Co się dzieje podczas audytu bezpieczeństwa

Jedna z najczęstszych przyczyn, dla których firmy odkładają pierwszy audyt bezpieczeństwa, to niewiedza, czego się spodziewać. Brzmi jak coś inwazyjnego, długiego i wymagającego zaangażowania całego zespołu na tydzień. W praktyce wygląda to znacznie prościej.

Audyt zaczyna się od rozmowy, nie od razu od sprawdzania systemów. Pytamy, z czego firma korzysta: jakiej poczty, jakiej chmury, ile jest komputerów, czy ktoś pracuje zdalnie, czy są jakieś systemy specyficzne dla branży. Ta rozmowa trwa zwykle 20-30 minut i pozwala ustalić, co realnie trzeba sprawdzić, zamiast odhaczać uniwersalną listę, która w połowie nie dotyczy danej firmy.

Sama część techniczna sprawdza kilka konkretnych obszarów: konfigurację sieci i routera, sposób i częstotliwość robienia kopii zapasowych, politykę haseł i to, czy w ogóle jest jakaś polityka, ustawienia kont w chmurze (Microsoft 365 albo Google Workspace), oraz stan aktualizacji na stacjach roboczych. Większość z tego da się sprawdzić zdalnie, bez odrywania nikogo od pracy na cały dzień.

Efektem nie jest sterta stron technicznego żargonu. Jest jeden raport z jasno poukładanymi priorytetami: co zrobić dziś, bo ryzyko jest realne i pilne, co zrobić w tym miesiącu, i co może poczekać, bo nie jest krytyczne. Raport omawiamy na spotkaniu, więc zawsze jest okazja dopytać, co dana rzecz właściwie oznacza dla firmy, zamiast zostać z dokumentem, którego nikt nie rozumie.

Jedna rzecz, której audyt świadomie nie robi: nie kończy się obietnicą "teraz jesteście w 100% bezpieczni". Taka obietnica byłaby nieprawdziwa niezależnie od tego, kto by ją złożył. Audyt daje realny obraz tego, gdzie stoicie, i konkretną listę, co zrobić najpierw, żeby zmniejszyć ryzyko tam, gdzie jest ono największe.