W wielu organizacjach bezpieczeństwo danych w organach spółki uchodzi za załatwione, gdy tylko platforma jest zaszyfrowana, a certyfikaty w porządku. Sprawa dla IT.
Tyle że najbardziej wrażliwe informacje przedsiębiorstwa nie przechodzą przez dział IT. Przechodzą przez salę posiedzeń rady nadzorczej. Plany przejęć, decyzje personalne na najwyższym szczeblu, nierozstrzygnięte ryzyka prawne. Kto chroni te informacje, chroni nie pliki, lecz zdolność organizacji do działania.
I tym samym pytanie się przesuwa. Nie brzmi już, jakiego szyfrowania używa platforma, lecz kto za co odpowiada, gdy coś się wydarzy.
Dlaczego organy spółki są szczególnym celem
Atakujący podążają za wartością, nie za najłatwiejszą drogą. A mało gdzie w przedsiębiorstwie na tak niewielu stronach skupia się tyle wartości, co w przygotowaniu posiedzenia rady nadzorczej. Jedna teczka posiedzenia może zawierać dokładnie to, czym zainteresowany byłby konkurent, aktywista albo szantażysta.
To zmienia obraz ryzyka. Podczas gdy myślenie o bezpieczeństwie w wielu organizacjach kieruje się ku poziomowi operacyjnemu, poziom organów spółki pozostaje często uwikłany w narosłą z czasem mieszaninę załączników mailowych, dysków współdzielonych i prywatnych urządzeń.
Verizon Data Breach Investigations Report pokazuje ponadto, że udział naruszeń danych z udziałem podmiotów trzecich podwoił się w ciągu roku i stanowi obecnie około jednej trzeciej wszystkich incydentów. Im więcej zewnętrznych doradców, kancelarii i usługodawców uczestniczy w pracy nad dokumentami organów spółki, tym większa staje się ta powierzchnia ataku.
Architektura bezpieczeństwa to więcej niż szyfrowanie
Kto szuka bezpiecznego oprogramowania do zarządzania pracą organów spółki, szybko natrafia na tę samą listę znajomych pojęć. Szyfrowanie end-to-end dla danych przechowywanych i przesyłanych, uprawnienia oparte na rolach, uwierzytelnianie wieloskładnikowe, pełne ścieżki audytu. Mniej widoczne, lecz równie rozstrzygające, są granularne uprawnienia do poszczególnych dokumentów, przetwarzanie danych zgodne z RODO oraz centralne przechowywanie bez rozproszonych kopii lokalnych. Wszystko to jest konieczne. Opisuje jednak wyłącznie fundament, nie budynek.
Rozstrzygające jest to, jak architektura radzi sobie ze sprzecznością między poufnością a współpracą. Organ spółki musi dzielić się informacjami, by funkcjonować, a zarazem zapobiegać ich niekontrolowanemu rozprzestrzenianiu. Dobra architektura bezpieczeństwa rozwiązuje to nie możliwie największą liczbą zamków, lecz granularnością.
Kto widzi który dokument, przez jaki okres, z jakimi prawami? Czy dostępy można cofnąć po posiedzeniu albo po odejściu członka organu? Czy dokumenty pozostają tam, gdzie bezpieczeństwo i uprawnienia są regulowane centralnie, na przykład w istniejącym środowisku Microsoft 365, czy też z każdą kopią powstają nowe, niepilnowane miejsca przechowywania?
Każda dodatkowa kopia danych zwiększa bowiem nie tylko nakład pracy, lecz także ryzyko. Najbezpieczniejszy dokument to często ten, którego nigdy nie powielono.
Dobre zarządzanie dokumentami to ład korporacyjny
Bezpieczeństwo danych i zarządzanie dokumentami rozpatruje się często osobno. W praktyce są nierozłączne. Profesjonalne zarządzanie dokumentami w organach spółki obejmuje bowiem znacznie więcej niż archiwizację plików. Sięga od automatycznego wersjonowania przez możliwe do prześledzenia procesy zatwierdzania i cyfrowe teczki posiedzeń aż po określone terminy przechowywania i usuwania, cofanie uprawnień dostępu po wygaśnięciu mandatu oraz centralne zarządzanie wszystkimi dokumentami uchwał.
Właśnie wersjonowanie bywa niedoceniane. Kto w krytycznej sytuacji nie potrafi już ustalić, która wersja dokumentu legła u podstaw uchwały, traci część swojej zdolności sprawowania nadzoru. Zarządzanie dokumentami nie jest zatem administracyjnym zadaniem pobocznym, raczej częścią odpowiedzialności organu spółki.
Ścieżka audytu jako kręgosłup odpowiedzialności
Ścieżkę audytu traktuje się często jak techniczny szczegół. A jest zasadą ładu korporacyjnego.
