Anna Wiśniewska
Audyt bezpieczeństwa to nie egzamin, który można oblać, tylko najszybszy sposób, żeby dowiedzieć się, gdzie naprawdę stoisz – zanim sprawdzi to za Ciebie ktoś z zewnątrz. Wyjaśniamy, jak wygląda dobrze przeprowadzony audyt: od ustalenia zakresu, przez metodykę badania, po raport, z którego da się coś zrobić – i czego powinieneś oczekiwać od wykonawcy.
Jakie są rodzaje audytów
Pod jednym słowem kryją się różne usługi. Audyt zgodności sprawdza, czy organizacja spełnia wymagania normy lub przepisu (ISO 27001, NIS2, RODO, ustawa o KSC). Audyt techniczny ocenia realny stan zabezpieczeń: konfiguracje, podatności, uprawnienia, kopie zapasowe. Test penetracyjny idzie o krok dalej i symuluje działania atakującego, żeby sprawdzić, czy wykryte słabości da się faktycznie wykorzystać. Audyt organizacyjny bada procesy, role i świadomość pracowników. Warto też odróżnić skan podatności – automatyczny, tani i powierzchowny – od audytu, w którym wyniki weryfikuje człowiek i osadza je w kontekście Twojego biznesu.
Krok 1: zakres i cele
Najwięcej nieporozumień bierze się z niedoprecyzowanego zakresu. Przed rozpoczęciem ustalcie wspólnie:
- co jest badane: lokalizacje, sieci, serwery, chmura, aplikacje, urządzenia mobilne, dostawcy – i co świadomie zostaje poza zakresem,
- kryteria: konkretna norma, lista kontrolna lub zbiór dobrych praktyk (np. CIS Controls),
- cel biznesowy: przygotowanie do certyfikacji, wymaganie klienta, ocena po incydencie, decyzja o inwestycjach,
- tryb: black box (audytor wie tyle, co atakujący), grey box lub white box (pełny dostęp do dokumentacji i konfiguracji),
- zasady bezpieczeństwa: okna czasowe testów, systemy wyłączone z testów aktywnych, osoby kontaktowe po obu stronach.
Krok 2: zbieranie informacji
Dobry audyt zaczyna się od rozmów, a nie od skanera. Audytor przeprowadza wywiady z IT, właścicielami procesów i zarządem, przegląda dokumentację (polityki, procedury, schematy sieci, umowy z dostawcami), buduje inwentaryzację zasobów i prosi o dostęp do konfiguracji kluczowych systemów. Po stronie firmy potrzebna jest jedna osoba koordynująca, która potrafi szybko odpowiedzieć na pytania i załatwić dostępy – bez tego audyt wydłuża się dwukrotnie.
Krok 3: badanie techniczne
Na tym etapie sprawdzamy, jak deklaracje mają się do rzeczywistości. Typowy zakres obejmuje:
- skanowanie podatności z zewnątrz i wewnątrz sieci oraz ręczną weryfikację wyników,
- przegląd konfiguracji Active Directory, Microsoft 365, firewalli, VPN i systemów kopii zapasowych,
- analizę uprawnień: konta administratorów, konta serwisowe, dostępy byłych pracowników,
- sprawdzenie procesu aktualizacji i realnego stanu poprawek na serwerach i stacjach,
- testowe odtworzenie danych z kopii zapasowej,
- ocenę monitoringu: czy zdarzenia z ostatniego tygodnia zostałyby w ogóle zauważone.
Krok 4: ocena ryzyka i raport
Raport jest produktem audytu, więc warto wiedzieć, czego wymagać. Każda obserwacja powinna zawierać opis, dowód (zrzut ekranu, fragment konfiguracji), wpływ na biznes, prawdopodobieństwo wykorzystania, priorytet (krytyczny, wysoki, średni, niski) oraz konkretną rekomendację wraz z szacunkowym nakładem pracy. Dokument składa się z dwóch części: streszczenia dla zarządu na jedną–dwie strony – bez żargonu, z pięcioma najważniejszymi ryzykami i planem działań – oraz części technicznej dla IT. Raport, który zawiera 200 stron wyników ze skanera bez priorytetów, nie jest audytem, tylko eksportem z narzędzia.
Krok 5: co dzieje się po audycie
Audyt kończy spotkanie omawiające wyniki, na którym ustalacie plan naprawczy z terminami i osobami odpowiedzialnymi. Szybkie wygrane – MFA, wyłączenie nieużywanych kont, poprawki na urządzeniach brzegowych – wdraża się w tygodnie; większe zmiany, jak segmentacja sieci czy nowy system kopii, planuje się na kwartały. Po zakończeniu prac warto zamówić retest, który potwierdzi, że luki faktycznie zniknęły. Audyt powtarza się co roku oraz po każdej dużej zmianie: migracji do chmury, fuzji, wdrożeniu nowego systemu. Jeśli chcesz zobaczyć, jak to wygląda w praktyce, umów bezpłatną rozmowę – to dobry pierwszy krok przed pełnym audytem.
