Audyt IT w małej firmie — co sprawdzić, zanim awaria ujawni problemy?

Audyt IT ma odpowiedzieć na pytania biznesowe, nie tylko techniczne

W małej firmie infrastruktura często powstaje etapami: dochodzą kolejne laptopy, konta chmurowe, drukarki, program branżowy, NAS i zdalny dostęp. Dopóki wszystko działa, łatwo nie zauważyć, że nikt nie ma pełnej listy urządzeń, uprawnień i zależności. Audyt IT porządkuje ten obraz i pokazuje, które braki mogą zatrzymać sprzedaż, księgowość, produkcję albo obsługę klientów.

Dobry audyt nie zaczyna się od skanera podatności. Najpierw trzeba ustalić, które procesy są krytyczne, jakie dane je zasilają i jak długo firma może funkcjonować bez konkretnego systemu. Dopiero wtedy wyniki techniczne można uporządkować według rzeczywistego ryzyka, zamiast tworzyć długą listę uwag o jednakowym priorytecie.

1. Sprzęt i oprogramowanie: czego firma faktycznie używa?

Pierwszy obszar to inwentaryzacja komputerów, serwerów, urządzeń sieciowych, telefonów służbowych, drukarek, NAS-ów i urządzeń dostępnych z internetu. Dla każdego zasobu warto zapisać właściciela, lokalizację, system, stan wsparcia producenta oraz funkcję biznesową. CIS Controls wskazuje inwentaryzację zasobów jako jeden z podstawowych warunków zarządzania bezpieczeństwem.

Osobna lista powinna obejmować programy, usługi chmurowe i licencje. Audyt często ujawnia aplikacje używane przez jedną osobę bez wiedzy firmy, nieaktywne subskrypcje, programy bez aktualizacji albo system zależny od komputera, którego nie da się szybko zastąpić.

• • Czy każde urządzenie ma wskazanego użytkownika lub właściciela biznesowego?
• • Czy systemy i aplikacje nadal otrzymują poprawki bezpieczeństwa?
• • Czy wiadomo, gdzie przechowywane są licencje, faktury i dane dostępowe?
• • Czy urządzenia prywatne mają dostęp do firmowych danych i na jakich zasadach?

2. Konta i uprawnienia: kto może zrobić co?

Lista pracowników nie jest tym samym co lista kont. Firma może mieć konta pocztowe, administracyjne, serwisowe, dostęp do bankowości, domeny, hostingu, routera, kopii zapasowych i programów branżowych. Audyt powinien wskazać właściciela każdego uprzywilejowanego dostępu, sposób odzyskania konta oraz osoby, które mogą zatwierdzić zmianę uprawnień.

Szczególnej kontroli wymagają konta byłych pracowników, konta współdzielone i codzienne używanie uprawnień administratora. Warto również sprawdzić MFA, procedurę przyjęcia i odejścia pracownika oraz to, czy firma — a nie pojedynczy wykonawca — kontroluje najważniejsze konta i dane odzyskiwania.

3. Backup: liczy się możliwość odtworzenia

Audyt kopii zapasowych obejmuje więcej niż sprawdzenie, czy zadanie ma zielony status. Trzeba ustalić zakres danych, częstotliwość, retencję, miejsce przechowywania, ochronę przed usunięciem oraz odpowiedzialność za reakcję na błąd. Osobno należy ocenić dane w usługach chmurowych i programach, których baza może znajdować się na jednym stanowisku.

Najważniejszym dowodem jest udany test odtwarzania. Powinien wskazywać datę, zakres, czas przywrócenia i problemy napotkane po drodze. Bez takiego testu firma wie jedynie, że jakieś pliki zostały zapisane — nie wie, czy potrafi wrócić do pracy.

4. Aktualizacje, ochrona urządzeń i podstawowa konfiguracja

Kolejny etap to sprawdzenie aktualizacji systemów, przeglądarek, aplikacji, routerów i urządzeń NAS. Audyt powinien oddzielać urządzenia aktualne od tych, których producent już nie wspiera, oraz wskazywać systemy wymagające ręcznej instalacji poprawek.

Weryfikacji wymagają także szyfrowanie dysków laptopów, blokada ekranu, ochrona antymalware, filtrowanie poczty, ograniczenie instalacji programów i sposób zdalnej pomocy. Nie każda firma potrzebuje rozbudowanego zestawu narzędzi, ale każda powinna znać swój minimalny, powtarzalny standard konfiguracji stanowiska.

