Audyt Bezpieczeństwa IT Zielona Góra

Skąd wiemy, że Wasz spis urządzeń się nie zgadza

Bo nie zgadza się nigdy. W biurze różnica bierze się z komputerów kupowanych poza obiegiem, w zakładzie z czegoś zupełnie innego: z urządzeń, które przyszły razem z maszyną. Panel operatorski, komputer testera, waga z własnym interfejsem, drukarka etykiet, sterownik kompresorowni, rejestrator obrazu, konwerter podpięty przy uruchomieniu linii przez integratora.

Żadne z nich nie trafiło do ewidencji środków trwałych jako sprzęt informatyczny, bo formalnie jest częścią maszyny. Każde ma adres w sieci, działające oprogramowanie i najczęściej domyślne hasło z instrukcji.

Pierwsza część audytu polega więc na czymś prostym i żmudnym: przejściu przez obiekt i spisaniu wszystkiego, co świeci diodą i ma wtyczkę sieciową. Dopiero z tej listy da się powiedzieć, ile firma ma naprawdę powierzchni do obrony.

Kto ma zdalny dostęp do Waszych maszyn

Druga część jest jeszcze mniej oczywista, bo dotyczy ludzi spoza firmy. Zestawienie poniżej powstaje w każdym audycie zakładu i za każdym razem zaskakuje zarząd co najmniej jednym wierszem.

Kto ma wejście	Czym zwykle się loguje	Co proponujemy
Serwis producenta maszyny	stałe konto, hasło znane całemu ich działowi	dostęp na czas zgłoszenia, imienny, z zapisem sesji
Integrator systemu nadzoru	tunel postawiony przy wdrożeniu, bez daty końca	tunel z drugim składnikiem i przeglądem co pół roku
Dostawca systemu magazynowego	pulpit zdalny wystawiony wprost do internetu	wejście przez bramę firmy, bez otwartego portu
Firma od wag i etykietowania	konto lokalne na komputerze w hali	konto imienne z uprawnieniem tylko do swojej aplikacji
Poprzedni informatyk lub dostawca IT	konto, którego nikt nie wyłączył	wyłączenie i sprawdzenie, co przez nie robiono
Producent kamer i kontroli wejścia	panel z domyślnym hasłem, widoczny z zewnątrz	zdjęcie panelu z internetu i zmiana poświadczeń

Wiersz pierwszy jest najtrudniejszy do zmiany, bo dotyka umowy serwisowej i gwarancji. Zwykle udaje się go domknąć, gdy rozmowę z producentem prowadzi utrzymanie ruchu, a nie dział IT: to samo pytanie zadane przez osobę zamawiającą przeglądy brzmi inaczej niż zadane mailem przez informatyka.

Jak badamy sieć, w której pracują sterowniki

W części biurowej pracujemy tak jak wszędzie: zbieramy konfiguracje, listy kont, wersje systemów, reguły firewalla, stan kopii, a testy mogące obciążyć sieć planujemy poza godzinami pracy.

W segmencie produkcyjnym zmieniamy metodę. Starsze sterowniki potrafią przestać odpowiadać po zwykłym zapytaniu na nietypowym porcie, a koszt takiego zdarzenia liczy się w minutach postoju. Dlatego urządzenia rozpoznajemy pasywnie: z tablic przełączników, z ruchu widocznego na porcie lustrzanym i z rozmowy z osobami, które te maszyny uruchamiały. Wolniej, za to bez ryzyka.

To rozróżnienie warto znać przy porównywaniu ofert. Audyt sprzedawany jako skan całej sieci jednym narzędziem jest tańszy w wykonaniu i w zakładzie bywa po prostu niebezpieczny.

Jak wygląda raport, gdy właściciel pyta o jedną liczbę

Raport ma trzy części: znaleziska z oceną ryzyka i rekomendacją, dokumentację, której w firmie zwykle nie ma, oraz harmonogram napraw z podziałem na ten miesiąc, ten kwartał i ten rok. Przy każdej pozycji stoi szacunek kosztu i pracochłonności.

Na spotkaniu podsumowującym pytanie prawie zawsze brzmi tak samo: co zrobić najpierw, jeśli budżet starcza na trzy pozycje z dwudziestu. Odpowiedź na nie jest właściwym produktem tej usługi, a nie sam dokument. W zakładzie odpowiedź najczęściej dotyczy trzech rzeczy naraz: kopii, których atakujący nie skasuje, granicy między halą a biurem oraz uporządkowania dostępów firm zewnętrznych.

Omówienie prowadzimy u Was, przy stole, i planujemy je w tym samym dniu co wizyta końcowa, żeby nie mnożyć terminów.

Co robimy z ryzykiem, na które nie ma pieniędzy

Część znalezisk zostaje w firmie na dłużej, bo ich usunięcie oznacza wymianę maszyny albo przebudowę instalacji. Udawanie, że da się to zamknąć w kwartał, byłoby stratą czasu obu stron.

Takie pozycje opisujemy osobno, jako ryzyko przyjęte świadomie: co konkretnie grozi, jakie działanie zastępcze wprowadzamy i kiedy wracamy do tematu. Podpisana decyzja zarządu o przyjęciu ryzyka wygląda przy kontroli albo przy ankiecie odbiorcy zupełnie inaczej niż to samo ryzyko przeoczone i nieopisane.

Działanie zastępcze bywa zresztą tanie. Maszyny, której nie wolno aktualizować, nie da się załatać, ale da się ją odciąć od internetu, wpiąć w osobny segment i objąć osobną kopią konfiguracji.

Czego ten audyt nie obejmuje

Nie prowadzimy testów penetracyjnych i nie nazywamy tak skanowania. Nie oceniamy zgodności od strony prawnej, bo to praca dla kancelarii. Nie badamy bezpieczeństwa samych maszyn jako urządzeń, czyli nie zastępujemy oceny zgodności prowadzonej przez producenta ani służby utrzymania ruchu.

Nie wydajemy też żadnego certyfikatu. Dokument potwierdzający zgodność z ISO/IEC 27001 wystawia wyłącznie niezależna jednostka certyfikująca po własnym badaniu, a nasz raport pokazuje odległość do tego standardu i do wymagań dyrektywy.

Naprawy prowadzimy osobno. Komplet warstw w jednej umowie to bezpieczeństwo IT dla firm, kopie odporne na szyfrowanie opisuje ochrona przed ransomware, a porządek w dostępach logowanie wieloskładnikowe. Termin badania ustalamy telefonicznie albo przez kontakt.

Treść sprawdzona i zaktualizowana: 31 lipca 2026