- usługi
- Audyt IT i audyt informatyczny
Co obejmuje audyt IT i audyt informatyczny?
Audyt ma odpowiedzieć na jedno pytanie: co w tym środowisku grozi zatrzymaniem firmy i w jakiej kolejności to naprawiać. Poniżej siedem obszarów, które sprawdzamy zawsze, od serwerowni po licencje. Zakres rozszerza się przy audycie pod NIS 2 lub ISO/IEC 27001, gdzie dochodzi ocena procedur, a nie tylko techniki.
- 01
Sprzęt i systemy
Wiek maszyn, wsparcie producenta, wersje systemów i to, czy jeszcze dostają łatki.
- 02
Serwery i magazyn danych
Wirtualizacja, obciążenie, stan dysków, tempo przyrostu i to, kiedy skończy się miejsce.
- 03
Kopie zapasowe
Harmonogramy, retencja i próba odtworzenia. Sprawdzamy, a nie wierzymy na słowo.
- 04
Dostępy i konta
Kto ma uprawnienia administratora, ile kont należy do osób, których już nie ma w firmie.
- 05
Sieć, brzeg i zasilanie
Reguły firewalla, otwarte porty, podział sieci, dostęp z zewnątrz oraz stan podtrzymania.
- 06
Licencje
Czym się legitymujecie w razie kontroli i za co płacicie, nie używając tego.
- 07
Dokumentacja i ciągłość
Co jest opisane, kto co robi przy awarii i co się stanie po utracie serwera albo osoby z hasłami.
Ile kosztuje audyt IT i audyt informatyczny?
Audyt informatyczny zaczyna się od 2 900 zł netto za przegląd firmy na dwadzieścia stanowisk lub jednej lokalizacji z serwerownią. To praca jednorazowa: inwentaryzacja, analiza, raport i omówienie wyników. Kwota rośnie z liczbą serwerów, lokalizacji i systemów do sprawdzenia, dlatego podajemy ją po ustaleniu, co dokładnie wchodzi w zakres.
Tyle kosztuje: przegląd infrastruktury, 20 stanowisk, około 1,5 dnia pracy.
Wszystkie kwoty są netto. Tej usługi nie sprzedajemy z cennika, więc dokładną kwotę podajemy po rozmowie o zakresie, przed podpisaniem umowy.
Co najczęściej znajdujemy
Audyty w małych i średnich firmach powtarzają się w zaskakującym stopniu. Poniżej rzeczy, które widzimy regularnie, razem z tym, co z nich wynika, jeśli nikt ich nie ruszy.
| Obszar | Częste znalezisko | Czym grozi |
|---|---|---|
| Kopie zapasowe | zadanie kończy się błędem od miesięcy | brak danych po awarii |
| Kopie zapasowe | jedyna kopia leży na tym samym serwerze | ransomware zabiera oryginał i kopię |
| Konta | aktywne konta byłych pracowników | dostęp do poczty i plików po odejściu |
| Konta | jedno hasło administratora znane wszystkim | nie da się ustalić, kto co zrobił |
| Dostęp zdalny | pulpit zdalny wystawiony wprost do internetu | najczęstsza droga wejścia ransomware |
| Systemy | serwer bez wsparcia producenta | brak łatek na znane podatności |
| Magazyn danych | macierz zapełniona powyżej dziewięćdziesięciu procent | zatrzymanie systemu przy pierwszym większym imporcie |
| Zasilanie | zasilacz awaryjny z martwymi bateriami | wyłączenie serwera przy pierwszej przerwie w prądzie |
| Licencje | więcej stanowisk niż wykupionych licencji | ryzyko finansowe przy kontroli |
| Licencje | opłacane konta osób, których już nie ma | pieniądze wyrzucane co miesiąc |
| Ciągłość | jedna osoba zna wszystkie hasła | urlop tej osoby zatrzymuje firmę |
| Sieć | płaska sieć bez podziału | infekcja jednego komputera obejmuje całość |
Nic z tej listy nie wymaga wyrafinowanego ataku ani pecha. To zaniedbania, które narastają, bo każde z osobna wydaje się drobne.
Czym audyt informatyczny różni się od audytu infrastruktury IT
Nazwami, nie usługą. Klienci pytają o audyt IT, audyt informatyczny i audyt infrastruktury IT, mając na myśli to samo: niezależny przegląd tego, co firma ma, jak to działa i co grozi jej w najbliższym roku. Różnica jest w głębokości, nie w adresie, pod którym o tym piszemy.
| Wariant | Co obejmuje | Kiedy wystarcza |
|---|---|---|
| Przegląd podstawowy | sprzęt, kopie, dostępy, licencje, sieć | firma do dwudziestu stanowisk bez własnej serwerowni |
| Audyt infrastruktury | dodatkowo serwery, wirtualizacja, magazyn danych, zasilanie i chłodzenie | jedna lokalizacja z szafą serwerową |
| Audyt pełny | dodatkowo procesy, dokumentacja i ciągłość działania | firma przed zmianą dostawcy, przejęciem albo wymogiem formalnym |
| Audyt zgodności | wymagania NIS 2 albo ISO/IEC 27001 | wymóg klienta, przetargu albo ubezpieczyciela |
Pierwsze trzy warianty zaczynają się od tej samej kwoty i różnią się liczbą dni pracy. Czwarty to osobna usługa, opisana przy audycie zgodności z ISO 27001.
