Audyt bezpieczeństwa IT Barlinek

Co znajdujemy w firmie na kilkanaście komputerów?

Lista wygląda za każdym razem podobnie, bez względu na to, czy chodzi o tartak, hurtownię materiałów budowlanych czy gabinet przy rynku. Nie dlatego, że ktoś zaniedbał obowiązki, tylko dlatego, że w firmie na piętnaście osób nie ma stanowiska, do którego te obowiązki miałyby należeć.

Najczęstsze znalezisko to jedno konto administratora, którego hasło zna właściciel, księgowa, syn właściciela i człowiek, który stawiał tu sieć siedem lat temu. Drugie w kolejności to hasła zapisane na kartce pod klawiaturą albo w pliku na pulpicie. Trzecie to komputer sterujący maszyną, na którym system nie dostał żadnej aktualizacji od dnia instalacji, bo producent maszyny powiedział, żeby niczego nie ruszać.

Znalezisko	Jak często je widzimy	Co proponujemy najpierw
Jedno wspólne konto administratora	prawie zawsze	konta imienne i inne hasło do serwera
Kopia na dysku stojącym obok serwera	prawie zawsze	drugi egzemplarz wynoszony poza budynek
Aktywne konta po byłych pracownikach	bardzo często	wyłączenie i lista dostępów przy odejściu
Pulpit zdalny widoczny z internetu	często	tunel z drugim składnikiem, zamknięty port
Windows bez aktualizacji od lat	często	odcięcie maszyny od sieci albo plan wymiany
Poczta na prywatnych skrzynkach	często	domena firmowa i konta należące do firmy
Brak zasady przy zmianie numeru konta	prawie zawsze	telefon pod numer z umowy przed przelewem

Ostatni wiersz jest jedynym nietechnicznym i właśnie dlatego bywa najważniejszy. Fałszywa faktura od znanego dostawcy, z jedną zmienioną cyfrą w numerze rachunku, nie wymaga włamania do niczego. Wymaga tylko tego, żeby w firmie nikt nie miał zwyczaju dzwonić i pytać.

Jak wygląda taki audyt w Barlinku?

Zaczynamy od godzinnej rozmowy, zwykle w biurze przy Jeziornej 7D albo u Was. Pytamy o to, czego z konfiguracji nie widać: kto naprawdę pracuje na których komputerach, kto zna hasła, czy ktoś kiedyś odtwarzał dane i co się dzieje, gdy padnie prąd. Po tej rozmowie wiemy, ile dnia zejdzie na oględziny.

Potem jest dzień na miejscu. Inżynier przyjeżdża z biura głównego w Gorzowie Wielkopolskim, dwadzieścia cztery kilometry drogą wojewódzką 151, w godzinach pracy helpdesku, od poniedziałku do piątku między 8:00 a 18:00. Ogląda serwer, router, przełącznik, stanowiska w biurze i te przy maszynach, sprawdza szafę i zasilanie, zbiera konfiguracje. Zwykle przy okazji znajduje sprzęt, o którym firma zapomniała: stary rejestrator kamer z własnym interfejsem albo drukarkę z panelem dostępnym z sieci bez hasła.

Reszta pracy odbywa się u nas. Analiza, zestawienie znalezisk z ryzykiem i pisanie raportu zajmuje kilka dni roboczych, więc od pierwszej rozmowy do omówienia wyników mija zwykle od pięciu do dziesięciu dni. Termin ustalamy tak, żeby wizyta nie wypadła w Waszym szczycie, bo w piekarni i w hurtowni takie tygodnie są bardzo wyraźne.

Co dostajecie i po co Wam ten dokument?

Raport otwiera jedna strona z pięcioma pozycjami. To rzeczy, które mają być zrobione najpierw, każda z jednym zdaniem o tym, co się stanie, jeśli nie zostaną zrobione. Dalej idą wszystkie znaleziska z oceną ryzyka i konkretną rekomendacją, a na końcu harmonogram podzielony na ten miesiąc, ten kwartał i ten rok.

Do tego dochodzi dokumentacja, której w firmach tej wielkości zwykle nie ma w ogóle: schemat sieci, spis sprzętu, lista kont z uprawnieniami i krótka polityka opisująca, jak nadawać i odbierać dostępy. Dla wielu właścicieli to pierwszy dokument w historii firmy, na którym widać, jak działa jej IT.

Ten sam komplet przydaje się w trzech sytuacjach, które w Barlinku zdarzają się naprawdę. Gdy odchodzi osoba, która wszystko wiedziała. Gdy kontrahent przysyła ankietę bezpieczeństwa przed podpisaniem umowy. I gdy trzeba zdecydować, na co wydać pieniądze w przyszłym roku, mając do dyspozycji kilka tysięcy złotych, a nie kilkadziesiąt.

Kiedy warto go zamówić, a kiedy szkoda pieniędzy?

Warto po zmianie osoby zajmującej się komputerami, przed większą inwestycją w sprzęt, po każdym zdarzeniu, którego nikt nie umiał wyjaśnić, oraz wtedy, gdy w firmie nikt nie potrafi odpowiedzieć na pytanie, gdzie leży ostatnia działająca kopia danych.

Szkoda pieniędzy w dwóch przypadkach i mówimy o tym wprost. Pierwszy to firma na pięć komputerów bez serwera, gdzie zamiast badania rozsądniej od razu kupić kopie poza budynkiem i drugi składnik logowania, bo i tak to wyjdzie z raportu. Drugi to firma, która audyt zrobiła pół roku temu i niczego z niego nie wdrożyła. Powtórzenie badania da ten sam wynik i tę samą fakturę.

Czego w tym audycie nie robimy?

Nie prowadzimy testów penetracyjnych i nie nazywamy tak skanowania portów. Symulowany atak na wybrany system to osobna specjalność i osobne narzędzia, a my patrzymy szerzej, na całe środowisko i na sposób pracy. Nie wydajemy też opinii prawnych ani nie reprezentujemy nikogo przed organem nadzoru.

Nie zostawiamy również listy zakupów udającej raport. Jeśli z badania wynika, że najlepszą decyzją jest wymiana jednego przełącznika za kilkaset złotych, tak jest napisane, nawet gdy nie brzmi to jak poważny projekt.

Wdrożenie tego, co wyjdzie z raportu, prowadzimy osobno. Komplet warstw w jednej umowie to bezpieczeństwo IT dla firm, dwie pozycje najczęściej stojące na górze listy to ochrona przed ransomware oraz logowanie wieloskładnikowe. Gdy audyt zamawiacie pod ankietę od kontrahenta, warto przeczytać też stronę o zgodności z NIS 2.

Treść sprawdzona i zaktualizowana: 1 sierpnia 2026