Jak przeprowadzić audyt bezpieczeństwa w firmie krok po kroku

Pytanie, jak przeprowadzić audyt bezpieczeństwa w firmie, wraca zwykle po incydencie: zaszyfrowanych plikach, przejętej skrzynce pocztowej albo stronie, która nagle rozsyła spam. To, jak przeprowadzić audyt bezpieczeństwa w firmie skutecznie, rozstrzyga się jednak dużo wcześniej — na etapie ustalania zakresu, właścicieli systemów i kryteriów oceny ryzyka. Audyt nie jest jednorazowym skanem automatycznym ani zakupem antywirusa dla wszystkich stanowisk. To uporządkowany proces: spis zasobów, ocena konfiguracji, weryfikacja procedur, test odtworzenia kopii zapasowej oraz raport z priorytetami, który da się zamienić na budżet. W firmie zatrudniającej 15 osób taki przegląd zajmuje od trzech do pięciu dni roboczych, w organizacji ze stu stanowiskami i własną serwerownią — kilka tygodni. Poniżej znajdziesz pięć obszarów, które trzeba przejść po kolei, wraz z konkretnymi progami, kosztami i pułapkami, na których najczęściej kończy się dobra intencja.

Zakres audytu i inwentaryzacja zasobów

Odpowiedź na pytanie, jak przeprowadzić audyt bezpieczeństwa w firmie, zaczyna się od spisu, nie od skanera. Wypisz wszystkie domeny, hostingi, serwery, konta pocztowe, systemy CRM i ERP, urządzenia sieciowe oraz usługi SaaS opłacane kartą przez poszczególne działy. W małej firmie taka lista ma 30–60 pozycji, w średniej łatwo przekracza dwieście.

Do każdej pozycji przypisz właściciela biznesowego, właściciela technicznego, klasyfikację danych oraz krytyczność w skali od 1 do 5. Bez tego priorytetyzacja późniejszych ustaleń jest loterią: łatka na testowym blogu dostanie ten sam priorytet co luka w systemie fakturowym obsługującym cały przychód organizacji.

Granice audytu ustal na piśmie: adresy IP, domeny, aplikacje i lokalizacje objęte badaniem, okno czasowe testów oraz osoby kontaktowe. Dokument o objętości dwóch stron chroni przed sytuacją, w której zespół skanuje infrastrukturę klienta albo dostawcy i wywołuje alarm w cudzym centrum monitorowania bezpieczeństwa.

Rejestr dostawców i umów

Osobny arkusz poświęć dostawcom: hostingodawcy, rejestratorowi domen, biuru rachunkowemu, agencji marketingowej. Sprawdź, kto ma dostęp do panelu, czy umowy zawierają zapisy o powierzeniu przetwarzania danych i jaki jest deklarowany czas reakcji na awarię. Poziom SLA 99,9% oznacza dopuszczalne 43 minuty niedostępności miesięcznie — policz, ile kosztuje Cię taka przerwa.

Audyt infrastruktury: hosting, serwer i domeny

Warstwa hostingowa to najczęstsze źródło zaniedbań. Pytanie, jak wybrać hosting pod WordPress, w audycie zamienia się w konkret: czy dostawca daje wspieraną wersję PHP, automatyczne kopie zapasowe z retencją minimum 30 dni, izolację kont, firewall aplikacyjny i dostęp SSH. Pakiety współdzielone kosztują zwykle 100–300 zł rocznie.

Stąd bierze się drugie pytanie: czym różni się VPS od hostingu współdzielonego. Na współdzielonym zasoby i konfigurację narzuca dostawca, na VPS-ie za 30–150 zł miesięcznie dostajesz własny system, ale też pełną odpowiedzialność za aktualizacje jądra, konfigurację SSH i monitoring. Audyt musi wskazać, kto tę odpowiedzialność faktycznie ponosi.

Jeśli ocena wypadnie źle, zaplanuj migrację. Procedura opisująca, jak przenieść stronę na inny hosting, powinna być spisana i przetestowana: pełny eksport plików oraz bazy, uruchomienie kopii na nowym serwerze, weryfikacja działania, dopiero na końcu zmiana delegacji. Migracja awaryjna po włamaniu przenosi razem z plikami także backdoora.

