Audyt bezpieczeństwa IT
Sprawdzamy, gdzie naprawdę jesteś narażony, i mówimy to wprost. Zamiast listy skanera dostajesz zrozumiały raport z ryzykami i planem naprawczym.
- ISO/IEC 27001
- 3000+ stanowisk pod opieką
- NIS2 i KSC
- IOD w standardzie
- od 2017
Audyt bezpieczeństwa to nie skan i eksport do PDF. To ocena infrastruktury, konfiguracji i procedur oczami kogoś, kto na co dzień prowadzi wdrożenia i obsługuje incydenty.
Zakres audytu
Patrzymy szeroko: infrastruktura, konfiguracja, tożsamość i procedury. Szukamy realnego ryzyka, nie liczby znalezisk.
-
Przegląd infrastruktury
Serwery, sieć, stacje, kopie i dostęp. Sprawdzamy, jak to jest skonfigurowane, a nie tylko czy istnieje.
-
Konfiguracja i tożsamość
Uprawnienia, MFA, hasła, ekspozycja usług na zewnątrz. Najczęstsze drzwi dla atakującego.
-
Procedury i kopie
Backup, odtwarzanie, reagowanie na incydenty. Weryfikujemy, czy plan działa, a nie tylko istnieje na papierze.
-
Raport z priorytetami
Ryzyka opisane zrozumiałym językiem, uszeregowane od najważniejszych, z konkretnym planem naprawczym.
Co to jest audyt bezpieczeństwa IT?
Audyt bezpieczeństwa IT to uporządkowana ocena infrastruktury, konfiguracji i procedur firmy pod kątem odporności na zagrożenia. To nie jest samo uruchomienie skanera i eksport wyników do PDF, lecz analiza środowiska oczami kogoś, kto na co dzień prowadzi wdrożenia i obsługuje incydenty. Dla firm w Warszawie i w całej Polsce prowadzimy go zdalnie i na miejscu.
Audyt bezpieczeństwa IT obejmuje przegląd serwerów, sieci, stacji roboczych, kopii zapasowych i dostępu, weryfikację tożsamości, uprawnień, MFA i ekspozycji usług na zewnątrz oraz ocenę procedur backupu i reagowania na incydenty. Efektem jest raport z ryzykami opisanymi zrozumiałym językiem, uszeregowanymi według wagi, wraz z konkretnym planem naprawczym i priorytetami.
Dlaczego raport ze skanera to jeszcze nie audyt
Automatyczny skaner wygeneruje setki pozycji, z których większość to szum: teoretyczne podatności bez znaczenia w Twoim kontekście albo fałszywe alarmy. Taki raport bardziej przytłacza, niż pomaga, i zwykle ląduje w szufladzie, bo nie wiadomo, od czego zacząć.
Wartość audytu polega na ocenie. Łączymy wyniki narzędzi z doświadczeniem z wdrożeń i obsługi incydentów, żeby powiedzieć, co naprawdę grozi Twojej firmie i co naprawić najpierw. Zamiast listy alarmów dostajesz decyzje.
Co sprawdzamy w audycie
Zakres ustalamy przed startem, ale trzon jest stały. Tożsamość i dostęp: konta, uprawnienia, konta uprzywilejowane, stan uwierzytelniania wieloskładnikowego, konta osób, które już nie pracują. Urządzenia: aktualizacje, szyfrowanie dysków, ochrona klasy EDR/XDR, polityki zarządzania.
Dalej dane i ciągłość: gdzie leżą kopie zapasowe, czy są odporne na ransomware i kiedy ostatnio ktoś sprawdził odtwarzanie. Sieć i usługi wystawione na zewnątrz. Poczta, czyli SPF, DKIM i DMARC oraz ochrona przed podszywaniem się pod firmę.
Na koniec obszar organizacyjny: procedury, umowy powierzenia, świadomość zespołu i to, czy ktokolwiek wie, co robić w pierwszej godzinie incydentu. Ta część bywa najbardziej zaniedbana, a przy NIS2 i RODO decyduje o odpowiedzialności zarządu.
Ile trwa audyt i co dostajecie
Dla firmy do około stu stanowisk audyt trwa zwykle od jednego do dwóch tygodni: kilka dni zbierania danych i rozmów, potem analiza i opracowanie raportu. Pracujemy w tle, więc zespół nie musi wstrzymywać pracy.
Dostajecie dwa dokumenty. Raport techniczny z ustaleniami i dowodami oraz podsumowanie dla zarządu: gdzie jesteśmy, co grozi najbardziej i co zrobić w pierwszej kolejności. Do tego plan naprawczy podzielony na to, co da się zrobić od razu małym kosztem, i to, co wymaga budżetu oraz projektu.
