Zacznij od audytu. Sprawdź, na czym stoicie.
Dwa niezależne audyty: techniczny i bezpieczeństwa. Każdy kończy się raportem z listą rzeczy do zrobienia, ułożoną według ważności. Możecie ją wykonać sami, z obecnym dostawcą albo z nami.
Co chcecie sprawdzić?
Audyt IT
Gdy chcecie wiedzieć, w jakim stanie jest technologia, ile kosztuje i co grozi przestojem.
Audyt bezpieczeństwa
Gdy szykujecie się do certyfikacji lub kontroli albo nigdy nie sprawdziliście, jak łatwo Was zaatakować.
Który audyt wybrać na początek?
Nie wiecie, w jakim stanie jest technologia
Koszty rosną, awarie się powtarzają, przejmujecie IT po poprzednim dostawcy albo planujecie migrację. Zacznijcie od audytu IT.
Szykujecie się do certyfikacji albo kontroli
Albo nigdy nie sprawdziliście, jak łatwo Was zaatakować. To zadanie dla audytu bezpieczeństwa.
Chcecie zobaczyć całość
Audyt IT i audyt bezpieczeństwa robimy wtedy w jednym projekcie. Pierwszy pokazuje stan technologii i kosztów, drugi sprawdza odporność na atak.
Dwa audyty obok siebie
| Co sprawdzamy | Audyt IT | Audyt bezpieczeństwa |
|---|---|---|
| Infrastruktura i architektura: serwery, sieć, chmura | Tak, szczegółowo. Sprawdzamy serwery, sieć i środowiska chmurowe, szukamy zasobów przewymiarowanych i pojedynczych punktów awarii, które mogą zatrzymać firmę. | Pośrednio. Patrzymy na konfigurację infrastruktury wyłącznie pod kątem błędów bezpieczeństwa, nie oceniamy jej wydajności ani kosztów. |
| Koszty, licencje i umowy z dostawcami | Tak. Przeglądamy umowy, licencje i wykorzystanie zasobów, żeby pokazać, za co płacicie za dużo i z czego nikt już nie korzysta. | Nie. Ten audyt nie zajmuje się kosztami ani licencjami, tylko bezpieczeństwem systemów. |
| Procesy DevOps, CI/CD i wdrożenia | Tak. Sprawdzamy, jak zmiana w kodzie trafia na produkcję, i szukamy wąskich gardeł, pracy ręcznej oraz brakujących testów. | Nie. Proces wdrożeń nie wchodzi w zakres audytu bezpieczeństwa. |
| Kopie zapasowe i ciągłość działania | Tak. Sprawdzamy, czy kopie są kompletne, testowane i da się z nich odtworzyć systemy w rozsądnym czasie. | Częściowo. Oceniamy, czy same kopie zapasowe nie są furtką dla atakującego, ale nie testujemy procedury odtwarzania. |
| Testy bezpieczeństwa i próby włamania | Nie. W ramach audytu IT sprawdzamy tylko podstawową higienę: konta, uprawnienia, aktualizacje. | Tak. Przeprowadzamy pełne testy bezpieczeństwa i kontrolowane próby włamania w uzgodnionych oknach czasowych. |
| Zgodność z NIS2, DORA, ISO 27001, KSC, RODO | Nie. Audyt IT nie ocenia zgodności z konkretnymi regulacjami. | Tak. Ustalamy, które wymagania Was dotyczą, i pokazujemy, czego brakuje do zgodności. |
| Dokumentacja i procedury | Tak. Sprawdzamy, czy istnieją instrukcje odtwarzania, procedury awaryjne i opisana obsługa zgłoszeń. | Tak, ale węziej. Oceniamy wyłącznie procedury reagowania na incydenty bezpieczeństwa. |
| Co dostajecie | Raport z listą rzeczy do zrobienia według ważności, szacunkiem nakładu i osobną listą szybkich poprawek do wdrożenia od razu. | Raport z rankingiem ryzyk według realnego wpływu na biznes oraz plan naprawczy z kolejnością działań. |
| Ponowna weryfikacja po poprawkach | Nie jest standardem audytu, ale krótkie sprawdzenie po wdrożeniu zaleceń można domówić osobno. | Tak. Retest po poprawkach jest częścią audytu: sprawdzamy, czy zgłoszone podatności zostały faktycznie usunięte. |
| Czas trwania | 2-4 tygodnie, zależnie od wielkości środowiska i zakresu. | 2-3 tygodnie, plus czas na wdrożenie poprawek przed retestem. |
Tak pracujemy przy każdym audycie
Nie przeszkadzamy w pracy
Dostępy tylko do odczytu, rozmowy i dokumenty. Nic nie zmieniamy w Waszych środowiskach.
Raport dla IT i dla zarządu
Krótkie streszczenie dla zarządu: ryzyka, pieniądze, kolejność. Osobno szczegóły techniczne dla zespołu.
Priorytety i szacunki
Każde zalecenie ma wagę, szacunek nakładu i miejsce w kolejności. Wiadomo, co robić najpierw.
Decyzja należy do Was
Audyt to nie ukryta oferta sprzedaży. Raport możecie wdrożyć sami, z obecnym dostawcą albo z nami, razem z dostawą sprzętu czy licencji, jeśli tego chcecie.
Od pierwszego spotkania do omówienia raportu
Spotkanie startowe
Zakres, dostępy i to, co jest dla firmy najważniejsze. Jedno spotkanie.
Analiza
Przegląd środowisk, dokumentów i umów, rozmowy z zespołem. Bez przerywania pracy.
Raport
Ustalenia i zalecenia z priorytetami, szacunkiem nakładu i kolejnością.
Omówienie
Przechodzimy przez raport z zespołem i zarządem i ustalamy pierwszy krok.
Nie wiecie, od którego audytu zacząć?
Wystarczy 30 minut bezpłatnej rozmowy. Bez zobowiązań i bez prezentacji handlowej.