Większość firm zamawia audyt bezpieczeństwa IT w jednym z trzech momentów: po incydencie, przed wymaganiem klienta lub kontrahenta albo wtedy, gdy ktoś z zarządu zadaje pytanie „czy my w ogóle jesteśmy bezpieczni?” i nikt nie potrafi odpowiedzieć konkretnie. Niezależnie od powodu cel jest ten sam: zamienić ogólne poczucie niepewności w listę konkretnych ryzyk, ułożoną według tego, co naprawić najpierw.
W tym poradniku wyjaśniamy, co obejmuje rzetelny audyt, jak wygląda w praktyce i co możesz przygotować wcześniej, żeby skrócić jego czas.
Czym jest audyt bezpieczeństwa IT, a czym nie jest
Audyt bezpieczeństwa to uporządkowany przegląd infrastruktury, konfiguracji, procesów i zachowań ludzi pod kątem tego, gdzie i jak firma może stracić dane, pieniądze lub ciągłość działania.
Nie jest to:
- jednorazowy skan narzędziem automatycznym — skaner podatności to tylko jedno ze źródeł danych, a jego wyniki bez interpretacji generują setki „alarmów” bez priorytetów,
- test penetracyjny w pełnym znaczeniu — pentest to symulowany atak na wybrany cel; audyt jest szerszy i obejmuje też procesy, uprawnienia czy kopie zapasowe,
- kontrola „pod papier” — dobry raport ma się przydać zespołowi IT w poniedziałek rano, a nie tylko leżeć w segregatorze.
Co sprawdza audytor — obszary audytu
Zakres zawsze ustala się indywidualnie, ale w typowej małej i średniej firmie audyt obejmuje te obszary:
| Obszar | Co jest sprawdzane | Typowe znaleziska |
|---|---|---|
| Sieć i urządzenia brzegowe | konfiguracja routera i firewalla, segmentacja, Wi-Fi, zdalny dostęp (VPN) | jedna płaska sieć dla gości, biura i serwerów, otwarte porty zarządzania |
| Stacje robocze i serwery | aktualizacje, ochrona antywirusowa/EDR, szyfrowanie dysków, uprawnienia administratora | użytkownicy z prawami admina, nieaktualne systemy, brak szyfrowania laptopów |
| Konta i dostęp | polityka haseł, MFA, konta byłych pracowników, konta współdzielone | brak MFA na poczcie, aktywne konta osób, które dawno odeszły |
| Poczta i chmura | konfiguracja Microsoft 365 / Google Workspace, reguły przekierowań, SPF/DKIM/DMARC | brak DMARC, możliwość podszycia się pod domenę firmy |
| Kopie zapasowe | czy istnieją, gdzie leżą, czy są odseparowane, czy ktoś testował odtwarzanie | kopia na tym samym serwerze lub w tej samej sieci co dane — ransomware szyfruje oba |
| Ekspozycja w internecie (OSINT) | co o firmie i pracownikach da się znaleźć publicznie, wycieki haseł, zapomniane usługi | adresy e-mail w bazach wycieków, stare subdomeny, dane w publicznych dokumentach |
| Ludzie i procesy | odporność na phishing i socjotechnikę, procedury zmiany danych do przelewu, onboarding/offboarding | brak procedury weryfikacji „pilnej zmiany numeru konta” od kontrahenta |
Ostatni wiersz jest często najważniejszy. Wiele skutecznych ataków na firmy nie wymaga żadnej podatności technicznej — wystarczy przekonujący e-mail i pracownik, który nie ma jasnej procedury, co zrobić w razie wątpliwości.
Jak przebiega audyt krok po kroku
1. Ustalenie zakresu i celu
Krótka rozmowa: dlaczego audyt, co jest najcenniejsze (dane klientów? system produkcyjny? księgowość?), jakie są wymagania zewnętrzne. Na tym etapie ustala się też, czy audyt łączyć ze szkoleniem zespołu — wyniki audytu dobrze pokazują, czego szkolenie powinno dotyczyć.
