Firmy inwestują w marketing i sprzedaż. A kto chroni to, co te inwestycje mają zwrócić?

Cybersecurity nie zaczyna się od technologii. Zaczyna się od pytania, co napędza firmę

Wiele firm, jak już zaczyna myśleć o cyberbezpieczeństwie (większość nie myśli, bo „kto by chciał nas atakować”), nadal traktuje je jak coś osobnego. Jak warstwę techniczną, która istnieje gdzieś obok biznesu. Ja patrzę na to inaczej.

Jeżeli firma zdobywa klientów przez stronę internetową, kampanie reklamowe, formularze, działania handlowe, mailingi i CRM, to właśnie tam znajduje się jej realna infrastruktura wzrostu, która może stanowić łakomy kąsek dla cyberprzestępców.

Pracując na co dzień z biznesem i wchodząc w świat cybersecurity, widzę to tak, że bezpieczeństwo powinno zaczynać się od pytania: „co w naszej firmie musi działać bez przerwy, żeby przychód nie stanął?”. Bo kiedy spojrzy się na temat właśnie w ten sposób, cyberbezpieczeństwo przestaje być abstrakcją albo fanaberią działu IT, a staje się ochroną rzeczy bardzo konkretnych:

• strony, która generuje zapytania,
• skrzynki, na której idą rozmowy handlowe,
• CRM-a, w którym jest pipeline,
• konta reklamowego, na którym pracuje budżet,
• domeny, na której stoi marka,
• dokumentów ofertowych, które zawierają warunki współpracy,
• dostępów pracowników, partnerów i podwykonawców.

Największy błąd? Myślenie, że problem dotyczy tylko dużych

Jedna z najbardziej kosztownych iluzji, jakie wciąż widzę u firm, brzmi: „my nie jesteśmy na tyle duzi, żeby ktoś się nami interesował”. To brzmi logicznie tylko do momentu pierwszego incydentu.

Dane z Verizon pokazują coś zupełnie innego. W Data Breach Investigations Report 2026 przeanalizowano ponad 31 tysięcy incydentów bezpieczeństwa, w tym ponad 22 tysiące potwierdzonych naruszeń w 145 krajach. I teraz najważniejsza liczba dla każdego, kto prowadzi mniejszą firmę: w przypadkach ransomware, w których znana była wielkość organizacji, około 96% ofiar stanowiły firmy z sektora MŚP.

Dla porównania, w poprzedniej edycji raportu ransomware pojawiało się w 88% naruszeń dotyczących MŚP i w 39% naruszeń dużych organizacji. To inna miara, więc nie ma sensu porównywać tych liczb jeden do jednego. Wniosek jest jednak podobny: mniejsze firmy nie są dla atakujących marginesem rynku.

Samych potwierdzonych naruszeń w MŚP raport odnotował 7 152. W 55% z nich pojawił się podmiot trzeci: dostawca, agencja, integrator, ktoś z zewnątrz. Wszystkie te przypadki miały wspólny mianownik: za każdym stał zewnętrzny sprawca z motywacją finansową.

Wniosek jest dość prosty: mniejsze firmy nie są „poza radarem”, tylko zwykle są słabiej przygotowane. Sam raport formułuje to niemal wprost: dla atakujących nie liczy się branża ani obrót ofiary, tylko przechwycone dane logowania albo niezałatana podatność na urządzeniu brzegowym.

Większość zagrożeń nie zaczyna się jak w filmie. Zaczyna się od dostępu

W biznesie bardzo łatwo przecenić spektakularne zagrożenia, a nie docenić tych najbardziej przyziemnych. Tymczasem z mojej perspektywy najgroźniejsze są często nie te ataki, które brzmią najbardziej sensacyjnie, tylko te, które uderzają w dostęp i tożsamość.

W raporcie Verizon za 2026 rok widać zmianę, która dojrzewała od kilku lat. Wykorzystanie podatności po raz pierwszy wyprzedziło przejęte dane logowania jako najczęstszy pierwszy krok ataku: odpowiadało za 31% naruszeń, a nadużycie danych logowania za 13%. Czynnik ludzki nadal pojawiał się jednak w 62% naruszeń, więc nie jest tak, że problem przesunął się wyłącznie w stronę technologii.