Domeny: własność i terminy

Zweryfikuj, jak sprawdzić, kto jest właścicielem domeny — dane rejestrowe muszą wskazywać firmę, nie prywatne konto byłego pracownika czy agencji. Ustal również, jak przedłużyć domenę po wygaśnięciu: rejestratorzy dają zwykle 30 dni karencji, a późniejsze odzyskanie nazwy kosztuje kilkaset złotych zamiast standardowej opłaty rzędu 60–120 zł.

DNS, certyfikaty i szyfrowanie ruchu

Konfiguracja nazw bywa cichym wektorem ataku. Sprawdź, jak skonfigurować rekordy DNS domeny zgodnie z minimum bezpieczeństwa: SPF, DKIM i DMARC dla poczty, rekord CAA ograniczający wystawców certyfikatów, brak osieroconych wpisów. Zapomniana subdomena prowadzi do przejęcia przez obcy serwis i phishingu prowadzonego w Twojej domenie.

Przy okazji ustal, co to jest rekord CNAME i gdzie go używacie — alias wskazujący na zewnętrzną usługę, która została wyłączona, to klasyczny scenariusz przejęcia subdomeny. Zweryfikuj także, jak ustawić przekierowanie 301 w htaccess, żeby ruch z wersji bez HTTPS i bez www trafiał zawsze pod jeden kanoniczny adres.

Certyfikaty audytuje się pod kątem terminów i automatyzacji. Procedura opisująca, jak zainstalować certyfikat SSL na serwerze, powinna kończyć się automatycznym odnawianiem: darmowy certyfikat SSL Let’s Encrypt ważny 90 dni odnawia certbot bez udziału człowieka, a komercyjne certyfikaty DV kosztują 80–300 zł rocznie i częściej wymagają ręcznej obsługi.

Sieć biurowa, urządzenia i ludzie

Sieć lokalna zasługuje na własny rozdział raportu. Zacznij od pomiaru: jak sprawdzić prędkość internetu rzetelnie — testem po kablu, przy wyłączonych transferach w tle, powtórzonym o różnych porach dnia, a nie pojedynczym uruchomieniem w przeglądarce na laptopie połączonym przez zatłoczone pasmo 2,4 GHz.

Drugi wątek to zasięg i separacja. Pytanie, jak wzmocnić sygnał WiFi w domu i w biurze, ma wymiar bezpieczeństwa: zamiast wzmacniaczy powielających jedno hasło lepiej wdrożyć system mesh lub kilka punktów dostępowych z WPA3, osobnym SSID dla gości i wydzielonym VLAN-em dla drukarek oraz kamer.

Zinwentaryzuj sprzęt brzegowy: router, przełączniki, kamery IP, rejestrator, urządzenia wielofunkcyjne. Sprawdź domyślne hasła, wersje oprogramowania układowego i to, czy panel administracyjny nie jest wystawiony do internetu. Zamiast otwierania portów udostępniaj dostęp zdalny przez VPN, na przykład WireGuard lub OpenVPN, z uwierzytelnianiem dwuskładnikowym.

Technika odpowiada za połowę ryzyka. Policz, ilu pracowników ma uprawnienia administracyjne, sprawdź, czy istnieje procedura odbierania dostępów w dniu rozstania z firmą i czy hasła trafiają do menedżera pokroju Bitwardena albo 1Password, kosztującego rzędu 15–30 zł za użytkownika miesięcznie, zamiast do arkusza kalkulacyjnego.

Kopie zapasowe ocenia się według reguły 3-2-1: trzy kopie, dwa różne nośniki, jedna poza siedzibą i odcięta od sieci produkcyjnej. Audyt nie może kończyć się potwierdzeniem, że zadanie backupu wykonało się bez błędu — musi obejmować testowe odtworzenie bazy i pomiar realnego czasu powrotu do pracy.

Część organizacyjną uzupełnij o rejestr czynności przetwarzania, umowy powierzenia, plan reagowania na incydenty oraz kontrolowany test phishingowy. Kampania dla 50 pracowników kosztuje kilkaset złotych, a odsetek kliknięć powyżej 15% stanowi twardy argument za obowiązkowym szkoleniem i wdrożeniem sprzętowych kluczy FIDO2 na kontach administracyjnych.

