Scenka z sali zarządu: kiedy temat VPN trafia „na stół”
Posiedzenie zarządu przedłuża się trzecią godzinę. Dział prawny właśnie skończył omawiać incydent: ktoś przechwycił maile jednego z członków zarządu podczas wyjazdu służbowego, a w nich – wrażliwe informacje o planowanej akwizycji. Dyrektor IT mówi: „Musimy jak najszybciej wdrożyć VPN dla zarządu”. Na sali zapada cisza, a w głowach pojawia się pytanie: kupić „coś”, byle szybko, czy zrozumieć, gdzie kończy się marketing, a zaczyna realne bezpieczeństwo i koszty?
Hasło „VPN = bezpieczeństwo” brzmi prosto i kusząco. Dla wielu zarządów to idealny kandydat na „łatwe rozwiązanie trudnego problemu”. Tymczasem VPN to nie jedna aplikacja, ale konkretny model dostępu do zasobów firmy, który włącza w grę nowe ryzyka, koszty i konsekwencje organizacyjne. Raz wdrożony, rzadko bywa potem zmieniany, więc błędna decyzja będzie się mścić latami – wyższymi kosztami, irytacją użytkowników, a czasem złudnym poczuciem bezpieczeństwa.
Obawy członków zarządu są zwykle podobne, niezależnie od branży:
Koszty – nie tylko licencji, ale też wdrożenia, utrzymania, szkoleń i wsparcia użytkowników.
Złożoność – ile to będzie trwało, kto będzie tym zarządzał, czy IT „udźwignie” kolejne narzędzie.
Wpływ na pracę menedżerów – czy VPN nie utrudni pracy w podróży, na lotnisku, na prywatnym laptopie.
Odpowiedzialność prawna i reputacyjna – czy wdrożenie faktycznie zmniejszy ryzyko zarzutu zaniedbania obowiązków należytej staranności.
Rola zarządu nie polega na wybieraniu protokołów szyfrowania ani konkretnych marek. Rola zarządu polega na określeniu granic ryzyka, zaakceptowaniu docelowego modelu pracy (kto z czego i jak korzysta) oraz zadaniu dostawcom i własnemu IT właściwych, precyzyjnych pytań. To one zdecydują, czy VPN będzie realną tarczą, czy kolejnym drogim gadżetem wdrożonym „dla audytora”.
Im lepiej zarząd zrozumie biznesowy sens i ograniczenia VPN, tym łatwiej będzie uniknąć decyzji podejmowanych pod presją incydentu, strachu lub modnego trendu.
Co zarząd powinien rozumieć o VPN – bez technicznego żargonu
Czym właściwie jest VPN w firmie
Firmowy VPN to w uproszczeniu szyfrowany tunel między urządzeniem użytkownika (laptop, tablet, czasem telefon) a siecią firmy lub określonymi aplikacjami. Ten tunel sprawia, że ruch sieciowy wygląda tak, jakby użytkownik znajdował się fizycznie w biurze – nawet jeśli siedzi w hotelu, kawiarni albo we własnym domu.
Warto odróżnić dwa zupełnie różne światy, które w języku potocznym nazywają się tak samo:
Konsumencki VPN – używany przez osoby prywatne do ukrywania adresu IP, omijania blokad geograficznych, streamingu z innych krajów, dyskusji o „anonimowości”. Tu celem jest ochrona prywatności użytkownika i swobody w internecie.
Korporacyjny VPN – używany przez pracowników i zarząd do bezpiecznego łączenia się z zasobami firmy (serwery, aplikacje, dokumenty). Tu celem jest kontrolowany i udokumentowany dostęp do określonych systemów.
Dla zarządu kluczowe jest jedno: VPN nie jest „magiczną tarczą”, która załatwia całe cyberbezpieczeństwo. On zabezpiecza określony element układanki – kanał komunikacji między użytkownikiem a firmą. Jeśli po obu stronach tunelu panuje bałagan (słabe hasła, brak aktualizacji, nieuporządkowane uprawnienia), sam VPN niewiele zmieni.
Z biznesowego punktu widzenia VPN to umowa: firma godzi się na to, że wybrane osoby dostają zdalny „kabel” do środka jej sieci lub aplikacji. To rodzi ogromną odpowiedzialność – zarówno po stronie organizacji, jak i samego użytkownika.
Jak VPN wpisuje się w ogólną strategię bezpieczeństwa
VPN jest jednym z elementów większej układanki: dostępu zdalnego, kontroli tożsamości i ochrony danych. Gdy firma myśli o pracy zdalnej, zwykle pojawiają się równolegle takie tematy jak:
systemy jednokrotnego logowania (SSO),
uwierzytelnianie wieloskładnikowe (MFA),
zarządzanie urządzeniami mobilnymi (MDM/EMM),
segmentacja sieci i uprawnień,
monitoring bezpieczeństwa (SOC, SIEM),
przenoszenie części systemów do chmury.
VPN zmniejsza niektóre ryzyka – np. podsłuch ruchu w niezaufanych sieciach Wi-Fi, przejęcie sesji przez prosty atak na niezabezpieczonym hotspocie. Jednocześnie jednak może zwiększyć inne: jeśli tunel daje zbyt szeroki dostęp, każdy przejęty laptop z aktywnym VPN staje się wygodnym wejściem dla atakującego głęboko w sieć wewnętrzną.
Trzeba też patrzeć na zależności z innymi projektami. Jeśli organizacja mocno inwestuje w:
chmurę SaaS (Office 365, Salesforce, systemy HR online),
Zero Trust – dostęp przyznawany per aplikacja, zamiast do całej sieci,
zaawansowane narzędzia CASB/secure access,
to klasyczny, „tunelowy” VPN może być mniej potrzebny niż jeszcze kilka lat temu. Inaczej w firmie produkcyjnej z własnymi serwerami ERP, SCADA czy systemami księgowymi w prywatnej serwerowni – tam VPN będzie nadal kluczowym elementem dostępu zdalnego.