Audyt wyceniamy w stałej cenie po krótkiej ankiecie zakresu, żeby nie było niespodzianek na fakturze. Nie rozliczamy go godzinowo, bo koszt ma być znany, zanim zaczniemy.
Kiedy warto zrobić audyt
Najczęstsze momenty to: przejęcie IT po innej firmie albo po odejściu informatyka, wymóg klienta korporacyjnego lub ubezpieczyciela, przygotowanie do NIS2 albo ISO 27001, a także sytuacja tuż po incydencie, gdy trzeba ustalić, co się stało i czy dziura jest zamknięta.
Jest też moment mniej oczywisty: gdy firma szybko urosła. Środowisko, które działało przy dwudziestu osobach, przy osiemdziesięciu ma zwykle rozjechane uprawnienia i kopie, o których nikt nie pamięta. Audyt jest wtedy tańszy niż odtwarzanie danych po incydencie.
Jak przebiega audyt
Nieinwazyjnie i według ustalonego zakresu, bez zakłócania pracy firmy.
- 2-4 tyg. typowy czas audytu
- raport ryzyka i plan naprawczy
- priorytety co zrobić najpierw
- bez żargonu język zrozumiały dla zarządu
Zakres ustalony na start
Uzgadniamy, co badamy i w jaki sposób. Audyt nie zakłóca pracy firmy i nie jest testem włamania.
Ocena, nie tylko skan
Łączymy narzędzia z doświadczeniem z wdrożeń. Interesuje nas realne ryzyko, nie liczba znalezisk.
Wnioski do działania
Raport kończy się planem: co, dlaczego i w jakiej kolejności. Możemy też wdrożyć rekomendacje.
Model rozliczeń
Tę usługę wyceniamy indywidualnie po ankiecie zakresu.
Najczęstsze pytania
Czym audyt bezpieczeństwa różni się od testów penetracyjnych?
Audyt ocenia szeroko infrastrukturę, konfigurację i procedury oraz wskazuje ryzyka i plan naprawczy. Testy penetracyjne sprawdzają w praktyce, czy wybrane słabości da się wykorzystać. Najlepiej działają razem.
Czy audyt zakłóci pracę firmy?
Nie. Audyt jest nieinwazyjny, opiera się na przeglądzie i rozmowach oraz na odczycie konfiguracji. Zakres i sposób pracy ustalamy wcześniej, żeby nie kolidować z bieżącą działalnością.
Co dostajemy po audycie?
Raport z listą ryzyk uszeregowanych według wagi, opisanych zrozumiałym językiem, oraz plan naprawczy z priorytetami. Na życzenie omawiamy wyniki z zarządem.
Czy pomożecie wdrożyć rekomendacje?
Tak. Możemy przeprowadzić firmę przez plan naprawczy, od szybkich poprawek po większe wdrożenia, albo przekazać rekomendacje Twojemu zespołowi.
Ile kosztuje audyt bezpieczeństwa IT?
Wyceniamy go w stałej cenie po krótkiej ankiecie zakresu, a nie godzinowo. Na kwotę wpływa liczba stanowisk i serwerów, liczba lokalizacji oraz to, czy audyt ma objąć również obszar organizacyjny i dokumentację pod NIS2 albo ISO 27001. Cenę znacie przed rozpoczęciem prac.
Ile trwa audyt bezpieczeństwa?
Dla firmy do około stu stanowisk zwykle od jednego do dwóch tygodni: kilka dni zbierania danych i rozmów, potem analiza i raport. Pracujemy w tle, więc zespół nie musi wstrzymywać pracy ani rezerwować całych dni na spotkania.
Co konkretnie sprawdzacie?
Tożsamość i uprawnienia, stan uwierzytelniania wieloskładnikowego, urządzenia i ich ochronę, kopie zapasowe wraz z testem odtwarzania, usługi wystawione na zewnątrz, zabezpieczenia poczty (SPF, DKIM, DMARC) oraz obszar organizacyjny: procedury, umowy powierzenia i gotowość na incydent. Dokładny zakres ustalamy przed startem.
Czy audyt jest potrzebny, jeśli mamy antywirusa i backup?
Zwykle tak, bo problemy rzadko leżą tam, gdzie ich szukamy. Najczęściej znajdujemy aktywne konta byłych pracowników, brak uwierzytelniania wieloskładnikowego na kontach uprzywilejowanych i kopie, których nikt nigdy nie odtworzył. Antywirus i backup to warunek konieczny, ale nie wystarczający.
Porozmawiajmy o Twoim projekcie
Odpowiedz na 2 pytania o swoją firmę. Prostą wycenę zobaczysz od razu, a pełną propozycję przygotujemy w 24 godziny robocze.
- 2 minuty, bez zobowiązań
- Rozmawiasz z inżynierem, nie handlowcem
- Żadnego spamu, jeden kontakt w sprawie wyceny