Start / Skan bezpieczeństwa i zgodności firmy

Skan bezpieczeństwa i zgodności firmy

Trzydzieści pytań, których audytor szuka w pierwszych dniach pracy: co macie, kto ma dostęp, czy kopia zapasowa da się odtworzyć, kto dzwoni w pierwszej godzinie incydentu. Na końcu dwanaście pytań o to, czego firma potrzebuje najbardziej: automatyzacji, szkolenia RODO, wdrożenia NIS2 czy działań antymobbingowych.

30 pytań
12 minut
bez rejestracji
wynik od razu

Skan jest autorskim narzędziem samooceny. Nie jest audytem, opinią prawną ani testem penetracyjnym. Pokazuje, gdzie zacząć, i czego szukać w pierwszej kolejności.

0 z 30

Krok 1, wielkość firmy

Inwentaryzacja i zakres

Pytanie 1 z 30

Macie aktualną listę systemów i aplikacji używanych w firmie, razem z osobą odpowiedzialną za każdy z nich?

Systemy własne, chmurowe, branżowe, także te kupione poza działem IT.

Macie aktualną listę systemów i aplikacji używanych w firmie, razem z osobą odpowiedzialną za każdy z nich? TakJest zrobione i da się to pokazać na dokumencie CzęściowoRobimy to, ale bez dokumentacji albo nieregularnie NieNie ma tego u nas Nie wiemNikt w firmie nie potrafi odpowiedzieć

Pytanie 2 z 30

Wiecie, gdzie fizycznie i logicznie znajdują się dane osobowe, które przetwarzacie?

Serwer, chmura, dyski lokalne, poczta, kopie u dostawcy, dokumenty papierowe.

Wiecie, gdzie fizycznie i logicznie znajdują się dane osobowe, które przetwarzacie? TakJest zrobione i da się to pokazać na dokumencie CzęściowoRobimy to, ale bez dokumentacji albo nieregularnie NieNie ma tego u nas Nie wiemNikt w firmie nie potrafi odpowiedzieć

Pytanie 3 z 30

Jest wskazane, które systemy są krytyczne, czyli takie, których brak zatrzymuje działanie firmy?

Z uzasadnieniem, ile firma wytrzyma bez każdego z nich.

Jest wskazane, które systemy są krytyczne, czyli takie, których brak zatrzymuje działanie firmy? TakJest zrobione i da się to pokazać na dokumencie CzęściowoRobimy to, ale bez dokumentacji albo nieregularnie NieNie ma tego u nas Nie wiemNikt w firmie nie potrafi odpowiedzieć

Pytanie 4 z 30

Macie ewidencję sprzętu z przypisaniem do osób, razem z laptopami i telefonami prywatnymi używanymi do pracy?

Model BYOD też podlega ocenie ryzyka.

Macie ewidencję sprzętu z przypisaniem do osób, razem z laptopami i telefonami prywatnymi używanymi do pracy? TakJest zrobione i da się to pokazać na dokumencie CzęściowoRobimy to, ale bez dokumentacji albo nieregularnie NieNie ma tego u nas Nie wiemNikt w firmie nie potrafi odpowiedzieć

Kontrola dostępu i konta

Pytanie 5 z 30

Wiecie, ile kont z uprawnieniami administracyjnymi jest aktywnych w firmie?

Konta w domenie, w chmurze, w systemach branżowych i u dostawców.

Wiecie, ile kont z uprawnieniami administracyjnymi jest aktywnych w firmie? TakJest zrobione i da się to pokazać na dokumencie CzęściowoRobimy to, ale bez dokumentacji albo nieregularnie NieNie ma tego u nas Nie wiemNikt w firmie nie potrafi odpowiedzieć

Pytanie 6 z 30

Uprawnienia są przeglądane cyklicznie, co najmniej raz na rok, z zapisem z przeglądu?

Kto sprawdzał, kiedy, co odebrano.

