Cyberbezpieczeństwo w NGO
W świecie organizacji pozarządowych cyberbezpieczeństwo nie jest jedynie domeną działu IT – to fundament etyki naszej pracy. Jako NGO zarządzamy danymi wrażliwymi beneficjentów, informacjami finansowymi darczyńców oraz strategiami, które decydują o skuteczności naszej pomocy. Wyciek tych danych to nie tylko naruszenie przepisów RODO, ale przede wszystkim realne zagrożenie dla osób, które nam zaufały.
1. Architektura Cyfrowej Tożsamości: Hasła i Dostęp
Tradycyjne myślenie o haśle jako o „słowie” jest dziś największym błędem. Współczesne ataki typu credential stuffing polegają na automatycznym sprawdzaniu miliardów haseł, które wyciekły z innych serwisów.
Metoda Fraz Hasłowych (Passphrases) – Dlaczego 16 znaków?
Siła hasła nie wynika z jego skomplikowania (duże litery, cyfry), ale z jego entropii – czyli nieprzewidywalności długiego ciągu znaków.
Matematyka bezpieczeństwa: Złamanie 8-znakowego hasła z cyframi zajmuje hakerowi minuty. Złamanie 16-znakowej frazy składającej się z prostych słów (np.
ZielonyFotografPijeSokZMalin2026!) zajęłoby setki lat.Rekomendacja: Buduj hasła, które są „filmem w Twojej głowie” – łatwe do wyobrażenia, ale niemożliwe do odgadnięcia przez algorytm.
Menedżer haseł (KeePass/Bitwarden) jako standard sektorowy
Używanie tej samej kombinacji login/hasło w wielu miejscach to „efekt domina”. Jeśli wycieknie Twoje hasło ze sklepu z karmą dla psów, haker natychmiast sprawdzi je w Gmailu i systemach bankowych.
Sejf zaszyfrowany: Menedżery haseł przechowują dane w bazie szyfrowanej algorytmem AES-256. Ty pamiętasz tylko jedno „Hasło Matkę”.
Generator haseł: Pozwól programowi tworzyć hasła typu
xK9!pL2#vR8_zQ1, których nie musisz znać na pamięć. Program sam wpisze je w odpowiednie pola (funkcja Auto-Type).
Multi-Factor Authentication (MFA/2FA) – Druga linia obrony
Hasło to tylko jeden czynnik („coś, co wiesz”). Weryfikacja dwuetapowa dodaje drugi czynnik („coś, co masz”).
Klucze sprzętowe (YubiKey): To złoty standard. Nawet jeśli haker ma Twoje hasło, nie wejdzie na konto bez fizycznego włożenia klucza do portu USB Twojego komputera.
Aplikacje Authenticator: Są bezpieczniejsze niż SMS-y, ponieważ kody generowane są lokalnie na Twoim urządzeniu i nie można ich przejąć poprzez „duplikację karty SIM”.
2. Inżynieria Społeczna: Anatomia Manipulacji
Hakerzy rzadko włamują się „przez ścianę”. Zazwyczaj po prostu pukają do drzwi, a my sami im je otwieramy.
Zaawansowany Phishing i Typosquatting
Przestępcy tworzą strony niemal identyczne z oryginałem.
Typosquatting: Zamiast oficjalnej domeny Twojego NGO możesz otrzymać maila z łudząco podobnego adresu (np. końcówka .co zamiast .pl). Na pierwszy rzut oka wyglądają poprawnie, ale służą do kradzieży poświadczeń.
Zasada „Zero Trust”: Nigdy nie klikaj w linki bezpośrednio w mailu, jeśli dotyczą logowania lub płatności. Zawsze wpisuj adres strony ręcznie w przeglądarce.
Atak BEC (Business Email Compromise) – Pułapka na lojalność
Scenariusz: Dostajesz maila od Dyrektora: „Jestem na ważnym spotkaniu, pilnie potrzebuję skanów dowodów wszystkich wolontariuszy z projektu X. Wyślij natychmiast na ten adres”.
Mechanizm: Haker wykorzystuje Twój autorytet i poczucie obowiązku wobec organizacji.
