Specyfika biura rachunkowego: dlaczego „zwykły internet” to za mało
Jakie dane rzeczywiście „chodzą” po łączu w biurze rachunkowym
W biurze rachunkowym internet nie służy jedynie do przeglądania stron czy wysyłania kilku maili dziennie. Po łączu nieustannie przepływają dane wrażliwe i finansowe, które w razie wycieku mogą być realnym problemem prawnym i wizerunkowym. To przede wszystkim:
Po pierwsze, dane osobowe pracowników i kontrahentów klientów: imiona, nazwiska, adresy, numery PESEL, NIP, dane o wynagrodzeniach, historię zatrudnienia, czasem informacje o zwolnieniach lekarskich i świadczeniach. To bardzo szeroka kategoria danych, która w dużej części podpada pod definicję danych wrażliwych lub szczególnie chronionych.
Po drugie, dane finansowe: pełne księgi, rejestry VAT, zestawienia obrotów i sald, rozliczenia z kontrahentami, rejestry przelewów, numery rachunków bankowych. Biuro rachunkowe ma realny podgląd w kondycję finansową klientów – to wiedza o przychodach, marżach, zaległościach, zobowiązaniach. Ujawnienie takich informacji może zaszkodzić nie tylko osobom fizycznym, ale także firmom, np. w negocjacjach biznesowych.
Po trzecie, dane dostępowe: loginy i hasła (lub tokeny) do bankowości elektronicznej, PUE ZUS, e-Urzędu Skarbowego, portali e-deklaracji, systemów B2B klientów. Nawet jeśli w teorii biuro nie przechowuje haseł „na kartce”, to i tak są one wpisywane w formularze logowania, a ruch związany z tym logowaniem przechodzi przez sieć biura i łącze internetowe. Przejęcie takiego dostępu to już nie tylko wyciek danych, ale potencjalnie realne straty finansowe.
Do tego dochodzi stała wymiana plików: deklaracje JPK, listy płac, sprawozdania finansowe, umowy, skany dokumentów księgowych wysyłane do i od klienta, często mailem lub przez systemy wymiany dokumentów. Z perspektywy ryzyka, każde z tych połączeń internetowych to potencjalny wektor ataku, a nie tylko „zwykłe wysłanie PDF-a”.
Sposób pracy a profil ryzyka w biurze rachunkowym
Rodzaj łącza i sposób jego zabezpieczenia trzeba powiązać z tym, jak konkretnie biuro rachunkowe pracuje. Inne wymagania ma trzyosobowe biuro korzystające z jednego programu księgowego online, a inne średnia firma obsługująca kilkudziesięciu klientów, łącząca się do ich serwerów i korzystająca z kilku różnych systemów jednocześnie.
Scenariusz pierwszy to praca głównie na programie w chmurze (np. system księgowy online, kadry/płace w SaaS), logowanie do portali urzędowych i banków oraz intensywna wymiana dokumentów elektronicznych. Tu krytyczna jest stabilność połączenia HTTP(S) i sensowny upload, bo każda przerwa odcina zespół od systemu. Jeśli program online nie działa przez 30 minut ostatniego dnia wysyłki JPK, telefon od kilku klientów jest gwarantowany.
Scenariusz drugi to zdalny pulpit na serwerach klientów lub własnym serwerze w biurze. W takim modelu każdy księgowy utrzymuje po kilka połączeń RDP lub VPN do różnych środowisk. Tutaj znaczenie ma nie tylko przepustowość, ale przede wszystkim opóźnienia (ping) i jakość łącza. Niestabilne radio czy „zamulony” LTE potrafią zamienić pracę na zdalnym pulpicie w koszmar, mimo że na papierze „internet ma 100 Mb/s”.
W obu scenariuszach występują tzw. godziny krytyczne: końcówka miesiąca, terminy JPK, wysyłka deklaracji rocznych, zamykanie roku. W tych dniach nie ma akceptacji dla awarii łącza internetowego. Nawet jeżeli dostawca usunie usterkę w kilka godzin, szkoda biznesowa i stres zespołu mogą być nieproporcjonalnie duże.
