Audyt bezpieczeństwa IT Gdańsk

Dlaczego takie badanie zaczyna się od parkingu, a nie od serwerowni

Sprzęt w tej branży rzadko stoi w jednym miejscu. Agent celny otwiera zgłoszenie przy biurku, dopina brakujący papier z telefonu na terminalu, a poprawkę wysyła wieczorem z laptopa w domu. Handlowiec jedzie do armatora z tym samym komputerem, na którym ma wgląd w system spedycyjny. Kilka osób widzi te same dane, tylko przez inne urządzenie i z innego łącza.

Badanie ograniczone do budynku opisuje więc mniejszą część środowiska, niż się wydaje. Zapora, przełącznik i serwer plików bronią tego, co zostało na miejscu. Reszta pracuje na cudzych sieciach: w hotelu, w hali odpraw, na Wi-Fi udostępnionym przez klienta i na telefonie użytym jako punkt dostępowy.

Dlatego pierwsza lista, o którą prosimy, nie jest listą serwerów. Jest nią spis sprzętu regularnie opuszczającego biuro, razem z nazwiskiem osoby, która go używa, i zdaniem o tym, do czego ta osoba się z niego loguje.

Którędy przechodzi komplet dokumentów, zanim trafi do archiwum

Zestaw przewozowy przechodzi przez kilka rąk i kilka systemów, zanim ktokolwiek odłoży go na stałe. Każde przejście jest miejscem, w którym dokument da się skopiować, podmienić albo zwyczajnie zgubić.

Etap obiegu	Gdzie leży dziś	Co sprawdzamy
Załącznik od nadawcy	skrzynka wspólna dla działu	kto ma do niej wejście i czy logowanie chroni drugi składnik
Skan przywieziony z terminala	telefon pracownika, potem komunikator	czy plik zostaje w aplikacji prywatnej i jak długo tam żyje
Robocza wersja zgłoszenia	dysk współdzielony, katalog roczny	uprawnienia do katalogu oraz zapis otwarć i pobrań
Wymiana z systemem celnym	integracja z kluczem i certyfikatem	miejsce przechowywania klucza i data ważności certyfikatu
Korespondencja z kontrahentem	wątki poczty ciągnące się miesiącami	uwierzytelnianie domeny i oznaczanie wiadomości z zewnątrz
Komplet po zamknięciu sprawy	archiwum na serwerze lub w chmurze	retencja, odporność na skasowanie, próba odczytu starego pliku
Kopia u agencji współpracującej	link wysłany raz, bez terminu	zakres udostępnienia i rejestr pobrań

Wiersz drugi jest tu specyficzny dla pracy w porcie. Zdjęcie dokumentu zrobione przy rampie zostaje w galerii telefonu i w historii komunikatora, czyli w dwóch miejscach, których żadna polityka firmy zwykle nie obejmuje. Wiersz ostatni wychodzi w każdej firmie współpracującej z inną agencją: odnośnik wygenerowany na jedno przekazanie działa potem latami dla każdego, kto go kiedykolwiek dostał.

Co najczęściej znajdujemy w sprzęcie pracującym poza siecią firmy

Komputer, który od miesięcy nie łączył się z siecią biura. Poprawki systemu schodzą na niego dopiero wtedy, gdy właściciel wpadnie po dokumenty, więc dystans do stacji stojącej na miejscu rośnie z kwartału na kwartał.

Dysk bez szyfrowania. Zwykle w sprzęcie kupionym najdawniej i u osoby jeżdżącej najwięcej. Zgubienie takiego komputera oznacza oddanie obcej osobie kompletu dokumentów wraz z zapisanymi w przeglądarce logowaniami.

Wspólne wejście do portalu przewoźnika. Jedno konto na cały dział, hasło przekazywane w wiadomościach i wgląd w przesyłki wszystkich zleceniodawców, także tych, których dana osoba nie obsługuje.

Certyfikat integracyjny bez właściciela. Wystawiony przy uruchomieniu wymiany danych, wpisany w konfigurację i pozostawiony z datą ważności, o której nikt w firmie nie pamięta.

Jak wygląda badanie w firmie wymieniającej dane z urzędem i z portem

Dzień na miejscu poświęcamy na to, czego nie widać zdalnie. Oglądamy szafę, sposób podłączenia urządzenia wielofunkcyjnego, sieć dla gości w sali spotkań oraz miejsce, w którym kończy się instalacja właściciela budynku, a zaczyna Wasza. W biurach wynajmowanych przy nabrzeżu ta granica przebiega rzadko tam, gdzie się wydaje, a od niej zależy, za co odpowiadacie przy awarii.

Warstwę logiczną prowadzimy zdalnie na zebranych danych: konta w Microsoft 365 albo Entra ID, uprawnienia do katalogów, reguły udostępniania plików na zewnątrz, konfigurację urządzenia brzegowego i zadania kopii w Veeam.

Osobny blok poświęcamy integracjom, bo w tej branży to one decydują o ciągłości pracy. Zapisujemy, gdzie leży klucz, kto może go odczytać, kiedy wygasa certyfikat i co dokładnie stanie się ze zgłoszeniem, gdy połączenie przestanie działać w środku dnia roboczego.

Jak zbudowany jest raport i kto go czyta

Otwiera go strona dla zarządu z trzema odpowiedziami: co grozi zatrzymaniem odpraw, co grozi wypłynięciem dokumentów kontrahenta i ile kosztuje zamknięcie jednego oraz drugiego. Dalej idzie lista znalezisk, każde ze skutkiem, rekomendacją i szacowanym nakładem.

Zamyka go plan podzielony inaczej niż zwykle, bo dopasowany do firmy z ludźmi w terenie. Pierwszy koszyk to zmiany wykonywane zdalnie, które nie wymagają, aby ktokolwiek przywoził sprzęt do biura. Drugi to prace potrzebujące urządzenia pod ręką, zbierane pod jeden dzień, gdy zespół i tak zjeżdża się na spotkanie. Trzeci to zmiany po stronie integracji, planowane na godziny, w których nie biegną odprawy.

Od tego rozdzielenia zależy, jaka część zapisanych ustaleń naprawdę wejdzie w życie. Lista ułożona wyłącznie według ryzyka zatrzymuje się przy pierwszej pozycji, która wymagała zabrania komuś laptopa na pół dnia.

Czego w tym badaniu nie robimy

Nie prowadzimy testów penetracyjnych ani przeglądu kodu, bo to osobne zawody z własnym warsztatem. Nie oceniamy zgodności prawnej w części wymagającej wykładni przepisów, w tym prawa celnego. Nie zmieniamy konfiguracji integracji udostępnionej przez podmiot zewnętrzny, nawet gdy widzimy, co poprawić, bo warunki takiego połączenia ustala jego właściciel.

Certyfikatów nie wydajemy. Zgodność z ISO/IEC 27001 albo ISO 22301 potwierdza akredytowana jednostka w osobnym postępowaniu, a nasza praca kończy się na doprowadzeniu środowiska do stanu, w którym warto się o nie ubiegać.

Stałą opiekę nad warstwami ochrony prowadzi bezpieczeństwo IT dla firm, korespondencję z kontrahentami zabezpiecza ochrona poczty, a terminy z integracji pilnuje nadzór nad certyfikatami. Datę wizyty ustalimy przez kontakt.

Treść sprawdzona i zaktualizowana: 2 sierpnia 2026