DSM potrafi uratować firmie skórę… albo dać złudne poczucie bezpieczeństwa

DSM (DiskStation Manager) to system operacyjny serwerów NAS Synology. Dla wielu firm brzmi to jak „panel do plików” – coś na zasadzie większego dysku sieciowego. I tu zaczynają się problemy, bo DSM może być:

• bezpiecznym centrum danych, które wspiera firmę w pracy, backupie, dostępie zdalnym i zgodności z RODO,
• albo ładnym interfejsem do przechowywania plików, który w krytycznym momencie nie ochroni przed ransomware, błędem pracownika czy awarią.

Jeśli w Twojej firmie nie ma osoby od IT, to DSM może być jednocześnie świetnym wsparciem i źródłem stresu. Bo z jednej strony wiele rzeczy da się „wyklikać”, a z drugiej: kilka decyzji podjętych na początku (np. konfiguracja kont, uprawnień, dostępu zdalnego, snapshotów, backupu) ma konsekwencje przez lata.

W tym poradniku przejdziemy przez DSM od A do Z: co ustawić na starcie, jak zabezpieczyć serwer, jak zorganizować użytkowników i dane, jak wdrożyć backup zgodny z zasadą 3-2-1, jak dać pracownikom wygodny dostęp i jak mieć kontrolę bez bycia informatykiem.

1) Zanim klikniesz „Dalej”: jak myśleć o DSM w firmie (bez żargonu)

Najprościej: DSM to „system zarządzania firmowymi plikami i usługami”. W praktyce może obsłużyć:

• repozytorium plików dla zespołu (udziały sieciowe, wersjonowanie, kosz),
• backup komputerów i serwerów,
• backup Microsoft 365/Google Workspace (w zależności od modelu i aplikacji),
• synchronizację plików między urządzeniami,
• VPN i bezpieczny dostęp zdalny,
• monitoring i alerty (dyski, temperatury, awarie, logowania),
• snapshoty (migawki) – kluczowe w ochronie przed ransomware,
• podstawowe usługi „serwerowe” (np. katalog użytkowników, FTP/SFTP – choć tu trzeba uważać).

Wniosek dla właściciela firmy: DSM to narzędzie do ograniczenia ryzyka. Nie chodzi o to, żeby mieć „NAS”, tylko żeby:

• nie stracić danych,
• nie sparaliżować firmy,
• mieć kontrolę nad dostępami,
• móc odtworzyć pliki i działać dalej.

2) Pierwsze uruchomienie DSM: ustawienia, które mają znaczenie (i te, które możesz odłożyć)

2.1 Konto administratora: „admin” to proszenie się o kłopoty

Pierwsza zasada: nie używaj domyślnej nazwy konta administratora. Boty atakujące NAS-y „zgadują” loginy typu admin lub administrator.

Co zrobić:

• utwórz konto o niestandardowej nazwie (np. cyber_admin_2f),
• ustaw mocne hasło i włącz 2FA (o tym za chwilę),
• wyłącz/usuń domyślne konto admin, jeśli DSM je ma aktywne.

2.2 Aktualizacje: bezpieczeństwo wygrywa z „świętym spokojem”

Właściciele firm często odkładają aktualizacje, bo „jak działa, to nie ruszaj”. Problem: w świecie bezpieczeństwa to działa odwrotnie.

Rekomendacja dla MŚP bez IT:

• włącz automatyczne aktualizacje DSM dla poprawek bezpieczeństwa,
• aktualizacje „większe” (major) planuj na spokojniejszy czas,
• ustaw okno serwisowe (np. noc/wieczór), jeśli to możliwe.

2.3 Powiadomienia: jeśli DSM krzyczy, musisz to usłyszeć

DSM potrafi wysyłać alerty e-mail / push (aplikacja Synology) o:

• błędach dysku (S.M.A.R.T.),
• degradacji RAID,
• przegrzewaniu,
• nieudanych logowaniach,
• braku miejsca,
• problemach z backupem.

Jeśli tego nie skonfigurujesz, możesz dowiedzieć się o awarii za późno.

