Audyt Bezpieczeństwa IT
Większość firm, które do nas trafia, jest przekonana, że z ich bezpieczeństwem IT jest w porządku. Po pierwszym audycie okazuje się, że prawie żadna z nich nie ma racji. Nie dlatego, że ktoś zaniedbał obowiązki - po prostu nikt wcześniej nie sprawdził.
🔍 Czym jest audyt i ocena bezpieczeństwa IT?
Audyt bezpieczeństwa IT to niezależna, usystematyzowana ocena stanu zabezpieczeń infrastruktury firmy. Sprawdzamy nie tylko czy masz firewall i antywirusa - ale czy to, co masz, jest poprawnie skonfigurowane, aktualne, udokumentowane i faktycznie chroni Twoją organizację.
W odróżnieniu od testu penetracyjnego, który symuluje atak i szuka konkretnych luk technicznych, audyt bezpieczeństwa patrzy szerzej: na ludzi, procesy, dokumentację, uprawnienia, konfiguracje i zgodność z przepisami. To diagnoza całego organizmu, nie tylko jednego organu.
Dobry audyt nie kończy się na liście problemów. Kończy się planem działania i dokumentacją, z którą wiesz co robić dalej.
🔎 Co sprawdzamy podczas audytu?
Zakres audytu bezpieczeństwa obejmuje kilka kluczowych obszarów:
- 🌐 Infrastruktura sieciowa: konfiguracja routerów, firewalli i przełączników, segmentacja sieci, otwarte porty, aktualność firmware'u urządzeń, zasady dostępu do sieci bezprzewodowej.
- 👤 Zarządzanie dostępem i uprawnieniami: kto ma dostęp do czego, czy uprawnienia są adekwatne do roli, czy istnieją konta po byłych pracownikach, czy działa wieloskładnikowe uwierzytelnianie.
- 💿 Oprogramowanie i licencje: inwentaryzacja zainstalowanego oprogramowania, weryfikacja licencji, aktualność systemów i aplikacji.
- 📋 Dokumentacja i procesy: czy firma ma udokumentowane procedury bezpieczeństwa, politykę haseł, zasady korzystania ze sprzętu służbowego, plan reagowania na incydenty.
- 💾 Kopie zapasowe: czy backup istnieje, jak często jest wykonywany, czy jest testowany i gdzie są przechowywane kopie.
- ⚖️ Zgodność z regulacjami: NIS2, ISO 27001, RODO i inne wymagania branżowe lub prawne dotyczące Twojej organizacji.
🇪🇺 Co to jest NIS2 i dlaczego dotyczy Twojej firmy?
NIS2 to unijna dyrektywa o bezpieczeństwie sieci i systemów informacyjnych, która od 2024 roku stopniowo wchodzi w życie w Polsce przez nowelizację ustawy o Krajowym Systemie Cyberbezpieczeństwa. Nakłada ona konkretne obowiązki w zakresie zarządzania ryzykiem, raportowania incydentów i regularnego audytu bezpieczeństwa.
Mogę Ci jakoś pomóc?
NIS2 dotyczy szerszego katalogu firm niż poprzednia dyrektywa. Objęte są nią m.in. firmy z sektora:
- 🏭 produkcji i przetwórstwa
- 🚛 transportu i logistyki
- 🏥 opieki zdrowotnej
- 🛒 handlu i e-commerce
- 💻 usług cyfrowych i dostawców usług zarządzanych (MSP)
Pierwsze audyty mają być przeprowadzone w ciągu 12–24 miesięcy od uznania podmiotu za kluczowy lub ważny. Firmy, które nie spełnią wymagań, mogą liczyć się z karami finansowymi sięgającymi dziesiątek milionów euro. Dla wielu przedsiębiorstw audyt bezpieczeństwa przestał być opcją — stał się obowiązkiem.
⚠️ Co najczęściej znajdujemy podczas audytów i na co możesz sam zwrócić uwagę?
Po kilku latach przeprowadzania audytów w firmach różnej wielkości możemy powiedzieć jedno: większość problemów bezpieczeństwa nie jest efektem złej woli - to efekt braku świadomości i braku czasu na uporządkowanie IT. Oto co najczęściej trafia do naszego raportu.
- 🔴 Brak segmentacji sieci: Cała firma działa w jednej płaskiej sieci. Komputer księgowej, serwer produkcyjny i drukarka gości są w tej samej sieci. Wystarczy jedno skompromitowane urządzenie, żeby atakujący miał dostęp do wszystkiego.
- 🔴 Nieodpowiednie lub nielegalne licencje: Oprogramowanie użytkowane bez ważnej licencji lub na licencji niezgodnej z przeznaczeniem, np. wersja domowa w środowisku firmowym. To zarówno ryzyko prawne, jak i brak dostępu do aktualizacji bezpieczeństwa.