Do tego dochodzą dwie liczby, które dobrze pokazują tempo problemu. Naruszenia z udziałem podmiotów trzecich wzrosły o 60% i stanowiły już 48% wszystkich przypadków. Z podatności ujętych w katalogu CISA KEV firmy w pełni usunęły tylko 26%, wobec 38% rok wcześniej. Mediana czasu pełnego usunięcia podatności wzrosła z 32 do 43 dni.

Jest też ustalenie, które dobrze pokazuje kolejność zdarzeń. W analizowanym zbiorze 73% ofiar ransomware miało w ciągu wcześniejszego roku ślad powiązany z infostealerem albo wyciekiem danych logowania. W połowie tych przypadków taki ślad pojawił się nie później niż 95 dni przed samym atakiem. Czyli ransomware często nie jest początkiem historii. Jest jej końcem.

Przejęcie skrzynki mailowej handlowca daje dostęp nie tylko do poczty, ale też do relacji z klientami, historii rozmów, ofert, załączników, ustaleń cenowych i możliwości podszywania się pod firmę. Przejęcie konta reklamowego oznacza dostęp do budżetu, danych kampanii i narzędzia, które bezpośrednio wpływa na ciągłość lead generation i sprzedaż. Utrata dostępu do CRM-a albo wyciek danych z pipeline’u szybko zatrzymują proces handlowy.

Dane, a nie tylko systemy, są dziś jednym z najcenniejszych aktywów firmy

Patrząc na rozwój firm z perspektywy marketingu, sprzedaży i procesów, coraz wyraźniej widać, że prawdziwą wartością nie są dziś wyłącznie same narzędzia. Największą wartością są dane, które przez te narzędzia przepływają, są w nich gromadzone i na których firma buduje swój wzrost.

• Dane o klientach i ich zachowaniach.
• Dane zakupowe i dane do remarketingu.
• Bazy mailingowe budowane przez lata.
• Historia relacji handlowych.
• Dane kontrahentów i partnerów.
• Informacje o zamówieniach, marżach, preferencjach, segmentach i powracalności klientów.

Przykład e-commerce: wartość leży w danych, nie w tym, że „reklamy są włączone”

Załóżmy, że mamy rozwijający się sklep internetowy. Firma inwestuje w kampanie Meta Ads, Google Ads, SEO, działania e-mail marketingowe i automatyzacje. Z zewnątrz wszystko wygląda dobrze: ruch rośnie, sprzedaż działa, remarketing domyka transakcje, baza klientów się rozbudowuje.

Mamy tam do czynienia z pierwszym zakupem (w systemach reklamowych znacznie droższym niż kolejne) oraz z LTV klienta. Włożenie kija w szprychy z danymi pozwala skutecznie zabić interes. Bo o rentowności przedsięwzięcia często stanowią niewielkie procenty marży, a wzrost CPC, CPS czy utrata bazy i zmniejszenie LTV mogą zabić firmę.

Wartość takiego biznesu nie leży wyłącznie w tym, że „reklamy są włączone” albo „sklep działa”. Wartość leży w danych, które firma zebrała i nauczyła się wykorzystywać: listach klientów z historią zakupów, segmentach do remarketingu, danych o porzuconych koszykach, bazach mailingowych, informacjach o najskuteczniejszych źródłach ruchu czy profilach klientów powracających.

To wszystko razem tworzy realną wartość biznesową. Nie tylko operacyjną, ale też finansową. Bo dzięki tym danym firma może sprzedawać skuteczniej, taniej pozyskiwać klientów, lepiej personalizować komunikację i trafniej planować dalszy wzrost. Utrata danych albo dostępu do nich jest więc przede wszystkim problemem biznesowym.

Szczególnie groźny jest scenariusz ransomware

Jednym z najbardziej dotkliwych scenariuszy dla firmy jest atak ransomware, czyli sytuacja, w której dane lub systemy zostają zaszyfrowane i organizacja traci do nich dostęp. Jeśli chcesz zrozumieć sam mechanizm, opisaliśmy go osobno: czym jest ransomware i jak działa.

W takim przypadku „coś nie działa” to dopiero początek. W e-commerce może to oznaczać brak dostępu do danych o zamówieniach i bazy klientów, utratę możliwości prowadzenia kampanii i remarketingu, wstrzymanie obsługi zwrotów i reklamacji czy paraliż części procesów logistycznych. W firmie usługowej to utrata dostępu do ofert i umów, zatrzymanie pipeline’u sprzedażowego i chaos w dokumentach.

