---
title: "Tablet z magazynu sięga serwera finansów"
url: "https://sovereos.com/pl/blog/tablet-z-magazynu-siega-serwera-finansow"
description: "Sieć budowana urządzenie po urządzeniu kończy jako płaska: każda drukarka, kamera i gość widzi wszystko. Jak to zawodzi i jak wygląda sieć zaprojektowana."
---

# Tablet z magazynu sięga serwera finansów

8 października 2026·3 min czytania·Redakcja

Młody technik sieciowy porządkuje kolorowe kable krosowe w otwartej szafie serwerowej, a obok na wózku leżą laptop i zwinięty zielony kabel.

Wyobraźcie sobie czterdziestoosobowego dystrybutora. W magazynie są wytrzymałe tablety do kompletowania zamówień. W biurze stoi serwer plików z udziałem działu finansów. Na recepcji działa Wi-Fi dla gości z osobną nazwą i hasłem. Jest rejestrator kamer, trzy drukarki, ekran w sali spotkań i sterownik drzwi, który ktoś zamontował przy przeprowadzce.

Teraz proste pytanie: czy tablet z magazynu może nawiązać połączenie z serwerem finansów? W sieci budowanej przez dokładanie kolejnych urządzeń odpowiedź prawie zawsze brzmi: tak. Nie dlatego, że ktoś na to pozwolił, tylko dlatego, że nikt nigdy nie powiedział „nie”.

Przyczyną nie jest niedbalstwo. Jedna płaska sieć to stan domyślny, kiedy nikt sieci nie projektuje: każde urządzenie trafia do najbliższego wolnego gniazdka, dostaje adres i działa. I właśnie w tym problem. Nic się nie psuje, więc nic Was nie ostrzega.

## Jak zawodzi płaska sieć

**Jedno słabe urządzenie sięga wszystkiego.** Drukarka ze starym oprogramowaniem, kamera z fabrycznym hasłem, laptop, na którym ktoś otworzył niewłaściwy załącznik. W płaskiej sieci każde z nich jest przyczółkiem z widokiem na całe środowisko, a ransomware rozchodzi się dokładnie takimi otwartymi ścieżkami.

**Wi-Fi dla gości, które nie jest siecią dla gości.** Osobna nazwa sieci na tej samej sieci pod spodem to wygoda, a nie granica. Goście, podwykonawcy i ich zainfekowane telefony siedzą obok Waszych serwerów.

**Urządzenia, którymi nikt nie zarządza.** Kamery, sterowniki drzwi, ekrany w salach, sterownik ogrzewania budynku. To są komputery, rzadko aktualizowane, często instalowane i serwisowane przez innego dostawcę i zwykle niewidoczne dla tego, kto opiekuje się laptopami.

**Dostęp zdalny przez jedną dziurę.** Port przekierowany na routerze lata temu, żeby dostawca mógł się połączyć, albo jedno urządzenie do zdalnego dostępu, od którego zależą wszyscy — często z własnymi kontami, które nigdy nie pojawiły się w firmowym katalogu i nigdy nie są usuwane, gdy ktoś odchodzi.

**Brak mapy.** Nikt nie umie powiedzieć, co z czym rozmawia. Bez tego nie da się odróżnić ruchu normalnego od podejrzanego, a każda zmiana w sieci jest ostrożnym zgadywaniem.

## Jak wygląda sieć zaprojektowana

Rozwiązaniem nie jest egzotyczny sprzęt. Większość biznesowych przełączników, punktów dostępowych i zapór potrafi wszystko, co poniżej. Brakuje projektu i decyzji.

**Strefy według przeznaczenia.** Urządzenia pracowników, serwery, goście, urządzenia niezarządzane — kamery, drukarki, ekrany — oraz interfejsy zarządzania samą siecią. Każda strefa we własnym segmencie.

**Domyślnie zakaz między strefami.** Ruch między segmentami jest dozwolony regułą, a przy każdej regule zapisany jest powód. Tablet z magazynu potrzebuje systemu magazynowego. Udziału finansów nie potrzebuje — i teraz nie może do niego sięgnąć.

**Urządzenia niezarządzane w zagrodzie.** Kamera łączy się ze swoim rejestratorem. Drukarka przyjmuje wydruki. Żadna z nich nie musi zaczynać rozmowy z czymkolwiek innym i żadna nie powinna móc.

**Dostęp zdalny powiązany z tożsamością.** Dostęp przyznawany per osoba i per aplikacja przez firmowy katalog, z drugim składnikiem logowania — tak, żeby odchodzący pracownik tracił go razem z całą resztą i żeby żaden port nie zostawał otwarty dla dostawcy, który skończył projekt dawno temu. To kolejny powód, dla którego [prawdziwym zamknięciem jest tożsamość](https://sovereos.com/pl/blog/tozsamosc-to-prawdziwe-zamkniecie): kto kontroluje katalog, ten kontroluje, kto wchodzi z zewnątrz.

**Mapa, która jest aktualna.** Jeden schemat i jedna lista reguł, aktualizowane przy każdej zmianie. To pierwszy dokument, którego będzie potrzebować następny inżynier, i ten, który pozwala [wymienić dostawcę](https://sovereos.com/pl/blog/nikt-nie-potrafi-wycenic-wyjscia) bez archeologii.

## Róbcie to etapami

Podział działającej sieci w jeden weekend to sposób, w jaki firmy odkrywają, od czego po cichu zależał program księgowy. Kolejność, która działa: najpierw obserwujcie ruch i zapiszcie, co naprawdę z czym rozmawia; potem utwórzcie strefy i przenieście do nich urządzenia z łagodnymi regułami; na końcu zaostrzajcie reguły po jednej, w godzinach pracy, z kimś pod ręką, kto zauważy, co przestało działać.

To wolniejsze niż przełączenie wszystkiego naraz — i to jest wersja, która nie kończy się przywróceniem starej płaskiej sieci w poniedziałek rano, bo nie dało się wydrukować faktur. Sieć jest jedną z warstw naszego podejścia do [IT na własność dla średnich firm](https://sovereos.com/pl) i zwykle tą, w której czeka najwięcej niespodzianek.

## Test na dzisiejsze popołudnie

Dwa sprawdzenia, razem pół godziny.

Po pierwsze: podłączcie laptopa do Wi-Fi dla gości i spróbujcie otworzyć adres serwera plików albo stronę administracyjną którejś z drukarek. Jeśli cokolwiek odpowie, goście są w Waszej sieci biurowej.

Po drugie: zalogujcie się do routera albo zapory i wypiszcie każde przekierowanie portu i każde konto dostępu zdalnego. Przy każdym zapiszcie, kto o nie prosił i czy nadal go potrzebuje. Każdy wiersz, którego nie umiecie uzupełnić, to pierwsza reguła do usunięcia.

-   segmentacja sieci
-   dostęp zdalny
-   IoT
-   bezpieczeństwo

## Czytaj dalej

-   [Jak zbudować fabrykę agentów w IT firmy: pętla etap po etapie](https://sovereos.com/pl/blog/jak-zbudowac-fabryke-agentow-w-it-firmy)
-   [Fabryka agentów działa u dostawcy. Czyja jest wiedza, którą w niej zostawiacie?](https://sovereos.com/pl/blog/czyja-jest-fabryka-agentow)