2. Zebranie informacji
Audytor dostaje dostęp (zwykle tylko do odczytu) do konsol administracyjnych, dokumentacji i — jeśli jest — inwentaryzacji sprzętu. Równolegle prowadzi analizę OSINT, czyli sprawdza, co o firmie widać z zewnątrz.
3. Testy i przegląd konfiguracji
Skanowanie sieci, przegląd ustawień firewalla, kont, poczty, kopii zapasowych. Jeśli zakres to obejmuje — kontrolowana kampania phishingowa na zgodę zarządu. Wszystko w uzgodnionych oknach czasowych, tak żeby nie zakłócić pracy firmy.
4. Raport z priorytetami
Dobry raport ma dwie części: streszczenie dla zarządu (kilka najważniejszych ryzyk prostym językiem, z ich możliwym skutkiem biznesowym) i część techniczną dla IT, gdzie każde znalezisko ma opis, dowód, ocenę ryzyka i konkretną rekomendację naprawy.
5. Plan naprawczy i retest
Najpierw rzeczy szybkie i o dużym wpływie (np. włączenie MFA, wyłączenie nieużywanych kont, odseparowanie kopii zapasowych), potem zmiany wymagające budżetu lub czasu. Po wdrożeniu poprawek warto zrobić retest, żeby potwierdzić, że luki faktycznie zostały zamknięte.
Ile trwa audyt bezpieczeństwa
To zależy głównie od liczby lokalizacji, systemów i stanowisk oraz od tego, ile dokumentacji firma ma już przygotowane. W małej firmie z jednym biurem i usługami w chmurze audyt bywa kwestią kilku dni roboczych. W organizacji z wieloma oddziałami, własną serwerownią i systemami produkcyjnymi — kilku tygodni. Najwięcej czasu zwykle nie zajmują same testy, tylko zebranie informacji, które firma powinna mieć pod ręką, a nie ma.
Jak przygotować firmę do audytu — checklista
Te rzeczy skracają audyt i obniżają jego koszt, a przy okazji same w sobie poprawiają bezpieczeństwo:
- Lista sprzętu i systemów — komputery, serwery, drukarki sieciowe, routery, usługi chmurowe, z których korzysta firma. Nawet prosty arkusz wystarczy.
- Lista kont z uprawnieniami administratora — kto ma dostęp do czego i dlaczego.
- Informacja o kopiach zapasowych — co jest kopiowane, gdzie, jak często i kiedy ostatnio ktoś testował odtworzenie.
- Dostęp dla audytora — konta tylko do odczytu w konsolach (np. Microsoft 365, firewall, system kopii).
- Osoba kontaktowa — ktoś, kto zna środowisko i może odpowiadać na pytania w trakcie audytu.
- Lista zewnętrznych dostawców IT — kto zarządza czym (np. zewnętrzny informatyk, dostawca programu księgowego, hosting strony).
- Wymagania zewnętrzne — jeśli audyt wynika z wymogów klienta, ubezpieczyciela lub przepisów, warto je mieć na piśmie, żeby zakres je pokrywał.
Od czego zacząć, jeśli nie masz budżetu na pełny audyt
Jeśli pełny audyt to w tej chwili za dużo, zacznij od trzech rzeczy, które dają największy efekt przy najmniejszym koszcie:
- włącz MFA (logowanie dwuskładnikowe) na poczcie i wszystkich usługach chmurowych,
- sprawdź kopie zapasowe — czy istnieje kopia odseparowana od sieci firmowej i czy da się z niej odtworzyć dane,
- wprowadź prostą procedurę weryfikacji telefonicznej każdej prośby o zmianę numeru konta lub pilny przelew.
Warto też policzyć, ile kosztowałby firmę dzień przestoju — nasz kalkulator kosztów przestoju pomaga oszacować to w kilka minut i często ułatwia rozmowę o budżecie na bezpieczeństwo.
W BITZILLA łączymy audyty z praktycznymi szkoleniami zespołu, bo wyniki audytu najlepiej pokazują, czego ludzie w danej firmie naprawdę muszą się nauczyć. Szczegóły znajdziesz na stronie audyty bezpieczeństwa i szkolenia.