Z biznesowego punktu widzenia ransomware jest groźny przede wszystkim dlatego, że potrafi na pewien czas odciąć firmę od jej własnego know-how, relacji i zasobów operacyjnych.

Jeśli chcesz zrozumieć sam mechanizm, opisaliśmy go osobno: czym jest ransomware i jak działa.

I jest jeszcze jedna pozycja w rachunku: kara

O tym firmy myślą najrzadziej, a to część kosztu, która może dojść już po incydencie. Sam wyciek albo utrata danych osobowych nie oznacza automatycznie kary od UODO. Urząd patrzy między innymi na to, jakie zabezpieczenia działały wcześniej, czy firma zrobiła analizę ryzyka, jak zareagowała i czy prawidłowo zgłosiła naruszenie. Jeśli jednak widać zaniedbania, do rachunku może dojść kolejna, bardzo konkretna pozycja.

Rok 2025 był w Polsce rekordowy: Prezes UODO nałożył ponad 64 mln zł kar i wtedy też padły trzy najwyższe sankcje w historii stosowania RODO w Polsce, z Pocztą Polską (27,1 mln zł) i ING Bankiem Śląskim (18,4 mln zł) na czele. Tylko że to są przykłady, którymi łatwo się zasłonić: „no dobrze, ale to wielkie instytucje”.

Dlatego wolę pokazać inną sprawę, bliższą realiom MŚP. Firma handlująca drzwiami antywłamaniowymi padła ofiarą ransomware. Pracownik wyłączył antywirusa, system nie był aktualizowany, nie było analizy ryzyka ani regularnych testów zabezpieczeń. Firma straciła dostęp do danych klientów oraz obecnych i byłych pracowników: PESEL-e, numery dowodów, numery rachunków bankowych, adresy. UODO nałożył na nią 353 589 zł kary (decyzja DKN.5131.1.2021 z października 2024). Spółka zaskarżyła decyzję i przegrała.

I teraz najciekawszy fragment tej sprawy. Karę dostał też podmiot przetwarzający, czyli firma świadcząca usługi IT: 9 822 zł. Za to, że nie poinformowała administratora o braku właściwych zabezpieczeń serwera i o konieczności aktualizacji systemu. Jeśli ktokolwiek myśli, że oddanie infrastruktury zewnętrznemu dostawcy oznacza oddanie odpowiedzialności, to jest to dobry moment, żeby ten pogląd zweryfikować. Odpowiedzialność rozkłada się na obie strony.

„Nas to nie dotyczy” to jedna z najdroższych decyzji, jakie firma może podjąć

Jednym z najbardziej ryzykownych założeń, jakie wciąż spotykam w firmach, jest przekonanie, że cyberzagrożenia dotyczą głównie dużych organizacji, instytucji publicznych albo branż „szczególnie wrażliwych”. W praktyce problem zaczyna się dużo prościej: od braku kontroli nad dostępami, od zależności od jednego dostawcy, od nieuporządkowanego środowiska albo od podatności, której nikt wcześniej nie potraktował priorytetowo.

W jednej z firm, z którą pracowałem krótko po wybuchu konfliktu za naszą wschodnią granicą, biznes bardzo mocno przyspieszył. Działania marketingowe i sprzedażowe były dobrze poukładane. Problem pojawił się, gdy z dnia na dzień okazało się, że ani klient, ani my jako agencja nie mamy realnej kontroli nad częścią narzędzi, dostępami do strony i kont administracyjnych. Nie był to klasyczny „spektakularny atak”, raczej zderzenie z faktem, że firma rosła szybciej niż porządkowała swoje zaplecze technologiczne i właścicielskie.

W innej organizacji zagrożenie miało bardziej klasyczny charakter. Prowadziliśmy działania SEO dla klienta, kiedy doszło do incydentu polegającego na podmianie części podstron serwisu. W witrynie zaczęły pojawiać się treści i linki prowadzące do zewnętrznych, spamowych stron o charakterze erotycznym. Dla biznesu sama „naprawa strony” nie zamyka tematu. Dochodzi ryzyko spadku widoczności w wyszukiwarce, utraty zaufania do marki i chaosu w działaniach marketingowych.

