Cyberbezpieczeństwo w automatyzacji procesów biznesowych: Jak chronić dane i zachować kontrolę?

Bezpieczeństwo systemów automatyzacji wymaga czegoś więcej niż tylko podstawowych zabezpieczeń

Automatyzacja procesów biznesowych (BPA) i sztuczna inteligencja (AI) zmieniają sposób, w jaki działają firmy – takie usprawnienia przyspieszają rutynowe zadania, optymalizują procesy i zwiększają efektywność pracowników. Jednak w świecie, gdzie dane są kluczowym aktywem, a cyberataki stają się coraz bardziej zaawansowane, wdrożenie automatyzacji w łatwy sposób może narazić Twoją firmę również na niepożądane skutki. Aby się przed tym chronić nie wystarczą standardowe procedury zapewniania bezpieczeństwa danych, takie jak szyfrowanie informacji czy odpowiednie zarządzanie hasłami. Firmom potrzebne jest podejście, które jednocześnie uwzględni złożoność współczesnych zagrożeń oraz ich możliwy wpływ na systemy automatyzacji, które (ze względu na swoją specyfikę) przetwarzają wiele danych wrażliwych.

Jak więc skutecznie zabezpieczyć zautomatyzowane procesy?

Bezpieczna automatyzacja to taka, która uwzględnia zarówno technologię, czynniki ludzkie jak i regulacje prawne – m.in. te związane z RODO, czyli przepływem danych osobowych. Temat ochrony danych jest złożony i jakiekolwiek błędy w tym zakresie mogą powodować pociągnięcie Twojej firmy do odpowiedzialności chociażby poprzez nałożenie kar finansowych.
‍

‍

Poniżej przedstawiamy 6 rozwiązań, które na realnych przykładach (również z naszego doświadczenia) pokazują, jak skutecznie można zapewnić swojej firmie bezpieczeństwo danych i procesów.

1. Ochrona danych w modelach AI: edukacja pracowników i zarządzanie dostępem do danych osobowych

Zaczniemy od bardzo popularnej w ostatnich miesiącach automatyzacji z użyciem AI. Coraz więcej firm zgłasza się do nas w celu implementacji tego typu usprawnienia procesów, na szczęście wiele z nich jest również świadome potencjalnych zagrożeń. Sama świadomość to jednak za mało. Co z tego, że jako menadżer znasz zasady przetwarzania danych osobowych i wiesz, kiedy i w jaki sposób możesz ich używać, jeśli dostęp do danych mają również mniej świadomi pracownicy. Bez poruszania tematu ochrony danych w organizacjach, informacje poufne często trafiają do LLMów (czyli modeli językowych takich jak ChatGPT) właśnie poprzez działania pracowników, którzy próbują samodzielnie ułatwić sobie pracę. Dlatego pierwszym krokiem do osiągnięcia efektywności ochrony danych w firmie powinno być wdrożenie odpowiedniego zarządzania dostępem do informacji, jak również przeprowadzenie szkolenia z zakresu bezpieczeństwa cyfrowego dla pracowników.

Jeśli wdrożysz do swojej firmy odpowiednie zasady przetwarzania danych, zminimalizujesz większość potencjalnych zagrożeń płynących z wykorzystania AI. Jeśli natomiast decydujemy się na zarządzanie danymi osobowymi w automatyzacji i chcemy "oddać" część z tych informacji zewnętrznemu systemowi – powinniśmy przed podjęciem jakichkolwiek działań zatrzymać się i opracować odpowiednią strategię ochrony danych. Poniżej znajdziesz przykład pokazujący, w jaki sposób zapewniliśmy bezpieczeństwo danych w procesie naszego klienta:

Problem: jeden z naszych klientów planował wykorzystać AI do automatycznego tworzenia ofert handlowych – system miał analizować istniejącą dokumentację i wcześniejszą korespondencję z klientami, by szybciej przygotowywać propozycje cenowe. Pojawiły się jednak uzasadnione obawy o bezpieczeństwo danych: w dokumentach znajdowały się dane osobowe klientów, poufne informacje o sposobie kalkulacji cen oraz same stawki, które stanowiły kluczowe know-how firmy. Problem polegał na tym, że w przypadku AI tradycyjne zabezpieczenia, takie jak samo szyfrowanie danych, nie wystarczają – ryzyko dotyczy także ataków specyficznych dla modeli AI, np. manipulowania danymi treningowymi w celu zaburzenia pracy modelu (tzw. data poisoning) czy wycieku informacji, które model „zapamięta” i może ujawnić przy innych, zewnętrznych zapytaniach. Dlatego konieczne było zaprojektowanie dodatkowych środków ochrony, które uwzględniają te nowe zagrożenia, a nie tylko klasyczne cyberataki.