Sensowna strategia bezpieczeństwa nie zaczyna się od zakupu VPN, tylko od odpowiedzi na pytania: jakie dane chronimy, kto ich potrzebuje, skąd i w jaki sposób. Dopiero potem dobiera się narzędzia, z których jednym może być VPN – ale nie zawsze jedynym i nie zawsze głównym.
Najważniejsze pojęcia, które zarząd powinien odróżniać
Na poziomie zarządczym wystarczy rozróżniać kilka kluczowych koncepcji. Pomaga to unikać marketingowej „mgły” podczas rozmów z dostawcami.
VPN vs proxy vs zdalny pulpit
VPN – szyfrowany tunel, po którego zestawieniu urządzenie użytkownika „wchodzi” do sieci firmowej, jakby było w biurze. Zakres dostępu zależy od konfiguracji.
Proxy – pośrednik w ruchu sieciowym, zwykle dla przeglądarki. Może filtrować strony, blokować zagrożenia, czasem ukrywać adres IP użytkownika. Nie zapewnia sam z siebie dostępu do wewnętrznych aplikacji tak szeroko jak VPN.
Zdalny pulpit (RDP, VDI) – użytkownik łączy się z „wirtualnym komputerem” w firmie lub w chmurze, na którym uruchamia aplikacje. Jego własne urządzenie jest tylko ekranem i klawiaturą. Dane fizycznie nie opuszczają centrum danych, co bywa korzystne przy pracy z bardzo wrażliwymi informacjami.
Dostęp do całej sieci vs dostęp tylko do wybranych aplikacji
Pełny dostęp sieciowy (klasyczny VPN) oznacza, że po połączeniu komputer zachowuje się tak, jakby był podłączony do sieci lokalnej w biurze. Przy złej konfiguracji użytkownik widzi zbyt wiele systemów, nawet jeśli nie zna do nich haseł.
Dostęp aplikacyjny (tzw. application-level access, często realizowany przez rozwiązania ZTNA) sprawia, że użytkownik widzi tylko konkretne aplikacje, do których został dopuszczony – np. system finansowy i repozytorium dokumentów zarządu. Sieć jako taka pozostaje dla niego niewidoczna.
Klient VPN vs koncentrator/brama VPN
Klient VPN to program lub funkcja na urządzeniu użytkownika (laptop, telefon), który zestawia tunel do firmy. To ten element, z którym będzie stykał się zarząd – ikona do kliknięcia, logowanie, ewentualne komunikaty o błędach.
Koncentrator/brama VPN to element po stronie firmy lub dostawcy w chmurze, przez który przechodzi cały ruch VPN. Tu definiuje się polityki: kto ma dostęp, do czego, z jakich krajów, na jakich urządzeniach, z jakim rodzajem uwierzytelniania. To serce techniczne rozwiązania, ale zarząd powinien przynajmniej wiedzieć, gdzie jest i kto za nie odpowiada.
Na poziomie zarządczym wystarczy świadomość „schematu działania”: użytkownik → klient VPN → szyfrowany tunel → brama → aplikacje. Każde z tych miejsc może być punktem awarii lub ataku, więc pytania do dostawców powinny dotykać wszystkich tych elementów – nie tylko aplikacji na laptopie.
Źródło: Pexels | Autor: Mikhail Nilov
Motywacje biznesowe: po co zarządowi VPN, a kiedy to przerost formy
Główne scenariusze użycia w kontekście zarządu
W praktyce zarząd nie potrzebuje VPN „w ogóle”, tylko w konkretnych sytuacjach. Jasne nazwanie tych scenariuszy pomaga dobrać właściwy model i nie przepłacać.
Praca zdalna członków zarządu i kluczowej kadry to pierwszy, najbardziej oczywisty powód. Członkowie zarządu pracują:
z hoteli, saloników lotniskowych, pociągów,
z domów – często korzystając z tej samej sieci, z której korzystają domownicy,
z zagranicy, gdzie infrastruktura sieciowa bywa mniej przewidywalna.
Bez bezpiecznego kanału dane poruszają się przez sieci i urządzenia, nad którymi firma nie ma żadnej kontroli. VPN może w takim scenariuszu znacząco zmniejszyć ryzyko prostego podsłuchu lub przejęcia sesji.
Dostęp do wrażliwych systemów – finanse, M&A, dane HR na poziomie kadry kierowniczej, dokumenty prawne, kontakty z regulatorami. Te systemy często nie są (i nie powinny być) wystawione wprost do internetu. Jednocześnie zarząd potrzebuje do nich dostępu bez względu na to, czy jest w biurze, czy poza nim. Wtedy VPN staje się bramą do zamkniętego świata systemów wewnętrznych.
Komunikacja z doradcami zewnętrznymi (prawnicy, konsultanci, audytorzy, M&A advisors) to kolejny obszar. Możliwe modele są różne:
dostawca zewnętrzny łączy się przez VPN do systemów firmy,
zarząd łączy się przez VPN do dedykowanego, wewnętrznego repozytorium dokumentów współdzielonych,
VPN służy tylko do dostępu do bezpiecznego środowiska wymiany dokumentów, reszta odbywa się standardowymi kanałami.
W każdym przypadku pojawia się pytanie: kto decyduje, jaki dostęp przez VPN ma partner zewnętrzny i kto nad tym czuwa na co dzień.
Kiedy VPN jest koniecznością
Są sektory i sytuacje, w których rezygnacja z VPN dla zarządu byłaby trudno obroniona przed regulatorem, ubezpieczycielem czy biegłym sądowym.
Branże regulowane – sektor finansowy, medyczny, ubezpieczeniowy, energetyczny, telekomunikacyjny, operatorzy infrastruktury krytycznej. Wymogi regulatorów, norm branżowych i audytorów zewnętrznych często wprost wskazują na konieczność szyfrowanego, kontrolowanego kanału dostępu zdalnego do systemów krytycznych. W praktyce oznacza to właśnie VPN lub rozwiązania klasy ZTNA, które często są po prostu „nowocześniejszym VPN-em aplikacyjnym”.
