Audyt bezpieczeństwa IT Toruń

Kto naprawdę zamawia to badanie w toruńskiej firmie?

Rzadko dział IT, bo zwykle go nie ma. Najczęściej dzwoni właściciel albo osoba odpowiedzialna za jakość, po tym jak odbiorca przysłał aneks do warunków dostaw i dołączył do niego ankietę o zabezpieczeniach. Pytania w niej są krótkie, odpowiedzi wymagają dowodu, a termin odesłania bywa krótszy niż czas potrzebny na cokolwiek naprawienie.

Drugi powód to zmiana po stronie firmy: przejęcie zakładu, uruchomienie nowej linii, odejście człowieka, który sam wszystko ustawiał, albo pierwsze zdarzenie, które kosztowało pieniądze. Trzeci, najrzadszy, to własna decyzja zarządu o sprawdzeniu stanu przed rozmową o ubezpieczeniu.

Każdy z tych powodów prowadzi do innego raportu, dlatego pytamy o niego na pierwszym spotkaniu. Badanie zamówione pod ankietę odbiorcy ma inną kolejność rozdziałów niż badanie zamówione po incydencie.

Które pytania z ankiety odbiorcy sprawiają najwięcej kłopotu?

Pytanie z ankiety	Czego szuka odbiorca	Czym to potwierdzamy
Czy dostęp do systemów jest imienny	braku wspólnych kont na hali	wykaz kont zestawiony z listą zatrudnienia
Czy kopie są testowane	dowodu, że da się wrócić do pracy	protokół z odtworzenia wskazanego zasobu
Kto ma dostęp do dokumentacji wyrobu	ochrony własnej specyfikacji	wykaz uprawnień do zasobu z recepturami
Czy zdarzenia są rejestrowane	możliwości ustalenia przebiegu	zrzut z konfiguracji rejestrowania zdarzeń
Jak nadajecie i odbieracie dostępy	porządku przy rotacji sezonowej	opis procedury i daty wyłączenia kont
Czy dostawcy mają stały dostęp zdalny	otwartych wejść do sieci zakładu	lista wejść z trybem i czasem otwarcia
Czy pracownicy przechodzą szkolenia	świadomości załogi, nie tylko techniki	zestawienie kampanii i frekwencji

Wiersz o rejestrowaniu zdarzeń zatrzymuje najwięcej firm, bo odpowiedź brzmi zwykle „chyba tak”. Rejestr istnieje, tyle że trzyma dane przez kilka dni, więc przy pytaniu o zdarzenie sprzed miesiąca nie ma z czego odtworzyć przebiegu.

Jak wygląda obchód zakładu, chłodni i biura w kamienicy?

Dzień na miejscu zaczynamy od szaf sieciowych, bo one mówią najwięcej i najmniej kłamią. Sprawdzamy, gdzie stoją, czy da się je zamknąć, kto ma klucz, jak są opisane porty i czy do tej samej szafy nie wpięto przypadkiem sprzętu firmy zewnętrznej. W zakładzie spożywczym oglądamy dodatkowo punkty dostępowe w strefach mytych wodą oraz sposób poprowadzenia okablowania w miejscach, w których stoi woda.

W chłodni interesuje nas przede wszystkim to, czym mierzy się temperaturę i gdzie lądują odczyty. Rejestrator wpięty do sieci biurowej, z hasłem ustawionym przez instalatora, jest częstszy niż się wydaje, a jego zapisy bywają jednocześnie dowodem dla odbiorcy.

W biurze w kamienicy patrzymy na coś innego: gdzie fizycznie stoi serwer. Bywa nim przerobiony pokój albo szafa w korytarzu, do którego mają dostęp wszyscy, bo przy budynku pod nadzorem konserwatorskim wydzielenie porządnego pomieszczenia nie zawsze jest możliwe. Wtedy zamiast wymagać niemożliwego, opisujemy, czym to zrekompensować.

Co sprawdzamy w dostępie do receptur i zapisów jakościowych?

Ten rozdział jest w toruńskich zakładach najważniejszy, a w typowym raporcie z audytu w ogóle go nie ma. Dokumentacja technologiczna nie jest daną osobową, więc nie chroni jej żaden przepis, którego przestrzegania ktoś od Was wymaga. Chroni ją wyłącznie to, co sami ustawicie.

Sprawdzamy więc cztery rzeczy. Kto ma prawo otworzyć zasób z recepturami i czy jest to ta sama grupa co ludzie obsługujący systemy. Czy kopiowanie plików z tego zasobu zostawia ślad, który przetrwa dłużej niż tydzień. Czy da się je wynieść na nośniku wpiętym do komputera na produkcji. Czy istnieje kopia tej dokumentacji poza zakładem, na wypadek zdarzenia obejmującego cały budynek.

Wynik zapisujemy osobno od reszty raportu, bo zwykle trafia do innych rąk. Resztą zajmuje się osoba od informatyki, tym rozdziałem właściciel.

Co dokładnie dostajecie po zakończeniu prac?

Raport składa się z trzech części. Pierwsza to lista ryzyk uszeregowana według wagi, każde z opisem skutku, szacowanym kosztem naprawy i sugerowanym terminem. Druga to zestawienie stanu faktycznego: schemat sieci, wykaz sprzętu i systemów, lista kont z uprawnieniami, opis zadań kopii razem z wynikiem próby odtworzenia. Trzecia to gotowe odpowiedzi na pytania z ankiety odbiorcy, jeżeli badanie powstało pod nią.

Całość omawiamy na spotkaniu i to jest część, której nie zastępuje wysłanie dokumentu mailem. Zarząd zwykle ma dwa pytania: co się stanie, jeśli nie zrobimy nic, i od czego zacząć przy ograniczonym budżecie. Na oba odpowiadamy przy stole, liczbami z raportu.

Warstwę techniczną, którą najczęściej trzeba potem uzupełnić, opisuje bezpieczeństwo IT dla firm, a wymagania przepisu, jeżeli okaże się, że podlegacie, NIS 2. Zgodność samego przetwarzania danych osobowych sprawdza osobno audyt RODO.

Czego w tym badaniu nie robimy?

Nie prowadzimy testów penetracyjnych ani prób włamania, bo to inny warsztat i inna umowa. Nie oceniamy bezpieczeństwa maszyn ani ich sterowników, bo odpowiada za to producent linii. Nie wydajemy certyfikatu i nie ma czegoś takiego jak zaświadczenie o zdanym audycie, więc raport nie udaje dokumentu, którym nie jest.

Nie naprawiamy też niczego w trakcie badania, nawet rzeczy drobnych. Zmiana wprowadzona w toku prac psuje obraz stanu zastanego, a właśnie po niego zamawiacie tę usługę. Wyjątkiem jest sytuacja, w której znajdujemy coś groźnego i natychmiast Was o tym informujemy. Termin obchodu umawiamy przez kontakt albo w biurze przy Grudziądzkiej 136.

Treść sprawdzona i zaktualizowana: 14 sierpnia 2026