Audyt bezpieczeństwa IT Białystok

Co da się sprawdzić przez sieć, a co trzeba zobaczyć w Białymstoku?

Pytanie pada na pierwszej rozmowie, bo firma z Podlasia zamawiająca badanie u wykonawcy bez lokalnego adresu chce wiedzieć, czy dostanie pełny obraz, czy połowę. Odpowiedź jest policzalna, więc zamiast zapewnień pokazujemy podział.

Obszar badania	Sprawdzamy przez sieć	Wymaga obecności
Urządzenie brzegowe i reguły	pełna konfiguracja, publikowane usługi, wersja oprogramowania	stan fizyczny, zasilanie, druga karta
Konta i uprawnienia	domena, Microsoft 365, aplikacje, konta serwisowe	nic
Stacje i serwery	aktualizacje, szyfrowanie, ochrona, uprawnienia lokalne	sprzęt bez agenta i komputery odcięte od sieci
Kopie zapasowe	zakres, retencja, blokada zapisu, próba odtworzenia	nośniki wynoszone poza firmę
Sieć wewnętrzna	podział na segmenty, konfiguracja przełączników	opis portów, przebieg kabli, punkty dostępowe
Pomieszczenie z serwerem	nic	wszystko: dostęp, chłodzenie, porządek, zasilanie

Z tabeli wynika rzecz, która firmom z Podlasia najbardziej się przydaje przy planowaniu: jedna dobrze przygotowana wizyta zamyka całą prawą kolumnę. Dlatego kolejność jest zawsze taka sama. Najpierw robimy część zdalną, potem układamy listę rzeczy do obejrzenia, a dopiero na końcu umawiamy przyjazd. Odwrotnie byłoby drożej i mniej dokładnie, bo inżynier oglądałby szafę, nie wiedząc jeszcze, czego w niej szukać.

Dlaczego zaczynamy od spisu wejść do środowiska?

Bo w firmie, która nie ma informatyka na miejscu, wejść z zewnątrz jest zwykle więcej, niż ktokolwiek pamięta. Przez lata dokładały się kolejne: pulpit zdalny otwarty dla księgowej, tunel dla firmy od programu magazynowego, konto dla serwisanta wagi, dostęp integratora, który stawiał system kadrowy, oraz jedno konto administracyjne o nazwie, której nikt już nie umie przypisać do człowieka.

Każde z nich działa tak samo dobrze dla osoby uprawnionej i dla kogoś, kto zdobył hasło. Dlatego spis robimy zawsze pierwszy i zapisujemy przy każdym wejściu cztery rzeczy: kto go używa, kiedy było użyte ostatni raz, czy chroni je drugi składnik i czy istnieje zapis sesji. Sam ten spis bywa najbardziej przydatną stroną raportu, bo pokazuje wejścia, które można zamknąć tego samego dnia bez żadnych kosztów.

Osobno traktujemy konta serwisowe używane przez systemy, nie przez ludzi. One zwykle mają hasła bez terminu ważności i uprawnienia szersze, niż wymaga tego zadanie, a ich zmiana bywa odkładana ze strachu, że coś przestanie działać. W raporcie każde takie konto dostaje opis, do czego naprawdę jest potrzebne.

Jak wygląda ta jedna wizyta i co się w niej mieści?

Przyjeżdżamy z listą, nie z ogólnym zamiarem obejrzenia firmy. Zaczynamy od pomieszczenia z serwerem, bo mówi ono najwięcej o tym, jak firma traktuje własne dane. Sprawdzamy, czy da się je zamknąć, kto ma klucz, czy stoją tam rzeczy niezwiązane z informatyką, jak wygląda chłodzenie latem i co się dzieje przy zaniku zasilania.