Przetwarzanie danych wrażliwych i tajemnicy przedsiębiorstwa – jeśli zarząd na co dzień pracuje na dokumentach zawierających dane wrażliwe (zdrowotne, finansowe, dane o wynagrodzeniach, plany restrukturyzacji, strategie cenowe), wyciek z maila wysłanego przez niezabezpieczoną sieć w hotelu może mieć skutki finansowe i prawne nieporównywalne z kosztem nawet drogiego rozwiązania VPN.
Zarząd intensywnie podróżujący lub pracujący z urządzeń prywatnych (BYOD) to kolejny mocny argument. W takich scenariuszach ryzyko korzystania z niezaufanych sieci, publicznych hotspotów czy prywatnych routerów jest znacznie wyższe niż przy pracy wyłącznie z biura. VPN w połączeniu z kontrolą urządzeń (MDM, polityki bezpieczeństwa, szyfrowanie dysków) potrafi realnie obniżyć to ryzyko.
Jeśli dodatkowo w firmie obowiązują wymogi zgodności (RODO, lokalne regulacje, wymogi klientów korporacyjnych), brak kontrolowanego dostępu zdalnego staje się poważnym argumentem podczas audytów. W takich organizacjach „nieposiadanie” VPN lub jego ekwiwalentu trzeba naprawdę dobrze uzasadnić.
Kiedy VPN będzie tylko „ozdobą”
Są też sytuacje, w których inwestowanie w rozbudowany VPN wyłącznie dla zarządu daje głównie komfort psychologiczny, a ma ograniczony wpływ na realne bezpieczeństwo.
Wszystkie aplikacje w chmurze SaaS, dobrze zabezpieczone. Jeśli zarząd korzysta właściwie tylko z narzędzi typu Office 365, Google Workspace, system CRM online, system HR jako SaaS, a do tego wszędzie włączone jest logowanie wieloskładnikowe i kontrola dostępu zależna od urządzenia i lokalizacji – klasyczny VPN nie wniesie wiele. Dane nie znajdują się „w sieci firmowej”, tylko w chmurach dostawców, a komunikacja jest już szyfrowana (HTTPS, TLS), z dodatkowymi mechanizmami kontrolnymi po stronie dostawcy.
Gdy VPN daje złudne poczucie bezpieczeństwa
Na jednym z posiedzeń komitetu audytu CFO z ulgą stwierdził: „wszyscy z zarządu już jeżdżą po świecie przez VPN, więc mamy temat ryzyka z głowy”. Dwa tygodnie później incydent dotyczył prywatnego laptopa członka zarządu, na którym syn zainstalował „darmowy” pakiet gier. VPN działał bez zarzutu – tylko że tunel pięknie dowoził ruch z zainfekowanego komputera prosto do sieci firmowej.
VPN sam w sobie nie rozwiązuje problemów z higieną cyberbezpieczeństwa. Jeśli zarząd korzysta z:
nieaktualnych systemów operacyjnych na prywatnych urządzeniach,
kont bez silnych haseł i MFA,
konta lokalnego współdzielonego z rodziną czy asystentką,
to tunel VPN jedynie „uszlachetnia” istniejące ryzyko, a nie je neutralizuje. W skrajnym przypadku ułatwia atakującemu wejście w głąb infrastruktury.
Odpowiedzialne decyzje na poziomie zarządu powinny więc wiązać VPN z szerszym zestawem wymagań: minimalnym standardem urządzeń, regularnym przeglądem uprawnień oraz jasnym podziałem ról między IT, bezpieczeństwo i użytkowników „VIP”.
VPN jako element układanki, a nie „magiczna tarcza”
W dobrze poukładanej organizacji VPN jest jednym z narzędzi, które spina całość strategii dostępu zdalnego. Nie zastąpi jednak:
segmentacji sieci (oddzielne strefy dla systemów krytycznych i mniej wrażliwych),
kont dostępowych opartych o role (RBAC) i zasady najmniejszego uprzywilejowania,
monitoringu i rejestrowania działań użytkowników uprzywilejowanych,
Jeśli te elementy kuleją, inwestycja w bardzo zaawansowany VPN da ograniczony efekt. Z perspektywy zarządu sensownym pytaniem do CISO lub dostawcy nie jest „czy mamy mocny VPN?”, tylko „jak VPN wpisuje się w całą architekturę bezpieczeństwa oraz zarządzanie dostępami?”
Modele VPN z perspektywy zarządu: co wybrać i za co płacę
Scenka z budżetowego „ping-ponga”
Na spotkaniu budżetowym CIO prosi o środki na „nowoczesny, chmurowy VPN z funkcjami ZTNA”. Dyrektor finansowy słyszy głównie: „dodatkowy abonament w dolarach”. Po chwili dyskusja schodzi na detale techniczne, które dla części zarządu brzmią jak obcy język – a decyzja i tak ma dotyczyć kilkuletniego zobowiązania i realnych pieniędzy.
Aby nie kupować „czarnej skrzynki”, zarząd potrzebuje prostego sposobu patrzenia na modele VPN – co jest produktem, co usługą, a co kosztem „ukrytym” w działaniu firmy.
Model on-premises: własny sprzęt, własna odpowiedzialność
W modelu klasycznym firma kupuje lub dzierżawi urządzenia (appliance) VPN do własnej serwerowni, ewentualnie w kolokacji. To podejście jest często wybierane tam, gdzie:
panuje konserwatywne podejście do chmury (np. niektóre banki, infrastruktura krytyczna),
jest już rozbudowana infrastruktura sieciowa i zespół, który potrafi ją obsługiwać,
wymogi regulacyjne lub kontraktowe wymagają fizycznej kontroli nad środowiskiem.
Z perspektywy zarządu oznacza to kilka grup kosztów i zobowiązań:
Utrzymanie (OPEX) – wsparcie producenta, aktualizacje, energię, chłodzenie, miejsce w szafach, pracę administratorów.
