Skala w Polsce rośnie skokowo
CERT Polska zarejestrował w 2025 roku 260 783 unikalne incydenty przy 658 320 zgłoszeniach, o 152 procent więcej rok do roku.
Audyt bezpieczeństwa i zgodności
Sprawdź, czego brakuje, zanim sprawdzi to kto inny
NIS2, RODO i procesy IT w jednym miejscu, bez sprzedawania strachu. Skan pokazuje, co sprawdzić samodzielnie, gdzie potrzebny jest ktoś z zewnątrz i czy firmie bardziej opłaca się teraz automatyzacja, szkolenie RODO czy wdrożenie NIS2.
- Nie wiecie, ile kont administracyjnych jest aktywnych w firmie
- Backup się robi, ale nikt nigdy nie próbował go odtworzyć
- Umowy powierzenia leżą w segregatorze sprzed czterech lat
Pierwszy krok skanu
Ile osób pracuje w Twojej firmie?
Bez rejestracji, wynik od razu. Trzydzieści pytań, około dwunastu minut.
Liczby z raportów branżowych
Jak wygląda audyt, który ma sens
Kolejność jest ważniejsza niż narzędzia. Skanowanie bez inwentaryzacji produkuje raport, którego nikt nie wdroży.
-
Inwentaryzacja
Lista systemów, danych, dostawców i osób z dostępem. Bez tego nie da się ocenić ryzyka, bo nie wiadomo, co jest chronione.
-
Ocena ryzyka
Dla każdego zasobu: co się stanie, jeśli zniknie, wycieknie albo zostanie zaszyfrowany. To ten dokument, którego wymaga art. 32 RODO i art. 21 dyrektywy NIS2.
-
Weryfikacja techniczna
Kontrola dostępu, uwierzytelnianie wieloskładnikowe, aktualizacje, kopie zapasowe i próbne odtworzenie. Skan podatności jest tu narzędziem, nie celem.
-
Plan naprawczy z właścicielami
Każde ustalenie dostaje osobę odpowiedzialną i termin. Raport bez tego jest kosztem, nie inwestycją.
Liczby, które warto znać przed audytem
Wszystkie z raportów, które można otworzyć i sprawdzić.
Człowiek jest głównym wektorem
62 procent naruszeń miało udział czynnika ludzkiego, a wykorzystanie podatności wyprzedziło phishing jako początkowy wektor ataku.
Naruszenie kosztuje i trwa
Średni globalny koszt naruszenia wyniósł 4,99 mln USD, a pełny cykl od wykrycia do opanowania 247 dni.
Kara idzie też za nadmiar danych
UODO nałożył 18,4 mln zł kary na bank za masowe skanowanie dowodów tożsamości, czyli za naruszenie zasady minimalizacji, a nie za wyciek.
Backup ma podstawę prawną
Art. 32 ust. 1 lit. c RODO wymaga zdolności szybkiego przywrócenia dostępności danych, a lit. d regularnego testowania skuteczności zabezpieczeń.
Regułę 3-2-1 rekomenduje amerykańska agencja CISA w materiałach dla małych firm. Nie jest to norma NIST ani ENISA, choć bywa tak przedstawiana.
Definicja
Środki techniczne i organizacyjne
Środki techniczne i organizacyjne to zabezpieczenia, które administrator danych dobiera do ryzyka, uwzględniając stan wiedzy technicznej, koszt wdrożenia oraz charakter, zakres, kontekst i cele przetwarzania.
Art. 32 RODO wymienia cztery przykłady: pseudonimizację i szyfrowanie, zdolność do zapewnienia poufności, integralności, dostępności i odporności systemów, zdolność szybkiego przywrócenia dostępności po incydencie oraz regularne testowanie skuteczności. Katalog jest otwarty, więc audyt nie sprowadza się do odhaczenia czterech pozycji, tylko do wykazania, że dobór zabezpieczeń wynika z oceny ryzyka.
Spotykane także jako: TOM, technical and organisational measures
Podstawa: Rozporządzenie (UE) 2016/679, art. 32
Najnowsze materiały
Wszystkie artykuły →
- Audyt łańcucha dostaw IT, NIS2 art. 21(2)(d), klauzule i due diligence
- Audyt ciągłości działania (BCP/DR), NIS2 art. 21(2)(c) + RODO art. 32
- Audyt kryptografii, NIS2 art. 21(2)(h) + RODO art. 32 w praktyce
- Audyt MFA i kontroli dostępu, NIS2 art. 21(2)(j) + RODO art. 32
- Audyt transferów do krajów trzecich, SCC, TIA, USA po Schrems II
Cztery obszary audytu
NIS2 i RODO przenikają się w praktyce, dlatego trzymamy je razem.
NIS2
Wymagania dyrektywy NIS2, kogo dotyczy, co wdrożyć, jakie terminy.
RODO
Ochrona danych osobowych, obowiązki, procedury, kary za naruszenia.
Cyberbezpieczeństwo
Zabezpieczenia techniczne, od firewalla po politykę haseł i backup.
Audyt IT
Skanowanie infrastruktury, testy penetracyjne, analiza podatności.
Pytania o audyt
Czym audyt różni się od testu penetracyjnego?
Test penetracyjny sprawdza, czy da się wejść. Audyt sprawdza, czy organizacja wie, co ma, jak tym zarządza i czy potrafi odtworzyć działanie po incydencie. Pentest bez audytu daje listę podatności bez kontekstu biznesowego.
Czy mała firma musi robić audyt NIS2?
Obowiązek audytu dotyczy podmiotów w zakresie ustawy, czyli zwykle od 50 pracowników albo 10 mln euro obrotu, i ma termin 3 kwietnia 2028. Mniejsze firmy nie mają tego obowiązku, ale mają obowiązki z RODO, w tym ocenę ryzyka i testowanie zabezpieczeń.
Ile trwa sensowny audyt?
Dla firmy do stu osób inwentaryzacja i ocena ryzyka to zwykle od dwóch do czterech tygodni, przy czym większość czasu zajmuje zbieranie informacji od ludzi, nie praca techniczna. Audyt zrobiony w dwa dni jest zwykle audytem dokumentów, nie stanu faktycznego.
Od czego zacząć, jeśli budżet jest zerowy?
Od trzech rzeczy, które nic nie kosztują: lista kont z dostępem administracyjnym, próba odtworzenia jednego backupu i spisanie, kto dzwoni do kogo w pierwszej godzinie incydentu. To zwykle ujawnia więcej niż pierwszy skan.
Checklisty i zmiany w przepisach raz w tygodniu
Bez sprzedaży licencji i bez straszenia karami, które jeszcze nie obowiązują.
Po co ta strona
Kompleksowy audyt zgodności z NIS2 i RODO. Skanowanie bezpieczeństwa IT, analiza ryzyka, plan naprawczy dla Twojej organizacji.