Minimum:

• powiadomienia e-mail na 2 osoby (właściciel + osoba operacyjna),
• test alertu po konfiguracji,
• alerty o backupie (sukces/porażka) – to ważniejsze, niż się wydaje.

3) Najważniejszy rozdział: bezpieczeństwo DSM (hardening) dla firm bez działu IT

Tu jest sedno. DSM często jest atakowany automatycznie – skanowanie internetu, boty, próby logowania. Zwłaszcza jeśli włączysz dostęp zdalny „na szybko”.

3.1 2FA (uwierzytelnianie dwuskładnikowe) – obowiązkowe

Dla kont z uprawnieniami administracyjnymi: 2FA ma być włączone zawsze.

• hasło może wyciec,
• pracownik może użyć tego samego hasła gdzie indziej,
• ktoś może je podejrzeć.

2FA to najprostsza i najtańsza „polisa”.

3.2 Automatyczna blokada IP i ochrona przed brute-force

Włącz:

• blokowanie IP po kilku nieudanych próbach logowania,
• listę dozwolonych adresów (jeśli da się zawęzić),
• dodatkowe mechanizmy ochronne w DSM (w zależności od wersji).

To nie rozwiąże wszystkiego, ale masowo ogranicza „śmieciowy” atak.

3.3 Firewall w DSM i zasada „tylko to, co potrzebne”

Jeśli nie musisz wystawiać usług na internet – nie wystawiaj. Jeśli musisz – ogranicz:

• z jakich IP można się łączyć,
• do jakich portów,
• w jakich protokołach.

Najczęstszy błąd: włączenie kilku usług „bo może się przyda”, a potem zostawienie ich bez kontroli.

3.4 Zdalny dostęp: QuickConnect vs VPN (co wybrać w firmie?)

Właściciel firmy chce, żeby to „po prostu działało” z domu. Rozumiem. Tylko że bezpieczeństwo zależy od sposobu dostępu.

• QuickConnect: wygodne, szybkie uruchomienie, mniejszy próg wejścia. Dobre dla prostych scenariuszy, ale wymaga poprawnego hardeningu i świadomości, jakie usługi są dostępne.
• VPN: bardziej „firmowe” podejście. Łączysz się do sieci firmy, a potem do DSM/plików jak w biurze. Zwykle bezpieczniejsze, ale wymaga konfiguracji i utrzymania.

Dla firm bez IT często najlepszy model to:

• VPN dla dostępu administracyjnego i kluczowych zasobów,
• jasno opisane zasady dostępu dla pracowników,
• ograniczenie usług wystawionych na internet do minimum.

3.5 Uprawnienia administracyjne: nie każdy musi być adminem

DSM ma role i grupy. W praktyce:

• adminów powinno być 1–2,
• reszta użytkowników – tylko uprawnienia do folderów i aplikacji, które są im potrzebne.

Im mniej uprawnień, tym mniejsze ryzyko błędów i szkód.

4) Użytkownicy, grupy i uprawnienia: jak zrobić porządek, żeby to działało latami

W firmach bez IT chaos uprawnień jest normą:

• wszyscy mają dostęp do wszystkiego,
• foldery „HR” widzi pół firmy,
• ktoś przypadkowo usuwa katalog, bo mógł.

4.1 Zasada minimalnych uprawnień (najważniejsza zasada porządku)

Każdy ma dostęp tylko do tego, co potrzebuje.

Przykładowe grupy:

• Zarzad
• Ksiegowosc
• Handel
• Marketing
• Operacje
• IT_Admin (nawet jeśli to zewnętrzna firma)

Przykładowe foldery współdzielone:

• Finanse (tylko Księgowość + Zarząd)
• Kadry (tylko HR + Zarząd)
• Sprzedaz (Handel + Zarząd)
• Projekty (zależnie od struktury)
• Wspolne (wszyscy)
• Backup (tylko admin)

4.2 Kosz i wersjonowanie plików – ochrona przed „ups, usunąłem”

Włącz:

• kosz na folderach współdzielonych (tam gdzie ma sens),
• politykę retencji (np. opróżnianie po 30/60/90 dniach),
• wersjonowanie/snapshoty (jeśli model i system plików na to pozwalają – o tym niżej).

To jest realne „ubezpieczenie” przed ludzkim błędem.