Skalowanie – jeśli nagle rośnie liczba użytkowników (np. masowy home office jak w pandemii), konieczny jest dodatkowy sprzęt lub kosztowne upgrade’y.
Plusem jest pełna kontrola i zwykle przewidywalne koszty w średnim okresie. Minusem – ryzyko, że sprzęt stanie się „wąskim gardłem”, jeśli spółka szybko urośnie lub zmienią się potrzeby (np. przejście na chmurę, fuzja, ekspansja zagraniczna).
VPN jako usługa w chmurze (cloud VPN, SASE, ZTNA)
Coraz częściej dostawcy proponują model „VPN jako usługa”, gdzie infrastruktura należy do dostawcy, a firma płaci abonament zależny od liczby użytkowników lub wolumenu ruchu. Dla zarządu istotne są trzy parametry:
Elastyczność – łatwiej dodać lub odjąć użytkowników, skalować przepustowość, włączać nowe lokalizacje bez inwestycji w sprzęt.
Model kosztowy – zamiast dużego CAPEX pojawia się stały OPEX (abonament). W progach kilkuletnich łączny koszt bywa zbliżony do modelu on-prem, ale rozłożony w czasie.
Zakres usługi – część dostawców łączy VPN z innymi funkcjami (filtracja ruchu, ochrona przed phishingiem, kontrola tożsamości). To może zmniejszyć liczbę narzędzi w firmie, ale też wprowadza silniejsze uzależnienie od jednego partnera.
W modelach SASE/ZTNA dostęp często jest realizowany na poziomie aplikacji (a nie całej sieci), co dobrze wpisuje się w potrzeby zarządu: dostęp do kilku wrażliwych systemów z niemal dowolnego miejsca, przy jednoczesnej ograniczonej widoczności reszty infrastruktury.
Zarząd powinien zwrócić uwagę na kluczowe pytania kontraktowe: gdzie fizycznie znajdują się punkty dostępu (regiony chmurowe), jaki jest model odpowiedzialności za incydenty, jak wygląda przeniesienie się do innego dostawcy, jeśli współpraca się nie powiedzie.
Rozwiązania hybrydowe: most między starym i nowym
W wielu firmach zakończenie sporu „on-prem vs chmura” następuje poprzez podejście hybrydowe. Część systemów (np. ERP, systemy produkcyjne) pozostaje w sieci firmowej, część (poczta, narzędzia biurowe, CRM) ląduje w chmurze. To wymusza również hybrydowy model dostępu.
W praktyce może to wyglądać tak:
VPN on-prem dla dostępu do najwrażliwszych systemów (np. produkcja, SCADA),
integracja z jednym systemem tożsamości (SSO), tak aby członek zarządu nie musiał żonglować pięcioma loginami i różnymi aplikacjami klienckimi.
Dla zarządu kluczowe jest nie tyle, „jak to jest pod spodem spięte”, tylko czy model:
jest zrozumiały dla użytkowników kluczowych (mało kliknięć, mało wyjątków),
nie tworzy luk („do części rzeczy wchodzę bokiem bez VPN, bo mi tak wygodniej”),
ma jasno zdefiniowane centra kosztów – kto płaci za który składnik i z jakiego budżetu.
Za co faktycznie płaci zarząd, gdy podpisuje umowę na VPN
Na prezentacjach dostawców lista funkcji bywa długa, a logotypy innych klientów robią wrażenie. Z finansowego punktu widzenia wszystko można jednak uprościć do kilku kategorii.
1. Licencje użytkowników i urządzeń
To najbardziej oczywisty składnik. Może być rozliczany:
per użytkownik (user-based) – sensowne przy stałej, przewidywalnej liczbie osób uprawnionych,
per urządzenie – przydatne tam, gdzie na jedno konto przypada wiele urządzeń (telefon, laptop, tablet służbowy),
w pakietach (np. do 50, 100, 500 użytkowników) – co wymaga decyzji, czy kupować zapas na przyszły wzrost.
2. Przepustowość / wydajność
Przy rozwiązaniach sprzętowych płaci się w praktyce za „moc” urządzenia (liczbę równoczesnych sesji, maksymalny ruch). W chmurze bywa to ukryte w wyższych progach abonamentowych lub dopłatach za ruch ponad limit. Warto zrozumieć, co się stanie, gdy:
wszyscy pracownicy przejdą nagle na home office,
spółka przeprowadzi akwizycję i podwoi liczbę użytkowników,
zarząd zechce zaprosić kilkunastu doradców zewnętrznych do bezpiecznego środowiska M&A.
Jeśli w takich scenariuszach rozwiązanie wymaga „dokupienia pudełka” albo wyższego planu „enterprise”, trzeba to uwzględnić w prognozie kosztowej.
3. Utrzymanie i wsparcie
Tu kryje się sporo pozycji, które łatwo przeoczyć:
roczne odnowienia wsparcia producenta (dla sprzętu i licencji),
koszt pracy administratorów i zespołu bezpieczeństwa (czas na aktualizacje, testy, reagowanie na incydenty),
wsparcie premium (SLA, dostęp do inżynierów producenta 24/7) – często istotne w firmach, gdzie zarząd pracuje w różnych strefach czasowych.
4. Bezpieczeństwo operacyjne
Dobrze policzony budżet na VPN uwzględnia nie tylko narzędzie, ale i koszty „szczepionki przeciwko własnym błędom”:
testy bezpieczeństwa (pentesty, przeglądy konfiguracji przez niezależną firmę),
szkolenia użytkowników VIP i asystentek (w praktyce to oni często faktycznie obsługują dostęp do dokumentów zarządu),
czas na okresowe przeglądy uprawnień i logów (np. czy były nietypowe logowania z egzotycznych lokalizacji).
