Bezpieczna automatyzacja procesów: checklista dla właściciela firmy

ENISA wskazuje phishing, ransomware, kradzież urządzeń i oszustwa podszywające się pod prezesa jako częste incydenty w MŚP. Automatyzacja może zwiększyć powierzchnię ryzyka, bo łączy kilka systemów i często ma prawo wykonywać działania bez dodatkowego logowania użytkownika.

Celem nie jest budowa korporacyjnego działu bezpieczeństwa. Chodzi o usunięcie kilku typowych pojedynczych punktów awarii: prywatnego konta twórcy, hasła w arkuszu, integracji z pełnym dostępem i procesu, którego nikt nie umie wykonać ręcznie.

Automatyzacje powinny działać na kontach zarządzanych przez firmę, a nie na prywatnym mailu pracownika lub wykonawcy. Tam, gdzie to możliwe, należy użyć osobnego konta technicznego i przyznać mu tylko potrzebny zakres dostępu.

Właściciel procesu powinien co najmniej raz na kwartał przeglądać aktywne integracje, użytkowników i tokeny. Odejście pracownika albo zakończenie współpracy z dostawcą musi uruchamiać odebranie praw i wymianę poświadczeń.

Klucze API, hasła i tokeny nie powinny być wpisane w opisie workflow, arkuszu ani wiadomości do wykonawcy. Należy trzymać je w bezpiecznym magazynie udostępnianym przez platformę lub infrastrukturę i ograniczyć możliwość ich odczytu.

Każdy sekret powinien mieć właściciela, cel i możliwość wymiany bez przebudowy całego procesu. Warto zaplanować rotację oraz natychmiastową zmianę po podejrzeniu wycieku.

Proces może przestać działać, mimo że na ekranie nadal wygląda na aktywny. Zmiana pola w CRM, limit API, wygasły token albo nowy format załącznika wystarczą, żeby dane przestały płynąć.

Dlatego system musi zapisywać, co otrzymał, co zrobił i dlaczego zatrzymał sprawę. Alert powinien trafiać do konkretnej osoby, a ponowienia muszą mieć limit, żeby błąd nie utworzył setek duplikatów.

Przed podłączeniem narzędzia trzeba wiedzieć, jakie dane przez nie przepływają, gdzie są przechowywane i kto może je podprzetwarzać. Szczególnej uwagi wymagają dane klientów, pracowników, płatności i dokumenty objęte poufnością.

Eksport konfiguracji, kopia kluczowych danych i lista zależności skracają odtworzenie po awarii lub zmianie dostawcy. Kopia ma wartość dopiero wtedy, gdy ktoś sprawdził, czy można z niej odtworzyć proces.

Właściciel powinien znać odpowiedź na proste pytanie: co robimy jutro rano, jeśli automatyzacja nie działa przez osiem godzin? Krytyczne procesy potrzebują instrukcji ręcznej, listy oczekujących spraw i sposobu późniejszego bezpiecznego wznowienia.

Raz na kwartał warto zasymulować wygaśnięcie dostępu albo niedostępność jednego systemu. Taki test szybko pokazuje, czy alerty docierają, dokumentacja jest aktualna i czy firma naprawdę kontroluje własny proces.