4.3 Integracja z katalogiem użytkowników (jeśli masz)

Jeśli firma ma Active Directory lub inny katalog – integracja upraszcza życie. Jeśli nie ma: DSM i tak pozwala ogarnąć użytkowników sensownie, byle nie robić wszystkiego „na jednym koncie”.

5) Dyski, wolumeny, system plików i RAID: decyzje, które później bolą (albo ratują)

Właściciel firmy nie chce studiować RAID-ów. I słusznie. Ale warto zrozumieć 3 rzeczy:

1. RAID to ciągłość pracy po awarii dysku.
2. RAID to nie backup.
3. Złe decyzje na starcie utrudniają rozbudowę i odzysk.

5.1 RAID w praktyce: co najczęściej ma sens w MŚP?

• RAID 1 (2 dyski): prosto i bezpiecznie, ale połowa pojemności „znika”.
• RAID 5 / SHR (min. 3 dyski): rozsądny kompromis pojemność/bezpieczeństwo.
• RAID 6 / SHR-2 (min. 4 dyski): większe bezpieczeństwo (awaria 2 dysków), kosztem pojemności.
• RAID 10: wydajność i bezpieczeństwo, ale drożej (pojemność 50%).

Jeśli firma nie ma IT i planuje rozbudowę – rozwiązania hybrydowe typu SHR bywają bardzo rozsądne (łatwiejsza rozbudowa, elastyczność przy dyskach).

5.2 Wolumeny i podział przestrzeni: mniej kombinowania, więcej przewidywalności

W 80% przypadków lepiej:

• zrobić 1 główny wolumen,
• trzymać porządek folderami i uprawnieniami,
• nie dzielić na siłę na wiele wolumenów „bo tak”.

Wyjątki: specyficzne wymagania (np. odseparowane dane, różne polityki snapshotów, osobne cele backupu).

5.3 Snapshoty (migawki) – „tajna broń” przeciw ransomware

Jeśli konfiguracja na to pozwala (w zależności od modelu i systemu plików), snapshoty robią ogromną różnicę:

• są szybkie,
• pozwalają cofnąć stan folderu do wczoraj/zeszłego tygodnia,
• mogą być ustawione jako niezmienne (immutability) przez określony czas.

W praktyce przy ataku ransomware snapshoty to często najszybsza droga do powrotu do działania.

6) Backup w DSM: jak zrobić to naprawdę dobrze (bez mitów)

W firmach bez IT backup zwykle „jest”, ale:

• nie działa,
• nikt nie wie, czy działa,
• nikt nigdy nie testował odzysku.

6.1 Zasada 3-2-1 w wersji dla właściciela firmy

Masz mieć:

• 3 kopie danych,
• na 2 różnych nośnikach,
• 1 kopię poza firmą.

Przykład praktyczny:

• Dane na NAS (produkcyjne),
• Backup lokalny na dysk USB lub drugi NAS,
• Backup zdalny do chmury lub do drugiej lokalizacji.

6.2 Co backupować?

Nie tylko „folder Wspólne”. W firmie liczą się:

• projekty,
• finanse,
• kadry,
• poczta/załączniki (jeśli firma tego potrzebuje),
• konfiguracja systemu (żeby szybciej odtworzyć usługę),
• czasem również komputery pracowników (zwłaszcza laptopy).

6.3 Retencja i wersje: backup z wczoraj może nie wystarczyć

Ransomware potrafi „przyczaić się” i szyfrować dopiero po czasie. Dlatego backup powinien mieć:

• wersjonowanie (kilka punktów w czasie),
• sensowną retencję (np. 30–90 dni, zależnie od krytyczności).

6.4 Test odtworzenia: jedyny sposób, żeby spać spokojnie

Raz na kwartał:

• odtwórz losowy folder lub kilka plików,
• sprawdź, czy są kompletne,
• sprawdź, ile to trwa.

To jest prosta procedura, a daje 10x więcej bezpieczeństwa niż „mamy backup”.

7) Udostępnianie plików i współpraca: jak dać wygodę bez robienia dziur w bezpieczeństwie

Właściciel firmy chce:

• żeby pracownicy mieli dostęp w biurze i zdalnie,
• żeby dało się udostępnić pliki klientowi,
• żeby nie było bałaganu wersji.