Rozwiązanie: zaprojektowaliśmy proces, w którym rola AI jest celowo ograniczona. Sztuczna inteligencja jedynie "wyciąga" kluczowe informacje z dokumentów i korespondencji, przekazując je do dedykowanego, bezpiecznego algorytmu wyceny. Dane osobowe przed przesłaniem do AI są automatycznie anonimizowane (czyli przekształcane w taki sposób, aby ich identyfikacja była niemożliwa), a model AI działa na prywatnej infrastrukturze, odizolowanej od publicznych chmur – administratorem danych pozostaje więc nasz klient. Dzięki temu zminimalizowaliśmy ryzyko wycieku i zapewniliśmy pełną kontrolę nad przetwarzanymi informacjami.

Więcej w kontekście przetwarzania danych przez AI pisaliśmy w tym artykule: https://www.sagiton.pl/blog/najczestsze-bledy-przy-wdrazaniu-automatyzacji-z-ai

2. Granularna kontrola dostępu: zminimalizuj błędy ludzkie

Oprócz zarządzania dostępem do danych, bezpieczeństwo w automatyzacji musi obejmować również kontrolę wykonywanych czynności. Oznacza to, że nie każdy pracownik powinien mieć możliwość inicjowania procesów, zatwierdzania działań czy wykonywania wszystkich dostępnych operacji. Uprawnienia należy przydzielać w taki sposób, aby użytkownik mógł realizować wyłącznie te kroki, które są wymagane w ramach jego obowiązków – bez dostępu do funkcji, które nie są mu potrzebne. Takie podejście pozwala precyzyjnie ograniczać ryzyko błędów oraz nadużyć. Przeczytaj, w jaki sposób zapewniliśmy kontrolę dostępów podczas wdrożenia automatyzacji u naszego klienta:

Problem: firma usługowa chciała zautomatyzować zarządzanie szansami sprzedaży w dziale handlowym, w taki sposób, aby handlowcy nie musieli każdorazowo logować się do systemu CRM w celu naniesienia zmian. Postanowiliśmy wdrożyć integrację systemu CRM z komunikatorem wewnętrznym firmy – Slackiem – w taki sposób, aby handlowcy mogli obsługiwać z jego poziomu wszystkie leady za pomocą komend. Wyzwanie? Nie każdy pracownik powinien mieć prawo do przypisywania leadów czy ich usuwania. Brak precyzyjnej kontroli dostępu mógł prowadzić do błędów, np. usunięcia wartościowego leada przez nieuprawnioną osobę.

Rozwiązanie: wdrożyliśmy mechanizm kontroli dostępu, który jasno określał, kto może wykonywać jakie operacje – np. tylko menedżerowie mogli przypisywać leady, a wybrani użytkownicy usuwać je. Dodatkowo wprowadziliśmy zapisywanie wszelkich działań, co pozwoliło śledzić, kto i kiedy podjął konkretne akcje. To rozwiązanie dało firmie pełną kontrolę nad procesem i zminimalizowało ryzyko nieautoryzowanego dostępu do wykonywania czynności.

3. Mechanizmy akceptacji: ludzka weryfikacja w automatyzacji

Wiele firm obawia się wdrożenia automatyzacji z powodu utraty kontroli nad procesami. Do pewnego stopnia jest to słuszna obawa – całkowite oddanie naszych procedur wewnętrznych "w ręce" systemów automatyzujących może być niebezpieczne. Dlatego też, jako agencja automatyzująca zawsze przewidujemy potencjalne zagrożenia i ustalamy z klientem mechanizmy ludzkiej akceptacji. Co to oznacza? Nawet jeśli proces jest w pełni zautomatyzowany, w kluczowych momentach może zostać wstrzymany i przekazany do zatwierdzenia przez człowieka. Pozwala to zachować kontrolę nad najważniejszymi decyzjami – np. sprawdzić poprawność danych, potwierdzić zgodność z procedurami czy ocenić wyjątkowe sytuacje, które mogą wymagać ludzkiego osądu. Implementujemy także automatyzacje, które od początku mają zaprogramowane oczekiwanie na weryfikację przez pracownika – np. akceptowanie czasu pracy przez menadżera przed wysłaniem rozliczeń do kadr. Dzięki temu automatyzacja naprawdę przyspiesza pracę, ale jednocześnie nie odbiera firmie nadzoru nad procesem.