Popularny mit brzmi: „Małe biuro rachunkowe nie jest atrakcyjnym celem dla hakerów, bo mają ciekawsze firmy do ataku”. Rzeczywistość jest odwrotna. Atakujący lubią małe i średnie firmy, właśnie dlatego, że rzadko mają profesjonalne zabezpieczenia, a mimo to przechowują wartościowe dane. Z punktu widzenia przestępcy, przejęcie kilku kont bankowych albo masywny phishing na bazie danych z małego biura jest równie opłacalny jak atak na dużą korporację, a często znacznie prostszy technicznie.
Minimalne wymagania bezpieczeństwa przy RODO i zdrowym rozsądku
RODO nakłada na administratorów danych (a więc także biura rachunkowe) obowiązek zapewnienia trzech podstawowych cech: poufności, integralności i dostępności danych. Te trzy słowa bezpośrednio przekładają się na wymagania wobec internetu i sieci lokalnej.
Poufność oznacza, że osoby nieupoważnione nie mogą podejrzeć ani przechwycić danych. W kontekście łącza internetowego oznacza to m.in. szyfrowane połączenia (HTTPS, VPN), bezpieczne Wi‑Fi, brak „otwartego” dostępu z zewnątrz do sieci biura. Sam fakt, że dostawca zapewnia „bezpieczny internet”, niczego tu za nas nie załatwia, jeśli router ma domyślne hasło administratora, a księgowi logują się do e-Urzędu Skarbowego z publicznej sieci Wi‑Fi w kawiarni.
Integralność oznacza, że dane nie są modyfikowane po drodze – np. że plik JPK wysyłany do MF dotrze w niezmienionej formie, a przelewy nie zostaną zmienione przez kogoś po drodze. To z kolei powiązane jest z bezpieczeństwem protokołów, aktualnością oprogramowania i brakiem złośliwego oprogramowania w sieci biura. Sam „antywirus na komputerze” nie wystarczy, jeżeli cały ruch wychodzi do internetu przez nieszczelny, nieaktualizowany router.
Dostępność to zdolność do korzystania z danych wtedy, gdy są potrzebne. Tu dochodzimy do stabilności i redundancji łącza. Biuro rachunkowe może mieć znakomite procedury i szyfrowany ruch, ale jeśli jedyne łącze padnie w dniu wysyłki deklaracji, to i tak nie spełni wymagania dostępności. Prosty backup w postaci LTE/5G często zdejmuje to ryzyko za ułamek kosztów potencjalnego przestoju.
Mit: „Dostawca internetu odpowiada za bezpieczeństwo, ja tylko podpinam kabel”. Rzeczywistość: operator dostarcza kanał transmisji i czasem podstawową ochronę anty-DDoS czy filtrację złośliwych domen. Cała reszta – router, hasła, VPN, sposób pracy z domu, polityki haseł – to odpowiedzialność biura. „Antywirus i jedno hasło do Wi‑Fi” chronią jedynie przed częścią zagrożeń i nie spełniają rozsądnego minimum dla biura rachunkowego.
Jakie łącze dla biura rachunkowego: parametry ważniejsze niż marketing
Prędkość, upload i opóźnienia – co naprawdę ma znaczenie w księgowości
Gdy dostawcy internetu mówią o prędkości, zwykle podają imponujące liczby downloadu: 300, 600, 1000 Mb/s. Brzmi dobrze, ale w biurze rachunkowym przepustowość to tylko część układanki, a czasem wcale nie najważniejsza.
Praca na programach online czy zdalnych pulpitach nie generuje ogromnych transferów danych. Jedna sesja zdalnego pulpitu to zwykle od kilkudziesięciu do kilkuset kilobitów na sekundę, w zależności od tego, co się robi na ekranie. Kilka czy kilkanaście osób pracujących równolegle bez problemu zmieści się w łączu o realnych 50–100 Mb/s, jeśli jest ono stabilne i ma sensowny upload.
Upload (wysyłanie danych) bywa zaniedbywany, a właśnie on decyduje o komforcie wysyłki JPK, plików do klientów, pracy na zdalnym pulpicie (bo obraz ekranu i akcje użytkownika muszą być na bieżąco wysyłane). Typowa taryfa „domowa” może mieć np. 300 Mb/s downloadu i 20 Mb/s uploadu – dla 2–3 osób da się z tym żyć, ale przy 10 osobach, kilku wideokonferencjach i równoległej wysyłce plików w godzinach szczytu upload staje się wąskim gardłem.