7.1 Dostęp w biurze: SMB i mapowanie dysków (najczęściej)

Najczęściej korzysta się z udziałów sieciowych (mapowane dyski). Ważne: porządek uprawnień i nazewnictwa folderów.

7.2 Dostęp zdalny: zasady

Dostęp zdalny to najczęstsze źródło ryzyka. Dobre podejście:

• pracownicy łączą się przez VPN,
• konta mają 2FA (tam, gdzie to możliwe),
• nie udostępniasz panelu administracyjnego całemu światu,
• logi dostępu są monitorowane.

7.3 Udostępnianie plików klientom: linki z hasłem i terminem ważności

Jeśli udostępniasz pliki przez link:

• ustaw hasło,
• ustaw datę wygaśnięcia,
• ogranicz możliwość edycji, jeśli nie jest potrzebna,
• rozważ osobny folder „Wymiana z klientami”, żeby nie otwierać zasobów wewnętrznych.

8) Monitoring i alerty: jak nie przegapić problemu, gdy „nikt nie jest od IT”

Najlepszy NAS to taki, który sam mówi: „coś jest nie tak”.

Ustaw alerty dla:

• degradacji RAID,
• błędów S.M.A.R.T.,
• przegrzania,
• braku miejsca,
• błędów backupu,
• wielu nieudanych logowań.

Dodatkowo:

• miesięczny „mini-przegląd” (15 minut): aktualizacje, backup, stan dysków, logi.

To jest realny model utrzymania dla firmy bez IT.

9) „Co my właściwie dostajemy?” – checklista optymalnej konfiguracji DSM (dla MŚP)

Jeśli miałbym zamknąć „optymalną konfigurację DSM” w praktycznej liście, to:

Bezpieczeństwo

• konto admin bez domyślnej nazwy + mocne hasło
• 2FA dla adminów
• blokada IP po nieudanych logowaniach
• firewall i ograniczenie usług
• bezpieczny model dostępu zdalnego (VPN lub dobrze zabezpieczony QuickConnect)
• regularne aktualizacje DSM i pakietów

Użytkownicy i dostęp

• grupy użytkowników (Zarząd/Finanse/HR/itd.)
• zasada minimalnych uprawnień
• kosz + polityka retencji
• uporządkowana struktura folderów

Dane i odporność

• sensowna konfiguracja RAID/SHR
• snapshoty z retencją i (jeśli możliwe) immutability
• monitoring dysków i temperatur

Backup (poza RAID)

• strategia 3-2-1
• wersjonowanie i retencja
• alerty o błędach backupu
• kwartalny test odtworzenia

10) Gdzie firmy najczęściej się potykają (i jak temu zapobiec)

1. „RAID to backup” – nie, i to boli najbardziej.
2. Jeden wspólny login – wygodne do pierwszego incydentu.
3. Brak 2FA – proszenie się o przejęcie konta.
4. Wystawienie DSM do internetu bez ograniczeń – boty prędzej czy później przyjdą.
5. Brak snapshotów i wersjonowania – ransomware lub błąd człowieka robi bałagan.
6. Backup bez testów – w kryzysie okazuje się, że „nie działało od miesięcy”.

Podsumowanie: DSM to nie „sprzęt IT” – to element ciągłości działania firmy

Jeśli w Twojej firmie nie ma działu IT, DSM może być dokładnie tym, czego potrzebujesz: systemem, który porządkuje pliki, zabezpiecza dane, automatyzuje backup i daje właścicielowi kontrolę.

Ale pod jednym warunkiem: że jest skonfigurowany świadomie.

Jeśli chcesz, podejdź do tego jak do ubezpieczenia. Nie chodzi o to, żeby „mieć NAS”. Chodzi o to, żeby Twoja firma nie stanęła, gdy:

• padnie dysk,
• ktoś usunie folder,
• wydarzy się atak ransomware,
• potrzebujesz szybko odzyskać dane po awarii.