Uprawnienia są przeglądane cyklicznie, co najmniej raz na rok, z zapisem z przeglądu? TakJest zrobione i da się to pokazać na dokumencie CzęściowoRobimy to, ale bez dokumentacji albo nieregularnie NieNie ma tego u nas Nie wiemNikt w firmie nie potrafi odpowiedzieć

Pytanie 7 z 30

Istnieje procedura odbierania dostępów w dniu odejścia pracownika lub zakończenia współpracy?

Poczta, VPN, systemy branżowe, chmura, klucze i karty.

Istnieje procedura odbierania dostępów w dniu odejścia pracownika lub zakończenia współpracy? TakJest zrobione i da się to pokazać na dokumencie CzęściowoRobimy to, ale bez dokumentacji albo nieregularnie NieNie ma tego u nas Nie wiemNikt w firmie nie potrafi odpowiedzieć

Pytanie 8 z 30

Konta są imienne, bez współdzielonych loginów typu biuro albo admin?

Bez kont imiennych nie da się ustalić, kto co zrobił.

Konta są imienne, bez współdzielonych loginów typu biuro albo admin? TakJest zrobione i da się to pokazać na dokumencie CzęściowoRobimy to, ale bez dokumentacji albo nieregularnie NieNie ma tego u nas Nie wiemNikt w firmie nie potrafi odpowiedzieć

Kopie zapasowe i odtwarzanie

Pytanie 9 z 30

Kopie zapasowe są wykonywane automatycznie i ktoś sprawdza, czy się udały?

Powiadomienie o błędzie kopii musi do kogoś trafiać.

Kopie zapasowe są wykonywane automatycznie i ktoś sprawdza, czy się udały? TakJest zrobione i da się to pokazać na dokumencie CzęściowoRobimy to, ale bez dokumentacji albo nieregularnie NieNie ma tego u nas Nie wiemNikt w firmie nie potrafi odpowiedzieć

Pytanie 10 z 30

Co najmniej jedna kopia jest przechowywana poza główną infrastrukturą i odizolowana od sieci?

Kopia w tej samej serwerowni ginie razem z serwerownią, a kopia w tej samej domenie ginie razem z ransomware.

Co najmniej jedna kopia jest przechowywana poza główną infrastrukturą i odizolowana od sieci? TakJest zrobione i da się to pokazać na dokumencie CzęściowoRobimy to, ale bez dokumentacji albo nieregularnie NieNie ma tego u nas Nie wiemNikt w firmie nie potrafi odpowiedzieć

Pytanie 11 z 30

Odtworzenie z kopii było testowane w ciągu ostatnich dwunastu miesięcy?

Z zapisem: data, zakres, czas odtworzenia, wnioski.

Odtworzenie z kopii było testowane w ciągu ostatnich dwunastu miesięcy? TakJest zrobione i da się to pokazać na dokumencie CzęściowoRobimy to, ale bez dokumentacji albo nieregularnie NieNie ma tego u nas Nie wiemNikt w firmie nie potrafi odpowiedzieć

Pytanie 12 z 30

Wiecie, ile czasu zajmie przywrócenie działania i ile danych stracicie w najgorszym wariancie?

Parametry RTO i RPO, ustalone z zarządem, nie z działem IT.

Wiecie, ile czasu zajmie przywrócenie działania i ile danych stracicie w najgorszym wariancie? TakJest zrobione i da się to pokazać na dokumencie CzęściowoRobimy to, ale bez dokumentacji albo nieregularnie NieNie ma tego u nas Nie wiemNikt w firmie nie potrafi odpowiedzieć

Incydenty i zgłaszanie

Pytanie 13 z 30

Jest spisana procedura postępowania przy incydencie, z rolami i ścieżką decyzji?

Kto klasyfikuje, kto decyduje o zgłoszeniu, kto rozmawia z klientami.

Jest spisana procedura postępowania przy incydencie, z rolami i ścieżką decyzji? TakJest zrobione i da się to pokazać na dokumencie CzęściowoRobimy to, ale bez dokumentacji albo nieregularnie NieNie ma tego u nas Nie wiemNikt w firmie nie potrafi odpowiedzieć

Pytanie 14 z 30

Wiecie, w jakim terminie i do kogo zgłaszacie naruszenie ochrony danych?

