Audyt bezpieczeństwa IT Olsztyn

Kiedy obiekt pracujący sezonowo da się w ogóle zbadać?

Poza obłożeniem i to nie jest wymówka, tylko warunek rzetelności. Audyt polega na zadawaniu pytań ludziom, którzy przy tym pracują, i na wchodzeniu tam, gdzie na co dzień nikt nie wchodzi. W lipcu recepcja nie ma dwudziestu minut na rozmowę o kontach, a klucz do pomieszczenia technicznego jest akurat u kogoś, kto wrócił z niego godzinę temu i pojechał do drugiego budynku.

Warmińskie obiekty mają za to dwa okna, w których wszystko jest łatwe. Kwiecień, kiedy pracują już ludzie odpowiedzialni za przygotowanie sezonu, a gości jeszcze nie ma. I październik, kiedy każdy pamięta, co się w szczycie zacięło, a pamięć taka bywa cenniejsza od połowy naszych pytań. Wybór między tymi terminami zależy od tego, czy zależy Wam bardziej na poprawkach przed otwarciem, czy na spisaniu wniosków z sezonu, który właśnie minął.

Które ustalenia powstają przez sieć, a które dopiero w budynku?

Obszar	Zdalnie	Na miejscu	Dlaczego akurat tak
Konta i uprawnienia	tak	nie	wszystko widać w katalogu tożsamości i w panelach usług
Poczta i domena	tak	nie	rekordy domeny i reguły sprawdza się z dowolnego miejsca
Kopie zapasowe	tak	częściowo	zadania widać zdalnie, nośnik w szafie trzeba zobaczyć
Urządzenia brzegowe	tak	tak	konfiguracja przez sieć, ale co wpięte w porty, tylko okiem
Sieć dla gości	częściowo	tak	rozdział potwierdza dopiero test z urządzenia w obiekcie
Szafy i okablowanie	nie	tak	nie ma zdalnego sposobu na sprawdzenie, co dokąd biegnie
Punkty zewnętrzne	nie	tak	montaż, zasilanie i dostępność dla osób postronnych

Kolumna trzecia decyduje o kształcie usługi. Rzeczy wymagających obecności jest mniej niż połowa, ale są to akurat te, w których najczęściej znajdujemy niespodzianki: przełącznik postawiony na podłodze w kotłowni, kabel biegnący z recepcji do budynku obok wzdłuż płotu, punkt dostępowy przykręcony do słupka na wysokości metra. Zdalnie nie ma sposobu, żeby o tym wiedzieć, bo w żadnej dokumentacji tego nie ma.

Dlaczego obchód zaczynamy od miejsca, w którym gość podaje kartę?

Bo w recepcji zbiega się wszystko, co w takim obiekcie warto chronić, i w tym samym pomieszczeniu wisi zwykle punkt dostępowy nadający sieć dla gości. Na jednym blacie stoi komputer z systemem rezerwacyjnym, terminal płatniczy, drukarka i rejestr kluczy, a wszystko to trzeba obsłużyć jedną ręką w trzy minuty, bo za gościem stoi kolejka.

Test jest prosty i wykonujemy go zawsze. Łączymy się z siecią udostępnianą gościom i sprawdzamy, co z niej widać. W dobrze poukładanym obiekcie widać internet i nic więcej. W obiekcie, w którym ktoś kiedyś dołożył kolejny router, żeby zasięg sięgnął do domków, widać zwykle dysk sieciowy, drukarkę i panel logowania urządzenia brzegowego z fabrycznym hasłem.

Osobno oglądamy terminal płatniczy i jego drogę do świata. Nie po to, żeby grzebać w rozliczeniach, tylko żeby ustalić, czy ruch płatniczy idzie oddzielnie od reszty. Więcej o tym rozdziale mówi bezpieczeństwo IT dla firm.

Co zostaje w systemach po ekipie, która pracowała cztery miesiące?

Konta i to jest najczęstsze ustalenie z tego badania. Osoba przychodzi w czerwcu, dostaje dostęp do systemu rezerwacyjnego, do poczty i do dysku, w połowie sierpnia ktoś dopisuje jej uprawnienie potrzebne na jeden dzień, a we wrześniu zdaje klucze i wyjeżdża. Konto zostaje, bo nikt nie miał zadania, żeby je zamknąć.

Po trzech sezonach lista czynnych kont bywa dwa razy dłuższa od listy ludzi. Każde z nich ma hasło, które gdzieś kiedyś zostało zapisane, a część ma dostęp do kartotek gości. Wypisujemy je wszystkie z datą ostatniego logowania, bo dopiero taka lista przekonuje, że to nie jest problem teoretyczny.

Przy okazji sprawdzamy, gdzie w ogóle leżą dokumenty meldunkowe, skany dowodów zbierane przy grupach i formularze zgód. Zwykle w kilku miejscach naraz: w systemie, w folderze na dysku i w skrzynce recepcji. Uporządkowanie dostępów do nich opisuje logowanie wieloskładnikowe.

Jak wygląda raport, gdy poprawki mają zdążyć przed otwarciem?

Ma dwie listy, a nie jedną. Pierwsza to rzeczy, które muszą być zrobione przed sezonem, bo w trakcie nie da się ich ruszyć albo ich brak grozi zatrzymaniem sprzedaży. Druga to prace, które spokojnie poczekają do listopada i będą wtedy tańsze, bo nikt nie będzie pracował w pośpiechu.

Przy każdej pozycji stoi ustalenie, ryzyko, proponowana naprawa i to, czy wymaga wydatku, czy tylko zmiany ustawienia. Rzeczy z drugiej grupy jest zwykle więcej, niż się spodziewacie, i to jest dobra wiadomość: wyłączony fabryczny dostęp, poprawiona reguła i wygaszone konto nie kosztują nic poza czasem.

Raport omawiamy na spotkaniu, także zdalnie, bo dokument przeczytany bez rozmowy zostaje w skrzynce. Gdy z ustaleń wychodzi, że firma podlega przepisom sektorowym, mówimy o tym osobno i pokazujemy, co z tego wynika, w ramach NIS 2.

Czego w tym badaniu nie robimy?

Nie prowadzimy testów penetracyjnych ani prób łamania zabezpieczeń, bo to osobna usługa o innym zakresie i innej umowie. Nie badamy wnętrza cudzych aplikacji, w tym systemu rezerwacyjnego i paneli portali, bo dostawca nie dał na to zgody, a my o nią nie występujemy w Waszym imieniu.

Nie oceniamy pracy poprzedniego wykonawcy i nie piszemy zdań o tym, kto co zaniedbał. Raport opisuje stan na dzień badania, bo tylko taki dokument da się komukolwiek pokazać bez komentarza. Nie wystawiamy też żadnego zaświadczenia o zgodności, ponieważ takie potwierdzenie wydaje wyłącznie akredytowana jednostka certyfikująca. Zakres i termin ustalamy przez kontakt.

Treść sprawdzona i zaktualizowana: 7 września 2026