Audyt bezpieczeństwa IT Rzeszów

Po co poddostawca z Podkarpacia zamawia takie badanie?

Impuls prawie nigdy nie jest wewnętrzny. Przychodzi z kwestionariuszem oceny dostawcy, w którym połowa pytań dotyczy nie wyrobu, tylko tego, jak chronicie powierzoną dokumentację i czy potraficie wrócić do pracy po awarii. Podpisuje go zwykle prezes, a materiał do odpowiedzi ma zebrać ktoś, kto nigdy tych rzeczy nie spisywał.

Odpowiedź z pamięci ma dwie wady naraz. Bywa nieprawdziwa, bo od ostatniej zmiany minęły dwa lata, i nie da się jej niczym poprzeć, gdy odbiorca poprosi o dowód. Badanie zamienia ją w zdanie z datą i z załącznikiem.

Drugi powód pojawia się przy zmianie wykonawcy IT albo przy odejściu jedynej osoby, która wiedziała, jak to wszystko działa. Wtedy audyt jest po prostu inwentaryzacją: co stoi, do czego ma dostęp i co się stanie, gdy tego zabraknie.

Co sprawdzamy w hali, a co w biurze technicznym?

Obszar	Co oglądamy	Dowód, który zostaje
Biuro techniczne	uprawnienia do katalogów z rysunkami i modelami, historia otwarć, zasady wynoszenia plików	wykaz osób z dostępem do dokumentacji wyrobu, z datą nadania
Stanowiska przy maszynach	wersje systemów, obecność agenta ochrony, sposób przenoszenia programów na obrabiarki	zestawienie sprzętu z podziałem na objęty ochroną i pominięty
Sieć zakładu	podział na segmenty, reguły na urządzeniu brzegowym, wejścia serwisu producentów	schemat segmentów i wykaz połączeń zdalnych z właścicielem każdego
Serwery i wirtualizacja	zaległe poprawki, konta uprzywilejowane, zakres monitoringu	lista kont administracyjnych i zestawienie braków w aktualizacjach
Kopie zapasowe	zakres, retencja, odporność na skasowanie, data ostatniej próby	protokół odtworzenia wskazanego zasobu z pomiarem czasu
Tożsamość i poczta	drugi składnik, rekordy domeny, reguły przekazywania wiadomości	raport konfiguracji domeny i wykaz kont bez dodatkowego składnika
Dokumenty	umowy z dostawcami IT, procedura zgłoszenia incydentu, wykaz systemów	lista braków w dokumentacji z propozycją treści do uzupełnienia

Kolumna trzecia jest powodem, dla którego to badanie różni się od rozmowy z informatykiem. Ustalenie bez materiału jest opinią i po pół roku nikt nie pamięta, skąd się wzięło. Ustalenie z eksportem konfiguracji albo z protokołem próby zostaje w firmie i daje się pokazać komuś z zewnątrz.

Skąd bierze się dowód, którego żąda odbiorca?

Z rzeczy, które w zakładzie i tak istnieją, tylko nikt ich nie zbiera w jedno miejsce. Zrzut ustawień z urządzenia brzegowego. Wyeksportowana lista członków grupy administratorów. Zestawienie kont, które w ciągu roku ani razu się nie logowały. Wynik próby odtworzenia z datą, godziną rozpoczęcia i godziną, o której plik dał się otworzyć.

Do tego dochodzą fakty, które musimy ustalić rozmową, bo nie ma ich w żadnym systemie: kto decyduje o wydaniu rysunku na zewnątrz, co się dzieje z kontem pracownika w dniu odejścia, kto odbiera telefon, gdy w nocy stanie serwer z programami na maszyny. Te odpowiedzi wpisujemy do raportu wraz z nazwiskiem osoby, która ich udzieliła, żeby dało się do nich wrócić.

Co najczęściej znajdujemy u producenta części?

Powtarza się kilka rzeczy i żadna nie wynika z zaniedbania, tylko z tego, że zakład rósł szybciej niż jego infrastruktura.

Katalog z dokumentacją techniczną otwarty dla wszystkich pracowników biurowych, bo tak było prościej przy dwudziestu osobach. Konta ludzi, którzy odeszli w poprzednim roku, nadal aktywne, czasem używane przez kogoś na produkcji jako wspólne. Kopia obejmująca system handlowy i pomijająca serwer plików z rysunkami oraz postprocesorami, czyli dokładnie to, czego nie da się kupić ponownie. Stały tunel serwisowy dostawcy obrabiarki, założony przy uruchomieniu maszyny i od tamtej pory nigdy nie zamknięty. Laptop technologa bez szyfrowania dysku, wożony na spotkania do odbiorcy.

Osobną kategorią są stanowiska, o których nikt nie pamięta: komputer przy urządzeniu pomiarowym, terminal na wydaniach i maszyna sterująca myjką, działające na systemie bez wsparcia od kilku lat. Nie zawsze da się je wymienić, zawsze da się je odciąć od reszty sieci.

Jak zbudowany jest raport i kto go czyta?

Trzy warstwy, bo czytają go trzy różne osoby. Pierwsza to dwie strony dla zarządu: co jest w porządku, co grozi zatrzymaniem produkcji i ile kosztuje usunięcie najpilniejszych rzeczy. Druga to rejestr ustaleń, każde z opisem stanu faktycznego, skutkiem, nakładem i informacją, czy zamykamy je zdalnie, czy podczas przyjazdu. Trzecia to załączniki z materiałem dowodowym.

Rejestr układamy nakładem, nie wagą zagrożenia. Kolejność sortowana ryzykiem wygląda mądrze i kończy się tym, że firma zaczyna od rzeczy najdroższej, odkłada ją na przyszły rok i nie robi nic. Kolejność zaczynająca się od zmian, które kosztują godzinę pracy, daje efekt w pierwszym tygodniu.

Raport omawiamy na spotkaniu, zwykle zdalnym. Jeżeli wynik ma iść do odbiorcy, przygotowujemy skrót bez szczegółów konfiguracyjnych, bo pełny dokument opisuje Wasze słabe punkty i nie powinien krążyć poza firmą.

Czego w tym badaniu nie robimy?

Nie prowadzimy kontrolowanego włamania ani testów penetracyjnych aplikacji, bo to inna usługa, z innym nakładem i innym rodzajem zgody. Nie oceniamy systemu jakości ani zgodności wyrobu, nie wydajemy certyfikatów i nie zastępujemy jednostki certyfikującej. Nie zajmujemy się też materiałem dowodowym na potrzeby postępowania, bo wymaga on innego warsztatu.

Samo badanie niczego nie naprawia i mówimy to na pierwszej rozmowie. Warstwy, które zwykle domykają wynik, opisują bezpieczeństwo IT dla firm Rzeszów oraz ochrona przed ransomware Rzeszów, a obowiązki wynikające z przepisu NIS 2 Rzeszów. Termin badania ustalimy przez kontakt.

Treść sprawdzona i zaktualizowana: 14 sierpnia 2026