5. Sieć, Wi-Fi i dostęp zdalny

W małym biurze jeden router często obsługuje komputery, telefony, drukarki, urządzenia gości i monitoring. Audyt powinien sprawdzić aktualność oprogramowania, hasła administracyjne, sposób przechowywania konfiguracji oraz rozdzielenie sieci gościnnej i urządzeń, które nie muszą komunikować się z danymi firmowymi.

Dostęp zdalny należy opisać z perspektywy użytkownika i administratora: kto może się łączyć, przez jakie narzędzie, czy działa MFA, jak odbierany jest dostęp i czy połączenia są rejestrowane. Pozostawiony bez kontroli stary pulpit zdalny albo konto serwisowe może być większym ryzykiem niż brak kolejnego produktu ochronnego.

6. Dostawcy, domena i usługi chmurowe

Firma powinna wiedzieć, kto administruje domeną, DNS-em, hostingiem, pocztą, stroną internetową i usługami Microsoft 365 lub Google Workspace. Audyt wskazuje właścicieli kont, metody odzyskiwania, terminy odnowień i zależności od zewnętrznych wykonawców.

Warto sprawdzić, czy po zakończeniu współpracy można odebrać dostawcy dostęp i otrzymać aktualną dokumentację. Dobrą praktyką jest również opisanie, kto reaguje na incydent u dostawcy oraz gdzie firma znajdzie kopię konfiguracji i dane kontaktowe, gdy podstawowa poczta nie działa.

7. Dokumentacja i ciągłość pracy

Dokumentacja nie musi być rozbudowanym podręcznikiem. Powinna jednak umożliwiać upoważnionej osobie ustalenie, jakie systemy działają, kto za nie odpowiada, gdzie są umowy i jak rozpocząć odtwarzanie po awarii. Szczególnie ważne są dane dostępowe przechowywane w bezpiecznym menedżerze haseł, schemat sieci, lista dostawców oraz procedury dla krytycznych zdarzeń.

NIST CSF 2.0 porządkuje zarządzanie ryzykiem w funkcjach Govern, Identify, Protect, Detect, Respond i Recover. Dla małej firmy to użyteczna kontrola kompletności: audyt nie powinien ograniczać się do ochrony przed zdarzeniem, ale także oceniać wykrywanie, reakcję i powrót do pracy.

Jak powinien wyglądać wynik audytu?

Raport powinien rozdzielać fakty, ryzyka i zalecenia. Każda istotna pozycja potrzebuje opisu wpływu na firmę, priorytetu, proponowanego działania, właściciela oraz realistycznego terminu. Sam komunikat „brak segmentacji sieci” jest mniej użyteczny niż wyjaśnienie, które urządzenia należy oddzielić, przed jakim scenariuszem to chroni i co trzeba zrobić najpierw.

Plan naprawczy warto podzielić na działania pilne, zadania na 30 dni i zmiany długoterminowe. Pilne są zwykle problemy umożliwiające utratę kontroli nad kontem lub danymi. W następnym kroku porządkuje się aktualizacje, backup, dokumentację i odpowiedzialność. Dopiero później ma sens zakup rozwiązań, które nie odpowiadają na bezpośrednie braki.

Audyt zdalny czy na miejscu w województwie lubuskim?

Dokumenty, konta chmurowe i konfiguracje można w dużej części sprawdzić zdalnie. Wizyta na miejscu pomaga natomiast zweryfikować urządzenia, okablowanie, zasilanie awaryjne, fizyczne zabezpieczenie sprzętu, sieć Wi-Fi i elementy, których nie ma w żadnej ewidencji.

Dla firm ze Świebodzina, Zielonej Góry, Sulechowa, Międzyrzecza i innych miejscowości regionu praktycznym modelem jest połączenie analizy zdalnej z krótką inwentaryzacją na miejscu. Zakres powinien wynikać z infrastruktury, a nie z potrzeby sztucznego wydłużania audytu.

Wniosek: wartość audytu mierzy się wykonanymi poprawkami

Audyt IT jest użyteczny wtedy, gdy właściciel firmy po jego zakończeniu rozumie najważniejsze ryzyka i wie, co wydarzy się dalej. Najlepszy raport nie obiecuje całkowitego bezpieczeństwa. Pokazuje stan faktyczny, porządkuje odpowiedzialność i pozwala najpierw usunąć problemy, które najbardziej zagrażają ciągłości pracy.

Pierwszym krokiem może być spis urządzeń, kont i krytycznych danych. Już ta prosta inwentaryzacja często ujawnia, gdzie firma zależy od jednego komputera, jednej osoby albo hasła, którego nikt nie potrafi bezpiecznie odzyskać.