Dlaczego to ważne
Pytanie o skrzynkę e-mail pojawia się najczęściej w małych organizacjach, które chcą spełnić obowiązek najniższym możliwym kosztem — i to zrozumiałe podejście, o ile towarzyszy mu rzetelna ocena ryzyka, a nie założenie „e-mail to e-mail, na pewno wystarczy”. Problem w tym, że poczta firmowa z definicji jest zaprojektowana do współdzielenia — administrator IT, backup, reguły przekazywania na zastępstwo urlopowe — a każdy z tych mechanizmów jest furtką, przez którą dane ze zgłoszenia mogą trafić do osoby, która nie może ich widzieć. Nie oznacza to, że e-mail jest z góry wykluczony, ale że decyzja o jego użyciu musi być świadoma, udokumentowana i oparta na realnym sprawdzeniu konfiguracji, a nie na milczącym założeniu.
Kogo dotyczy
- — Małe i średnie organizacje rozważające, czy potrzebują dedykowanego systemu zgłoszeń.
- — Działy IT pytane o to, czy mogą „po prostu” założyć skrzynkę na potrzeby zgłoszeń.
- — Osoby audytujące istniejący kanał zgłoszeń przed kontrolą lub przeglądem procedury.
- — Zarządy szacujące koszt wdrożenia procedury i szukające punktu odniesienia.
Przykład
Kancelaria prawna zakłada skrzynkę zgloszenia@firma.pl i przekazuje dostęp do niej wspólnikowi oraz asystentce, która na co dzień obsługuje pocztę całego zespołu. Podczas przeglądu procedury okazuje się, że administrator poczty w dziale IT technicznie może odzyskać dostęp do każdej skrzynki, a kopie zapasowe poczty są przechowywane bez rozróżnienia na skrzynki wrażliwe — to jest dokładnie ten rodzaj ryzyka, który audyt kanału ma wychwycić. Po audycie kancelaria decyduje się rozdzielić skrzynkę zgłoszeń od standardowej infrastruktury pocztowej, zamiast dokładać kolejne reguły dostępu na już istniejącym, współdzielonym systemie.
Checklista
- — Sprawdź, kto technicznie ma dostęp administracyjny do skrzynki (nie tylko kto zna hasło).
- — Ustal, czy kopie zapasowe i archiwum poczty są objęte tymi samymi ograniczeniami dostępu.
- — Sprawdź, czy skrzynka ma ślad audytowy (kto, kiedy, co otworzył), nie tylko historię wiadomości.
- — Zweryfikuj, czy zgłoszenie ustne i załączniki da się bezpiecznie obsłużyć tą samą drogą.
- — Porównaj koszt utrzymania zabezpieczeń skrzynki z kosztem dedykowanego kanału zgłoszeń.
- — Zapytaj dział IT wprost, jakie reguły przekazywania i archiwizacji obowiązują tę konkretną skrzynkę.
Jak to realizuje system
Bezpłatny audyt kanału zgłoszeń — jedenaście pytań o to, jak dziś wygląda Twój kanał (w tym dostęp do skrzynki, ślad audytowy i obsługę zgłoszeń ustnych) — kończy się raportem PDF z opisem mocnych i słabych punktów, bez oceny prawnej. Raport nie mówi „e-mail jest zły”, tylko pokazuje konkretne elementy konfiguracji, które warto sprawdzić, zanim padnie pytanie o nie przy realnym zgłoszeniu.
Zrób audyt kanału