Takie sytuacje wcale nie muszą kończyć się katastrofą, żeby były dotkliwe. Czasem wystarczy kilka dni chaosu, chwilowa utrata kontroli, wstrzymane działania albo konieczność pilnego porządkowania środowiska, żeby zobaczyć, jak bardzo wzrost firmy zależy dziś od rzeczy, które jeszcze niedawno wiele organizacji traktowało jako techniczne zaplecze.

Ile naprawdę kosztuje incydent?

IBM publikuje co roku raport Cost of a Data Breach. Tegoroczna edycja wyszła 29 lipca 2026 i podaje, że globalny średni koszt naruszenia danych wyniósł 4,99 mln USD. To wzrost o 12% rok do roku i najwyższy wynik w historii tego badania. Rok wcześniej było 4,44 mln USD. W Stanach średnia sięga już około 11,5 mln USD.

Na tę kwotę składa się znacznie więcej niż praca działu IT: wykrycie incydentu, eskalacja, przestoje, utracone przychody i szkody reputacyjne. IBM podaje też, że liczba ataków wspieranych przez sztuczną inteligencję wzrosła o 56%, a najczęściej pojawiały się podszycia z użyciem deepfake’ów i malware wspierane przez AI.

Oczywiście nie każda firma poniesie koszt tej skali. To średnia globalna, liczona w dużej mierze na dużych organizacjach, więc dla polskiego MŚP jest raczej punktem odniesienia niż prognozą. Bardziej praktyczna liczba z raportu Verizon: mediana zapłaconego okupu wyniosła 139 875 USD, przy czym 69% ofiar nie zapłaciło wcale. Okup zresztą i tak jest zwykle najmniejszą pozycją w tym rachunku.

Najlepiej udokumentowany przykład upadku z ostatnich lat to KNP Logistics, brytyjska firma transportowa z 158-letnią historią i flotą około 500 ciężarówek. Grupa Akira weszła do sieci, zgadując hasło jednego z pracowników. Bez MFA, bez exploita. Dane zostały zaszyfrowane, okup oszacowano na około 5 mln funtów, firma nie była w stanie go zapłacić ani odtworzyć danych. Efekt: niewypłacalność i około 700 osób bez pracy. Warto jednak dodać rzecz, którą pomija większość artykułów: syndyk powiedział wprost, że firma miała problemy jeszcze przed atakiem, a incydent uniemożliwił jej pozyskanie pilnego finansowania.

Dla mnie to dużo lepszy argument niż zwykłe straszenie. Ransomware rzadko jest samodzielną przyczyną upadku. Znacznie częściej zamienia trudny kwartał w sytuację bez wyjścia. Bo do rachunku trzeba doliczyć rzeczy, których firmy zwykle nie wpisują do excela: czas ludzi gaszących pożar zamiast pracy, utracone leady w czasie przestoju, opóźnione decyzje zakupowe klientów, spadek wiarygodności i przestoje kampanii.

Chcesz policzyć, ile mniej więcej może stracić Twoja firma? Przygotowaliśmy do tego kalkulator: policz swoje ryzyko.

AI zmienia ekonomię ataku

Microsoft w Digital Defense Report podaje, że maile phishingowe generowane przez AI osiągają 54% klikalności, wobec 12% przy wiadomościach pisanych ręcznie. To 4,5 raza wyższa skuteczność. Microsoft szacuje przy tym, że automatyzacja może podnieść rentowność takiej kampanii nawet pięćdziesięciokrotnie, i nazywa to największą zmianą w phishingu ostatniego roku.

W tym samym raporcie jest jedna liczba, którą warto zapamiętać: MFA, zwłaszcza w wariancie odpornym na phishing, blokuje ponad 99% prób dostępu z użyciem przejętych danych logowania. Zmienia się też sam sposób wchodzenia do organizacji. Microsoft opisuje to jednym zdaniem: przestępcy raczej się logują, niż włamują.

CrowdStrike z kolei poinformował o 442% wzroście vishingu, czyli phishingu telefonicznego, między pierwszą a drugą połową 2024 roku. Dobrze widać też tak zwany breakout time, czyli czas od przejęcia pierwszego systemu do przejścia na kolejny. Średnia spadła z 98 minut w 2021 roku do 29 minut w 2025. Przeciwnik coraz częściej wchodzi do organizacji przez ludzi, dostęp i zaufanie, a nie przez „głośne” włamanie. I robi to szybciej, niż zdąży zadzwonić informatyk.

