Audyt IT Opole

Dlaczego przegląd zaczyna się od cudzego formularza?

Bo to on wyznacza pytania, na które trzeba odpowiedzieć, i on ma termin. W opolskich firmach dostarczających do zagranicznych odbiorców kwestionariusz bezpieczeństwa stał się elementem współpracy handlowej: przychodzi przy przedłużeniu umowy, przy nowym projekcie albo po tym, jak u kogoś w łańcuchu dostaw doszło do incydentu. Bywa przysłany w obcym języku, bez wyjaśnień i z prośbą o odesłanie w ciągu dwóch tygodni.

Firma staje wtedy przed dokumentem zadającym trzydzieści pytań o rzeczy, które nigdy nie były u niej opisane. Kuszące jest odpowiedzenie z pamięci, twierdząco tam, gdzie się wydaje, że jest dobrze. To najgorsze możliwe rozwiązanie, bo odpowiedź trafia do umowy i przy pierwszej weryfikacji staje się problemem znacznie większym niż przyznanie się do braku. Dlatego zaczynamy od sprawdzenia stanu faktycznego, a dopiero potem piszemy odpowiedzi.

O co pytają takie kwestionariusze najczęściej?

Pytanie z formularza	Czym się na nie odpowiada	Co zwykle znajdujemy
Kto administruje Waszymi systemami	umowa z dostawcą IT i wykaz ról	umowa jest, wykazu ról nie ma
Czy dane są kopiowane i testowane	opis zadań i wynik próbnego odtworzenia	kopie działają, testu nikt nie robił
Kto ma dostęp zdalny do Waszej sieci	wykaz połączeń z zakresem	wejścia po firmach, z którymi nie ma już umowy
Jak nadajecie i odbieracie uprawnienia	opisana procedura i zapisy	wiedza w głowie jednej osoby
Czy sprzęt ma wsparcie producenta	wykaz z datami końca wsparcia	brak wykazu, część sprzętu po terminie
Jak zgłaszacie incydent	procedura z terminami i adresatami	brak, wszystko przez telefon do informatyka
Gdzie przetwarzane są dane	wskazanie lokalizacji w umowie	odpowiedź istnieje, tylko nikt jej nie zapisał

Ostatnia kolumna pokazuje regułę, która powtarza się w tych przeglądach. Większość braków to nie brak zabezpieczenia, tylko brak zapisu. Firma robi kopie, ogranicza dostępy i wymienia sprzęt, a nie ma z tego ani jednego dokumentu, więc w kwestionariuszu wygląda gorzej, niż wygląda naprawdę. Spisanie tego bywa najtańszą częścią całego projektu.

Co sprawdzamy poza tym, o co pyta odbiorca?

Rzeczy, które kwestionariusza nie interesują, a Was powinny. Pierwszą jest zależność od pojedynczych osób: hasła znane jednemu człowiekowi, systemy, które umie uruchomić tylko on, i umowy z dostawcami prowadzone bez żadnego zapisu. W małej firmie to zwykle większe ryzyko niż wszystko, o co pyta odbiorca.

Drugą jest wsparcie producenta dla sprzętu i systemów. Serwer po zakończonym wsparciu pracuje dalej i nikt nie widzi problemu do dnia awarii, kiedy okazuje się, że nie ma części ani prawa do aktualizacji. Wykaz z datami pozwala rozłożyć wymianę na budżety zamiast robić ją nagle. Trzecią jest sprawdzone odtworzenie kopii, bo to jedyne pytanie w całym przeglądzie, na które nie da się odpowiedzieć inaczej niż testem.

Co dostajecie na koniec?

Dwa dokumenty. Pierwszy to raport ze stanu faktycznego, opisujący każdy obszar i wskazujący, co jest, czego nie ma i co istnieje wyłącznie w formie przyzwyczajenia. Drugi to zestaw odpowiedzi na pytania z kwestionariusza, napisany tak, żeby dało się je odesłać po przeczytaniu, z zaznaczeniem, jaki dowód stoi za każdą z nich.

Do tego dochodzi lista braków ułożona według ryzyka i według terminów wynikających z umowy z odbiorcą, z szacunkiem nakładu przy każdej pozycji. Ta kolejność jest istotna, bo firma po takim przeglądzie ma zwykle ograniczony budżet i musi zdecydować, co robi w tym kwartale. Lista bez wag i bez nakładu tej decyzji nie ułatwia.

Czego ten przegląd nie robi?

Nie jest testem penetracyjnym i nie próbuje przełamać Waszych zabezpieczeń. Nie jest audytem certyfikacyjnym i nie kończy się świadectwem. Nie ocenia pracy Waszego dostawcy IT, choć opisuje stan, który z tej pracy wynika. Nie wykonuje też napraw, bo to osobne zlecenie wyceniane po raporcie.

Drogami wejścia zajmuje się audyt bezpieczeństwa IT, zgodność z normą sprawdza audyt ISO 27001, a wymagania z dyrektywy NIS 2. Kwestionariusz przejrzymy z Wami po umówieniu przez kontakt.

Treść sprawdzona i zaktualizowana: 6 września 2026