Problem: firma budowlana zmagała się z problemem gubienia faktur kosztowych i opóźnień w ich ewidencjonowaniu. Wdrożyliśmy automatyczne skanowanie skrzynek pocztowych kierowników oraz OCR dla zdjęć paragonów, ale pojawiło się ryzyko phishingu – fałszywe faktury mogły zostać zaakceptowane i omylnie zaksięgowane.

Rozwiązanie: wprowadziliśmy mechanizm akceptacji faktur przez Slacka, gdzie kierownik lub przełożony potwierdzał dokument przyciskiem „accept” lub „reject”. Zautomatyzowaliśmy też powiadomienia przypominające o konieczności weryfikacji, co przyspieszyło proces i zminimalizowało ryzyko oszustwa typu invoice scam.

4. Monitoring, systemy alarmowe i szyfrowanie: ciągła ochrona w tle

Chyba jednym z największym błędów, jakie możemy popełnić podczas wdrożenia automatyzacji jest zapomnienie o konieczności przetestowania i cyklicznego sprawdzania stworzonego przez nas systemu. Dotyczy się to zarówno prawidłowego działania automatyzacji i osiągania przez nią zamierzonych celów, jak również kwestii bezpieczeństwa informacji. Co z tego, że wdrożymy usprawnienia, które faktycznie oszczędzą nam budżet w dziale sprzedaży, jeśli nieprzewidziana przez nas awaria systemu sprawi, że zapłacimy wysoką karę pieniężną za naruszenie RODO? Nie możemy wdrożyć automatyzacji, a później zapomnieć o niej, póki przynosi zysk. Jeśli nie kontrolujemy działania systemu na bieżąco, możemy się niemile zaskoczyć kiedy faktycznie dojdzie do incydentu bezpieczeństwa. Dlatego w Sagiton oferujemy naszym klientom nie tylko wdrożenie automatycznego monitoringu systemów, ale również tzw. wsparcie powdrożeniowe, czyli okres, w którym nasz zespół pozostaje do dyspozycji, aby móc na bieżąco reagować na ewentualne błędy systemu. Poniżej znajdziesz przykład naszej implementacji ciągłego monitoringu bezpieczeństwa danych:

Problem: firma technologiczna wdrożyła automatyzację procesów logistycznych, ale obawiała się, że luki w systemie mogą umożliwić nieautoryzowany dostęp. Wcześniejszy incydent bezpieczeństwa, w którym niezauważona próba ataku na API naraziła dane klientów, pokazał, że samo szyfrowanie danych nie wystarcza.

Rozwiązanie: wdrożyliśmy system ciągłego monitoringu cyberbezpieczeństwa, który na bieżąco śledzi ruch w systemie, wykrywa podejrzane aktywności (np. nietypowe dla organizacji żądania API) i natychmiast powiadamia administratorów sieci. Połączenia API zabezpieczyliśmy szyfrowaniem end-to-end i testami penetracyjnymi zgodnymi z OWASP, co pozwoliło zidentyfikować i naprawić potencjalne luki, które mogłyby doprowadzić do naruszenia ochrony danych.

5. Zgodność z RODO: Techniczne podejście do regulacji dot. przetwarzania danych osobowych

Kluczowym wyzwaniem przy wdrażaniu automatyzacji jest zapewnienie zgodności z przepisami o ochronie danych osobowych, w tym RODO. Tak jak pisaliśmy wyżej, procesy wewnętrzne często przetwarzają duże ilości danych klientów czy pracowników, co wymaga zarówno odpowiednio zabezpieczonych systemów zarządzania danymi, jak i jasno określonych zasad dostępu do danych. W praktyce oznacza to, że projektując automatyzację, należy zidentyfikować, które dane są naprawdę niezbędne do realizacji zadania, odpowiednio je zanonimizować lub ograniczyć zakres ich przetwarzania. Dzięki temu automatyzacja nie tylko usprawnia procesy, ale również wspiera spełnienie przepisów dotyczących danych wynikających m.in. z RODO i minimalizuje ryzyko naruszeń.

Problem: firma szkoleniowa planowała zautomatyzować swoją platformę, aby uprościć obsługę klientów i przyspieszyć dostęp do materiałów, jednak w trakcie analizy wykryto poważne naruszenia zasad RODO. Okazało się, że zdjęcia pracowników publikowane w systemie zawierały w metadanych EXIF – czyli ukrytych informacjach zapisywanych automatycznie przez aparat lub telefon – dane lokalizacyjne, które mogły ujawniać miejsce wykonania zdjęcia. Dodatkowo API platformy zwracało więcej danych osobowych, niż było to konieczne, np. adresy e‑mail i numery telefonów w sytuacjach, gdy potrzebne były wyłącznie imiona i nazwiska. Takie działanie naruszało zasadę Privacy by Default, która wymaga ograniczenia przetwarzania danych do absolutnego minimum.

