Audyt bezpieczeństwa IT: jak wygląda, od czego zależy koszt i czego się spodziewać

Audyt bezpieczeństwa IT odpowiada na pytanie, jak firma zarządza bezpieczeństwem informacji. Audytor sprawdza konfigurację systemów, procedury i to, czy ludzie faktycznie się do nich stosują. Wynikiem jest obraz całości z listą luk i oceną ryzyka.

Pod podobnymi nazwami kryją się jednak różne usługi. Zanim poprosisz o ofertę, ustal, której z nich potrzebujesz. Tabela poniżej pokazuje różnice.

Pełny audyt łączy trzy obszary. Sam przegląd techniczny pokaże luki w konfiguracji, ale nie powie, czy firma umie nimi zarządzać. Sam przegląd dokumentów pokaże z kolei zasady, które mogą istnieć tylko na papierze.

Poniżej typowy zakres każdego obszaru. W konkretnym audycie część punktów można pominąć, jeśli nie dotyczą Twojej firmy.

Audyt potrzebuje punktu odniesienia, inaczej wnioski są tylko opinią audytora. Standard warto wybrać razem z audytorem na początku, bo od niego zależy układ raportu.

Najczęściej stosuje się normę ISO/IEC 27001:2022. Jej załącznik A zawiera 93 zabezpieczenia w 4 grupach: organizacyjnej, dotyczącej ludzi, fizycznej i technologicznej. Inny popularny punkt odniesienia to amerykański model NIST Cybersecurity Framework, który porządkuje działania według funkcji, np. identyfikacji, ochrony czy wykrywania.

Dla podmiotów objętych ustawą o KSC punktem odniesienia są przede wszystkim obowiązki z ustawy. W praktyce audytorzy często łączą je z ISO 27001, bo norma pomaga uporządkować te same tematy. Jeśli firma planuje certyfikację, warto od razu wybrać normę jako główny standard.

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa obowiązuje od 3 kwietnia 2026 r. Dzieli objęte nią firmy na podmioty kluczowe i ważne. Obowiązki zarządzania ryzykiem są dla obu grup takie same, ale cykliczny audyt dotyczy tylko podmiotów kluczowych.

Podmiot kluczowy musi przeprowadzić pierwszy audyt do 3 kwietnia 2028 r., a kolejne co najmniej raz na trzy lata. Podmiot ważny nie ma obowiązku cyklicznych audytów. Organ nadzoru może jednak zlecić mu audyt, np. po poważnym incydencie albo przy podejrzeniu naruszenia przepisów.

Ważny szczegół: audytorem nie może być osoba, która obecnie dba o Twoje bezpieczeństwo albo robiła to w ostatnim roku. Zakaz dotyczy osoby, a nie całej firmy, ale jeśli zewnętrzna firma pomaga Ci wdrożyć wymagania ustawy, bezpieczniej powierzyć audyt ustawowy innej firmie. Łatwiej wtedy wykazać niezależność audytora. Audyt przygotowawczy, który pokazuje luki przed terminem, może natomiast wykonać każdy wybrany przez Ciebie dostawca. Najważniejsze terminy z ustawy zebraliśmy poniżej.

Audyt średniej firmy trwa zwykle kilka tygodni. Najdłużej trwa zbieranie informacji, bo zależy od dostępności ludzi po stronie firmy. Dlatego terminy rozmów warto zarezerwować w kalendarzach od razu po podpisaniu umowy.

Poniżej cztery etapy, które powinny znaleźć się w każdej ofercie. Jeśli oferta pomija któryś z nich, zapytaj, dlaczego.

Raport ma służyć dwóm grupom czytelników. Zarząd potrzebuje krótkiego obrazu ryzyka i decyzji do podjęcia, a zespół IT – szczegółów, które pozwolą naprawić konkretne ustawienia.

Grubość raportu nie świadczy o jego jakości. Ważniejsze, czy każda luka ma opis, ocenę ryzyka i konkretne zalecenie. Oto elementy, których warto oczekiwać.

Cena audytu wynika z liczby dni pracy audytorów, a ta zależy od zakresu. Dwie firmy tej samej wielkości mogą dostać bardzo różne wyceny, bo różnią się liczbą systemów, lokalizacji i stanem dokumentacji.

Porównując oferty, sprawdź, czy obejmują ten sam zakres i ten sam standard odniesienia. Tańsza oferta często pomija przegląd techniczny i opiera się wyłącznie na ankiecie, co daje znacznie mniej wiarygodny obraz.

Dobre przygotowanie skraca audyt i obniża jego koszt. Wystarczy kilka dni pracy osoby, która koordynuje temat po stronie firmy.

Weźmy hipotetyczną firmę produkcyjną na 150 osób, od której duża sieć handlowa żąda wyników audytu przed przedłużeniem umowy. Jeśli zbierze poniższe materiały przed pierwszym spotkaniem, audytor od razu zajmie się analizą, a nie szukaniem dokumentów.

Audyt nie zmusza do wdrożenia wszystkich zaleceń naraz. Zarząd decyduje, które ryzyka naprawia od razu, które w kolejnych miesiącach, a które świadomie akceptuje. Tę decyzję warto zapisać, bo przy kontroli albo po incydencie pokazuje, że firma działała celowo.

Najczęściej pierwsze miejsca w planie zajmują sprawy proste i tanie, ale ważne. To logowanie dwuskładnikowe dla wszystkich kont, ograniczenie uprawnień administratorów, sprawdzone kopie zapasowe i procedura zgłaszania incydentów.

Ustal też, kto pilnuje realizacji planu. W mniejszych firmach rolę tę pełni często zewnętrzny specjalista do spraw bezpieczeństwa na część etatu. Bez takiej osoby plan naprawczy zwykle traci tempo po kilku tygodniach.