72 godziny do UODO, zawiadomienie osób bez zbędnej zwłoki przy wysokim ryzyku.

Wiecie, w jakim terminie i do kogo zgłaszacie naruszenie ochrony danych? TakJest zrobione i da się to pokazać na dokumencie CzęściowoRobimy to, ale bez dokumentacji albo nieregularnie NieNie ma tego u nas Nie wiemNikt w firmie nie potrafi odpowiedzieć

Pytanie 15 z 30

Jest kontakt dostępny poza godzinami pracy, w weekend i w święta?

Termin zgłoszenia nie zatrzymuje się w piątek po siedemnastej.

Jest kontakt dostępny poza godzinami pracy, w weekend i w święta? TakJest zrobione i da się to pokazać na dokumencie CzęściowoRobimy to, ale bez dokumentacji albo nieregularnie NieNie ma tego u nas Nie wiemNikt w firmie nie potrafi odpowiedzieć

Pytanie 16 z 30

Prowadzicie rejestr naruszeń, także tych, których nie zgłosiliście, z uzasadnieniem decyzji?

Artykuł 33 ustęp 5 RODO wymaga dokumentowania wszystkich naruszeń.

Prowadzicie rejestr naruszeń, także tych, których nie zgłosiliście, z uzasadnieniem decyzji? TakJest zrobione i da się to pokazać na dokumencie CzęściowoRobimy to, ale bez dokumentacji albo nieregularnie NieNie ma tego u nas Nie wiemNikt w firmie nie potrafi odpowiedzieć

Pytanie 17 z 30

Ćwiczyliście obsługę incydentu na sucho, choć raz, z udziałem osób spoza działu IT?

Test procedury, nie samo jej istnienie.

Ćwiczyliście obsługę incydentu na sucho, choć raz, z udziałem osób spoza działu IT? TakJest zrobione i da się to pokazać na dokumencie CzęściowoRobimy to, ale bez dokumentacji albo nieregularnie NieNie ma tego u nas Nie wiemNikt w firmie nie potrafi odpowiedzieć

Dokumentacja RODO

Pytanie 18 z 30

Rejestr czynności przetwarzania istnieje i opisuje to, co faktycznie robicie dzisiaj?

Data ostatniej aktualizacji i zgodność z realnymi procesami.

Rejestr czynności przetwarzania istnieje i opisuje to, co faktycznie robicie dzisiaj? TakJest zrobione i da się to pokazać na dokumencie CzęściowoRobimy to, ale bez dokumentacji albo nieregularnie NieNie ma tego u nas Nie wiemNikt w firmie nie potrafi odpowiedzieć

Pytanie 19 z 30

Dla każdej czynności macie wskazaną podstawę prawną i okres przechowywania danych?

Zgoda, umowa, obowiązek prawny, prawnie uzasadniony interes.

Dla każdej czynności macie wskazaną podstawę prawną i okres przechowywania danych? TakJest zrobione i da się to pokazać na dokumencie CzęściowoRobimy to, ale bez dokumentacji albo nieregularnie NieNie ma tego u nas Nie wiemNikt w firmie nie potrafi odpowiedzieć

Pytanie 20 z 30

Została przeprowadzona i zapisana analiza ryzyka dla przetwarzania danych?

Artykuł 32 RODO wymaga doboru zabezpieczeń do ryzyka, więc ryzyko trzeba najpierw ocenić.

Została przeprowadzona i zapisana analiza ryzyka dla przetwarzania danych? TakJest zrobione i da się to pokazać na dokumencie CzęściowoRobimy to, ale bez dokumentacji albo nieregularnie NieNie ma tego u nas Nie wiemNikt w firmie nie potrafi odpowiedzieć

Pytanie 21 z 30

Wiecie, jak w praktyce obsłużyć żądanie dostępu, sprostowania albo usunięcia danych, i kto to robi?

Miesiąc na odpowiedź, z możliwością przedłużenia i obowiązkiem poinformowania.

