Blog / Audyt
Audyt bezpieczeństwa w firmie, lista kontrolna do samodzielnego przeglądu
Przed zamówieniem formalnego audytu warto samodzielnie przejść przez podstawowe obszary. Poniższe listy pomogą ustalić, gdzie są największe braki i co pokazać audytorowi.
Konta i dostęp
Większość incydentów zaczyna się od przejętego konta. Ten obszar daje najszybszą poprawę bezpieczeństwa przy stosunkowo niewielkim koszcie.
- Uwierzytelnianie dwuskładnikowe włączone dla poczty, VPN i paneli administracyjnych.
- Lista kont uprzywilejowanych jest aktualna, a konta byłych pracowników zablokowane.
- Hasła są unikalne i przechowywane w menedżerze haseł.
- Uprawnienia przyznawane są według zasady najmniejszych uprawnień.
Aktualizacje i konfiguracja systemów
Niezałatane oprogramowanie to najczęściej wykorzystywana droga ataku. Przegląd powinien obejmować serwery, aplikacje, urządzenia sieciowe i wtyczki.
- Istnieje spis systemów z numerami wersji i właścicielami.
- Poprawki krytyczne instalowane są w ustalonym, krótkim czasie.
- Usługi niepotrzebne w internecie zostały wyłączone.
- Środowiska testowe nie są publicznie dostępne bez ochrony.
Kopie zapasowe i odtwarzanie
Kopia, której nikt nigdy nie odtworzył, może okazać się bezwartościowa. Sprawdź nie tylko to, że kopie powstają, ale także że da się z nich odzyskać dane w akceptowalnym czasie.
- Kopie przechowywane są poza głównym środowiskiem.
- Odtworzenie przetestowano w ostatnim okresie.
- Istnieje plan działania na wypadek utraty kluczowego systemu.
Poczta, domena i strona
To obszar widoczny z zewnątrz i najłatwiejszy do sprawdzenia automatycznie. Można go ocenić bezpłatnym sprawdzeniem strony, a regularnie przez skaner podatności.
- SPF, DKIM i DMARC są skonfigurowane i zgodne z faktycznym sposobem wysyłki poczty.
- Certyfikaty TLS są ważne, a przestarzałe protokoły wyłączone.
- Strona wysyła nagłówki bezpieczeństwa.
- Plik security.txt wskazuje kontakt do zgłaszania luk.
Ludzie i procedury
Technika nie zadziała bez przygotowanych ludzi. Procedura reagowania na incydent powinna być krótka, zrozumiała i znana osobom, które mają ją uruchomić.
- Pracownicy przeszli szkolenie i znają sposób zgłaszania podejrzanych wiadomości.
- Opisano, kto decyduje i kogo powiadomić w razie incydentu.
- Zarząd zna swoje obowiązki, zob. dla zarządu.
Dostawcy i łańcuch dostaw
Dyrektywa NIS2 (2022/2555) w art. 21 wskazuje bezpieczeństwo łańcucha dostaw jako jeden ze środków zarządzania ryzykiem. Warto wiedzieć, którzy dostawcy mają dostęp do danych lub systemów i co wynika z umów.
- Prowadzona jest lista kluczowych dostawców i zakres ich dostępu.
- Umowy zawierają wymagania bezpieczeństwa i obowiązek zgłaszania incydentów.
- Dostęp dostawców jest ograniczony i wygasa po zakończeniu współpracy.
Dokumentacja i co dalej
Wynik przeglądu zapisz z datą, właścicielami poprawek i terminami. Polska nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa weszła w życie 3 kwietnia 2026 roku, a jej aktualny tekst zawsze sprawdzaj w Dzienniku Ustaw. Wymagania podsumowaliśmy na stronie wymagania NIS2.
Lista kontrolna nie zastępuje formalnego audytu. Hakowanie dostarcza stały automatyczny pentest zewnętrzny z raportem pod NIS2 i KSC od 590 zł netto miesięcznie, zobacz cennik. Test automatyczny nie zastąpi ręcznej oceny logiki biznesowej aplikacji.
Pytania i odpowiedzi
Sprawdź swoją domenę teraz
Wpisz domenę i zobacz w kilkanaście sekund, co widzi atakujący.