Dla wielu menedżerów słowo „audyt” kojarzy się z urzędem skarbowym i nieprzyjemnym oczekiwaniem. Audyt bezpieczeństwa IT jest inny: zamawiasz go sam, jest przeznaczony dla Ciebie, a jego wynikiem nie jest kara, tylko lista rzeczy, które warto poprawić, zanim znajdzie je ktoś inny.
Mimo to pozostaje niepewność. Kto przyjdzie, o co zapyta, czy praca stanie, czy nie ujawnimy zbyt wiele, co dostaniemy na końcu i czy da się z tym coś zrobić? To właśnie te pytania najczęściej odkładają audyt o rok.
W tym artykule opisujemy krok po kroku, jak wygląda audyt, od pierwszej rozmowy do prezentacji raportu, żebyś mógł zdecydować spokojnie, a nie ze strachu.
Jak ustala się zakres
Audyt zaczyna się nie od skanowania, ale od rozmowy. Na pierwszym spotkaniu ustalamy, po co jest potrzebny audyt: wymóg klienta, przygotowanie do NIS2 lub DORA, podejrzenie incydentu albo nowy członek zarządu, który chce wiedzieć, co odziedziczył. Powód decyduje o tym, czemu przyglądamy się najdokładniej.
Następnie określamy zakres: które biura, serwery, usługi chmurowe, sieci, aplikacje i procesy są objęte audytem. W małej firmie to zwykle całe środowisko IT. W większej jest to wybrana część, na przykład sam tenant Microsoft 365 i dostęp zdalny. Zakres zapisujemy, żeby obie strony wiedziały, co jest sprawdzane, a co nie.
Ustalamy też dostępy, osoby kontaktowe, terminy oraz to, czego audyt nie zrobi: nie zakłóci produkcji, nie będzie testował ataków na pracowników bez osobnego uzgodnienia i nie zmieni konfiguracji.
Wywiady: dlaczego audytor rozmawia z ludźmi
Część menedżerów dziwi się, że audyt zaczyna się od rozmów, a nie od narzędzi. Dzieje się tak, ponieważ większość problemów z bezpieczeństwem leży nie w technologii, ale w sposobie jej używania.
Wywiady prowadzimy zwykle z prezesem, osobą odpowiedzialną za IT (wewnętrzną lub zewnętrznym dostawcą), szefem finansów lub księgowości i kilkoma zwykłymi pracownikami. Pytania są praktyczne: jak nadaje się dostęp nowemu pracownikowi i co dzieje się, gdy ktoś odchodzi, gdzie przechowywane są hasła, jak zatwierdza się płatności, kto podejmowałby decyzje, gdyby jutro przestały działać serwery, i kiedy ostatnio odtwarzano kopię zapasową.
Każdy wywiad trwa od pół godziny do godziny i nie służy szukaniu winnych. Pokazuje, gdzie dokumenty rozmijają się z rzeczywistością. Częsty przykład: polityka mówi, że hasła zmienia się co trzy miesiące, a księgowość ma wspólne konto do bankowości, którego hasło wisi na żółtej karteczce. Żadne skanowanie tego nie wykaże.
Ocena techniczna: co sprawdzamy
To część, którą klienci zwykle sobie wyobrażają. Obejmuje trzy obszary.
Podatności
Skanujemy serwery, stacje robocze, urządzenia sieciowe i systemy dostępne publicznie: strony internetowe, bramy VPN, portale pracy zdalnej. Szukamy oprogramowania bez aktualizacji, znanych podatności i otwartych usług, które nie powinny być widoczne z internetu. Skanowanie jest uzgadniane z wyprzedzeniem i odbywa się wtedy, gdy nie przeszkadza w pracy.
Konfiguracje
Przeglądamy ustawienia systemów pod kątem dobrych praktyk: ustawienia bezpieczeństwa Microsoft 365 i Entra ID, uwierzytelnianie wieloskładnikowe, ochronę poczty przed podszywaniem się, reguły zapory sieciowej, segmentację sieci, polityki ochrony stacji końcowych oraz konfigurację kopii zapasowych i ich oddzielenie od sieci. Tu zwykle znajduje się najwięcej poprawek, które można wdrożyć od ręki.
Dostępy
Sprawdzamy, kto ma dostęp do czego i czy jest to uzasadnione: konta administratorów i ich liczbę, konta byłych pracowników, konta współdzielone, dostępy zewnętrznych dostawców oraz uprawnienia uprzywilejowane w systemach księgowych i innych. W naszej praktyce prawie każdy audyt wykrywa co najmniej jedno aktywne konto osoby, która już nie pracuje w firmie.
