń nam brakuje?”, ale „bez czego nasza organizacja nie będzie w stanie działać?”. Warto w tym miejscu:

• zidentyfikować kluczowe procesy, dane i systemy – szczególnie te, których niedostępność bezpośrednio wpłynęłaby na sprzedaż, obsługę klientów, produkcję czy inne podstawowe obszary działalności; 

• określić konsekwencje ich utraty lub niedostępności – w tym możliwy przestój, utracone przychody, kary umowne czy dodatkowe koszty operacyjne; 

• zweryfikować wymagania prawne i kontraktowe – sprawdzić, czy organizacja podlega regulacjom takim jak NIS2, UKSC czy DORA oraz jakie wymagania stawiają jej klienci i partnerzy; 

• ocenić obecny poziom zabezpieczeń i podatności – np. poprzez audyty bezpieczeństwa, analizę konfiguracji czy testy penetracyjne.

Dzięki temu inwestycje w bezpieczeństwo można ustalać na podstawie rzeczywistego wpływu ryzyka na biznes, a nie wyłącznie listy technicznych luk.

Krok 2.  Dobierz zabezpieczenia do znaczenia chronionych zasobów 

Nie każdy system i każda informacja wymagają identycznego poziomu ochrony. Środki bezpieczeństwa powinny odpowiadać znaczeniu danego zasobu oraz skutkom jego utraty. 

Do podstawowych mechanizmów należą m.in. uwierzytelnianie wieloskładnikowe (MFA), odpowiednie zarządzanie dostępem czy tworzenie kopii zapasowych kluczowych danych. Istotne jest jednak nie samo wdrożenie kolejnego narzędzia, ale odpowiedź na pytanie, czy ogranicza ono jedno z wcześniej zidentyfikowanych ryzyk do poziomu akceptowalnego dla organizacji. 

W przypadku kopii zapasowych oznacza to na przykład nie tylko ich regularne wykonywanie, lecz także przechowywanie ich w sposób chroniący przed skutkami ataku na główną infrastrukturę oraz możliwość rzeczywistego odtworzenia danych.  

• Uwierzytelnianie wieloskładnikowe (MFA): dla kont służbowych, poczty, VPN, systemów CRM/ERP i aplikacji chmurowych. 

• Kopie zapasowe: regularne backupy kluczowych danych, przechowywane w sposób pozwalający na ich odtworzenie również w przypadku skutecznego ataku na główną infrastrukturę.

Krok 3.  Uwzględnij ludzi i sposób, w jaki naprawdę pracują 

Nawet dobrze zaprojektowane zabezpieczenia techniczne nie wyeliminują ryzyka wynikającego z codziennych zachowań użytkowników. Dlatego strategia powinna obejmować również przygotowanie pracowników do rozpoznawania zagrożeń i właściwego reagowania. W praktyce oznacza to: 

• szkolenia odnoszące się do realnych sytuacji, z którymi pracownicy mogą spotkać się podczas codziennej pracy; 

• jasny sposób zgłaszania incydentów i błędów, tak aby pracownik wiedział, gdzie zwrócić się po pomoc i nie obawiał się poinformować o pomyłce; 

• regularne sprawdzanie skuteczności działań edukacyjnych, np. poprzez kontrolowane testy socjotechniczne. 

Celem nie jest stworzenie organizacji, w której nikt nigdy nie popełnia błędu. Ważniejsze jest, aby błąd został możliwie szybko zauważony i zgłoszony, zanim jego konsekwencje zaczną się rozprzestrzeniać. 

• Kontrolowane testy socjotechniczne: symulowane kampanie phishingowe pozwalają mierzyć odporność zespołu i skuteczność działań edukacyjnych.

Krok 4. Zadbaj o detekcję i reakcję – przygotuj organizację do wykrycia incydentu i reakcji.

Żadne zabezpieczenie nie daje stuprocentowej gwarancji ochrony. Dlatego dojrzała strategia musi odpowiadać również na dwa pytania: jak szybko organizacja zauważy, że doszło do incydentu, oraz co wydarzy się później? 

Monitoring i rozwiązania takie jak EDR/XDR czy usługi SOC mogą pomóc identyfikować podejrzaną aktywność i ograniczać czas, przez jaki zagrożenie pozostaje niewykryte. Z perspektywy biznesowej równie istotny jest jednak Plan Reagowania na Incydenty: jasny podział odpowiedzialności, sposób eskalacji oraz przygotowane scenariusze działania np. w przypadku ransomware, wycieku danych czy przejęcia konta. 

W momencie kryzysu organizacja nie powinna dopiero ustalać, kto ma podjąć decyzję, kogo poinformować i które działania są priorytetowe. 