A jak to wygląda w Polsce? Skala, o której mało kto mówi na zarządach

Do tej pory podpierałem się głównie danymi globalnymi, bo tam są najlepsze badania. Ale ktoś może powiedzieć, że to nie nasz rynek. Więc proszę, dane z podwórka. CERT Polska, zespół działający w NASK, opublikował w kwietniu raport za 2025 rok.

• 658 320 zgłoszeń, o 10% więcej niż rok wcześniej,
• 260 783 zarejestrowane incydenty bezpieczeństwa, czyli wzrost o 152% rok do roku,
• 97% z nich to oszustwa komputerowe, których liczba wzrosła o 158%,
• 78 391 incydentów phishingowych, czyli 30% wszystkich zdarzeń,
• 244 341 domen na Liście Ostrzeżeń, około 670 nowych każdego dnia (jedna nowa złośliwa domena co dwie minuty),
• 1,88 mln zablokowanych złośliwych SMS-ów, o 27% więcej niż rok wcześniej,
• 179 ataków ransomware, o 21% więcej niż w 2024, czyli średnio jeden co drugi dzień.

Business Email Compromise jest bliżej codziennego biznesu, niż może się wydawać

Jeśli miałbym wskazać jeden obszar, który szczególnie powinien interesować właścicieli firm i kadrę zarządzającą, byłaby to właśnie poczta firmowa i wszystko, co z niej wynika.

FBI publikuje co roku raport IC3 i edycja za 2025 rok jest w tym miejscu bezlitosna. Łącznie ponad milion zgłoszeń i 20,88 mld USD strat, o 26% więcej rok do roku. Business Email Compromise to druga najkosztowniejsza kategoria w całym raporcie: 3,05 mld USD strat. Po podzieleniu łącznych strat przez liczbę zgłoszeń wychodzi średnio ponad 122 tys. USD na sprawę. Do tego 86% pieniędzy wypływa przelewem bankowym lub przez ACH, czyli kanałami, które trudno odwrócić.

To są liczby, które warto przeczytać dwa razy. Bo pokazują, że mail nie jest dziś tylko narzędziem komunikacji. To jedno z głównych miejsc, przez które atakujący próbują wejść do firmy, przejąć zaufanie, wywołać pośpiech i uruchomić decyzję finansową albo operacyjną. Pomyśl, w ilu firmach mailem idą oferty, faktury, aneksy, potwierdzenia płatności, prośby o zmianę numeru rachunku i decyzje zakupowe.

Prawdziwe ryzyko często widać dopiero wtedy, gdy firma zaczyna rosnąć

Im firma mniejsza, tym łatwiej czasem działać „na zaufaniu”, „na szybko”, „na zdrowym rozsądku”. Problem w tym, że wzrost zwykle zwiększa nie tylko przychód, ale też powierzchnię ryzyka. Pojawiają się kolejne osoby, kolejne dostępy, więcej narzędzi, więcej partnerów zewnętrznych i więcej miejsc, w których ktoś ma uprawnienia, ale nikt już nie pamięta dokładnie jakie.

I wtedy zaczyna się coś, co z perspektywy procesowej widuję bardzo często: firma wchodzi na wyższy poziom skali, ale nadal zarządza dostępami, odpowiedzialnością i kontrolą jak na wcześniejszym etapie. Ktoś kiedyś zakładał konto reklamowe. Ktoś kiedyś miał dostęp do domeny. Ktoś kiedyś spinał formularze. Ktoś kiedyś integrował CRM. Po kilku latach organizacja ma działający ekosystem, ale nie ma pewności, kto ma do czego dostęp.

Nie jestem zwolennikiem komunikacji opartej wyłącznie na strachu. Uważam, że w biznesie dużo bardziej działa dojrzałe podejście: rozumiem ryzyko, wiem, co jest dla mnie krytyczne, i porządkuję środowisko, zanim problem sam mnie do tego zmusi. Dlatego sensowna rozmowa o cyberbezpieczeństwie nie powinna zaczynać się od czarnych scenariuszy, tylko od kilku prostych pytań zarządczych.

