Audyt IT Kraków

Kto właściwie prowadzi to środowisko

Pytanie brzmi banalnie, dopóki nie padnie w chwili, w której coś przestało działać. Wtedy okazuje się, że pocztę prowadzi grupa, system kadrowy stoi u dostawcy wskazanego przez właściciela, aplikacja rozliczeniowa jest lokalna, a serwer plików uruchomił kiedyś ktoś, kto już w firmie nie pracuje.

Sam podział nie jest błędem i w spółkach zależnych bywa rozsądny. Błędem jest to, że istnieje wyłącznie w pamięci dwóch albo trzech osób i nikt nigdy nie zapisał go w formie, którą da się pokazać zarządowi, ubezpieczycielowi albo nowemu kierownikowi działu. Pierwsza godzina po awarii schodzi wtedy na ustalanie, do kogo zadzwonić, i jest to najdroższa godzina w całym zdarzeniu.

Co widać, gdy rozpisać środowisko na właścicieli

Element	Kto zarządza	Kto płaci	Kto odbiera zgłoszenie przy awarii	Co zastajemy najczęściej
Poczta i pakiet biurowy	zespół grupy	refaktura na spółkę	zgłoszenie w systemie centrali	brak informacji o czasie przywrócenia
Katalog użytkowników	grupa, z częścią lokalną	grupa	zależy od rodzaju konta	konta lokalne poza katalogiem głównym
System dziedzinowy	dostawca zewnętrzny	spółka	dostawca w godzinach pracy	umowa bez zapisanego czasu reakcji
Serwer plików	zespół lokalny	spółka	nikt wskazany	kopia bez potwierdzonego odtworzenia
Sieć w biurze	zespół lokalny	spółka	firma serwisowa na zlecenie	urządzenia po zakończeniu wsparcia
Łącze i tunel do centrali	operator i grupa razem	podzielone	dwie strony naraz	brak drogi zapasowej
Stacje robocze	zespół lokalny	spółka	zgłoszenie do informatyka	rozbieżność między standardem grupy a stanem
Kopie zapasowe	osobno w każdej warstwie	podzielone	zależy od danych	nikt nie zna pełnej listy chronionych zasobów

Kolumna czwarta jest tą, dla której warto zrobić ten przegląd. Trzy pierwsze da się odtworzyć z faktur i z rozmów, natomiast czwarta ujawnia miejsca, w których nie wskazano nikogo, a każde takie miejsce jest przestojem czekającym na okazję.

Trzy rzeczy, które w spółce zależnej wychodzą prawie zawsze

Standard grupy wdrożony w połowie. Wytyczne przyszły w formie dokumentu, zastosowano je na nowym sprzęcie, a starsze stanowiska zostały poza nimi, bo wymagałyby wymiany, na którą nie było wtedy budżetu.

Zdalne wejście z czasów wdrożenia. Firma, która uruchamiała u Was system trzy lata temu, nadal ma dostęp, ponieważ nikt nie zamknął go po odbiorze prac, a umowa serwisowa dawno wygasła.

Dane, o których centrala nie wie. Arkusze i eksporty powstające lokalnie na potrzeby raportowania, przechowywane poza wszystkim, co grupa uznaje za swoje środowisko, więc niechronione żadną polityką ani żadną kopią.

Co sprawdzamy na łączu do centrali

Najpierw to, co przestaje działać, gdy połączenie znika na godzinę. Odpowiedź bywa zaskakująca, ponieważ w spółkach, które przeniosły do grupy logowanie, brak łącza oznacza czasem niemożność zalogowania się do systemu stojącego w sąsiednim pokoju.

Potem drogę zapasową i to, czy ktokolwiek ją kiedykolwiek uruchomił. Zapasowe łącze figurujące na fakturze, a nigdy nieprzetestowane, jest wydatkiem, nie zabezpieczeniem, i wpisujemy je do raportu właśnie w tej roli.

Na końcu monitorowanie. Sprawdzamy, kto dowiaduje się o przerwie jako pierwszy: zespół grupy, zespół lokalny czy pracownik przy biurku. Trzecia odpowiedź jest najczęstsza i mówi więcej o dojrzałości środowiska niż komplet dokumentów o nim.

Jak układamy raport, gdy budżet zatwierdza ktoś za granicą

Inaczej niż przy jednym właścicielu na miejscu. Każda pozycja dostaje wagę, koszt usunięcia, termin oraz jedną informację dodatkową: czy decyzja należy do spółki, czy trzeba ją podnieść wyżej. Bez tego rozdzielenia lista wraca z pytaniem, kto właściwie ma to zatwierdzić, i traci kwartał.

Nad zestawieniem stoi jedno zdanie o tym, co się wydarzy, jeśli przez rok nikt tego nie ruszy, wyrażone w czasie przestoju, a nie w liczbie usterek. To jest jedyna forma, w której ryzyko techniczne przekłada się na język używany przy zatwierdzaniu wydatków.

Orientacyjną kwotę bieżącej opieki nad uporządkowanym już środowiskiem wyliczycie sami w kalkulatorze.

Gdzie kończy się to zlecenie

Testów penetracyjnych nie prowadzimy i nie nazywamy nimi skanowania portów. Nie oceniamy pracy zespołu centrali ani dostawców wskazanych przez grupę, opisujemy stan z dnia badania. Nie wydajemy opinii prawnych o umowach wewnątrzgrupowych, wskazujemy jedynie pozycje wymagające takiej opinii.

Spis oprogramowania i podstaw jego posiadania rozwija audyt licencji, techniczną warstwę ochrony danych bada audyt RODO, a przygotowanie pod wymagania normy audyt ISO 27001. Zakres stałej opieki opisuje obsługa informatyczna. Termin wizyty ustalamy przez kontakt.

Treść sprawdzona i zaktualizowana: 2 sierpnia 2026