Rozwiązanie: wdrożyliśmy mechanizm usuwania danych EXIF przy wgrywaniu zdjęć oraz zoptymalizowaliśmy API, by zwracało tylko niezbędne informacje. To zapewniło zgodność z RODO na poziomie technicznym, wykraczając poza standardową weryfikację prawną.

6. Bezpieczeństwo haseł: wdrożenie SSO i 2FA w automatyzacji

Na koniec zostawiliśmy chyba najbardziej podstawowy typ zabezpieczenia pojawiający się w każdej polityce bezpieczeństwa – czyli SSO i 2FA. Co to tak właściwie jest? SSO (Single Sign-On) to mechanizm, który pozwala użytkownikowi logować się raz i uzyskiwać dostęp do wielu systemów bez ponownego podawania hasła (tak jak na przykład działa logowanie w Google Workspace). Dzięki temu ogranicza się liczbę haseł do zapamiętania i zmniejsza ryzyko ich powtarzania w różnych miejscach. 2FA (Two-Factor Authentication) polega natomiast na dodaniu drugiego etapu weryfikacji tożsamości, np. kodu SMS lub powiadomienia w aplikacji, co utrudnia nieautoryzowany dostęp nawet przy poznaniu hasła. Połączenie SSO i 2FA znacząco zwiększa wygodę użytkowników przy jednoczesnym podniesieniu poziomu bezpieczeństwa.

Problem: głośny przypadek kradzieży środków z platformy XTB pokazał, jak niebezpieczne może być używanie tych samych haseł w różnych systemach. Użytkownik stracił 150 tys. zł, ponieważ hasło wyciekło z innej platformy, a hakerzy wykorzystali je do ataku. W kontekście cyberbezpieczeństwa automatyzacji firmowej podobny problem może dotyczyć współdzielonych dostępów do narzędzi, np. do wysyłki newsletterów, gdzie pracownicy używają słabych lub powtórzonych haseł.

Rozwiązanie: aby uniknąć takich sytuacji w automatyzacji, można wdrożyć jednokrotne logowanie (SSO) z protokołami SAML2 lub OAuth2, co centralizuje zarządzanie dostępami i eliminuje potrzebę wielokrotnego wprowadzania haseł. Dodatkowo warto zastosować uwierzytelnianie dwuskładnikowe (2FA) oparte na TOTP (czyli funkcję nadawania unikalnych, jednorazowych kodów weryfikujących), wysyłane np. przez Slack, SMS lub dedykowaną aplikację, oraz managera haseł (np. Bitwarden) z wymogiem silnych, unikalnych haseł. Dzięki automatyzacji możemy wykorzystać te mechanizmy do automatycznego generowania jednorazowych haseł. Minimalizuje to ryzyko ludzkich błędów i zapewnia, że każde hasło jest unikalne i bezpieczne.

Automatyzacja a cyberbezpieczeństwo – bezpieczna automatyzacja wymaga wiedzy i doświadczenia

Automatyzacja procesów biznesowych i AI to narzędzia, które mogą znacząco przyspieszyć rozwój firmy, ale tylko wtedy, gdy są wdrażane z myślą o cyberbezpieczeństwie. Jak pokazują powyższe przykłady, standardowe rozwiązania, takie jak szyfrowanie czy proste zarządzanie hasłami, nie wystarczą, by chronić przed współczesnymi zagrożeniami – od phishingu po naruszenia RODO. Kluczowe jest podejście, które łączy technologię, precyzyjne mechanizmy kontroli i ludzką weryfikację.

Dlatego tak ważne jest, aby podczas wyboru agencji automatyzującej, której tak naprawdę powierzamy swoje procesy wewnętrzne, zwrócić uwagę na jej doświadczenie w zakresie cyberbezpieczeństwa.

W Sagiton Automation bezpieczeństwo systemów automatyzacji jest dla nas najwyższym priorytetem. Nie tylko dbamy o to, aby wdrażane przez nas usprawnienia były bezpieczne, ale jeśli jest taka potrzeba, również implementujemy dodatkowe testy sprawdzające efektywność ochrony danych w naszych realizacjach.

Zanim zdecydujesz się na automatyzację, zastanów się: czy Twój system jest przygotowany do obrony przed atakami? Czy dane klientów i know-how firmy są bezpieczne? Współpraca z zespołem automatyzującym, który zna się na technologii i cyberbezpieczeństwie, sprawi, że automatyzacja stanie się jedynie atutem, a nie źródłem potencjalnego ryzyka.