Drugi parametr to opóźnienia (ping). Przy pracy na zdalnym pulpicie czy systemach w chmurze różnicę między 10 ms a 80 ms czuć natychmiast – klikanie staje się „gumowe”, a wpisywanie danych frustruje. Dlatego nawet bardzo szybkie LTE/5G z opóźnieniem skaczącym w trakcie dnia potrafi dawać gorsze odczucia niż stabilny światłowód 100 Mb/s. Dla wygodnej pracy księgowych liczy się stabilność pingu, a nie tylko średnia przepustowość z ulotki.
Trzecia kwestia to liczbę użytkowników i typ pracy trzeba przełożyć na minimalne parametry łącza. Prosty, praktyczny schemat dla biura rachunkowego wygląda następująco: kilka osób na jednym systemie online, bez ciężkich plików – łącze 100/20 Mb/s zwykle wystarczy; 10–20 osób, kilka systemów w chmurze, częste wysyłki plików – warto celować w realne 300/50 Mb/s lub wyższe; powyżej 20 osób i/lub własne serwery z licznymi zdalnymi sesjami – sensownie zacząć rozmowę o łączach symetrycznych.
Stabilność i SLA ważniejsze niż „papierowe” megabity
Parametry z umowy często są reklamowane jako „do 600 Mb/s”. Najważniejsze pytanie brzmi: jaką prędkość i jakie opóźnienia łącze ma wtedy, gdy biuro ich najbardziej potrzebuje – czyli w godzinach 8–16. Jeśli sieć operatora jest przeciążona, stabilne 100 Mb/s może być warte więcej niż „do 600 Mb/s”, które w praktyce w godzinach szczytu daje 50 Mb/s ze skaczącym pingiem.
Stąd pojęcie SLA (Service Level Agreement) w ofertach biznesowych. W dużym skrócie to umowna gwarancja dostępności i jakości usługi, która określa m.in. minimalny procent dostępności łącza w miesiącu, maksymalny czas reakcji na zgłoszenie, maksymalny czas usunięcia awarii. Dla biura rachunkowego nie musi to być kosmiczny poziom 99,99%, ale różnica między „usuniemy awarię w ciągu 48 godzin roboczych” a „w ciągu 4 godzin w dni robocze” potrafi być kluczowa.
Wyobraźmy sobie awarię łącza 25. dnia miesiąca po południu, gdy kilkanaście deklaracji JPK czeka na wysyłkę. Jeżeli biuro ma zwykły internet „domowy”, może usłyszeć na infolinii, że awaria zostanie usunięta „jak najszybciej”, bez żadnej gwarancji. Przy łączu biznesowym z sensownym SLA operator ma obowiązek zareagować w konkretnym czasie i często oferuje dodatkowe ścieżki wsparcia. To nie oznacza, że awarie się nie zdarzą, ale mocno zmienia prawdopodobieństwo „utknięcia” na wiele godzin.
Mit, który pojawia się przy wyborze oferty, brzmi: „Najważniejsze, żeby mieć jak największą prędkość, wtedy będzie bezpiecznie”. Rzeczywistość jest inna – bezpieczeństwo to konfiguracja, organizacja pracy i plan awaryjny, a nie ilość megabitów. Biuro z łączem 100 Mb/s, dobrym routerem, VPN-em i zapasowym LTE będzie bardziej odporne na problemy niż biuro z gigabitowym „domowym” światłowodem, fabrycznym routerem od operatora i brakiem kopii zapasowej łącza.
Publiczne IP, CGNAT i inne „detale” blokujące zdalny dostęp
Przy pracy na zdalnych systemach pojawia się kolejna warstwa techniczna: sposób, w jaki biuro „jest widoczne” w internecie. To obszar, który często jest pomijany na etapie zakupu, a później okazuje się, że czegoś „nie da się skonfigurować”.
Jeśli biuro korzysta z własnego serwera w środku biura, do którego księgowi mają łączyć się z domu lub z innej lokalizacji, praktycznie zawsze potrzebne jest publiczne, najlepiej statyczne IP. Bez tego nie da się w prosty i bezpieczny sposób zestawić połączenia z zewnątrz do sieci biura (np. VPN site-to-site, zdalny pulpit poprzez VPN). W wielu ofertach domowych, a zwłaszcza mobilnych i radiowych, zwykły klient dostaje adres z tzw. CGNAT, czyli współdzielony adres IP, przez który nie da się łatwo „wystawić” czegokolwiek na świat.