Co sprawdzamy naprawdę, a co tylko deklaratywnie
Naprawdę: stan dysków, zajętość, obciążenie, wersje systemów, terminy wsparcia, stan baterii w zasilaczach awaryjnych i temperaturę w szafie. To dane, które albo są, albo ich nie ma.
Deklaratywnie: procedury i to, kto co robi przy awarii. Tu opieramy się na rozmowie, więc zapisujemy w raporcie, co jest udokumentowane, a co jest tylko czyjąś wiedzą. Rozróżnienie jest ważne, bo wiedza jednej osoby znika razem z jej wypowiedzeniem.
Trzy rzeczy, które najczęściej zaskakują właściciela
Serwer po wsparciu producenta. Działa i nikt o nim nie myśli, dopóki nie padnie dysk, którego nie ma już w sprzedaży.
Kopia, której nie da się odtworzyć. Zadanie kończy się sukcesem od lat, ale odtworzenie nigdy nie było testowane, a plik okazuje się niepełny.
Zasilanie awaryjne z martwymi bateriami. Urządzenie pokazuje zielone światło i wyłącza się po dziesięciu sekundach przy pierwszej przerwie w prądzie.
Dlaczego raport jest uszeregowany, a nie alfabetyczny
Dokument, który wymienia czterdzieści uwag bez wskazania, co jest ważne, nie jest pomocą tylko przerzuceniem decyzji na klienta. Dlatego każda pozycja ma trzy rzeczy: wagę ryzyka, szacowany koszt naprawy i czas.
Dzięki temu rozmowa z zarządem wygląda inaczej. Zamiast „mamy dużo problemów z IT” pada zdanie: te trzy pozycje kosztują łącznie tyle i usuwają ryzyko zatrzymania firmy na kilka dni, reszta może poczekać do przyszłego roku. Budżet przydziela się wtedy szybciej i na właściwe rzeczy.
Czy powiemy, co kupić i kiedy wymienić
Powiemy, co wymaga wymiany i w jakiej kolejności, z klasą sprzętu i widełkami kosztów. Nie wskazujemy jednego modelu jednego producenta, bo raport ma służyć Wam do zebrania ofert, także poza nami.
Terminy wsparcia producenta sprawdzamy dla każdego istotnego urządzenia i wpisujemy do raportu. Sprzęt po zakończeniu wsparcia nie dostaje poprawek bezpieczeństwa i przy awarii nie ma gwarancji wymiany, więc to jedna z ważniejszych pozycji w planie wymian rozpisanym na dwa kolejne lata.
Kiedy warto zrobić audyt
Są cztery momenty, w których zwraca się prawie zawsze.
Pierwszy to zmiana firmy obsługującej IT. Nie warto przejmować środowiska w ciemno ani zostawiać go bez inwentaryzacji, bo potem nie da się ustalić, co zastano, a co powstało później.
Drugi to zakup albo przejęcie spółki. Stan IT bywa pozycją w wycenie, a bywa też niespodzianką, która wychodzi po podpisaniu umowy.
Trzeci to wymagania formalne: NIS 2, ISO 27001, wymóg kontrahenta albo warunek ubezpieczyciela. Wtedy audyt jest punktem wyjścia do planu zgodności.
Czwarty to sytuacja, w której IT kosztuje coraz więcej, a nikt nie potrafi powiedzieć dlaczego. Przegląd licencji i umów zwykle zwraca część tej kwoty w pierwszym roku, a sam spis oprogramowania opisaliśmy przy audycie licencji.
Co robimy, gdy audyt wykryje coś pilnego w trakcie
Mówimy od razu, nie czekamy z tym do raportu. Otwarty pulpit zdalny wystawiony do internetu albo kopie, których nie da się odtworzyć, to sprawy na ten sam dzień. Zatrzymywanie takiej informacji jako argumentu sprzedażowego byłoby nieuczciwe.
Czego nie robimy
Nie piszemy raportu, którego wnioskiem jest wyłącznie zlecenie nam kolejnej usługi. Nie prowadzimy testów penetracyjnych. Nie oceniamy pracy poprzedniego dostawcy, tylko stan, który zastaliśmy. Ocena prawna dokumentacji ochrony danych też nie należy do nas, a jej techniczną część opisaliśmy przy audycie RODO.
Czym audyt różni się od stałej opieki
Audyt jest zdjęciem stanu w konkretnym dniu. Pokazuje, co jest i co z tym zrobić, ale niczego sam nie naprawia i po pół roku traci aktualność, bo środowisko żyje.
Stała opieka to praca ciągła: monitoring, aktualizacje, reakcja na zgłoszenia. Sensowna kolejność to najpierw audyt, potem decyzja o zakresie opieki, bo dopiero wtedy obie strony wiedzą, o czym rozmawiają. Wycena obsługi robiona bez przeglądu środowiska jest zgadywaniem, które później zamienia się w aneks.
