Nowa rekomendacja KSC: MFA i bezpieczny dostęp zdalny
KSC • MFA • dostęp zdalny • konta uprzywilejowane • cyberbezpieczeństwo
Nowa rekomendacja Pełnomocnika Rządu ds. Cyberbezpieczeństwa. MFA i bezpieczny dostęp zdalny stają się priorytetem
Rekomendacja nr 2026-67a-9 wskazuje podstawowe środki organizacyjne i techniczne, które mają zwiększać bezpieczeństwo systemów informacyjnych podmiotów krajowego systemu cyberbezpieczeństwa. Szczególne miejsce zajmują w niej uwierzytelnianie wieloskładnikowe, ochrona kont uprzywilejowanych oraz ograniczenie zdalnego dostępu administracyjnego.
16 października 2026 roku Ministerstwo Cyfryzacji opublikowało komunikat dotyczący Rekomendacji Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa nr 2026-67a-9. Dokument został wydany 15 października 2026 roku przez Krzysztofa Gawkowskiego i dotyczy środków organizacyjnych oraz technicznych służących zwiększaniu poziomu bezpieczeństwa systemów informacyjnych podmiotów krajowego systemu cyberbezpieczeństwa.
Rekomendacja porządkuje najważniejsze obszary, które powinny zostać uwzględnione podczas budowania, utrzymywania i doskonalenia systemu zarządzania cyberbezpieczeństwem. Obejmuje między innymi zarządzanie ryzykiem, ochronę tożsamości, inwentaryzację aktywów, aktualizacje, kopie zapasowe, monitorowanie zdarzeń, reagowanie na incydenty oraz edukację pracowników.
W dokumencie znalazł się również osobny punkt 2.3 „Uwierzytelnianie wieloskładnikowe i dostęp zdalny”. Wskazuje on, gdzie powinno być stosowane MFA i w jaki sposób należy ograniczać administracyjny dostęp do urządzeń, systemów oraz serwerów.
Najważniejszy wniosek:
Samo ustawienie silnego hasła nie jest już wystarczającą ochroną dla najważniejszych dróg dostępu do infrastruktury organizacji. Rekomendacja wskazuje na obowiązkowe stosowanie MFA między innymi dla dostępu zdalnego, poczty elektronicznej, systemów krytycznych i kont uprzywilejowanych.
📄 Czym jest Rekomendacja nr 2026-67a-9?
Dokument został wydany na podstawie art. 67a ustawy z 5 lipca 2018 roku o krajowym systemie cyberbezpieczeństwa. Jego celem jest podniesienie poziomu bezpieczeństwa systemów informacyjnych podmiotów KSC poprzez stosowanie odpowiednich środków organizacyjnych i technicznych.
Ministerstwo Cyfryzacji wskazuje, że systemy informacyjne podmiotów krajowego systemu cyberbezpieczeństwa są fundamentem ciągłości działania państwa, gospodarki oraz usług świadczonych obywatelom. Według komunikatu rekomendowane działania dotyczą systemu obejmującego już ponad 70 tysięcy podmiotów kluczowych i ważnych.
Rekomendacja jest punktem wyjścia, a nie gotowym wdrożeniem
Dokument określa podstawowy katalog dobrych praktyk. Konkretne środki powinny zostać dopasowane do rodzaju działalności organizacji, znaczenia świadczonych usług, wykorzystywanej infrastruktury, skali działania oraz wyników indywidualnej analizy ryzyka.
⚠️ Rekomendacja nie zastępuje przepisów prawa
Dokument ma charakter pomocniczy i wspiera realizację obowiązków wynikających z ustawy o KSC. Nie zastępuje jednak obowiązków określonych w przepisach ani indywidualnej oceny ryzyka, którą powinien przeprowadzić każdy podmiot.
🧭 Jakie obszary obejmuje rekomendacja?
Rekomendacja nie ogranicza się do pojedynczego produktu lub zabezpieczenia. Przedstawia kompleksowe podejście do cyberbezpieczeństwa, łączące procesy organizacyjne, odpowiedzialność kierownictwa, zabezpieczenia techniczne oraz przygotowanie pracowników.