CGNAT stosowany przez wielu operatorów LTE/5G oznacza, że klient nie ma prawdziwego publicznego IP, tylko siedzi za dodatkową warstwą translacji adresów. Dla zwykłego użytkownika przeglądającego internet to bez znaczenia, ale dla biura rachunkowego może to być bariera nie do przejścia przy chęci zestawienia niektórych rodzajów VPN czy zdalnych połączeń do serwera. W efekcie „tani internet mobilny z dużą prędkością” przestaje się nadawać jako główne łącze, jeśli biuro chce oferować pracownikom np. stały, bezpieczny zdalny dostęp do wewnętrznego systemu.
Przed podpisaniem umowy warto zadać operatorowi kilka bardzo konkretnych pytań: czy w standardzie jest publiczny adres IP czy CGNAT, czy istnieje możliwość dokupienia statycznego publicznego IP, czy operator blokuje jakieś porty i protokoły (np. niektóre rodzaje VPN), czy w regulaminie są ograniczenia dotyczące usług serwerowych po stronie klienta. To właśnie te „techniczne detale” decydują, czy biuro będzie mogło później wdrożyć planowane zabezpieczenia i zdalne systemy.
Jeśli księgowy słyszy od informatyka, że „na tym internecie nie da się zrobić normalnego VPN-a”, problemem zwykle nie jest sam internet jako taki, ale właśnie sposób, w jaki operator przydziela adresy IP i filtruje ruch. To da się zaplanować z wyprzedzeniem, jeśli na etapie wyboru łącza padną właściwe pytania.
Rzeczywistość jest też taka, że część operatorów „ma” publiczne IP tylko w teorii: adres jest zmienny, a przy każdej większej modernizacji sieci klient dostaje inny zakres, co potrafi wywrócić do góry nogami reguły na firewallu, dostęp z zewnętrznych systemów czy integracje z aplikacjami klientów. Przy projektowaniu zdalnego dostępu do programów finansowo‑księgowych lepiej od razu założyć, że publiczne IP ma być nie tylko publiczne, ale i statyczne, z jasno opisanym zakresem portów i protokołów potrzebnych do pracy.
Mit krążący w rozmowach z operatorami brzmi: „Jak coś będzie potrzebne, to się potem przeklikamy i dołożymy”. W praktyce każda zmiana typu przejście z CGNAT na statyczne IP, odblokowanie portów czy zmiana profilu na biznesowy trwa, wymaga aneksów i bywa robiona w środku dnia roboczego. Lepiej na początku poświęcić godzinę na rozmowę techniczną i od razu zamówić usługę w wariancie, który obsłuży VPN, zdalne pulpity i ewentualne połączenia do serwera w biurze, niż później ratować się chaotycznymi obejściami.
Dla mniejszych biur, które nie chcą trzymać żadnych serwerów na miejscu, minimalnym krokiem jest zadbanie o to, żeby operator nie blokował standardowych protokołów VPN do łączenia się z chmurą lub zewnętrznym data center. Zaskoczeniem bywa sytuacja, gdy wszystko testowo działa na domowym internecie informatyka, a po wdrożeniu w biurze nagle tunel VPN rwie się co kilka minut, bo ruch jest traktowany jako „nietypowy” i dławiony na poziomie sieci operatora. Tu znów wygrywa jasna rozmowa przed podpisaniem umowy zamiast zakładania, że „jakoś to będzie”.
Na koniec dobrze spojrzeć na internet w biurze rachunkowym nie jak na koszt, tylko jak na element infrastruktury krytycznej – w tej samej lidze co program do księgowości, podpis elektroniczny czy system kopii zapasowych. Stabilne łącze z sensownym SLA, przewidywalnym adresem IP i świadomie zaprojektowaną siecią lokalną powoduje, że zamknięcie miesiąca, wysyłka JPK czy praca z domu przestają być loterią, a stają się po prostu spokojną, powtarzalną procedurą.
