Audyt bezpieczeństwa IT Białystok

Co pokazuje obchód zakładu, a co pokazują konsole?

Pytanie pada na pierwszej rozmowie, bo firma z Podlasia chce wiedzieć, za co płaci: za wydruk z narzędzia czy za czyjąś uwagę poświęconą jej środowisku. Odpowiedź jest policzalna, więc zamiast zapewnień pokazujemy podział na sześć obszarów.

Obszar badania	Co widać z konsoli	Co pokazuje dopiero obchód
Urządzenie brzegowe i reguły	pełna konfiguracja, publikowane usługi, wersja oprogramowania	stan fizyczny, zasilanie, druga karta
Konta i uprawnienia	domena, Microsoft 365, aplikacje, konta serwisowe	nic
Stacje i serwery	aktualizacje, szyfrowanie, ochrona, uprawnienia lokalne	sprzęt bez agenta i komputery odcięte od sieci
Kopie zapasowe	zakres, retencja, blokada zapisu, próba odtworzenia	nośniki wynoszone poza firmę
Sieć wewnętrzna	podział na segmenty, konfiguracja przełączników	opis portów, przebieg kabli, punkty dostępowe
Pomieszczenie z serwerem	nic	wszystko: dostęp, chłodzenie, porządek, zasilanie

Kolejność pracy wynika wprost z tej tabeli i zawsze jest taka sama. Najpierw czytamy konsole, potem układamy listę rzeczy do obejrzenia, a dopiero z tą listą w ręku wchodzimy do zakładu. Odwrotnie byłoby mniej dokładnie, bo inżynier oglądałby szafę, nie wiedząc jeszcze, czego w niej szukać.

Dlaczego zaczynamy od spisu wejść do środowiska?

Bo w firmie bez własnego działu IT wejść z zewnątrz jest zwykle więcej, niż ktokolwiek pamięta. Przez lata dokładały się kolejne: pulpit zdalny otwarty dla księgowej, tunel dla firmy od programu magazynowego, konto dla serwisanta wagi, dostęp integratora, który stawiał system kadrowy, oraz jedno konto administracyjne o nazwie, której nikt już nie umie przypisać do człowieka.

Każde z nich działa tak samo dobrze dla osoby uprawnionej i dla kogoś, kto zdobył hasło. Dlatego spis robimy zawsze pierwszy i zapisujemy przy każdym wejściu cztery rzeczy: kto go używa, kiedy było użyte ostatni raz, czy chroni je drugi składnik i czy istnieje zapis sesji. Sam ten spis bywa najbardziej przydatną stroną raportu, bo pokazuje wejścia, które można zamknąć tego samego dnia bez żadnych kosztów.

Osobno traktujemy konta serwisowe używane przez systemy, nie przez ludzi. One zwykle mają hasła bez terminu ważności i uprawnienia szersze, niż wymaga tego zadanie, a ich zmiana bywa odkładana ze strachu, że coś przestanie działać. W raporcie każde takie konto dostaje opis, do czego naprawdę jest potrzebne.

Co oglądamy podczas obchodu zakładu?

Wchodzimy z listą, nie z ogólnym zamiarem obejrzenia firmy. Zaczynamy od pomieszczenia z serwerem, bo mówi ono najwięcej o tym, jak firma traktuje własne dane. Sprawdzamy, czy da się je zamknąć, kto ma klucz, czy stoją tam rzeczy niezwiązane z informatyką, jak wygląda chłodzenie latem i co się dzieje przy zaniku zasilania.

Potem idziemy przez szafy w budynku. Interesuje nas opis portów, sposób poprowadzenia kabli, obecność urządzeń wpiętych przez kogoś spoza firmy oraz punkty dostępowe, na których nikt nie zmienił haseł od instalacji. W hali przetwórstwa i w części magazynowej oglądamy komputery, po których w konsolach nie było śladu, bo nie należą do domeny i widzi je tylko sieć bezprzewodowa.

Ostatnia godzina obchodu należy do ludzi. Rozmawiamy z osobą, która na co dzień zgłasza problemy, z kimś z produkcji i z kimś z zarządu. To jest moment, w którym najczęściej wychodzą rzeczy nieobecne w żadnej konfiguracji: wspólne hasło do stanowiska pakowania, plik z hasłami w arkuszu i praktyka wynoszenia danych na prywatnym nośniku.

Co najczęściej znajdujemy w podlaskiej firmie bez własnego działu IT?

Powtarza się kilka rzeczy i wynikają one nie z zaniedbania, tylko z braku kogoś, kto pilnowałby całości między jednym zgłoszeniem a drugim. Najczęstsza jest kopia zapisywana na dysku podpiętym do tego samego serwera, który miałaby ratować. Druga to konto administracyjne używane wspólnie przez wszystkich, którzy kiedykolwiek coś w firmie naprawiali.

Trzecia to pulpit zdalny wystawiony wprost do internetu, zwykle po zmianie numeru portu, co przez lata uchodziło za zabezpieczenie. Czwarta to brak jakiegokolwiek zapisu zdarzeń starszego niż kilka dni, przez co po incydencie nie da się ustalić przebiegu ani zakresu. Piąta, najbardziej kosztowna w skutkach, to sprzęt bez wsparcia producenta, na którym stoi jedyna kopia programu obsługującego zlecenia transportowe albo wagę w zakładzie.

Każdą z tych rzeczy opisujemy razem z ceną naprawy i z czasem, jakiego wymaga. Bez tego raport zamienia się w listę zarzutów, a ma być materiałem do budżetu.

Jak układamy raport, żeby dało się z niego zrobić budżet?

Dzielimy go na trzy listy zamiast jednej, ułożone ryzykiem, a nie kolejnością oglądania. Pierwsza to rzeczy do zamknięcia od razu, zwykle zbędne wejścia z zewnątrz, brak drugiego składnika i wadliwie ustawione zadania kopii. Druga to prace wymagające okna serwisowego, na przykład zmiana konfiguracji urządzenia brzegowego albo porządek w uprawnieniach.

Trzecia lista to zakupy i przebudowy: wymiany sprzętu, drugie łącze, uporządkowanie szafy oraz uruchomienie zdalnego zarządzania serwerem. Ta ostatnia pozycja zwraca się najszybciej, bo po niej nocna aktualizacja kończy się restartem z konsoli, a nie szukaniem osoby z kluczem do pomieszczenia.

Raport omawiamy na spotkaniu i to jest część, której nie zastępuje wysłanie pliku. Warstwę techniczną, którą zwykle trzeba potem domknąć, opisuje bezpieczeństwo IT dla firm, a stan całego środowiska, nie tylko odporności, pokazuje audyt IT.

Czego w tym badaniu nie robimy?

Nie prowadzimy testów penetracyjnych ani prób włamania, bo to inna umowa i inne przygotowanie. Nie oceniamy oprogramowania sterującego maszynami, bo odpowiada za nie producent, a ingerencja w nie kończy się utratą jego wsparcia. Nie wydajemy certyfikatu, bo taki dokument nie istnieje, i raport nie udaje, że nim jest.

Nie naprawiamy niczego w trakcie badania, nawet drobiazgów, bo zmiana wprowadzona w toku prac psuje obraz stanu zastanego. Wyjątkiem jest znalezisko groźne od razu, o którym informujemy tego samego dnia. Termin obchodu i zakres odczytu konfiguracji ustalamy przez kontakt.

Treść sprawdzona i zaktualizowana: 7 września 2026