Audyt Bezpieczeństwa IT Gorzów Wielkopolski

Czego nie widać przez zdalny pulpit

Zdalnie da się zebrać dużo: konfiguracje, listy kont, wersje systemów, reguły firewalla, stan kopii. To jest połowa audytu i ta połowa wygląda w raportach zawsze podobnie.

Druga połowa siedzi w budynku. Szafa krosownicza wstawiona do pomieszczenia socjalnego, do którego klucz ma pół firmy. Gniazdo sieciowe w korytarzu przy wejściu dla dostawców, wpięte w tę samą sieć co księgowość. Punkt dostępowy z hasłem napisanym flamastrem na obudowie. Komputer w magazynie, na którym od lat jest zalogowane jedno konto, bo tak jest wygodniej przy skanowaniu paczek. Zapasowy dysk z kopiami leżący na tej samej półce co serwer, w tym samym pomieszczeniu, przy którym w razie zalania albo pożaru znikają obie kopie naraz.

Żadna z tych rzeczy nie pojawi się w eksporcie konfiguracji. Wszystkie pojawiają się w raporcie po jednym dniu chodzenia z notatnikiem.

Jak wygląda dzień audytu w Waszej firmie

Pora	Co robimy	Kto jest potrzebny
Rano	rozmowa o tym, jak firma pracuje i co ją najbardziej zaboli	osoba decyzyjna, 45 minut
Przed południem	obchód: serwerownia, szafy, hala, magazyn, biura	ktoś z kluczami
Południe	zbieranie konfiguracji, kont, stanu kopii i aktualizacji	dostęp administracyjny
Po południu	krótkie wywiady w księgowości, magazynie i na produkcji	po 15 minut na osobę
Na koniec dnia	pierwsze wnioski przekazane na gorąco, bez czekania na raport	osoba decyzyjna

Ostatni wiersz ma znaczenie praktyczne. Jeżeli w trakcie dnia znajdziemy coś, co wymaga reakcji natychmiast, na przykład pulpit zdalny wystawiony wprost do internetu albo aktywne konto administratora po firmie, która przestała Was obsługiwać dwa lata temu, mówimy o tym tego samego popołudnia, a nie za dwa tygodnie w dokumencie.

Kiedy gorzowska firma zamawia audyt

Najczęstszy powód jest handlowy, nie techniczny. Duży odbiorca albo sieć handlowa przysyła ankietę bezpieczeństwa przed przedłużeniem kontraktu i pojawia się pytanie, kto ma na nią odpowiedzieć.

Drugi powód to zmiana dostawcy IT albo odejście informatyka, po którym nikt nie wie, jak skonfigurowana jest sieć i kto ma do czego dostęp. Trzeci to incydent u sąsiada z tej samej branży, o którym rozchodzi się wiadomość szybciej niż o czymkolwiek innym, bo firmy z jednej okolicy rozmawiają ze sobą. Czwarty to dyrektywa NIS 2 i pytanie, czy zakład w ogóle wchodzi w jej zakres.

Każdy z tych powodów prowadzi do tego samego: potrzebny jest stan faktyczny na papierze, z podpisem kogoś z zewnątrz.

Co dostajecie i w jakiej formie

Raport ma trzy części. Pierwsza to lista znalezisk, każde z opisem skutku, oceną ryzyka i konkretną rekomendacją. Druga to dokumentacja, której w firmie zwykle nie ma: schemat sieci, spis urządzeń, spis kont i uprawnień. Trzecia to harmonogram napraw podzielony na ten miesiąc, ten kwartał i ten rok, z szacunkiem kosztu każdej pozycji.

Wyniki omawiamy u Was, przy stole, godzinę. Ta rozmowa jest ważniejsza od samego dokumentu, bo zarząd zadaje wtedy pytanie, na które nie da się odpowiedzieć w raporcie: co zrobić najpierw, jeśli budżet starcza na trzy pozycje z dwudziestu.

Co dzieje się z raportem po trzech miesiącach

Najczęstszy los raportu z audytu jest smutny: pierwsze trzy pozycje zostają naprawione w ciągu miesiąca, a reszta czeka na wolny tydzień, który nigdy nie nadchodzi. Dlatego harmonogram dzielimy na trzy kolumny czasu i przy każdej pozycji piszemy, ile pracy realnie wymaga.

Po kwartale proponujemy krótki przegląd: przechodzimy listę i zaznaczamy, co zostało zrobione, co zmieniło stan, a co przestało być aktualne, bo firma w międzyczasie wymieniła sprzęt albo system. Taki przegląd zajmuje dwie godziny i jest znacznie tańszy od powtórnego audytu.

Firmy objęte cyklicznym obowiązkiem badania traktują to jako etap pośredni między jednym audytem a kolejnym. Reszta zwykle po prostu chce wiedzieć, czy lista się skraca.

Czego ten audyt nie obejmuje

Nie prowadzimy testów penetracyjnych i nie nazywamy tak skanowania sieci. Nie oceniamy zgodności z prawem od strony prawnej, bo to praca dla kancelarii, a my opisujemy stan techniczny i organizacyjny. Nie wydajemy też żadnego certyfikatu: dokument potwierdzający zgodność z normą wystawia wyłącznie niezależna jednostka certyfikująca po własnym badaniu.

Naprawy, które wychodzą z raportu, prowadzimy osobno. Komplet warstw w jednej umowie to bezpieczeństwo IT dla firm, a dwie pozycje najczęściej stojące u nas na górze listy to ochrona przed ransomware oraz logowanie wieloskładnikowe. Zakres obowiązków wynikających z dyrektywy opisuje NIS 2 dla firm. Terminy ustalamy telefonicznie albo przez kontakt.

Treść sprawdzona i zaktualizowana: 31 lipca 2026