Potem idziemy przez szafy w budynku. Interesuje nas opis portów, sposób poprowadzenia kabli, obecność urządzeń wpiętych przez kogoś spoza firmy oraz punkty dostępowe, na których nikt nie zmienił haseł od instalacji. W magazynie i w części gospodarczej oglądamy komputery, o których w części zdalnej nie było śladu, bo nie należą do domeny i widzi je tylko sieć bezprzewodowa.

Ostatnia godzina wizyty należy do ludzi. Rozmawiamy z osobą, która na co dzień zgłasza problemy, i z kimś z zarządu. To jest moment, w którym najczęściej wychodzą rzeczy nieobecne w żadnej konfiguracji: wspólne hasło do stanowiska, plik z hasłami w arkuszu i praktyka wynoszenia danych na prywatnym nośniku.

Co najczęściej znajdujemy w firmie obsługiwanej dotąd dorywczo?

Powtarza się kilka rzeczy i wynikają one nie z zaniedbania, tylko z braku kogoś, kto pilnowałby całości między jednym zgłoszeniem a drugim. Najczęstsza jest kopia zapisywana na dysku podpiętym do tego samego serwera, który miałaby ratować. Druga to konto administracyjne używane wspólnie przez wszystkich, którzy kiedykolwiek coś w firmie naprawiali.

Trzecia to pulpit zdalny wystawiony wprost do internetu, zwykle po zmianie numeru portu, co przez lata uchodziło za zabezpieczenie. Czwarta to brak jakiegokolwiek zapisu zdarzeń starszego niż kilka dni, przez co po incydencie nie da się ustalić przebiegu ani zakresu. Piąta, najbardziej kosztowna w skutkach, to sprzęt bez wsparcia producenta, na którym stoi jedyna kopia programu, bez którego firma nie wystawi faktury.

Każdą z tych rzeczy opisujemy razem z ceną naprawy i z czasem, jakiego wymaga. Bez tego raport zamienia się w listę zarzutów, a ma być materiałem do budżetu.

Jak układamy raport, gdy część napraw wymaga czyjejś obecności?

Dzielimy go na trzy listy zamiast jednej. Pierwsza to rzeczy do zrobienia zdalnie i od razu, zwykle zamknięcie zbędnych wejść, włączenie drugiego składnika i poprawienie zadań kopii. Druga to prace możliwe zdalnie, ale wymagające okna serwisowego, na przykład zmiana konfiguracji urządzenia brzegowego albo porządek w uprawnieniach.

Trzecia lista to wszystko, co wymaga rąk, i ona jest w Białymstoku najważniejsza, bo decyduje o kosztach. Zbieramy tam wymiany sprzętu, montaż drugiego łącza, uporządkowanie szafy i instalację zdalnego zarządzania serwerem. Ta ostatnia pozycja zwraca się najszybciej, bo po jej wykonaniu kolejne prace przestają wymagać przyjazdu.

Raport omawiamy na spotkaniu, także zdalnym, i to jest część, której nie zastępuje wysłanie pliku. Warstwę techniczną, którą zwykle trzeba potem domknąć, opisuje bezpieczeństwo IT dla firm, a stan całego środowiska, nie tylko odporności, pokazuje audyt IT.

Czego w tym badaniu nie robimy?

Nie prowadzimy testów penetracyjnych ani prób włamania, bo to inna umowa i inne przygotowanie. Nie oceniamy oprogramowania sterującego maszynami, bo odpowiada za nie producent, a ingerencja w nie kończy się utratą jego wsparcia. Nie wydajemy certyfikatu, bo taki dokument nie istnieje, i raport nie udaje, że nim jest.

Nie naprawiamy niczego w trakcie badania, nawet drobiazgów, bo zmiana wprowadzona w toku prac psuje obraz stanu zastanego. Wyjątkiem jest znalezisko groźne od razu, o którym informujemy tego samego dnia. Termin wizyty i zakres części zdalnej ustalamy przez kontakt.

Treść sprawdzona i zaktualizowana: 14 sierpnia 2026