Najważniejsze obszary wskazane w dokumencie:
- systematyczne i udokumentowane zarządzanie ryzykiem cyberbezpieczeństwa,
- utrzymywanie aktualnych polityk oraz procedur bezpieczeństwa,
- aktywne zaangażowanie kierownictwa i przypisanie odpowiedzialności,
- pełna inwentaryzacja aktywów ICT i OT,
- zarządzanie tożsamością zgodnie z zasadą minimalnych uprawnień,
- stosowanie MFA oraz bezpiecznego dostępu zdalnego,
- zarządzanie podatnościami i aktualizacjami,
- szyfrowanie danych przesyłanych i przechowywanych,
- bezpieczeństwo fizyczne infrastruktury,
- tworzenie i testowanie kopii zapasowych zgodnie z zasadą 3-2-1,
- zarządzanie ryzykiem dostawców produktów i usług ICT,
- centralizacja oraz analiza logów bezpieczeństwa,
- reagowanie na incydenty i współpraca z właściwym CSIRT,
- stałe szkolenia, ćwiczenia i kampanie phishingowe,
- okresowe audyty i ciągłe doskonalenie zabezpieczeń.
Takie podejście pokazuje, że MFA nie jest samodzielnym rozwiązaniem wszystkich problemów bezpieczeństwa. Jest jednak jednym z najważniejszych elementów kontroli dostępu i powinno działać razem z inwentaryzacją zasobów, właściwym zarządzaniem uprawnieniami, monitoringiem oraz procedurami reagowania.
🔐 Punkt 2.3: gdzie rekomendowane jest MFA?
Celem uwierzytelniania wieloskładnikowego jest ograniczenie ryzyka nieuprawnionego dostępu do systemów i zasobów organizacji. MFA wymaga potwierdzenia tożsamości za pomocą co najmniej dwóch niezależnych składników.
| Obszar dostępu | Dlaczego wymaga szczególnej ochrony? | Oczekiwane zabezpieczenie |
|---|---|---|
| Dostęp zdalny | Umożliwia łączenie się z zasobami organizacji spoza jej kontrolowanej sieci. | Obowiązkowe MFA dla użytkowników korzystających ze zdalnego dostępu. |
| Poczta elektroniczna | Przejęta skrzynka może służyć do phishingu, resetowania haseł, podszywania się i wyłudzania płatności. | MFA dla wszystkich kont pocztowych, a szczególnie osób zarządzających i posiadających dostęp do informacji wrażliwych. |
| Systemy krytyczne | Ich niedostępność lub przejęcie może zakłócić podstawową działalność albo świadczone usługi. | MFA przy logowaniu oraz kontrola przyznanych uprawnień. |
| Konta uprzywilejowane | Pozwalają zmieniać konfigurację, tworzyć konta, zarządzać zabezpieczeniami i uzyskiwać dostęp do wielu systemów. | MFA, ewidencja, monitoring oraz ograniczenie użycia do zadań administracyjnych. |
| Dostęp administracyjny | Bezpośrednio wystawiony panel administracyjny może stać się celem automatycznych skanów i prób przejęcia. | Dostęp wyłącznie przez bezpieczne połączenie VPN zabezpieczone MFA. |
To bardzo konkretny katalog zastosowań. Organizacja nie powinna więc kończyć wdrożenia MFA na jednym systemie, na przykład poczcie, pozostawiając bez dodatkowej ochrony VPN, panele administracyjne, zdalny pulpit, systemy finansowe, usługi chmurowe lub konta administratorów.
🪪 Jak działa uwierzytelnianie wieloskładnikowe?
W klasycznym logowaniu użytkownik potwierdza swoją tożsamość za pomocą hasła. Jeżeli hasło zostanie wykradzione w wyniku phishingu, złośliwego oprogramowania, wycieku danych lub ponownego użycia tego samego hasła w wielu usługach, napastnik może zalogować się jako legalny użytkownik.
