Audyt bezpieczeństwa informacji jest użyteczny wtedy, gdy wyjaśnia ryzyko dla usług. Poniższy poradnik pomaga opisać zakres badania bez sprowadzania go do wyniku jednego skanera.
Opracowanie: Synergia-Pro Audyt sp. z o.o. Weryfikacja źródeł: .
Konta i uprawnienia: sprawdź pełny cykl dostępu
Wybierz przykładowe przypadki zatrudnienia, zmiany stanowiska i odejścia. Odtwórz drogę od decyzji przełożonego do zmiany w systemie. Ustal, kto weryfikuje konta uprzywilejowane i awaryjne oraz jak kończy się dostęp dostawcy po wykonaniu prac.
CERT Polska podkreśla znaczenie MFA i zabezpieczenia także alternatywnych metod logowania. W badaniu warto więc uwzględnić odzyskiwanie kont i konta techniczne, a nie ograniczać się do pytania, czy „włączono drugi składnik”.
Microsoft 365 i Active Directory
Microsoft Secure Score porządkuje rekomendacje konfiguracji. Nie jest samodzielną opinią o bezpieczeństwie firmy. Przygotuj informacje o tenantach, rolach administracyjnych, metodach logowania i odpowiedzialności za zmiany. Nie przesyłaj haseł ani kluczy dostępu w zapytaniu ofertowym.
W Active Directory ważne są uprawnienia administracyjne i zależności środowiska. Dla audytu ustal listę domen, podmiotów utrzymujących oraz granice dostępu. Specjalistyczna weryfikacja konfiguracji wymaga uzgodnionych kompetencji i uprawnień zespołu; nie wynika automatycznie z przeglądu dokumentów.
Audyt backupów: czy potrafisz odzyskać usługę?
Pomyślne zakończenie zadania kopii zapasowej nie jest jeszcze potwierdzeniem możliwości przywrócenia usługi. Przygotuj wynik testu odtworzenia, datę, zakres danych, zaobserwowane ograniczenia i osobę odpowiedzialną. Test powinien uwzględniać zależności, bez których system nie zadziała.
CERT Polska opisuje separację środowiska kopii i ochronę przed ich zniszczeniem. Warto ustalić, czy przejęcie jednego konta administratora nie daje równocześnie kontroli nad produkcją i wszystkimi kopiami. Sposób rozwiązania zależy od architektury i ryzyka.
BCP, DRP i reagowanie na incydenty
BCP dotyczy utrzymania działalności, a DRP odtworzenia środowiska po zakłóceniu. W ćwiczeniu przejdź od niedostępnej usługi do decyzji o działaniach. Kto ocenia sytuację? Kto przywraca system? Jak poinformować pracowników, jeżeli podstawowa poczta nie działa?
Udokumentuj wynik i zmiany planu po ćwiczeniu. W audycie procedury incydentowej sprawdź również, czy kontakty są aktualne i czy istnieje zastępstwo osoby decyzyjnej. Sam spis numerów telefonów nie pokazuje zdolności do działania.
Jak zamówić audyt bezpieczeństwa sieci i podatności
Opisz systemy, właścicieli, lokalizacje i usługi chmurowe. Wskaż, czy potrzebujesz przeglądu zarządzania, konfiguracji, analizy podatności czy testów penetracyjnych. Porównywalna oferta musi nazywać czynności, wyłączenia i sposób raportowania.
Aktywne czynności uzgodnij pisemnie z właścicielem systemu. Ustal czas, kontakty, dopuszczalne techniki i przerwanie testu. Raport techniczny powinien trafić do uprawnionych odbiorców. Zobacz ofertę audytu cyberbezpieczeństwa i bezpieczeństwa IT.
Źródła i zakres opracowania
Przepisy i wytyczne odróżniamy od naszych propozycji organizacji badania. Przykłady i checklisty są materiałem pomocniczym; kryteria zlecenia ustala się dla konkretnego podmiotu, programu i wersji dokumentów.
Ustal zakres i zapytaj o ofertę
Wskaż rodzaj organizacji lub programu, zakres i oczekiwany termin. Do pierwszego kontaktu nie przesyłaj haseł, pełnych akt osobowych, list płac ani kopii baz danych.
Audyty i kontrole realizujemy w całej Polsce: zdalnie, stacjonarnie u klienta lub hybrydowo. Audyt Kraków · Audyt Warszawa · Obszar działania.
Zapytaj o audyt
Opisz krótko swoje potrzeby. Pola oznaczone gwiazdką są wymagane.