Audyt bezpieczeństwa IT Katowice

Dlaczego trzy obiekty jednej firmy mają trzy różne poziomy ochrony

Bo powstawały w różnych latach i pod różne potrzeby. Zakład ma sieć budowaną razem z halą, przez ekipę, która kładła też zasilanie. Biuro dostało infrastrukturę przy przeprowadzce, od innej firmy i według innego pomysłu. Magazyn dołożono najpóźniej, zwykle najtaniej, bo miał tylko obsługiwać wydania towaru.

Żaden z tych wyborów nie był błędem w momencie, w którym zapadał. Problem powstaje później, gdy obiekty zostają spięte tunelem, żeby system magazynowy widział produkcję, a raporty spływały do jednego miejsca. Od tej chwili firma ma jeden poziom ochrony, a nie trzy, i wyznacza go obiekt najsłabszy.

Co widać dopiero wtedy, gdy zestawi się lokalizacje obok siebie

Element	Zakład produkcyjny	Biuro	Magazyn
Kto zna infrastrukturę	utrzymanie ruchu	osoba prowadząca IT	nikt na miejscu
Podział sieci	częściowy, wokół maszyn	zwykle brak	brak
Aktualizacje stacji	wstrzymywane przez producenta linii	regularne	robione przy okazji
Dostęp firm zewnętrznych	kilka wejść serwisowych	jedno, do systemu księgowego	wejście integratora skanerów
Kopie zapasowe	lokalny serwer	usługa chmurowa	pliki na stacji operatora
Sieć bezprzewodowa	terminale i wózki	zespół i goście	terminale, jedno hasło od lat
Kontrola dostępu do szafy	zamknięta, klucz u kierownika	pomieszczenie techniczne	szafa w korytarzu

Ostatni wiersz bywa najbardziej wymowny, bo nie ma w nim nic technicznego. Przełącznik dostępny dla każdego, kto przechodzi korytarzem, przekreśla większość pracy wykonanej w pozostałych dwóch obiektach.

Jak wygląda dzień badania w zakładzie pracującym na zmiany

Zaczynamy przed zmianą, kiedy hala jest jeszcze cicha, i idziemy od szaf. Spisujemy przełączniki, sprawdzamy, gdzie kończy się okablowanie z pierwszego etapu budowy, a zaczyna dołożone przy rozbudowie, i notujemy każdy komputer stojący przy maszynie, na pakowni i w kontroli jakości.

Potem rozmawiamy z utrzymaniem ruchu, bo to jedyne źródło wiedzy o tym, które systemy nie mogą zostać przerwane i kiedy w miesiącu jest okno serwisowe. Ta rozmowa decyduje później o harmonogramie napraw bardziej niż jakikolwiek wynik techniczny. Resztę pracy, czyli konta w Active Directory lub Entra ID, uprawnienia do katalogów, konfigurację urządzenia brzegowego i zadania kopii w Veeam, prowadzimy zdalnie na zebranych danych.

Co najczęściej znajdujemy w łączach między obiektami

Tunel bez żadnego zawężenia. Lokalizacje spięte tak, że każda widzi w drugiej wszystko, bo przy uruchomieniu chodziło o to, żeby po prostu zadziałało, a listę potrzebnych połączeń miano dopisać później.

Jedno konto administracyjne na całą firmę. Wygodne, gdy jedna osoba utrzymuje trzy obiekty, i katastrofalne w skutkach, gdy to jedno hasło gdziekolwiek wycieknie.

Kopię magazynu leżącą w zakładzie i kopię zakładu leżącą w zakładzie. Pierwsza jest poprawna, druga tylko wygląda podobnie, bo dane i ich kopia dzielą budynek, zasilanie i sieć.

Sprzęt sieciowy bez wsparcia producenta. Zwykle w obiekcie dołożonym najpóźniej, kupiony wtedy jako rozwiązanie tymczasowe.

Jak zbudowany jest raport dla firmy z kilkoma lokalizacjami

Pierwsza część to porównanie obiektów w jednej tabeli, po jednym wierszu na obszar. Ta strona bywa czytana najczęściej, bo pokazuje rzecz, której z wnętrza firmy nie widać: że standard, który wszyscy uważają za firmowy, obowiązuje w rzeczywistości w jednym budynku.

Druga część to znaleziska ze wskazaniem obiektu, opisem skutku i rekomendacją, uszeregowane według ryzyka dla całej firmy. Trzecia to plan podzielony na trzy okresy, z zaznaczeniem, które prace wymagają okna serwisowego, a które da się wykonać zdalnie w dowolnym momencie. Ten podział ma znaczenie praktyczne, bo okien jest w miesiącu kilka i to one wyznaczają tempo.

Całość omawiamy przy stole, razem z osobą odpowiedzialną za utrzymanie ruchu. Godzina rozmowy nad dokumentem daje więcej niż wysłanie go mailem, bo pytania o skutki dla produkcji padają od razu.

Czego w tym badaniu nie robimy

Nie prowadzimy testów penetracyjnych ani przeglądu kodu, bo to osobne specjalności z własnym warsztatem. Nie oceniamy zgodności prawnej w części wymagającej wykładni przepisów. Nie ingerujemy w automatykę i nie zmieniamy konfiguracji urządzeń, których producent linii nie pozwala modyfikować.

Nie wystawiamy również certyfikatów. Dokument potwierdzający ISO/IEC 27001 albo ISO 22301 wydaje akredytowana jednostka po własnym badaniu, a nasza rola kończy się na doprowadzeniu firmy do stanu, w którym takie badanie ma sens.

Stałą opiekę nad warstwami ochrony prowadzi bezpieczeństwo IT dla firm, odporność na najgorszy scenariusz buduje ochrona przed ransomware, a porządek w kontach zamyka logowanie wieloskładnikowe. Terminy obchodu ustalimy przez kontakt.

Treść sprawdzona i zaktualizowana: 2 sierpnia 2026