Dokumentuje w sposób pełny, kto i kiedy widział, edytował lub pobrał który dokument oraz jak doszło do których uchwał. Brzmi to jak kontrola, lecz chodzi o coś bardziej podstawowego: odpowiedzialność zakłada możliwość prześledzenia.
Organ spółki, który po fakcie nie potrafi odtworzyć, na jakiej podstawie informacyjnej podjął decyzję, tylko z trudem może za tę decyzję ręczyć. Ścieżka audytu jest tym samym mniej narzędziem nadzoru, raczej warunkiem tego, by odpowiedzialność w ogóle dała się przypisać. Chroni nie tylko przedsiębiorstwo przed atakami z zewnątrz, lecz organ spółki przed nieostrością własnej pamięci.
Gdy sztuczna inteligencja staje się częścią przepływu informacji
Wraz z wkroczeniem AI do pracy organów spółki myśl ta zyskuje dodatkową wagę. Gdy dokumenty czytają już nie tylko ludzie, lecz maszyny streszczają materiały, oznaczają ryzyka albo przygotowują briefingi, ścieżka audytu poszerza się o nowe pytanie. Jakie informacje zobaczyła AI, jak je przetworzyła i na jakiej podstawie powstał wynik?
Powstaje tak nowa kategoria informacji: treść wygenerowana maszynowo, która przygotowuje decyzję, choć nie każdy członek organu przeczytał samodzielnie każde źródło. Samo w sobie nie jest to problem bezpieczeństwa, zmienia jednak u podstaw kwestię odpowiedzialności.
Według raportu Cost of a Data Breach Report firmy IBM 63 procent przedsiębiorstw dotkniętych naruszeniem danych działało zupełnie bez ram nadzoru nad AI. Jednocześnie IBM podaje, że już 16 procent ataków wykorzystuje AI, na przykład do bardziej przekonujących kampanii phishingowych. Zagrożenie staje się zatem inteligentniejsze, podczas gdy nadzór w wielu miejscach dopiero się kształtuje.
Tym samym human-in-the-loop staje się praktyką istotną dla bezpieczeństwa, nie modnym hasłem. Streszczenie sporządzone przez AI może ułatwić weryfikację przez człowieka, nie zastąpić jej. A platforma, która korzysta z AI, musi umożliwić prześledzenie tego, co zrobiła maszyna. W przeciwnym razie przenosi odpowiedzialność w miejsce, które nie może jej ponieść.
Co naprawdę dają standardy ochrony danych
Certyfikaty takie jak ISO 27001 czy centrum danych na terenie UE to sensowne sygnały, którymi dostawcy chętnie się reklamują. Są jednak punktem wyjścia, nie celem. Standard opisuje, że pewne procesy istnieją, nie zaś że zadziałają w razie potrzeby.
Dla zarządów i rad nadzorczych wynika z tego zadanie nadzorcze, którego nie da się delegować. Ramy regulacyjne takie jak RODO, NIS2 czy europejskie rozporządzenie w sprawie AI zwiększają presję, lecz ich dokładny kształt i terminy pozostają w ruchu i warte są uważnego śledzenia.
Ważniejsza niż powoływanie się na certyfikat jest i tak zdolność zrozumienia i zakwestionowania własnej sytuacji w zakresie bezpieczeństwa. Nie: czy jesteśmy certyfikowani? Lecz: czy dowiedzielibyśmy się, gdyby coś poszło źle, i czy potrafilibyśmy to wykazać?
Właściwe pytanie pozostaje pytaniem o odpowiedzialność
Bezpieczeństwa danych w organach spółki nie da się kupić, trzeba je sprawować. Najlepsza architektura bezpieczeństwa niewiele pomoże, jeśli nikt nie rozumie, które decyzje zdejmuje ona z organu spółki, a których nie. A najbardziej wyrafinowana ścieżka audytu pozostaje bez znaczenia, jeśli nikt jej nie czyta.
Dlatego rozstrzygające pytanie przy wyborze rozwiązania nie brzmi, jakie funkcje bezpieczeństwa ono wylicza, lecz czy czyni odpowiedzialność widoczną i możliwą do przypisania. W cyfrowej sali posiedzeń obowiązuje bowiem to samo, co w analogowej: bezpieczeństwo nie jest właściwością techniki, lecz praktyką ludzi, którzy z niej korzystają.
Źródła
- IBM, Cost of a Data Breach Report, m.in. o nadzorze nad AI i atakach wspieranych przez AI, przedstawione przez Marconet: Data Security Governance Best Practices for 2026
- Verizon, 2026 Data Breach Investigations Report, o podwojeniu udziału podmiotów trzecich: Verizon DBIR
- Akin, o odpowiedzialności organów spółki za cyberbezpieczeństwo i o atakach wspieranych przez AI: Cybersecurity and Operational Resilience: A Board-Level Imperative