Co szczególnie warto chronić w firmie, która inwestuje we wzrost

Z mojej perspektywy każda firma, która się rozwija, powinna zacząć od uporządkowania kilku podstawowych obszarów. Nie trzeba od razu uruchamiać wielkiego projektu bezpieczeństwa. Często wystarczy zacząć od uporządkowania fundamentów.

• Skrzynki mailowe i dostęp do komunikacji. Tam koncentruje się zarówno relacja z klientem, jak i realne ryzyko nadużyć.
• CRM i baza kontaktów. To serce procesu handlowego.
• Domena, strona internetowa i formularze. Bez nich wiele firm traci główny punkt wejścia dla zapytań.
• Konta reklamowe i analityczne. Jeśli marketing pracuje na danych i budżetach, trzeba chronić miejsce, w którym one funkcjonują.
• Dostęp pracowników, partnerów i podwykonawców. Wzrost bardzo często zwiększa chaos dostępowo-proceduralny.
• Dokumenty handlowe, oferty i zasoby współdzielone. Tam bywają informacje o realnej wartości biznesowej i negocjacyjnej.

Cyberbezpieczeństwo to coraz częściej warunek dojrzałego skalowania

Większość firm dobrze rozumie samą ideę inwestowania. Pieniądze idą w lead generation, branding, sprzedaż, ludzi, systemy, automatyzację i wzrost. Znacznie rzadziej podobną uwagę poświęca się ochronie tego zaplecza. Firmy budują stronę, ale nie myślą wystarczająco o jej odporności. Uruchamiają kampanie, ale nie pilnują kontroli nad dostępami. Rozwijają CRM, ale nie traktują go jak aktywa krytycznego.

A wtedy może dojść do sytuacji, w której firma świetnie umie przyspieszać, ale nie umie wystarczająco chronić tego, co właśnie przyspieszyła. Patrząc na to z perspektywy biznesu, nie mam wątpliwości: cybersecurity coraz rzadziej jest opcjonalnym dodatkiem, a coraz częściej staje się jednym z warunków dojrzałego wzrostu.

A skoro tak jest, to pytanie nie powinno brzmieć: „czy cyberbezpieczeństwo jest ważne także u nas?”. Pytanie powinno brzmieć raczej: „które elementy naszego wzrostu są dziś na tyle krytyczne, że nie możemy pozwolić sobie zostawić ich bez kontroli?”. Dla mnie cybersecurity jest dziś po prostu częścią odpowiedzialnego prowadzenia biznesu, a nie wyłącznie tematem technologicznym.

Rachunek sumienia. Piętnaście pytań, na które warto odpowiedzieć szczerze

Na koniec zostawiam listę najczęstszych zaniedbań, jakie widzę w firmach. Nie po to, żeby kogokolwiek straszyć, tylko po to, żeby dało się w pięć minut sprawdzić, gdzie się stoi. Jeżeli choć raz odpowiesz „tak”, napisz do nas. Sprawdzimy bezpłatnie, czy dane Twojej firmy nie pojawiły się już w którymś ze znanych wycieków. I bez owijania w bawełnę: tak, dla nas to też pierwszy krok do rozmowy o współpracy. Ale sam raport dostajesz bez zobowiązań i bez haczyka.

• Nie wiemy dokładnie, kto ma dostęp do kluczowych narzędzi i systemów.
• Byli pracownicy, agencje lub freelancerzy mogli zachować dostęp.
• Kluczowe konta są założone na prywatne maile lub konta pojedynczych osób.
• W części ważnych systemów nie ma MFA / 2FA.
• Hasła są współdzielone albo przechowywane w nieuporządkowany sposób.
• Nie mamy jasnej procedury na przejęcie skrzynki, strony lub konta.
• Nie mamy pewności, że backup działa i da się go szybko odtworzyć.
• Strona, CMS, wtyczki lub narzędzia nie są regularnie aktualizowane.
• Nie wiemy, które dane są krytyczne dla działania firmy.
• Dane klientów, remarketingowe, mailingowe i kontrahentów nie są traktowane jak aktywa biznesowe.
• Zespół nie jest szkolony z phishingu i podstawowych zagrożeń.
• Nikt nie ma pełnej mapy narzędzi, integracji i zależności.
• Zbyt wiele osób ma dostęp administracyjny.
• Bezpieczeństwo nie ma jednego właściciela w organizacji.
• Temat bezpieczeństwa odkładamy, bo „do tej pory nic się nie stało”.