Audyt bezpieczeństwa IT Lublin

Ile Waszego IT stoi poza pokojem z biurkami?

W firmie handlowej albo w biurze projektowym niemal cała informatyka mieści się w jednym pomieszczeniu. W firmie przewozowej jest odwrotnie i to jest powód, dla którego badanie prowadzone wyłącznie zdalnie pokazuje w Lublinie połowę obrazu.

Reszta stoi tam, gdzie nikt nie zagląda. Szafa przy warsztacie, w której latem robi się cieplej, niż zakładał producent przełącznika. Komputer przy wadze, pracujący na systemie bez wsparcia, bo obsługuje program od producenta wagi. Punkt dostępowy nad placem manewrowym, wpięty do sieci biurowej, żeby terminale łapały zasięg. Rejestrator obrazu przy bramie z hasłem fabrycznym. Laptop przedstawiciela, który wraca do biura raz na kwartał. Router w oddziale kupiony przy uruchomieniu i od tamtej pory nietknięty.

Każde z tych urządzeń jest wejściem do tej samej sieci co serwer z danymi kierowców i umowami przewozowymi. Dlatego badanie zaczynamy od obchodu, a nie od skanowania, i dlatego zajmuje ono zwykle dwa tygodnie zamiast trzech dni.

Co znajdujemy w miejscach, których nie obejmuje żaden spis?

Miejsce	Co tam zwykle stoi	Najczęstsze ustalenie
Warsztat	przełącznik, komputer diagnostyczny, drukarka	urządzenie sieciowe w szafie bez wentylacji i bez hasła administratora
Waga i punkt przyjęć	stanowisko z programem producenta	system operacyjny bez wsparcia, wpięty w tę samą sieć co księgowość
Plac manewrowy	punkty dostępowe dla terminali	jedna sieć bezprzewodowa dla terminali, gości i telefonów prywatnych
Brama i portiernia	rejestrator obrazu, domofon	dostęp z internetu z fabrycznym hasłem, wystawiony na potrzeby serwisu
Oddział przy granicy	własne łącze i własne urządzenie brzegowe	reguły z dnia uruchomienia, bez przeglądu i bez aktualizacji
Kabina i teczka	laptop, tablet, telefon	dysk bez szyfrowania oraz brak sposobu na zdalne odcięcie dostępu
Biuro	serwer, stacje, drukarka sieciowa	konta po osobach, które odeszły, oraz wspólne hasło do jednego programu

Ostatni wiersz jest jedynym, który da się zbadać zdalnie, i jedynym, o którym firma zwykle wie. Sześć poprzednich zbiera razem większość ryzyka i wymaga przyjazdu, więc wyjeżdżamy z biura przy Kresowej 6 i planujemy obchód na dzień, w którym baza pracuje normalnie. Miejsce puste wygląda inaczej niż miejsce w ruchu, a badamy stan faktyczny, nie stan świąteczny.

Jak sprawdzamy dane, które jadą razem z pojazdem?

Ta część badania nie ma odpowiednika w firmie stacjonarnej. Sprzęt wyjeżdżający poza teren zakładu chronią zupełnie inne mechanizmy niż komputer stojący w biurze, bo nie da się liczyć na sieć firmową ani na to, że ktoś zauważy jego zniknięcie.

Sprawdzamy trzy rzeczy. Po pierwsze, czy dysk laptopa jest zaszyfrowany i czy klucz odzyskiwania w ogóle gdzieś istnieje, bo szyfrowanie bez zdeponowanego klucza bywa problemem większym niż jego brak. Po drugie, czy urządzenie pobiera poprawki, gdy tygodniami nie widzi sieci firmowej. Po trzecie, czy da się odciąć dostęp bez fizycznego kontaktu ze sprzętem, kiedy telefon zginie na parkingu za granicą.

Osobno badamy, ile danych faktycznie leży na tych urządzeniach. Kopia cennika, lista kontaktów, skany dokumentów przewozowych i wyeksportowane zestawienie z programu spedycyjnego potrafią zebrać się w folderze na pulpicie w ilości, której nikt nie planował. To ustalenie zwykle najbardziej zaskakuje zarząd.

Skąd wiadomo, kto naprawdę ma wejście, skoro zespół zmienia się co sezon?

Nie z deklaracji i nie z pamięci, tylko z zestawienia dwóch list. Pierwsza to wykaz osób zatrudnionych, druga to konta w każdym systemie z osobna, wyciągnięte przez nas, a nie przepisane z czyjejś tabelki.

Zestawienie robimy dla domeny, poczty, programu spedycyjnego, panelu lokalizacji pojazdów, systemu kadrowego, bankowości oraz każdego portalu zleceniodawcy, do którego ktoś u Was się loguje. Ostatnia pozycja bywa najbardziej zaniedbana, bo dostęp do portalu kontrahenta zakłada się raz i nikt nie traktuje go jak konta firmowego.

Efektem jest lista wejść bez właściciela, wejść nadanych zbyt szeroko oraz kont wspólnych, z których korzysta cała zmiana. Przy każdej pozycji podajemy, kiedy ostatnio z niej korzystano, bo konto nieużywane od roku zamyka się bez dyskusji, a konto używane wczoraj wymaga rozmowy z kimś, kto wie po co.

Co dokładnie dostajecie na koniec?

Raport ma dwie części, bo czyta go dwóch różnych odbiorców. Streszczenie na dwie strony mówi zarządowi, co grozi firmie, ile kosztuje naprawa i co zrobić najpierw. Część szczegółowa opisuje każde ustalenie osobno, z dowodem, sposobem naprawy i szacunkiem nakładu.

Do tego dochodzi tabela nadająca się do budżetu, uszeregowana według stosunku ryzyka do kosztu. Zwykle pierwsze pozycje na niej nie kosztują nic poza pracą, bo zamknięcie kont, odebranie nadmiarowych uprawnień i wyłączenie dostępu z internetu do rejestratora to decyzje, a nie zakupy.

Całość omawiamy na spotkaniu, na którym powinna być osoba decydująca o wydatkach. Raport zostawiony bez rozmowy trafia do szuflady, a wtedy jest tylko kosztem.

Czego w tym badaniu nie robimy?

Nie prowadzimy kontrolowanego włamania z pełnym testem penetracyjnym aplikacji i nie podszywamy się pod pracowników bez wcześniejszego ustalenia zasad. Symulowaną kampanię można dołożyć, ale jest osobną usługą i osobną rozmową.

Nie oceniamy zgodności z przepisami w sensie prawnym, bo opinie w tej sprawie wydają kancelarie. Sprawdzamy stan techniczny i wskazujemy, które ustalenia mają znaczenie przy wymaganiach NIS 2 albo przy ISO/IEC 27001.

Nie naprawiamy niczego w trakcie badania, nawet gdy poprawka zajęłaby minutę. Audytor, który po drodze zmienia konfigurację, przestaje opisywać stan zastany, a zaczyna opisywać własną pracę. Wyjątkiem jest sytuacja groźna wprost, którą zgłaszamy natychmiast telefonicznie i naprawiamy dopiero na Wasze polecenie.

Stałe prowadzenie warstw opisuje bezpieczeństwo IT dla firm, a warstwę na komputerach ochrona stacji roboczych i serwerów. Termin pierwszej wizyty ustalimy przez kontakt albo pod numerem +48 888 777 822.

Treść sprawdzona i zaktualizowana: 14 sierpnia 2026