Zakres stałej opieki opisuje obsługa informatyczna, a jej koszt policzycie sami w kalkulatorze. Sam audyt wyceniamy po ustaleniu zakresu, bo różnica między przeglądem podstawowym a audytem pod NIS 2 jest zbyt duża, żeby zmieścić ją w suwaku.
Treść sprawdzona i zaktualizowana: 31 lipca 2026
Od telefonu do działającego środowiska, pięć kroków
Nie przejmujemy środowiska w ciemno. Najpierw sprawdzamy, co macie, potem wyceniamy.
- Krok 1 Rozmowa i szybki przegląd tego, co macie i co boli najbardziej.
- Krok 2 Przegląd środowiska. Dostajesz listę ryzyk i kolejność ich naprawiania.
- Krok 3 Oferta z zakresem, czasem reakcji i ceną. Bez ukrytych pozycji.
- Krok 4 Przejęcie środowiska, dokumentacja, dostępy, monitoring.
- Krok 5 Praca bieżąca i przeglądy. Raport co miesiąc.
Pytania, które padają najczęściej
Odpowiedzi na to, o co pytają firmy przed podpisaniem umowy.
Częste pytania klientów na tym etapie:Raport z listą ryzyk uszeregowaną według wagi, przy każdej pozycji szacowany koszt i czas naprawy oraz wskazanie, co grozi zaniechaniem. Do tego inwentaryzacja sprzętu, systemów i licencji. Wyniki omawiamy na spotkaniu, bo sam plik nikomu jeszcze niczego nie naprawił.
Przegląd podstawowy zajmuje od trzech do pięciu dni roboczych, pełny audyt od dwóch do trzech tygodni. Pracujemy na odczycie i na rozmowach, niczego nie zmieniamy bez zgody. Na miejscu spędzamy zwykle jeden dzień, żeby zobaczyć serwerownię, okablowanie i stanowiska pracy.
Tak, i to jest najważniejsza część audytu. Odtwarzamy losowy plik albo maszynę do środowiska testowego i mierzymy, ile to trwa. Deklaracja, że backup działa, nie jest dowodem, dopóki ktoś go nie odtworzył.
Nie. Raport jest Wasz i możecie zrealizować go samodzielnie albo z inną firmą. Wyceniamy naprawy, żebyście wiedzieli, o jakich kwotach mowa, a nie po to, żeby Was związać. Część klientów wdraża zalecenia własnymi siłami i wraca tylko na powtórny przegląd.
To częsta sytuacja i nie robimy z audytu narzędzia do podważania cudzej pracy. Opisujemy stan faktyczny, a Wy decydujecie, co z tym zrobić. Zdarza się, że wniosek brzmi: obecny dostawca robi to dobrze.
Sprawdzamy techniczną stronę: szyfrowanie nośników, kontrolę dostępu do danych osobowych, kopie zapasowe, rejestrowanie zdarzeń. Ocena prawna dokumentacji i rejestru czynności przetwarzania należy do inspektora ochrony danych albo prawnika, nie do nas.
Nie, tym się nie zajmujemy. Audyt jest przeglądem konfiguracji, procesów i stanu środowiska, a nie próbą włamania. Jeśli potrzebujecie pentestu, wykonuje go wyspecjalizowana firma i to dwie różne usługi, których nie warto mylić.
Raz na dwa lata przy stabilnej firmie, częściej po zmianie dostawcy IT, po incydencie albo przed dużą inwestycją. Częstszy audyt bez wdrożenia poprzednich zaleceń nie ma sensu i mówimy to wprost.
Gdzie nas znajdziesz
Pracujemy zdalnie w całym kraju, a w wymienionych miastach także u klienta na miejscu.
Nasze biura, 19 adresów
Umów bezpłatną konsultację
Krótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Inne usługi z katalogu
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek katalogu.
Firma informatyczna
Jesteśmy firmą informatyczną, a nie jednym informatykiem z większym samochodem. Pierwsza linia, serwery, sieć i bezpieczeństwo to osobne role. Podpisujecie umowę o świadczenie usług i umowę powierzenia przetwarzania, a opieka zaczyna się od 2 000 zł netto miesięcznie przy środowisku do 25 komputerów.
Zobacz usługęVeeam Backup
Wdrażamy i prowadzimy Veeam Backup and Replication: kopie maszyn wirtualnych i fizycznych, repozytoria niezmienialne, replikacja i integracja z taśmami. Wdrożenie dla środowiska do dziesięciu maszyn zaczyna się od 2 900 zł netto, a bieżąca obsługa od 500 zł miesięcznie.
Zobacz usługęKonfiguracja Cisco i przełączników Catalyst
Konfigurujemy przełączniki Catalyst, routery i firewalle Cisco: porty i VLAN-y, trunki, routing, listy dostępu, ochronę przed pętlą i zasilanie po kablu. Konfiguracja jednego urządzenia zaczyna się od 1 000 zł netto, z kopią ustawień przed zmianą i opisem tego, co zostało zrobione.
Zobacz usługę