Raport, priorytety i cykl powtarzania audytu

Raport bez priorytetów nie zostanie wdrożony. Każde ustalenie opisz w jednym wierszu: obszar, opis, wpływ, prawdopodobieństwo, rekomendacja, właściciel, termin. Skala CVSS porządkuje podatności techniczne, ale kolejność prac ustala się według wpływu na przychód i ciągłość działania. Tak wygląda w praktyce plan, gdy planujesz, jak przeprowadzić audyt bezpieczeństwa w firmie.

Wyniki podziel na trzy horyzonty czasowe: poprawki do 7 dni (hasła, 2FA, publicznie wystawione panele), zmiany do 90 dni (segmentacja sieci, backup, monitoring), inwestycje roczne (EDR, centralne logowanie zdarzeń, certyfikacja ISO 27001). Ten podział zamienia listę 80 uwag w harmonogram i budżet, który zarząd potrafi zatwierdzić.

Audyt powtarzaj cyklicznie: pełny przegląd raz w roku, skan podatności co kwartał, przegląd uprawnień co sześć miesięcy. Zewnętrzny audyt organizacyjny to zwykle wydatek 5–15 tys. zł, testy penetracyjne aplikacji 8–40 tys. zł. Przegląd wewnętrzny według własnej listy kontrolnej kosztuje wyłącznie czas zespołu.

Jak często powtarzać audyt bezpieczeństwa w małej firmie?

Rytm zależy od skali i profilu ryzyka. W firmie do 20 osób bez własnej infrastruktury wystarczy pełny przegląd raz w roku, uzupełniony automatycznym skanem podatności co kwartał oraz przeglądem uprawnień po każdej zmianie kadrowej. Przy własnych serwerach, sklepie internetowym lub przetwarzaniu danych wrażliwych cykl skraca się do dwóch pełnych przeglądów rocznie i miesięcznych skanów. Niezależnie od kalendarza audyt uruchamiaj po każdym większym wydarzeniu: migracji hostingu, wdrożeniu nowego systemu, incydencie bezpieczeństwa, odejściu administratora. Planując, jak przeprowadzić audyt bezpieczeństwa w firmie, kolejny termin wpisz do kalendarza już w dniu zamknięcia poprzedniego raportu, razem z nazwiskiem osoby odpowiedzialnej za jego uruchomienie.

Czy audyt bezpieczeństwa można przeprowadzić własnymi siłami?

Częściowo tak. Inwentaryzacja zasobów, przegląd uprawnień, weryfikacja kopii zapasowych, kontrola konfiguracji poczty i certyfikatów oraz test odtworzenia backupu leżą w zasięgu wewnętrznego zespołu dysponującego dobrą listą kontrolną i bezpłatnymi narzędziami pokroju OpenVAS, Wazuh czy Nmap. Granicę wyznaczają dwie rzeczy: kompetencje i konflikt interesów, bo administrator rzadko wykrywa błędy we własnej konfiguracji. Testy penetracyjne aplikacji, analiza kodu źródłowego oraz audyt zgodności z normą ISO 27001 wymagają niezależnego wykonawcy. Rozsądny model łączy oba podejścia: przegląd wewnętrzny co kwartał i audyt zewnętrzny raz w roku, z raportem porównującym postęp względem poprzedniej edycji.

Co powinien zawierać raport z audytu bezpieczeństwa?

Raport ma dwie warstwy. Pierwsza to streszczenie dla zarządu na jedną stronę: największe zagrożenia, potencjalny wpływ finansowy, trzy decyzje do podjęcia i szacowany budżet. Druga to część techniczna z tabelą ustaleń, w której każdy wiersz zawiera obszar, opis podatności, dowód w postaci zrzutu, logu lub wyniku skanu, ocenę ryzyka, konkretną rekomendację, właściciela zadania i termin realizacji. Dołącz aktualny spis zasobów, schemat sieci, listę dostawców z zakresem ich dostępu oraz wnioski z testu odtworzenia kopii zapasowej. Raport bez przypisanych nazwisk i dat jest dokumentem archiwalnym, a nie planem naprawczym — od tego rozróżnienia zależy, czy audyt cokolwiek zmieni.