Wiecie, jak w praktyce obsłużyć żądanie dostępu, sprostowania albo usunięcia danych, i kto to robi? TakJest zrobione i da się to pokazać na dokumencie CzęściowoRobimy to, ale bez dokumentacji albo nieregularnie NieNie ma tego u nas Nie wiemNikt w firmie nie potrafi odpowiedzieć

Dostawcy i powierzenie

Pytanie 22 z 30

Macie listę dostawców, którzy mają dostęp do waszych danych lub systemów?

Hosting, chmura, biuro rachunkowe, serwis IT, oprogramowanie branżowe, kadry.

Macie listę dostawców, którzy mają dostęp do waszych danych lub systemów? TakJest zrobione i da się to pokazać na dokumencie CzęściowoRobimy to, ale bez dokumentacji albo nieregularnie NieNie ma tego u nas Nie wiemNikt w firmie nie potrafi odpowiedzieć

Pytanie 23 z 30

Z każdym z nich jest podpisana aktualna umowa powierzenia przetwarzania?

Artykuł 28 RODO, z zakresem, celem i obowiązkami podmiotu przetwarzającego.

Z każdym z nich jest podpisana aktualna umowa powierzenia przetwarzania? TakJest zrobione i da się to pokazać na dokumencie CzęściowoRobimy to, ale bez dokumentacji albo nieregularnie NieNie ma tego u nas Nie wiemNikt w firmie nie potrafi odpowiedzieć

Pytanie 24 z 30

Umowy zobowiązują dostawcę do niezwłocznego zgłoszenia wam incydentu?

Z terminem liczonym w godzinach i osobą kontaktową.

Umowy zobowiązują dostawcę do niezwłocznego zgłoszenia wam incydentu? TakJest zrobione i da się to pokazać na dokumencie CzęściowoRobimy to, ale bez dokumentacji albo nieregularnie NieNie ma tego u nas Nie wiemNikt w firmie nie potrafi odpowiedzieć

Pytanie 25 z 30

Sprawdzacie poziom bezpieczeństwa dostawcy przed podpisaniem umowy?

Ankieta, certyfikaty, wyniki audytu, lokalizacja przetwarzania danych.

Sprawdzacie poziom bezpieczeństwa dostawcy przed podpisaniem umowy? TakJest zrobione i da się to pokazać na dokumencie CzęściowoRobimy to, ale bez dokumentacji albo nieregularnie NieNie ma tego u nas Nie wiemNikt w firmie nie potrafi odpowiedzieć

Ludzie i świadomość

Pytanie 26 z 30

Pracownicy przechodzą szkolenie z ochrony danych i higieny cyfrowej co najmniej raz w roku?

Z listą obecności i zakresem tematycznym.

Pracownicy przechodzą szkolenie z ochrony danych i higieny cyfrowej co najmniej raz w roku? TakJest zrobione i da się to pokazać na dokumencie CzęściowoRobimy to, ale bez dokumentacji albo nieregularnie NieNie ma tego u nas Nie wiemNikt w firmie nie potrafi odpowiedzieć

Pytanie 27 z 30

Każdy wie, komu zgłosić podejrzaną wiadomość albo zgubiony sprzęt, i robi to bez obawy o konsekwencje?

Jedna ścieżka zgłoszenia, znana wszystkim, bez szukania winnego.

Każdy wie, komu zgłosić podejrzaną wiadomość albo zgubiony sprzęt, i robi to bez obawy o konsekwencje? TakJest zrobione i da się to pokazać na dokumencie CzęściowoRobimy to, ale bez dokumentacji albo nieregularnie NieNie ma tego u nas Nie wiemNikt w firmie nie potrafi odpowiedzieć

Minimum techniczne

Pytanie 28 z 30

Uwierzytelnianie wieloskładnikowe jest włączone dla poczty, dostępu zdalnego i kont administracyjnych?

To pojedyncza zmiana o największym stosunku efektu do kosztu.

Uwierzytelnianie wieloskładnikowe jest włączone dla poczty, dostępu zdalnego i kont administracyjnych? TakJest zrobione i da się to pokazać na dokumencie CzęściowoRobimy to, ale bez dokumentacji albo nieregularnie NieNie ma tego u nas Nie wiemNikt w firmie nie potrafi odpowiedzieć

Pytanie 29 z 30

Systemy i stacje robocze są regularnie aktualizowane, z potwierdzeniem wykonania?