Ryzyka, które „kupuje” się razem z VPN
Nowy system to nie tylko dodatkowa ochrona, ale też nowe wektory ataku i nowe punkty awarii. Podpisując umowę z dostawcą VPN, zarząd w praktyce:
tworzy pojedynczy punkt dostępu – jeśli ktoś przejmie dane logowania członka zarządu (np. poprzez phishing), ma potencjalnie dostęp do wielu systemów naraz,
uzależnia się od jakości aktualizacji – luki w popularnych produktach VPN są regularnie wykorzystywane przez przestępców, a tempo łat jest krytyczne,
opiera się na dostępności usługi – awaria koncentratora lub platformy chmurowej VPN może unieruchomić pracę zdalną całej kadry kierowniczej,
przekazuje dane logów (w modelach chmurowych) – to informacje, kiedy i skąd łączy się zarząd, co może być wrażliwe biznesowo.
Świadome zarządy proszą więc nie tylko o listę funkcji, ale też o mapę ryzyk: co się stanie, jeśli VPN przestanie działać w dniu podpisania ważnej umowy, wyciekną logi, dostawca zostanie przejęty przez inny podmiot lub padnie ofiarą dużego ataku.
Wymiar organizacyjny: kto „trzyma” VPN w firmie
W wielu spółkach pojawia się prosty, ale kluczowy problem: VPN formalnie jest „systemem IT”, jednak realnie dotyka najwrażliwszych procesów biznesowych. Kto więc faktycznie o nim decyduje?
Sprawdzony w praktyce model zakłada jasny podział ról:
Zarząd / komitet ds. ryzyka – definiuje, które zasoby wymagają dostępu kontrolowanego (np. przez VPN/ZTNA) i jakie poziomy ryzyka są akceptowalne.
CISO / bezpieczeństwo – przekłada oczekiwania zarządu na wymagania techniczne i proceduralne; ocenia dostawców, negocjuje kluczowe zapisy bezpieczeństwa.
IT / sieci – odpowiada za wdrożenie, stabilność i wydajność rozwiązania.
Biznes (finanse, HR, M&A, prawo) – określa, którzy użytkownicy z ich obszaru muszą mieć dostęp i do czego konkretnie.
Bez takiego podziału łatwo o sytuację, w której IT wdraża „uniwersalny” VPN dla całej firmy, a zarząd omija go „na skróty” (np. wysyłając poufne dokumenty prywatnymi skrzynkami) z powodu niewygody lub zbyt sztywnych reguł.
Przykładowe wzorce decyzyjne dla zarządu
Uproszczony, ale przydatny sposób myślenia o strategii VPN może wyglądać tak:
Scenariusz 1 – firma średniej wielkości, większość w chmurze SaaS
Priorytetem są: ochrona kont (MFA, SSO, zarządzanie tożsamością), przegląd ustawień bezpieczeństwa usług SaaS, ewentualnie lekki ZTNA do kilku systemów „on-prem”. Klasyczny, rozbudowany VPN dla całej organizacji może być zbędny.
Scenariusz 2 – organizacja z krytycznymi systemami lokalnymi
Potrzebny stabilny, dobrze utrzymany VPN (on-prem lub hybrydowy), spięty z segmentacją sieci i monitoringiem. Zarząd może mieć osobny profil dostępu (inny zakres systemów, wyższe wymogi co do urządzeń, mocniejsze logowanie).
Scenariusz 3 – grupa kapitałowa, wiele spółek i dostawców
Podczas przeglądu cyberbezpieczeństwa w grupie kapitałowej okazało się, że każda spółka ma „swój” VPN, innego dostawcę i inny sposób nadawania dostępów zarządowi. Prezes grupy miał pięć aplikacji klienckich na laptopie i trzy zestawy tokenów, a i tak część dokumentów była przesyłana mailem „bo tak szybciej”.
W takim układzie VPN staje się lustrzanym odbiciem chaosu organizacyjnego. Zarząd na poziomie grupy musi podjąć decyzję, czy:
konsoliduje rozwiązania VPN (wspólna platforma, spójne zasady dostępu),
buduje „nadwarstwę” – np. ZTNA tylko dla zarządu grupy i kluczowych funkcji (M&A, audyt, compliance), a lokalne VPN-y służą reszcie organizacji.
Im większa grupa, tym mocniej problem dostępu staje się tematem ładu korporacyjnego. Brak spójnej strategii kończy się tym, że członkowie zarządu nie wiedzą, które „drzwi” są formalnie dopuszczalne, więc korzystają z tych najszybszych – często z pominięciem zabezpieczeń.
Źródło: Pexels | Autor: Felicity Tai
Pytania, które zarząd powinien zadać dostawcy VPN (i własnemu IT)
Na jednym ze spotkań przetargowych CFO zapytał dostawcę, czy „VPN na pewno jest bezpieczny”. Sala zamarła, a sprzedawca uruchomił slajd z hasłem marketingowym i logotypami globalnych klientów. CISO dopisał na kartce pięć bardzo konkretnych pytań – dopiero one wyciągnęły na stół realne ryzyka i koszty.
Pytania o model bezpieczeństwa i ryzyka
Zamiast ogólników o „najwyższych standardach”, przydaje się zestaw prostych, rzeczowych pytań:
Jak ograniczony jest dostęp uprzywilejowany?
Kto po stronie dostawcy może zaglądać do konfiguracji, kluczy szyfrujących, logów? Jak weryfikowane są te osoby (screening, zasady dostępu, rozdzielenie obowiązków)?
Jak wygląda proces reagowania na podatności 0-day?
Czy dostawca ma określone wewnętrzne SLA na wydanie poprawek? Jak szybko informuje klientów o krytycznych lukach i czy potrafi wymusić aktualizację (szczególnie w modelach chmurowych)?
Jak zarządzane są logi i dane o aktywności zarządu?
Gdzie są przechowywane, jak długo, kto ma do nich dostęp, czy mogą być pseudonimizowane, czy istnieje możliwość lokalnego przechowywania logów u klienta?
Jak wygląda izolacja między klientami (multi-tenant)?
W modelach chmurowych: czy awaria lub atak na innego klienta może wpłynąć na dostęp zarządu? Jak technicznie rozwiązano separację ruchu i danych?
Jakie są scenariusze awaryjne dla zarządu?