- 🔴 Brak dokumentacji: Nikt w firmie nie wie jak skonfigurowana jest sieć, jakie serwery stoją w serwerowni ani kto ma dostęp do których systemów. Gdy ktoś odejdzie z pracy lub coś się zepsuje - zaczyna się zgadywanie do czego ta osoba miała dostęp.
- 🔴 Brak spisów uprawnień i konta bez właścicieli: Pracownicy odchodzą, a ich konta zostają aktywne przez miesiące. Uprawnienia rosną z biegiem lat i nikt nie pamięta dlaczego dana osoba ma dostęp do serwera finansowego.
- 🔴 Brak zasad bezpieczeństwa: Firma nie ma polityki haseł, zasad korzystania z urządzeń prywatnych, procedury onboardingu i offboardingu ani planu reagowania na incydent.
📖 Historia z jednego z naszych audytów
Firma handlowa, ok. 90 pracowników. Właściciel był przekonany, że IT mają ogarnięte - nowa infrastruktura, antywirus, chmurowy email i nowy informatyk zatrudniony rok wcześniej.
Mogę Ci jakoś pomóc?
Podczas audytu wyszło na jaw:
- ❌ sieć bez segmentacji - NAS z danymi klientów dostępny z dowolnego komputera w firmie
- ❌ 11 aktywnych kont byłych pracowników
- ❌ 54 komputery z pirackimi lub nieodpowiednimi wersjami oprogramowania
- ❌ zbyt nadgorliwa polityka haseł (zmiany co tydzień) - skutkiem były hasła na karteczkach na biurku
- ❌ dyski zapełnione danymi do 93% pojemności i taka sama sytuacja z backupami
W raporcie dostarczyliśmy pełną dokumentację sieci i urządzeń, spis uprawnień z rekomendacją zmian, politykę bezpieczeństwa dopasowaną do firmy, instrukcję onboardingu i offboardingu pracowników oraz harmonogram wdrożenia poprawek z priorytetami.
Właściciel po audycie powiedział że to pierwsza dokumentacja IT jaką w ogóle posiada. Tak jest w większości firm, które do nas trafiają.
📦 Co dostajesz po audycie?
Audyt to nie tylko lista problemów. Po zakończeniu prac dostarczamy:
- ✅ Raport z wynikami audytu z opisem każdego znaleziska i oceną ryzyka
- ✅ Pełną dokumentację sieciową i sprzętową - jeśli firma jej nie posiadała
- ✅ Spis kont i uprawnień z rekomendacjami zmian
- ✅ Politykę bezpieczeństwa dopasowaną do wielkości i profilu firmy
- ✅ Harmonogram działań naprawczych z podziałem na priorytety
- ✅ Opcjonalnie: wsparcie we wdrożeniu rekomendacji lub przygotowaniu do certyfikacji ISO 27001 i zgodności z NIS2
💰 Ile kosztuje audyt bezpieczeństwa IT?
Cena audytu zależy od wielkości firmy, liczby lokalizacji i zakresu analizy. Poniżej orientacyjne widełki rynkowe:
Mogę Ci jakoś pomóc?
- 🏢 Mała firma do 20 stanowisk, realizacja w 2-3 dni robocze: od 3 500 PLN netto
- 🏭 Średnia firma 20-80 stanowisk, kilka dni roboczych: 8 000 - 22 000 PLN netto
- 📄 Audyt z pełną dokumentacją poaudytową i polityką bezpieczeństwa: wycena indywidualna po wywiadzie technicznym
Ceny dotyczą samego audytu i dokumentacji. Wdrożenie rekomendacji to oddzielna pozycja - możemy je przeprowadzić w ramach obsługi IT lub jednorazowo jako projekt.
📅 Kiedy warto zrobić audyt?
Nie ma złego momentu na audyt bezpieczeństwa. Są jednak sytuacje, w których jest on szczególnie wskazany:
- przed podpisaniem istotnego kontraktu z klientem wymagającym potwierdzenia poziomu bezpieczeństwa
- po odejściu kluczowego pracownika IT lub zmianie dostawcy usług IT
- przed wdrożeniem nowego systemu lub migracją do chmury
- po incydencie bezpieczeństwa - żeby wiedzieć co się stało i co zmienić
- gdy firma ma obowiązki wynikające z NIS2 lub RODO
- gdy po prostu nikt w firmie nie wie jak naprawdę wygląda stan bezpieczeństwa
🎯 Podsumowanie
Audyt bezpieczeństwa IT to inwestycja, która zwraca się zanim dojdzie do incydentu. Większość firm, które do nas trafia, nigdy wcześniej nie miała rzetelnej oceny swojego środowiska IT. Po audycie wiesz co masz, co działa, co jest problemem i co zrobić w pierwszej kolejności. Dostajesz dokumentację, której prawdopodobnie nigdy nie miałeś - i plan działania, który możesz zacząć realizować od razu.
Mogę Ci jakoś pomóc?