Krok 5.  Zaplanuj powrót do działania 

Zatrzymanie ataku nie oznacza jeszcze zakończenia incydentu. Dla biznesu kluczowe jest to, jak szybko można odtworzyć najważniejsze procesy i wrócić do normalnego funkcjonowania. Strategia powinna więc określać m.in.: 

• które procesy i systemy należy przywrócić w pierwszej kolejności, 

• w jakim czasie powinno to nastąpić, 

• z jakich danych i kopii zapasowych można skorzystać, 

• kto odpowiada za poszczególne działania, 

• jak często procedury odtwarzania są testowane. 

Procedury Disaster Recovery oraz regularne testy przywracania danych pozwalają sprawdzić tę gotowość jeszcze zanim organizacja będzie musiała wykorzystać ją w rzeczywistej sytuacji.

Jak mierzyć, czy strategia działa? 

Samo wdrożenie polityk, procedur czy narzędzi nie oznacza jeszcze, że organizacja stała się bardziej odporna na incydenty. Skuteczność strategii powinna być regularnie oceniana na podstawie wskaźników, które pokazują nie tylko poziom zabezpieczeń, ale przede wszystkim zdolność firmy do wykrycia zagrożenia, reakcji i odtworzenia działania. W zależności od specyfiki organizacji warto monitorować m.in.: 

• czas wykrycia incydentu – jak szybko organizacja identyfikuje, że doszło do naruszenia; 

• czas reakcji i ograniczenia zagrożenia – ile czasu zajmuje podjęcie działań, które zatrzymują lub ograniczają skutki incydentu; 

• czas odtworzenia krytycznych procesów – jak szybko firma może wrócić do działania po awarii lub ataku; 

• wyniki testów kopii zapasowych i procedur odtwarzania – czy dane rzeczywiście można odzyskać i czy odbywa się to w założonym czasie; 

• wyniki testów socjotechnicznych i szkoleń – czy zmniejsza się podatność pracowników na najczęstsze zagrożenia; 

• charakter i sposób zgłaszania incydentów – nie tylko ile ich występuje, ale czy są odpowiednio szybko wykrywane, eskalowane i analizowane; 

• stopień realizacji zaleceń wynikających z audytów i analiz ryzyka – czy zidentyfikowane wcześniej luki są faktycznie usuwane w ustalonym terminie. 

Ważne jest przy tym, aby nie oceniać pojedynczego wskaźnika w oderwaniu od kontekstu. Na przykład większa liczba zgłoszonych incydentów nie musi oznaczać pogorszenia bezpieczeństwa – może być efektem większej świadomości pracowników i lepiej działającego procesu raportowania. 

Z perspektywy Zarządu celem nie jest więc śledzenie technicznych parametrów dla samych parametrów. Chodzi o odpowiedź na znacznie prostsze pytanie: czy organizacja z czasem szybciej zauważa zagrożenia, sprawniej ogranicza ich skutki i krócej pozostaje w stanie zakłócenia?

Co daje organizacji dojrzała strategia cyberbezpieczeństwa? 

Dojrzała strategia cyberbezpieczeństwa nie eliminuje ryzyka ani nie daje gwarancji, że do incydentu nie dojdzie. Pozwala jednak zmniejszyć prawdopodobieństwo jego wystąpienia, ograniczyć skalę potencjalnych skutków i przygotować organizację do szybszego powrotu do normalnego działania. 

Większa ciągłość operacyjna 

Przetestowane kopie zapasowe, procedury Disaster Recovery oraz przygotowany plan reagowania pozwalają szybciej odtworzyć kluczowe procesy po incydencie. Dla biznesu oznacza to krótszy przestój, mniejsze zakłócenia w obsłudze klientów i ograniczenie strat wynikających z niedostępności systemów czy danych. 

Łatwiejsze spełnianie wymagań klientów i partnerów 

Poziom bezpieczeństwa coraz częściej podlega ocenie przed rozpoczęciem lub rozszerzeniem współpracy B2B. Udokumentowane procedury, jasno określone odpowiedzialności i zdolność do zarządzania ryzykiem ułatwiają przechodzenie audytów bezpieczeństwa oraz odpowiadanie na wymagania stawiane dostawcom i podwykonawcom. 

 Szybsze wykrywanie incydentów i ograniczanie ich skutków 

Odpowiedni monitoring i przygotowane scenariusze reakcji skracają czas między pojawieniem się zagrożenia a podjęciem działań. Im wcześniej organizacja wykryje incydent i ograniczy jego zasięg, tym mniejsze jest ryzyko, że pojedyncze zdarzenie przerodzi się w poważne zakłócenie działalności. 

Mniejsze ryzyko związane z błędami pracowników 

Regularne szkolenia, testy socjotechniczne i dobrze działający proces zgłaszania incydentów pomagają ograniczać ryzyko wynikające z codziennych zachowań użytkowników. Jednocześnie zwiększają szansę, że potencjalny problem zostanie szybko zauważony i zgłoszony, zanim jego skutki staną się poważniejsze. 