Uwierzytelnianie wieloskładnikowe ogranicza to ryzyko, ponieważ oprócz hasła wymaga dodatkowego potwierdzenia opartego na innym rodzaju składnika.
| Rodzaj składnika | Co oznacza? | Przykłady |
|---|---|---|
| Coś, co użytkownik wie | Informacja znana użytkownikowi. | Hasło, PIN. |
| Coś, co użytkownik ma | Urządzenie lub fizyczny token pozostający w posiadaniu użytkownika. | Aplikacja uwierzytelniająca, klucz sprzętowy, token. |
| Coś, czym użytkownik jest | Cecha biometryczna używana do potwierdzenia tożsamości. | Odcisk palca, rozpoznanie twarzy. |
Dwa hasła nie tworzą MFA.
Aby mechanizm był wieloskładnikowy, powinien łączyć składniki należące do różnych kategorii. Hasło i odpowiedź na pytanie zabezpieczające nadal są dwoma elementami opartymi na wiedzy użytkownika.
🌐 Dostęp administracyjny wyłącznie przez VPN zabezpieczony MFA
Rekomendacja wskazuje na konieczność wyłączenia bezpośredniego dostępu administracyjnego do urządzeń i serwerów z publicznej sieci Internet. Oznacza to, że panele administracyjne, usługi zdalnego pulpitu, interfejsy zarządzania oraz inne uprzywilejowane drogi dostępu nie powinny być bezpośrednio wystawione do internetu.
Administracja powinna odbywać się wyłącznie przez bezpieczne połączenia VPN zabezpieczone MFA. Dzięki temu organizacja tworzy dodatkową warstwę kontroli przed dopuszczeniem użytkownika do wewnętrznych zasobów.
Bezpieczna ścieżka dostępu administracyjnego
Administrator → zweryfikowane urządzenie → VPN chroniony MFA → kontrolowany dostęp do odpowiedniego zasobu → rejestrowanie zdarzeń administracyjnych.
Takie podejście zmniejsza powierzchnię ataku, ale samo uruchomienie VPN nie kończy pracy. Należy również kontrolować, kto posiada dostęp, z jakiego urządzenia może się łączyć, do których systemów jest dopuszczony oraz czy jego działania są rejestrowane i analizowane.
Więcej informacji o ochronie tego obszaru można znaleźć w materiale dotyczącym MFA dla oprogramowania do dostępu zdalnego.
👑 Konta uprzywilejowane pod szczególnym nadzorem
Konta uprzywilejowane mają znacznie większe możliwości niż zwykłe konta użytkowników. Pozwalają zarządzać konfiguracją, kontami, zabezpieczeniami, serwerami, bazami danych oraz urządzeniami sieciowymi. Przejęcie takiego konta może umożliwić napastnikowi przejęcie kontroli nad dużą częścią środowiska.
Rekomendacja wskazuje nie tylko na stosowanie MFA, ale również na prowadzenie ewidencji i monitorowanie kont uprzywilejowanych.
Organizacja powinna wiedzieć:
- jakie konta uprzywilejowane istnieją w środowisku,
- do kogo należą i kto zatwierdził ich utworzenie,
- do jakich systemów zapewniają dostęp,
- kiedy były ostatnio używane,
- czy nadal są potrzebne,
- czy ich użycie jest rejestrowane i monitorowane,
- czy administrator korzysta z osobnego konta do codziennej pracy,
- czy uprawnienia są odbierane niezwłocznie po zmianie stanowiska lub zakończeniu współpracy.
Warto powiązać te działania z zasadą minimalnych uprawnień. Użytkownik i aplikacja powinni mieć wyłącznie te uprawnienia, które są niezbędne do wykonywania określonych zadań. Dostęp administracyjny nie powinien być przyznawany na zapas ani wykorzystywany do zwykłego przeglądania poczty czy internetu.
📧 Dlaczego rekomendacja wymienia pocztę elektroniczną?
Poczta jest jednym z najczęściej wykorzystywanych punktów wejścia do organizacji. Przejęcie skrzynki może umożliwić odczytywanie poufnej korespondencji, wysyłanie wiadomości w imieniu pracownika, resetowanie haseł w innych usługach oraz prowadzenie wiarygodnych ataków na klientów, dostawców i współpracowników.
Szczególnie niebezpieczne są przejęcia kont kierownictwa, księgowości, administracji, działów HR, zakupów i IT. Wiadomość wysłana z prawdziwej skrzynki jest znacznie trudniejsza do rozpoznania niż klasyczny phishing pochodzący z obcej domeny.