Co się dzieje, jeśli główny węzeł VPN jest niedostępny – czy istnieje plan B (węzeł zapasowy, awaryjny dostęp tylko do kilku krytycznych aplikacji, tryb offline dla kluczowych dokumentów)?
Sam fakt, że dostawca potrafi rzeczowo odpowiedzieć na te pytania, jest często lepszym testem dojrzałości niż lista certyfikatów na slajdzie.
Pytania o koszty „drugiego rzędu”
Na etapie negocjacji umowy dużo mówi się o cenie licencji i sprzętu. Znacznie rzadziej padają pytania, które decydują o tym, czy VPN stanie się „czarną dziurą budżetową” po dwóch latach.
Jak wygląda polityka zmian cenowych i indeksacji?
Czy opłaty są indeksowane inflacją, kursami walut, czy zależą od poziomu użycia (np. wolumenu ruchu)? Jakie są górne limity podwyżek w okresie trwania umowy?
Jak rozliczany jest wzrost liczby użytkowników VIP?
Czy członkowie zarządu, doradcy, członkowie rad nadzorczych są traktowani jak zwykli użytkownicy, czy wymagają specjalnych (droższych) planów?
Jakie są opłaty za usługi profesjonalne i zmiany konfiguracji?
Czy każda modyfikacja (np. nowy segment dostępu dla projektu M&A) wymaga płatnych godzin konsultanta, czy klient może to robić samodzielnie?
Jak policzono koszty szkoleń i adopcji?
Ile czasu trzeba, by użytkownicy – szczególnie zarząd i asystenci – nauczyli się korzystać z rozwiązania bez generowania nadmiernej liczby zgłoszeń do helpdesku?
Co się dzieje z licencjami niewykorzystanymi?
W przypadku rotacji w zarządzie i wśród kluczowej kadry – czy można „przenieść” licencje, zawiesić lub zwrócić część w kolejnych okresach rozliczeniowych?
Takie pytania pozwalają uniknąć sytuacji, w której budżet na VPN był dobrze policzony tylko w pierwszym roku, a potem rósł szybciej niż przychody.
Pytania o wyjście z umowy i przeniesienie usługi
Na jednym z posiedzeń komitetu audytu zadano dostawcy tylko jedno, konkretne pytanie: „Załóżmy, że się rozstajemy. Jak wygląda dzień po?”. Odpowiedź zajęła mu kilka minut i jasno pokazała, czy model jest zdrowy, czy uzależniający.
Jakie dane można wyeksportować i w jakim formacie?
Czy klient otrzymuje pełne konfiguracje, polityki, listy użytkowników, logi? Czy są one w standardowych formatach, które da się zaimportować do innego rozwiązania?
Jak długo po zakończeniu umowy przechowywane są dane i kopie zapasowe?
Czy istnieje udokumentowana procedura ich bezpiecznego usunięcia, potwierdzona raportem dla klienta?
Jak przebiega migracja w trybie „bez przestoju”?
Czy dostawca pomaga w przełączeniu ruchu, aby zarząd nie odczuł utraty dostępu? Jakie są koszty takiego procesu?
Czy są opłaty za wcześniejsze zakończenie współpracy?
Jakie warunki trzeba spełnić, by zakończyć umowę bez kar – szczególnie w przypadku istotnego naruszenia bezpieczeństwa po stronie dostawcy?
Dla zarządu, który dba o elastyczność strategiczną, te kwestie są równie ważne jak parametry techniczne.
Jak pogodzić wygodę zarządu z rygorem bezpieczeństwa
Podczas jednej z sesji warsztatowych członek zarządu powiedział wprost: „Dla mnie są dwie opcje: albo działa z jednego kliknięcia, albo będę to obchodził”. To szczere zdanie dobrze oddaje napięcie między praktyką a procedurą.
Minimalizacja „tarcia” po stronie użytkownika
Nadmiernie złożony proces logowania prędzej czy później zostanie nagięty. Projektując dostęp dla zarządu, da się jednak połączyć wysoki poziom bezpieczeństwa z prostym doświadczeniem użytkownika.
SSO jako „brama główna”
Jedno logowanie (z mocnym uwierzytelnianiem) powinno otwierać dostęp zarówno do VPN/ZTNA, jak i do kluczowych aplikacji zarządczych. Osobne hasła do każdej usługi prowokują do niebezpiecznych skrótów.
MFA dostosowane do realnego trybu pracy
Dla członka zarządu w ciągłym ruchu tokeny SMS mogą być niepraktyczne, ale aplikacja mobilna z powiadomieniami push lub klucz sprzętowy typu FIDO już tak. Wybór metody ma być kompromisem między bezpieczeństwem a wygodą.
Profile VIP w politykach dostępu
Zamiast „jednych zasad dla wszystkich” lepiej zaprojektować osobny profil dla zarządu: mniej wyjątków, ale też więcej automatyzacji (np. automatyczne rozpoznawanie zaufanych urządzeń, krótszy czas sesji tylko w najbardziej ryzykownych przypadkach).
Jasne scenariusze offline
Co, jeśli na lotnisku nie działa telefon do MFA? Czy istnieje bezpieczna metoda awaryjnego dostępu, np. jednorazowe kody przechowywane w sejfie korporacyjnym lub u zaufanego administratora z procedurą weryfikacji?
Im prościej wygląda świat z perspektywy użytkownika VIP, tym łatwiej utrzymać twarde zasady „pod spodem” bez presji na ich luzowanie.
Rola asystentek i zespołów wsparcia
W wielu firmach członkowie zarządu nie obsługują wszystkich narzędzi samodzielnie. Realnym użytkownikiem VPN i systemów dostępowych bywa asystentka, prawnik wewnętrzny albo menedżer projektu M&A.
Oddzielne konta i uprawnienia
Udostępnianie haseł „do konta prezesa” asystentce to prosta droga do katastrofy. Niezależne konta z jasno zdefiniowanym zakresem uprawnień często rozwiązują 80% problemów.