Bardziej świadome i przewidywalne inwestycje w bezpieczeństwo 

Regularna ocena ryzyka pozwala odejść od reaktywnego „gaszenia pożarów” na rzecz planowania działań według rzeczywistych priorytetów biznesowych. Dzięki temu organizacja może stopniowo ograniczać dług technologiczny i podejmować decyzje inwestycyjne w oparciu o znaczenie chronionych zasobów oraz potencjalne konsekwencje ich utraty. 

Dojrzałość w cyberbezpieczeństwie nie polega więc na posiadaniu jak największej liczby narzędzi. Jej miarą jest zdolność organizacji do świadomego zarządzania ryzykiem – tak, aby incydent nie przerodził się w kryzys zagrażający ciągłości biznesu.

Sprawdź swoją firmę – pytania dla Zarządu 

Dobrym punktem wyjścia do oceny dojrzałości strategii cyberbezpieczeństwa jest sprawdzenie, czy organizacja potrafi jednoznacznie odpowiedzieć na kilka podstawowych pytań: 

• Które procesy, dane i systemy są krytyczne dla ciągłości działania firmy? Czy wiadomo również, kto odpowiada za nie po stronie biznesowej i technologicznej? 

• Jak długo możemy funkcjonować bez tych zasobów? W którym momencie ich niedostępność zacznie powodować nieakceptowalne straty operacyjne, finansowe lub wizerunkowe? 

• Jakie scenariusze cyberzagrożeń stanowią dziś największe ryzyko dla naszej działalności? Czy wiemy, które z nich wymagają pilnego ograniczenia, a które organizacja świadomie akceptuje? 

• Czy znamy wymagania prawne i kontraktowe dotyczące bezpieczeństwa? Czy potrafimy wykazać ich spełnienie podczas audytu klienta, partnera lub regulatora? 

• Czy wiadomo, kto podejmuje decyzje w przypadku poważnego incydentu? Czy role, odpowiedzialności i sposób eskalacji są określone jeszcze przed wystąpieniem kryzysu? 

• Kiedy ostatnio sprawdzaliśmy, czy potrafimy rzeczywiście odtworzyć działanie po awarii lub cyberataku? Nie tylko czy posiadamy kopie zapasowe i procedury, ale czy zostały one przetestowane w praktyce. 

• Czy Zarząd regularnie otrzymuje informacje pozwalające ocenić poziom cyberodporności organizacji? Czy na ich podstawie można stwierdzić, czy ryzyko maleje, a zdolność do wykrywania incydentów, reagowania i odtwarzania działania się poprawia? 

Jeśli na kilka z tych pytań trudno dziś udzielić jednoznacznej odpowiedzi, nie musi to oznaczać konieczności natychmiastowej wymiany technologii czy wdrażania kolejnych narzędzi. Jest natomiast wyraźnym sygnałem, że warto uporządkować obecny obraz ryzyka, zweryfikować priorytety i sprawdzić, czy strategia odpowiada rzeczywistym potrzebom organizacji.

Podsumowanie 

Skuteczna strategia cyberbezpieczeństwa nie zaczyna się od wyboru kolejnych technologii. Jej punktem wyjścia jest zrozumienie, które procesy, dane i systemy są krytyczne dla działania organizacji, jakie ryzyka mogą im zagrozić oraz jakie konsekwencje biznes jest w stanie zaakceptować. 

Dlatego cyberbezpieczeństwo nie powinno pozostawać wyłącznie odpowiedzialnością działu IT. Rolą Zarządu jest określenie priorytetów, akceptowalnego poziomu ryzyka i zasobów potrzebnych do jego ograniczania, a następnie regularne sprawdzanie, czy organizacja rzeczywiście staje się bardziej odporna – szybciej wykrywa zagrożenia, sprawniej reaguje i potrafi odtworzyć kluczowe procesy. 

Pierwszym krokiem nie musi być więc zakup nowego rozwiązania. Znacznie ważniejsze jest rzetelne rozpoznanie stanu obecnego: najważniejszych ryzyk, zależności między procesami i systemami, istniejących zabezpieczeń oraz gotowości do działania w przypadku incydentu. Dopiero na tej podstawie można świadomie zdecydować, gdzie potrzebne są zmiany i które z nich powinny otrzymać najwyższy priorytet. 

Dojrzałość w cyberbezpieczeństwie nie polega na tym, że organizacja zakłada brak incydentów. Polega na tym, że wie, co chroni, dlaczego to chroni i jak zareaguje, gdy mimo zabezpieczeń coś pójdzie niezgodnie z planem.

Źródła

Cyberportret polskiego biznesu 2026 – Raport – Cyberbezpieczeństwo firm w obliczu nowych wyzwań – Eset, Dagma Bezpieczeństwo IT – 2026