Obrona: Każda nietypowa prośba o dane wrażliwe lub przelew musi zostać zweryfikowana innym kanałem (np. telefon lub krótka wiadomość na Slacku/Signal).
3. Higiena Pracy z Danymi Osobowymi (RODO)
Jako pracownicy NGO jesteśmy administratorami danych. Każdy dokument z PESEL-em to odpowiedzialność prawna i moralna.
Bezpieczne udostępnianie w Google Workspace
Dostęp wygasający: Jeśli udostępniasz plik zewnętrznemu audytorowi, ustaw datę wygaśnięcia dostępu (np. na 7 dni).
Blokada pobierania: Przy plikach tylko do odczytu zablokuj opcję pobierania i drukowania, aby dane nie wyciekły poza ekosystem chmury Twojego NGO.
Szyfrowanie archiwów (Standard 7-Zip)
Wysyłanie bazy danych w otwartym pliku Excel to jak wysłanie pocztówki – każdy pośrednik może ją przeczytać.
Pakuj plik do formatu .7z lub .zip.
Ustaw silne hasło (minimum 12 znaków).
Zasada separacji kanałów: Plik leci mailem, hasło leci SMS-em lub komunikatorem Signal. Nigdy nie łącz ich w jednej wiadomości!
4. Bezpieczeństwo Fizyczne i „Czyste Biurko”
Bezpieczeństwo cyfrowe jest bezużyteczne, jeśli każdy może podejść do Twojego komputera lub podnieść dokument z drukarki.
Skrót Win + L (Windows) / Cmd + Ctrl + Q (Mac): Blokuj komputer nawet jeśli idziesz tylko do kuchni po wodę. To 1 sekunda, która chroni godziny Twojej pracy.
Zarządzanie wydrukiem: Drukarki sieciowe są często „cmentarzyskiem danych”. Nie zostawiaj umów na tacy drukarki. Wykorzystaj funkcję „wydruku poufnego” (kod PIN wpisywany na urządzeniu przed startem drukowania).
Niszczenie dokumentów: Każdy papier, na którym widnieje choćby nazwisko darczyńcy, musi trafić do niszczarki o standardzie P-4 (mikrościnki). Nigdy do zwykłego kosza!
5. Praca Mobilna i Zdalna: Biuro w Kieszeni
Praca z kawiarni czy pociągu to największe ryzyko „podsłuchania” transmisji danych.
Hotspot osobisty vs Publiczne Wi-Fi: Publiczne sieci (lotniska, hotele) są idealnym miejscem dla ataków Man-in-the-Middle. Używaj wyłącznie własnego internetu z telefonu (LTE/5G).
Filtry prywatyzujące: Jeśli pracujesz nad budżetem organizacji w pociągu, osoba siedząca obok widzi wszystko. Filtr prywatyzujący na ekranie sprawia, że treść jest widoczna tylko dla Ciebie pod kątem prostym.
Zalecenie dla smartfonów: Skonfiguruj usługę „Znajdź mój telefon/komputer”. W przypadku kradzieży sprzętu służbowego, musisz mieć możliwość zdalnego usunięcia wszystkich danych, zanim złodziej złamie blokadę ekranu.
Procedura „Czerwony Guzik” – Reagowanie na Incydenty
Panika to największy sojusznik hakera. Jeśli popełnisz błąd, działaj według schematu:
Izolacja: Wyłącz internet (Wi-Fi/Kabel). Nie wyłączaj komputera (informatyk może potrzebować danych z pamięci RAM do analizy).
Komunikacja: Natychmiast zgłoś zdarzenie do administratora sieci lub osoby odpowiedzialnej za IT. Pamiętaj: Zgłoszenie błędu to przejaw profesjonalizmu, a nie powód do wstydu.
Dokumentacja: Zapisz, co się stało (jaki link kliknąłeś, jakie hasło wpisałeś). To kluczowe dla ewentualnego zgłoszenia incydentu do UODO (Urząd Ochrony Danych Osobowych).
Bezpieczeństwo NGO to nasza wspólna odpowiedzialność. Każdy zablokowany ekran i każda zweryfikowana prośba o dane to krok w stronę bezpieczniejszego sektora pozarządowego w Polsce.