Skoncentrowane szkolenia
Krótkie, praktyczne sesje tylko dla osób obsługujących zarząd (bez slajdów pełnych technicznych szczegółów, za to z realistycznymi scenariuszami) znacząco zmniejszają liczbę incydentów i zgłoszeń.
Procedury zastępstw
Kto ma prawo nadać awaryjny dostęp, gdy asystentka jest chora, a członek zarządu siedzi w samolocie i potrzebuje pilnie dokumentów? Lepiej ustalić to wcześniej, niż improwizować pod presją czasu.
Uporządkowanie ról wokół zarządu ogranicza konieczność naginania zasad i zmniejsza ryzyko „tymczasowych obejść”, które zwykle zostają na dłużej niż zakładano.
Polityka podróży służbowych i pracy mobilnej
VPN i ZTNA ujawniają swoje słabości dopiero w trybie realnej mobilności: lotnisko, hotel, domowe Wi-Fi w kraju o słabszej infrastrukturze. To, w jakich warunkach członkowie zarządu faktycznie korzystają z dostępu, powinno być częścią strategii, a nie marginalnym tematem.
Definicja „bezpiecznego urządzenia” w podróży
Czy zarząd może korzystać z prywatnych laptopów i tabletów, czy wyłącznie z urządzeń zarządzanych przez firmę (MDM, szyfrowanie dysku, wymuszane aktualizacje)?
Reguły korzystania z publicznych sieci Wi-Fi
Proste wytyczne – np. zakaz logowania do VPN przez otwarte Wi-Fi bez dodatkowej warstwy ochrony (hotspot z telefonu, klient z wbudowaną ochroną DNS/antyphishing) – często podnoszą bezpieczeństwo bardziej niż kolejny komponent techniczny.
Scenariusze „podwyższonego ryzyka”
Podróże do krajów o intensywnej aktywności wywiadowczej lub przestępczej mogą wymagać osobnej polityki: dedykowane „czyste” urządzenia, ograniczony zestaw systemów dostępnych przez VPN, krótszy czas ważności uprawnień.
Zarząd nie musi znać wszystkich technicznych niuansów, ale powinien zatwierdzić jasne zasady, które da się wyjaśnić w kilku zdaniach przed każdą podróżą.
Jak ocenić, czy obecny VPN nadal ma sens biznesowy
W jednej z firm ocena sensowności VPN zaczęła się od prostej obserwacji: liczba incydentów związanych z „obejściami” (udostępnianie plików przez prywatne chmury, wysyłka dokumentów na prywatne maile) przekroczyła liczbę zgłoszeń do helpdesku. To był sygnał, że system nie wspiera biznesu, tylko mu przeszkadza.
Proste wskaźniki dla zarządu
Zamiast zagłębiać się w techniczne raporty, zarząd może oprzeć ocenę na kilku wskaźnikach, które da się odczytać jak prosty dashboard biznesowy.
Poziom adopcji
Ilu użytkowników VIP faktycznie korzysta z VPN/ZTNA zgodnie z założeniami, a ilu stosuje „alternatywne kanały”? Tu pomocne są nie tylko statystyki logowań, ale też anonimowe ankiety.
Średni czas przywrócenia dostępu
Ile trwa rozwiązanie typowego problemu z dostępem u członka zarządu (np. zmiana telefonu, utrata tokena, błąd certyfikatu)? Jeśli liczony jest w godzinach, a nie w minutach, to sygnał ostrzegawczy.
Liczba krytycznych incydentów powiązanych z VPN
Czy w ostatnim roku doszło do sytuacji, w której awaria VPN sparaliżowała kluczowe decyzje (np. podpisanie umowy, proces M&A, kryzys PR)? Jak często powtarzały się mniejsze zakłócenia?
Koszt całkowity per aktywny użytkownik VIP
Po zsumowaniu licencji, wsparcia, pracy zespołów i usług zewnętrznych – ile faktycznie kosztuje jedno aktywne konto na poziomie zarządu? To porównanie z innymi inwestycjami w bezpieczeństwo (np. DLP, ochrona poczty) bywa otwierające oczy.
Jeśli te wskaźniki wyglądają źle, problem zwykle leży nie w samym fakcie posiadania VPN, ale w jego dopasowaniu do aktualnego modelu biznesu i ryzyka.
Moment, w którym „klasyczny” VPN przestaje wystarczać
W wielu firmach VPN został wdrożony lata temu jako „przedłużenie kabla sieciowego”. Dziś część aplikacji jest w chmurze, część w data center, ludzie pracują z domów i hoteli, a struktura spółki zmienia się przez przejęcia. W pewnym momencie widać, że model nie nadąża.
Typowe symptomy:
Najczęściej zadawane pytania (FAQ)
Czy zarząd naprawdę potrzebuje osobnego VPN, skoro firma już ma rozwiązanie dla pracowników?
Typowy scenariusz: firma od lat używa jednego VPN-u „dla wszystkich”, a gdy dochodzi do incydentu na poziomie zarządu, pojawia się pomysł „dopiszmy członków zarządu do istniejącej grupy”. To pozornie najszybsze rozwiązanie, ale z punktu widzenia ryzyka często jest najgorsze.
Dla zarządu zwykle stosuje się inny model: ograniczony dostęp tylko do wybranych aplikacji (np. poczta, dokumenty zarządu, systemy finansowe), mocniejsze uwierzytelnianie i dodatkowy monitoring. Zamiast wpuszczać laptop prezesa „w środek” całej sieci, lepiej wyciąć dla zarządu osobny, wąski korytarz dostępu. Technicznie może to być ten sam produkt VPN, ale z inną polityką i osobno zarządzaną grupą użytkowników.
Jakie realne koszty VPN dla zarządu trzeba uwzględnić poza licencjami?
Na prezentacji sprzedażowej widoczna jest głównie cena za użytkownika. Później okazuje się, że prawdziwy rachunek składa się z kilku mniej oczywistych pozycji: wdrożenia (projekt, konfiguracja, testy), integracji z istniejącymi systemami (SSO, MFA, katalog użytkowników) oraz szkolenia i wsparcia użytkowników, którzy dzwonią z lotniska, gdy „VPN nie działa”.