MFA chroni konto również wtedy, gdy hasło zostało ujawnione
Znajomość loginu i hasła nie powinna wystarczyć do zalogowania się z nowego urządzenia lub nietypowej lokalizacji. Drugi składnik znacząco utrudnia wykorzystanie skradzionych danych logowania.
Wdrożenie powinno objąć wszystkie wykorzystywane drogi dostępu do poczty, a nie wyłącznie stronę logowania w przeglądarce. Więcej informacji: zabezpieczenie poczty elektronicznej za pomocą MFA.
⚙️ MFA nie może być wdrażane w oderwaniu od pozostałych procesów
Rekomendacja traktuje ochronę tożsamości jako część większego systemu bezpieczeństwa. MFA ogranicza ryzyko wykorzystania skradzionego hasła, ale nie rozwiązuje problemów związanych z nadmiernymi uprawnieniami, brakiem aktualizacji, zainfekowanym urządzeniem, niewłaściwą konfiguracją czy brakiem monitoringu.
| Powiązany proces | Dlaczego jest potrzebny? |
|---|---|
| Inwentaryzacja aktywów | Bez kompletnej listy systemów nie można potwierdzić, czy MFA chroni wszystkie ważne drogi dostępu. |
| Zarządzanie tożsamością | Konta nieużywane i domyślne powinny być usuwane lub blokowane, a uprawnienia regularnie przeglądane. |
| Monitoring i analiza logów | Pozwalają wykrywać nietypowe logowania, wielokrotne odrzucenia MFA oraz próby obejścia zabezpieczeń. |
| Reagowanie na incydenty | Organizacja musi wiedzieć, co zrobić po wykryciu przejęcia konta lub podejrzanego logowania. |
| Edukacja pracowników | Użytkownik powinien wiedzieć, że nieoczekiwanej prośby o zatwierdzenie logowania nie należy akceptować. |
| Procedury awaryjne | Trzeba bezpiecznie obsłużyć utratę telefonu, awarię tokena i zmianę urządzenia bez obchodzenia MFA. |
✅ Audyt gotowości: 12 pytań dla organizacji
Publikacja rekomendacji jest dobrym momentem, aby zweryfikować rzeczywisty zakres ochrony. Samo stwierdzenie „mamy MFA” nie potwierdza jeszcze, że mechanizm obejmuje wszystkie istotne systemy, użytkowników i metody logowania.
Sprawdź, czy Twoja organizacja potrafi odpowiedzieć „tak”:
- Czy posiadamy aktualną listę wszystkich systemów dostępnych zdalnie?
- Czy MFA chroni każde konto poczty elektronicznej?
- Czy MFA obejmuje VPN i pozostałe narzędzia zdalnego dostępu?
- Czy systemy krytyczne wymagają dodatkowego potwierdzenia tożsamości?
- Czy wszystkie konta uprzywilejowane są zabezpieczone MFA?
- Czy panele administracyjne nie są dostępne bezpośrednio z internetu?
- Czy administracja serwerami i urządzeniami odbywa się wyłącznie przez VPN chroniony MFA?
- Czy prowadzimy aktualną ewidencję kont uprzywilejowanych?
- Czy działania administratorów oraz zdarzenia logowania są rejestrowane?
- Czy nieużywane, domyślne i niepotrzebne konta są blokowane lub usuwane?
- Czy istnieje bezpieczna procedura odzyskiwania dostępu po utracie drugiego składnika?
- Czy pracownicy wiedzą, jak zareagować na nieoczekiwaną prośbę o zatwierdzenie logowania?
MFA powinno być procesem, a nie pojedynczą konfiguracją.
Zakres ochrony trzeba regularnie aktualizować wraz z uruchamianiem nowych systemów, zmianami infrastruktury, zatrudnianiem pracowników i przyznawaniem dostępu dostawcom.
🗓️ Jak podejść do wdrożenia? Plan w 8 krokach
- Zidentyfikuj wszystkie drogi dostępu. Uwzględnij pocztę, VPN, pulpity zdalne, systemy chmurowe, aplikacje biznesowe, urządzenia sieciowe i panele administracyjne.