Jeżeli potrzebujesz wsparcia – Cyber.pl może przejąć temat: od doboru konfiguracji, przez zabezpieczenie DSM, po backup 3-2-1 i stały monitoring. Ty dostajesz spokój i przewidywalność, zamiast gaszenia pożarów.

FAQ – konfiguracja DSM dla małych i średnich firm

Czy DSM nadaje się dla firmy bez informatyka?

Tak, DSM jest jednym z bardziej „przyjaznych” systemów dla MŚP. Warunek: trzeba go dobrze skonfigurować na starcie (bezpieczeństwo, uprawnienia, backup, snapshoty) i wdrożyć prostą rutynę utrzymaniową (aktualizacje + monitoring). W praktyce wiele firm zleca wdrożenie i późniejsze utrzymanie zewnętrznie.

Czy wystarczy włączyć RAID, żeby dane były bezpieczne?

Nie. RAID chroni głównie przed awarią dysku. Nie chroni przed ransomware, usunięciem danych, błędami pracowników, pożarem czy kradzieżą sprzętu. Potrzebujesz backupu (najlepiej 3-2-1) i – jeśli to możliwe – snapshotów.

Co jest ważniejsze: backup czy snapshoty?

Oba elementy są ważne, ale rozwiązują różne problemy. Snapshoty pozwalają szybko cofnąć zmiany (np. po ransomware lub błędzie użytkownika). Backup chroni przed utratą całego urządzenia, awarią, kradzieżą czy zdarzeniem losowym. Najlepsza praktyka to snapshoty + backup zewnętrzny.

Czy można bezpiecznie udostępniać pliki klientom z DSM?

Tak, ale z zasadami: linki powinny mieć hasło i termin ważności, a udostępniane dane powinny znajdować się w wydzielonym folderze. Nie udostępniaj „wewnętrznych” zasobów firmy na zewnątrz bez kontroli.

Jak często trzeba aktualizować DSM?

Aktualizacje bezpieczeństwa warto instalować możliwie szybko. W firmach bez IT dobrym rozwiązaniem są automatyczne aktualizacje dla poprawek krytycznych i planowane okna serwisowe dla większych aktualizacji.

Czy dostęp zdalny przez QuickConnect jest bezpieczny?

Może być bezpieczny, jeśli DSM jest dobrze zabezpieczony (2FA, blokady, firewall, aktualizacje, ograniczenie usług). W wielu firmach preferuje się VPN jako bardziej „korporacyjny” model dostępu. Optymalny wybór zależy od tego, kto i do czego ma się łączyć.

Ile kont użytkowników tworzyć – czy można pracować na jednym haśle?

Nie warto. Jedno wspólne konto to brak kontroli, brak rozliczalności i większe ryzyko. W DSM twórz konta imienne, grupy i uprawnienia. To naprawdę ułatwia zarządzanie i zwiększa bezpieczeństwo.

Jak sprawdzić, czy backup działa?

Po pierwsze: ustaw alerty o błędach backupu. Po drugie: wykonuj okresowe testy odtwarzania danych (np. raz na kwartał). Dopiero odzysk plików w praktyce daje pewność, że backup spełnia swoją rolę.

Co zrobić, jeśli NAS zacznie zgłaszać błędy dysku?

Nie ignoruj. Zabezpiecz aktualny backup, sprawdź raporty S.M.A.R.T., a jeśli dysk jest w stanie „Warning/Failing” – wymień go możliwie szybko. W macierzy RAID degradacja to stan ryzykowny, szczególnie podczas odbudowy.

Czy Cyber.pl może wdrożyć i utrzymywać DSM za firmę?

Tak – to częsty model dla MŚP bez działu IT. Wdrożenie obejmuje konfigurację bezpieczeństwa, użytkowników, uprawnień, RAID/SHR, snapshotów i backupu. Utrzymanie obejmuje monitoring, aktualizacje, reagowanie na alerty i wsparcie w razie awarii.

Jeśli chcesz, mogę też dopasować treść do konkretnego scenariusza Twojej firmy (np. 5–20 pracowników, praca hybrydowa, dane księgowe i kadrowe, współdzielenie plików z klientami) i zaproponować „rekomendowaną konfigurację DSM” w formie gotowej checklisty wdrożeniowej.