Do budżetu wypada dodać także:
utrzymanie i aktualizacje bramy VPN (czas zespołu IT lub koszt usługi zarządzanej),
zarządzanie urządzeniami zarządu (MDM, polityki bezpieczeństwa),
koszty potencjalnych przestojów, gdy VPN jest jedyną drogą do kluczowych systemów.
Jeśli zarząd widzi tylko linię „licencje”, łatwo zaakceptować rozwiązanie, które długoterminowo okaże się najdroższe w obsłudze.
Czy VPN zainstalowany na prywatnym laptopie członka zarządu to dobry pomysł?
Sytuacja jest częsta: członek zarządu nie chce nosić dwóch laptopów i prosi o VPN na prywatnym urządzeniu. Organizacyjnie wygodne, ale z punktu widzenia ryzyka – bardzo problematyczne, bo firmowy tunel kończy się na komputerze, nad którym IT ma ograniczoną lub zerową kontrolę.
Bez przynajmniej minimalnego zarządzania urządzeniem (szyfrowanie dysku, aktualizacje, antymalware, blokada instalacji dowolnych aplikacji) taki laptop staje się słabym ogniwem. Zamiast „gołego” VPN na prywatnym sprzęcie, lepiej rozważyć:
dostęp wyłącznie przez zdalny pulpit/VDI, gdzie dane nie opuszczają firmy,
lekki MDM lub profil firmowy, który pozwala narzucić podstawowe zasady bezpieczeństwa.
Wtedy kompromis pomiędzy wygodą a bezpieczeństwem jest sensowniejszy.
VPN czy Zero Trust (ZTNA) dla zarządu – co jest bezpieczniejsze?
Gdy pojawia się hasło „Zero Trust”, łatwo ulec wrażeniu, że klasyczny VPN to przeżytek. Rzeczywistość jest bardziej złożona: w wielu firmach te rozwiązania współistnieją, a nie zastępują się z dnia na dzień.
Tradycyjny VPN daje dostęp do sieci (często szeroki), a ZTNA – dostęp per aplikacja, według zasady „minimalnych uprawnień”. Dla zarządu model Zero Trust bywa bezpieczniejszy, bo przejęty laptop nie staje się biletem wstępu do całej sieci, tylko do kilku ściśle zdefiniowanych usług. Jeśli firma i tak inwestuje w chmurę i SSO, warto pytać dostawców nie „VPN czy ZTNA?”, lecz „jakie kombinacje tych rozwiązań mają sens dla naszego profilu ryzyka na poziomie zarządu?”.
Jakie pytania zarząd powinien zadać dostawcy VPN, żeby wyjść poza marketing?
Podczas spotkań sprzedażowych zarząd słyszy zwykle o szyfrowaniu, „klasie militarnej” i prostocie użycia. Żeby wyjść poza slajdy, przydaje się kilka konkretnych pytań, na które dostawca musi odpowiedzieć rzeczowo, a nie ogólnikami.
Przydatne zestawy pytań to m.in.:
Model dostępu: „Czy po połączeniu widzę całą sieć, czy tylko konkretne aplikacje? Jak łatwo zawęzić zakres dla zarządu?”
Bezpieczeństwo urządzeń: „Jakie minimalne wymagania musi spełnić laptop/telefon, żeby dostał dostęp (szyfrowanie dysku, antymalware, aktualizacje)?”
Integracje: „Jak to łączy się z naszym SSO, MFA, MDM? Co, jeśli zmienimy dostawcę tych usług?”
Monitoring i audyt: „Jakie logi i raporty z dostępu zarządu możemy otrzymywać, żeby spełnić wymagania prawne i audytowe?”
Odpowiedzi na te pytania często pokazują, czy mamy do czynienia z dojrzałym rozwiązaniem, czy tylko ładnym interfejsem.
Czy VPN automatycznie rozwiąże problem odpowiedzialności prawnej zarządu za wyciek danych?
Po głośnym incydencie łatwo usłyszeć: „Kupmy VPN, będziemy mieli spokój z odpowiedzialnością”. Niestety tak to nie działa. VPN może być ważnym elementem dochowania należytej staranności, ale tylko wtedy, gdy jest częścią szerszego, spójnego zestawu środków – polityk, szkoleń, kontroli dostępu, zarządzania urządzeniami.
Z perspektywy regulatora lub sądu liczy się nie sam fakt posiadania VPN, lecz to, czy:
zastosowano adekwatne środki do wagi przetwarzanych danych,
ryzyka zostały zidentyfikowane i udokumentowane,
istnieją procedury (np. co zrobić przy zgubieniu laptopa z aktywnym VPN),
zarząd potrafi wykazać świadome decyzje, a nie „zakupy pod wpływem strachu”.
VPN obniża część ryzyk technicznych, ale nie zwalnia z obowiązku rozsądnego zarządzania całym ekosystemem bezpieczeństwa.
Jak VPN wpływa na wygodę pracy zarządu w podróży i jak tego nie „przestrzelić”?
Typowy konflikt wygląda tak: IT chce „maksimum bezpieczeństwa”, a zarząd – „maksimum wygody”, bo czasem trzeba otworzyć dokument na telefonie w aucie pod lotniskiem. Zbyt restrykcyjny VPN, który stale zrywa połączenie lub wymaga wielu kroków logowania, prowokuje użytkowników do obchodzenia zabezpieczeń (np. wysyłania plików na prywatny mail).
Sensowne podejście to:
jasne rozdzielenie: co koniecznie musi iść przez VPN (dokumenty transakcyjne, systemy finansowe), a co może być dostępne przez bezpieczne aplikacje chmurowe z MFA,
prostota obsługi: automatyczne łączenie z VPN w niezaufanych sieciach, minimalizacja „klikania” po stronie użytkownika,
realne testy: zanim rozwiązanie obejmie cały zarząd, kilka osób z zarządu lub ich asystentów testuje je w „trybie życia codziennego” – dworzec, hotel, samolot.
