Audyt bezpieczeństwa IT
Audyt nie powinien być momentem, w którym dowiesz się o lukach. Powinien być momentem, w którym je zamykasz — zanim zrobi to za Ciebie regulator albo atakujący.
Robimy audyt bezpieczeństwa IT dla banków spółdzielczych, instytucji finansowych, energetyki i sektora publicznego. Konkretny zakres, konkretny raport, konkretna lista priorytetów do naprawy.
- Konkretny zakres dopasowany do wymogów Twojego regulatora
- Raport techniczny dla zespołu IT i raport zarządczy dla compliance
- Ścieżka naprawy z priorytetyzacją tego co najważniejsze
Twoje dane są bezpieczne
Użyjemy ich wyłącznie do kontaktu w tej sprawie.
Nadal myślisz, że audyt to lista problemów do naprawy? Audyt to mapa decyzji budżetowych. Dzięki niemu wiesz, co naprawić teraz, co w przyszłym kwartale, a co może spokojnie poczekać do następnego roku.
PROBLEMy
Sześć sytuacji, w których audyt przestaje być formalnością
Każdy z poniższych scenariuszy widzieliśmy w realnych organizacjach polskiego sektora regulowanego. Audyt każdy z nich znajduje, mapuje i zamienia w konkretną decyzję — co naprawić zaraz, co w przyszłym kwartale, a co spokojnie zostawić na później.
Polityki bezpieczeństwa, które żyją tylko w PDF
Macie politykę haseł, dostępu, backupu spisaną i zatwierdzoną przez zarząd. Ale czy konfiguracja Active Directory faktycznie wymusza długość 12 znaków? Czy faktycznie blokuje konta po pięciu nieudanych próbach? Audytor weryfikuje konfigurację, nie deklaracje.
Lista krytycznych podatności, która nigdy się nie skraca
CVE z 2022 roku wciąż czeka na patch w systemie produkcyjnym. Zespół o niej wie. Ale każdy „spotkanie strategiczne” dokłada nowe priorytety, a krytyczne luki spadają na koniec listy zadań. To dokładnie ten scenariusz, którego eliminacji wymaga Rekomendacja D.
Konta uprzywilejowane, którymi zarządza Excel
Hasło root w arkuszu kalkulacyjnym. Dostęp serwisanta zewnętrznego bez nagrania sesji. „Zaufany” administrator z dostępem do wszystkiego „na wszelki wypadek”. Audyt pokazuje, kto naprawdę ma jaki dostęp i kto z niego ostatnio korzystał.
Backup, który nigdy nie odtworzył pełnego środowiska
Testujecie odzyskanie pojedynczych plików. Mailbox działa, pojedynczy dokument działa, baza działa. Ale pełne disaster recovery czyli, odtworzenie produkcji od zera w czasie wymaganym przez DORA nigdy nie było ćwiczone.
Reakcja na incydent, której nikt nigdy nie ćwiczył
Procedura reagowania jest w polityce. Ale gdy o 23:00 w sobotę dzwoni dyżurny z „czymś dziwnym na produkcji” czy zespół wie, kogo budzić, w jakiej kolejności i kiedy zgłosić incydent regulatorowi? NIS2 wymaga reakcji w 24 godzin.
Brak dowodów dla regulatora, mimo że robicie wszystko jak należy
Testujecie kopie zapasowe. Aktualizujecie systemy. Szkolicie ludzi. Ale czy gdzieś to rzeczywiście zapisujecie: kiedy, kto, z jakim wynikiem? Audytor nie wpisze do protokołu intencji. Wpisze brak dokumentu.
Nasze działania
Co konkretnie robimy w ramch audytu?
W każdym audycie pracujemy równolegle w trzech obszarach. Dopiero ich połączenie pokazuje pełny obraz: co istnieje na papierze, co dzieje się w infrastrukturze i czy razem spełnia wymogi regulatora.
Audyt dokumentacji i procesów
Polityki, procedury, ewidencja — istnieją, są aktualne, ale czy są realizowane w praktyce?
Weryfikujemy zapisy testów backupu, dziennik incydentów, ewidencję dostępu uprzywilejowanego, harmonogramy szkoleń.
Audyt techniczny i testy aktywne
Konfiguracja, podatności, scenariusze ataku — co naprawdę dzieje się w infrastrukturze?
Skanujemy podatności, uruchamiamy automatyczny pentest, weryfikujemy konfigurację systemów krytycznych.
Mapowanie na wymogi regulacyjne
Każde znalezisko z audytu trafia na konkretny artykuł regulacji.
Mapujemy infrastrukturę 1:1 na regulacje sektorowe. Wiesz, w którym wymogu masz lukę i jakie jest ryzyko sankcji.