Przegląd dokumentów
Audytor prosi o istniejące dokumenty: polityki bezpieczeństwa, procedurę reagowania na incydenty, plan kopii zapasowych i odtwarzania, umowy z dostawcami oraz rejestry szkoleń. Jeśli dokumentów nie ma, to nie porażka, tylko po prostu pozycja w raporcie. Jeśli są, sprawdzamy, czy zgadzają się z rzeczywistością pokazaną w wywiadach i ocenie technicznej.
Część dokumentowa jest szczególnie ważna dla firm przygotowujących się do zgodności z NIS2 lub audytów klientów, ponieważ właśnie tych dokumentów od nich zażądają.
Jak ocenia się ryzyko
Wszystkie ustalenia trafiają na wspólną listę, a każdemu przypisujemy ryzyko według dwóch kryteriów: prawdopodobieństwa wykorzystania słabości i skutków dla firmy, jeśli do tego dojdzie. Oceniamy wpływ na Twoją działalność, a nie abstrakcyjną wagę techniczną. Wystawiony na zewnątrz serwer testowy bez danych i wystawiony system księgowy dostępny z internetu mogą być technicznie podobnymi podatnościami, ale ryzyko biznesowe jest zupełnie inne.
Ustalenia dzielimy na cztery poziomy:
| Poziom | Co oznacza | Zalecany termin |
|---|---|---|
| Krytyczny | Słabość może zostać wykorzystana w każdej chwili i zatrzymać działalność lub spowodować wyciek danych | Natychmiast, w ciągu kilku dni |
| Wysoki | Znaczący wpływ, wykorzystanie prawdopodobne | W ciągu miesiąca |
| Średni | Ograniczony wpływ lub potrzebne dodatkowe warunki | W ciągu kwartału |
| Niski | Odstępstwo od dobrych praktyk bez bezpośredniego zagrożenia | Przy planowanych pracach |
Taka ocena pozwala menedżerowi zdecydować, od czego zacząć, bez wchodzenia w szczegóły techniczne.
Co otrzymujesz w raporcie
Raport piszemy dla dwóch czytelników. Pierwsza część jest dla zarządu: jedno- lub dwustronicowe podsumowanie, ogólna ocena stanu bezpieczeństwa, pięć lub dziesięć najważniejszych ustaleń i ich skutki dla firmy opisane zwykłym językiem. Druga część jest dla zespołu IT lub dostawcy: każde ustalenie z opisem, dowodem (zrzut ekranu, fragment skanu), poziomem ryzyka i konkretnym zaleceniem naprawy.
Raport kończy plan działań: ustalenia pogrupowane według priorytetu, szacowany nakład pracy (godziny lub dni, nie tygodnie), strona odpowiedzialna (firma, dostawca IT, osoba trzecia) i proponowana kolejność. Plan jest napisany tak, że można go przekazać dostawcy IT jako gotową listę zadań.
Raport prezentujemy na spotkaniu, a nie tylko wysyłamy e-mailem. Zarząd ma pytania, a nam zależy, by raport zamienił się w pracę, a nie w kolejny dokument w folderze.
Jak często powtarzać
Zalecamy powtarzać pełny audyt co roku albo po istotnych zmianach: migracji do chmury, zmianie dostawcy IT, połączeniu z inną firmą lub poważnym incydencie. Pomiędzy pełnymi audytami warto robić węższe kontrole: skanowanie podatności co kwartał, przegląd dostępów co pół roku i test odtwarzania kopii zapasowej co najmniej dwa razy w roku.
W firmach regulowanych częstotliwość wynika z wymogów: NIS2 i DORA oczekują regularnych testów, a klienci często proszą o raport nie starszy niż rok.
Kto przeprowadza audyt
Wartość audytu zależy od tego, kto go wykonuje. Nasi audytorzy mają aktualne certyfikaty ISACA: CISA (Certified Information Systems Auditor), CISM (Certified Information Security Manager), CRISC (Certified in Risk and Information Systems Control) i inne. Oznacza to, że audyt opiera się na uznanej metodyce, a raport zostanie zaakceptowany przez klientów, jednostki certyfikujące i organy nadzoru. Wszystkie certyfikaty zespołu znajdziesz na stronie certyfikatów.
Od czego zacząć
- Określ, po co potrzebujesz audytu i dla kogo jest raport. To wyznacza zakres i głębokość.
- Zbierz to, co masz: listę systemów, istniejące dokumenty, kontakty do dostawców. Przed audytem nie musisz niczego naprawiać, bo jego celem jest zobaczenie prawdziwej sytuacji.
- Wyznacz osobę kontaktową, która może nadać dostępy i zorganizować wywiady.
- Uzgodnij z góry z dostawcą IT, że weźmie udział i zrealizuje plan działań.
- Zamów audyt bezpieczeństwa IT. Na pierwszej rozmowie ustalimy zakres, czas trwania i sposób wykorzystania raportu.