- Podziel systemy według krytyczności. Ustal, które zasoby są najważniejsze dla ciągłości działania i które przetwarzają informacje wrażliwe.
- Przeprowadź przegląd kont. Usuń konta nieużywane, zablokuj konta domyślne i potwierdź zasadność posiadanych uprawnień.
- W pierwszej kolejności zabezpiecz dostęp administracyjny. Wyłącz bezpośrednią administrację z internetu i skieruj ruch przez VPN zabezpieczony MFA.
- Obejmij MFA pocztę i dostęp zdalny. Sprawdź wszystkie metody logowania oraz starsze protokoły, które mogłyby ominąć dodatkową weryfikację.
- Zaplanuj bezpieczne wdrożenie dla użytkowników. Przygotuj instrukcje rejestracji, kanał wsparcia i procedury postępowania w razie utraty urządzenia.
- Włącz monitoring. Analizuj nietypowe logowania, odrzucone próby, zmiany metod uwierzytelniania i działania kont uprzywilejowanych.
- Regularnie testuj skuteczność. Przeglądaj konfigurację po zmianach infrastruktury i sprawdzaj, czy nowe usługi również zostały objęte MFA.
🏢 Co rekomendacja oznacza dla kierownictwa?
Dokument podkreśla aktywny udział kierownictwa w nadzorowaniu cyberbezpieczeństwa. Oznacza to, że wdrożenie MFA nie powinno być traktowane wyłącznie jako techniczne zadanie administratora. Potrzebne są decyzje dotyczące zakresu, odpowiedzialności, budżetu, terminów i akceptowanego poziomu ryzyka.
Rekomendacja wskazuje również na formalne przypisanie odpowiedzialności, określenie ról i kompetencji, przygotowanie macierzy RACI, coroczne szkolenia oraz okresowe raportowanie kierownictwu poziomu ryzyka i stanu realizacji obowiązków.
Pytanie dla kierownictwa nie powinno brzmieć wyłącznie: „czy mamy MFA?”
Właściwe pytanie brzmi: „czy MFA chroni wszystkie najważniejsze drogi dostępu, czy potrafimy wykrywać próby jego obejścia i czy wiemy, kto odpowiada za reakcję na podejrzane zdarzenia?”.
🤝 Jak może pomóc Sun Capital?
Sun Capital wspiera organizacje w projektowaniu i wdrażaniu zabezpieczeń dostosowanych do rzeczywistego ryzyka, wykorzystywanej infrastruktury oraz wymagań krajowego systemu cyberbezpieczeństwa.
Możemy pomóc w analizie obecnych metod logowania, identyfikacji niechronionych dróg dostępu, zabezpieczeniu poczty, VPN, systemów krytycznych i kont uprzywilejowanych, a także w uporządkowaniu monitorowania, ochrony urządzeń oraz reagowania na incydenty.
| Obszar wsparcia | Zakres działań |
|---|---|
| Analiza stanu obecnego | Przegląd systemów, metod logowania, zdalnego dostępu i kont uprzywilejowanych. |
| Projekt MFA | Dobór zakresu, metod uwierzytelniania i kolejności wdrożenia. |
| Ochrona dostępu zdalnego | Zabezpieczenie VPN, zdalnej administracji oraz dostępu do zasobów wewnętrznych. |
| Bezpieczeństwo poczty | Wzmocnienie procesu logowania i ograniczanie ryzyka przejęcia kont. |
| Monitoring i reagowanie | Rejestrowanie zdarzeń, wykrywanie anomalii i przygotowanie procedur obsługi incydentów. |
Czy MFA chroni wszystkie najważniejsze drogi dostępu do Twojej organizacji?
Pomożemy sprawdzić obecną konfigurację, wskazać luki oraz zaplanować rozwiązania obejmujące pocztę, dostęp zdalny, VPN, systemy krytyczne i konta uprzywilejowane.
Źródła:
mailing: Channel Sales Manager Rublon
komunikat Ministerstwa Cyfryzacji z 16 października 2026 roku oraz
Rekomendacja Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa nr 2026-67a-9.
Artykuł stanowi autorskie omówienie i praktyczny komentarz Sun Capital. Nie jest poradą prawną ani audytem zgodności konkretnej organizacji.
Brak komentarzy