Serwery, stacje, urządzenia sieciowe, wtyczki na stronie WWW.

Systemy i stacje robocze są regularnie aktualizowane, z potwierdzeniem wykonania? TakJest zrobione i da się to pokazać na dokumencie CzęściowoRobimy to, ale bez dokumentacji albo nieregularnie NieNie ma tego u nas Nie wiemNikt w firmie nie potrafi odpowiedzieć

Pytanie 30 z 30

Logi z kluczowych systemów są zbierane, przechowywane i ktoś do nich zagląda?

Bez logów nie odtworzycie przebiegu incydentu ani nie napiszecie raportu końcowego.

Logi z kluczowych systemów są zbierane, przechowywane i ktoś do nich zagląda? TakJest zrobione i da się to pokazać na dokumencie CzęściowoRobimy to, ale bez dokumentacji albo nieregularnie NieNie ma tego u nas Nie wiemNikt w firmie nie potrafi odpowiedzieć

Czego firma potrzebuje najbardziej

Dwanaście pytań poza punktacją. Nie wpływają na wynik bezpieczeństwa, służą do wskazania, od czego zacząć: automatyzacji, szkolenia, wdrożenia czy uporządkowania spraw pracowniczych. Możesz je pominąć.

Ktoś w firmie regularnie przepisuje te same dane między systemami, arkuszami albo e-mailami?

Faktury, zamówienia, dane klientów, raporty składane ręcznie co tydzień.

Ktoś w firmie regularnie przepisuje te same dane między systemami, arkuszami albo e-mailami? TakTak to u nas wygląda TrochęZdarza się, ale nie jest to codzienność NieTo nas nie dotyczy

Przygotowanie powtarzalnych dokumentów, ofert lub odpowiedzi do klientów zajmuje kilka godzin tygodniowo?

Oferty, umowy z szablonu, odpowiedzi na te same pytania, opisy produktów.

Przygotowanie powtarzalnych dokumentów, ofert lub odpowiedzi do klientów zajmuje kilka godzin tygodniowo? TakTak to u nas wygląda TrochęZdarza się, ale nie jest to codzienność NieTo nas nie dotyczy

Pracownicy korzystają już z narzędzi AI, a firma nie ma spisanych zasad, co wolno tam wklejać?

Bez zasad dane klientów i dokumenty firmowe trafiają do zewnętrznych modeli bez kontroli.

Pracownicy korzystają już z narzędzi AI, a firma nie ma spisanych zasad, co wolno tam wklejać? TakTak to u nas wygląda TrochęZdarza się, ale nie jest to codzienność NieTo nas nie dotyczy

W ostatnim roku pojawiła się skarga, żądanie dostępu do danych albo pytanie od klienta lub pracownika o RODO?

Każde takie zdarzenie uruchamia terminy i wymaga śladu w dokumentach.

W ostatnim roku pojawiła się skarga, żądanie dostępu do danych albo pytanie od klienta lub pracownika o RODO? TakTak to u nas wygląda TrochęZdarza się, ale nie jest to codzienność NieTo nas nie dotyczy

Uruchamiacie procesy, których nikt nie ocenił pod kątem ochrony danych: monitoring, rekrutacja, marketing, nowy system?

To sytuacje, w których zwykle brakuje podstawy prawnej albo oceny skutków.

Uruchamiacie procesy, których nikt nie ocenił pod kątem ochrony danych: monitoring, rekrutacja, marketing, nowy system? TakTak to u nas wygląda TrochęZdarza się, ale nie jest to codzienność NieTo nas nie dotyczy

Firma działa w sektorze objętym NIS2 albo dostarcza usługi podmiotowi, który jest nim objęty?

Energetyka, transport, zdrowie, woda, ICT, przetwórstwo, odpady, poczta i ich dostawcy.