Zapasowe łącze i scenariusze awaryjne: jak nie zatrzymać biura w krytycznym momencie
Internet w biurze rachunkowym rzadko pada na cały dzień, ale gdy już się to zdarzy, zwykle jest to najgorszy możliwy moment: termin JPK, wysyłka list płac, korekty do ZUS. Dlatego obok głównego łącza przydaje się prosty, przewidywalny scenariusz awaryjny, który każdy w biurze rozumie.
Minimalna wersja to zapasowe łącze mobilne (LTE/5G) spięte z routerem, który potrafi automatycznie przełączyć się na internet z karty SIM, gdy światłowód lub radio przestaje działać. Nawet jeśli mobilny internet jest obłożony CGNAT-em i nie nadaje się do stałych VPN-ów czy serwera w biurze, w awarii wystarczy, że pracownicy zalogują się do systemu księgowego w chmurze, e‑Urząd Skarbowy czy PUE i „dowieżą” najpilniejsze rzeczy. Wiele routerów klasy biznes ma opcję WAN backup lub LTE failover – wystarczy ją raz skonfigurować i przetestować.
Mit, który tu często wraca: „Zapasowe łącze niepotrzebne, awarie zdarzają się raz na kilka lat”. Rzeczywistość jest taka, że nawet jeśli pełna awaria zdarzy się raz na rok, ale akurat 20. lub 25. dnia miesiąca, to ten jeden raz może kosztować więcej niż kilka lat opłacania prostego backupu na kartę SIM. Dla wielu biur nie chodzi zresztą o pełną awarię – wystarczy kilkugodzinny zanik w godzinach pracy, by plan dnia rozsypał się całkowicie.
Przy planowaniu zapasowego łącza przydaje się kilka praktycznych zasad. Dobrze, by backup był z innej „rodziny” technologicznej niż łącze główne (światłowód + LTE, radio + światłowód itp.), żeby nie padł razem z głównym przy tej samej awarii na słupie czy w szafie operatora. Warto też jasno ustalić, kto ma prawo przełączać łącze ręcznie, jak wygląda „plan B” w dniu awarii i gdzie są zapisane dane dostępowe do zapasowego operatora. W stresie, gdy coś nie działa, nawet prosta zmiana hasła na routerze potrafi zablokować całe biuro na pół dnia.
Nie zawsze trzeba od razu dublować łącze dla pojedynczego, małego biura. Jeżeli zespół to 2–3 osoby pracujące na chmurowym systemie, często wystarczy mieć w szufladzie skonfigurowany router mobilny albo wypracowaną procedurę korzystania z hotspotów z telefonów – pod warunkiem, że była wcześniej przetestowana (limit danych, zasięg, logowanie do kluczowych systemów). Duże biuro z własnym serwerem i kilkunastoma stanowiskami niech raczej traktuje drugie łącze jako standard, a nie luksus.
Bezpieczna sieć w biurze: router, firewall, Wi‑Fi i segmentacja
Parametry łącza to jedno, ale o tym, czy dane klientów są naprawdę chronione, decyduje architektura sieci wewnętrznej. Nawet najlepszy światłowód nie pomoże, jeśli całe biuro działa na fabrycznym routerze od operatora, z hasłem na kartce przy monitorze i jednym Wi‑Fi dla wszystkich.
Podstawą jest porządny router z funkcją firewalla, który można realnie skonfigurować: z osobnymi sieciami (VLAN), regułami ruchu i VPN-em. Dla małego biura rachunkowego nie oznacza to od razu drogich urządzeń klasy korporacyjnej, ale raczej wybór sprzętu „mały biznes”, który ma aktualne oprogramowanie, wsparcie producenta i pozwala na coś więcej niż tylko zmianę nazwy sieci Wi‑Fi. Dobrą praktyką jest przekazanie konfiguracji w ręce osoby technicznej (własne IT lub firma zewnętrzna), a nie „klikanie na czuja” przez kogokolwiek, kto ma chwilę czasu.
Wi‑Fi w biurze księgowym zasługuje na osobne omówienie. Bezpieczny scenariusz to co najmniej dwie odseparowane sieci: wewnętrzna (dla komputerów firmowych, serwerów, drukarek sieciowych) i sieć dla gości (telefony, prywatne laptopy, urządzenia klientów). Te dwie sieci ni