Firma działa w sektorze objętym NIS2 albo dostarcza usługi podmiotowi, który jest nim objęty? TakTak to u nas wygląda TrochęZdarza się, ale nie jest to codzienność NieTo nas nie dotyczy

Klienci lub partnerzy zaczęli przysyłać ankiety bezpieczeństwa albo pytać o wasze zabezpieczenia?

Wymagania spływają łańcuchem dostaw wcześniej niż obowiązek ustawowy.

Klienci lub partnerzy zaczęli przysyłać ankiety bezpieczeństwa albo pytać o wasze zabezpieczenia? TakTak to u nas wygląda TrochęZdarza się, ale nie jest to codzienność NieTo nas nie dotyczy

W ostatnim roku trafiły do Was sygnały o konflikcie, nierównym traktowaniu albo nieodpowiednim zachowaniu przełożonego?

Także nieformalne: rozmowa na korytarzu, sygnał od zespołu, wyjście pracownika z pretensją.

W ostatnim roku trafiły do Was sygnały o konflikcie, nierównym traktowaniu albo nieodpowiednim zachowaniu przełożonego? TakTak to u nas wygląda TrochęZdarza się, ale nie jest to codzienność NieTo nas nie dotyczy

Brakuje procedury antymobbingowej i wskazanej osoby, do której pracownik może zgłosić sprawę?

Kodeks pracy nakłada na pracodawcę obowiązek przeciwdziałania mobbingowi, a nie tylko reagowania po fakcie.

Brakuje procedury antymobbingowej i wskazanej osoby, do której pracownik może zgłosić sprawę? TakTak to u nas wygląda TrochęZdarza się, ale nie jest to codzienność NieTo nas nie dotyczy

W jednym zespole widać wyraźnie wyższą rotację, absencję albo spadek zaangażowania?

To najczęściej pierwszy mierzalny objaw problemu relacyjnego, nie kompetencyjnego.

W jednym zespole widać wyraźnie wyższą rotację, absencję albo spadek zaangażowania? TakTak to u nas wygląda TrochęZdarza się, ale nie jest to codzienność NieTo nas nie dotyczy

Zespół nie miał w tym roku żadnego szkolenia z ochrony danych ani z bezpieczeństwa?

Liczy się szkolenie z listą obecności i zakresem, nie e-mail z przypomnieniem.

Zespół nie miał w tym roku żadnego szkolenia z ochrony danych ani z bezpieczeństwa? TakTak to u nas wygląda TrochęZdarza się, ale nie jest to codzienność NieTo nas nie dotyczy

Nikt nigdy nie sprawdził, jak pracownicy zareagują na wiadomość phishingową?

Kontrolowany test pokazuje realny poziom ryzyka lepiej niż deklaracje.

Nikt nigdy nie sprawdził, jak pracownicy zareagują na wiadomość phishingową? TakTak to u nas wygląda TrochęZdarza się, ale nie jest to codzienność NieTo nas nie dotyczy

0 / 60 pkt

Wynik w obszarach

Gdzie jest luka

Co Wam się teraz najbardziej opłaca

Pierwsze kroki

Spiszcie systemy, dane i właścicieli w jednym arkuszu, nawet zgrubnie. To fundament każdego kolejnego kroku.
Wypiszcie wszystkie konta z uprawnieniami administracyjnymi i odbierzcie te, które nie mają dziś uzasadnienia.
Odtwórzcie jedną kopię zapasową na środowisku testowym i zapiszcie, ile to zajęło.
Spiszcie na jednej stronie, kto dzwoni do kogo w pierwszej godzinie incydentu i kto decyduje o zgłoszeniu.
Zestawcie rejestr czynności z listą dostawców i sprawdźcie, z kim brakuje umowy powierzenia.

Chcesz zamienić wynik w plan naprawczy?

Audyt bezpieczeństwa i zgodności dla firmy: inwentaryzacja, ocena ryzyka, weryfikacja techniczna i plan z właścicielami zadań oraz terminami. Prowadzi Marek Porycki, Broker Business sp. z o.o.

Zapytaj o audyt Sprawdź osobno gotowość na NIS2 Zadzwoń: 602 388 911