Audyt IT w firmie to uporządkowany przegląd infrastruktury, bezpieczeństwa i procesów – po to, aby wykryć ryzyka zanim przerodzą się w awarię, przestój lub incydent (np. ransomware). Dobrze przeprowadzony audyt nie kończy się „raportem do szuflady”, tylko jasnym planem działań: co naprawić od razu, co w 30 dni, a co zaplanować jako projekt rozwojowy.
1) Ustalenie celu i zakresu audytu
Pierwszy etap to doprecyzowanie, po co robimy audyt. Inaczej wygląda audyt „bezpieczeństwa”, inaczej „stabilności infrastruktury”, a jeszcze inaczej audyt pod audyt zewnętrzny/RODO czy przygotowanie do migracji do chmury.
Typowe cele audytu:
- zmniejszenie ryzyka ransomware i wycieku danych,
- poprawa niezawodności (mniej przestojów),
- uporządkowanie dostępów i kont,
- weryfikacja backupu i odtwarzania,
- ocena kosztów i licencji,
- przygotowanie do rozwoju (np. nowe biuro, skalowanie, M365).
Na tym etapie ustala się też:
- środowisko (on-prem / chmura / hybryda),
- lokalizacje (biuro, magazyn, oddziały),
- krytyczne systemy (ERP, księgowość, e-commerce, poczta),
- poziom wrażliwości danych (dane osobowe, medyczne, finansowe).
2) Zebranie informacji i inwentaryzacja
Bez inwentaryzacji audyt jest tylko opinią. Dlatego audytor zbiera dane o zasobach oraz o tym, jak firma realnie pracuje.
Co zwykle zbiera się na starcie:
- lista urządzeń (laptopy/PC/serwery/NAS, routery, switche, AP),
- lista kont i systemów: M365/Google, serwery, domeny, hosting,
- lista aplikacji krytycznych (ERP/CRM/księgowość),
- schemat sieci (albo przynajmniej opis – gdzie jest internet, Wi-Fi, serwery),
- procedury (jeśli istnieją): backup, offboarding, reakcja na incydent,
- informacje o incydentach z przeszłości (co się psuło, jakie były przestoje).
W praktyce to często pierwszy moment, kiedy firma sama widzi „białe plamy”: brak dokumentacji, brak spisu licencji, nikt nie wie, gdzie są hasła.
3) Audyt bezpieczeństwa (kont, urządzeń, sieci i chmury)
To najczęściej najważniejsza część audytu, bo odpowiada na pytanie: czy firma jest odporna na ataki i błędy ludzkie?
3.1 Konta i dostęp (IAM)
Audyt sprawdza m.in.:
- czy jest MFA na kontach (poczta, VPN, panele),
- czy są konta wspólne i „admin do wszystkiego”,
- czy działa onboarding/offboarding,
- czy uprawnienia są minimalne (least privilege),
- kto ma dostęp do backupów i zasobów krytycznych.
3.2 Endpointy (komputery pracowników)
Sprawdza się:
- czy jest EDR/antywirus klasy biznes,
- szyfrowanie dysków (BitLocker/FileVault),
- aktualizacje systemów i aplikacji,
- uprawnienia lokalnego administratora,
- polityki haseł, blokad, urządzeń USB (jeśli potrzebne).
3.3 Sieć i Wi-Fi
Audyt obejmuje:
- segmentację (VLAN) i separację gości,
- konfigurację firewall/routerów i aktualność firmware,
- zabezpieczenia Wi-Fi (WPA2/3, hasła, ewentualnie 802.1X),
- widoczność urządzeń IoT (kamery, rejestratory) w sieci,
- ryzyko „rozlania się” incydentu po całej firmie.
3.4 Chmura i poczta (M365/Google)
Weryfikuje się:
- zasady logowania i MFA,
- ochronę antyphishingową,
- SPF/DKIM/DMARC (ochrona domeny),
- udostępnienia plików (kto i co może udostępniać na zewnątrz),
- retencję, logowanie zdarzeń i backup danych chmurowych.
4) Audyt backupu i Disaster Recovery
To element, który najczęściej „ratuje firmę” w kryzysie.
Sprawdzane są m.in.:
- co jest backupowane (serwery, bazy, pliki, chmura, endpointy),
- częstotliwość kopii (RPO) i czas odtworzenia (RTO),
- czy jest kopia offsite / odseparowana (odporna na ransomware),
- czy są testy odtwarzania i kiedy ostatnio je wykonano,
- czy istnieje plan kolejności odtwarzania systemów.
Dobre praktyki w raporcie audytu: rekomendacja modelu 3-2-1, plan testów odtwarzania oraz checklisty awaryjne.
5) Audyt stabilności i wydajności
Czasem firma nie ma incydentu, ale ma codzienny ból: wolna praca, rwanie Wi-Fi, przestoje drukarki, „znikające” dyski sieciowe. Audyt powinien to uchwycić.
Weryfikuje się:
- obciążenie serwerów (CPU/RAM/dyski),
- błędy na interfejsach sieciowych,
- jakość Wi-Fi (zasięg, zakłócenia),
- stan dysków i macierzy (SMART, RAID),
- konfiguracje usług krytycznych (DNS/DHCP/AD),
- wąskie gardła (np. backup w godzinach pracy, brak QoS dla VoIP).
6) Przegląd procesów i dokumentacji
To element często pomijany, a bardzo ważny: nawet najlepszy sprzęt nie pomoże, jeśli firma nie ma podstawowych procedur.
Audyt sprawdza:
- czy są procedury onboarding/offboarding,
- czy hasła są w password managerze, a nie w pliku,
- czy jest system zgłoszeń (ticketing) i SLA,
- czy są kontakty do dostawców i zasady eskalacji,
- czy jest dokumentacja infrastruktury (choćby minimalna).
7) Raport i plan działań
Dobry audyt kończy się raportem, który jest zrozumiały dla właściciela firmy, a jednocześnie technicznie użyteczny.
W raporcie powinno być:
- lista ryzyk i niezgodności,
- priorytety (krytyczne / ważne / zalecane),
- rekomendacje z uzasadnieniem,
- plan wdrożenia: co w 7 dni, 30 dni, 90 dni,
- „quick wins” (np. MFA, backup, aktualizacje),
- estymacja kosztów i zasobów,
- propozycja docelowej architektury (jeśli to audyt rozwojowy).
8) Wdrożenie i audyt powdrożeniowy
Największym błędem jest zrobienie audytu i… nic z nim nie zrobić. Dlatego warto od razu planować:
- wdrożenie rekomendacji (wewnętrznie lub z dostawcą IT),
- testy (np. odtwarzanie backupu po zmianach),
- przegląd po 30–60 dniach, czy ryzyka zostały zamknięte,
- cykliczne przeglądy (np. kwartalne).
Ile trwa audyt IT i jak się do niego przygotować?
Czas zależy od skali, ale w praktyce:
- mała firma: od kilku godzin do 1–2 dni roboczych,
- średnia: kilka dni + raport,
- większa: etapowanie (bezpieczeństwo, backup, infrastruktura).
Jak się przygotować:
- zebrać listę systemów i dostępów (jeśli istnieje),
- wskazać osobę kontaktową po stronie firmy,
- przygotować dostęp do paneli administracyjnych (z zachowaniem bezpieczeństwa),
- opisać problemy, które występują na co dzień.
Podsumowanie
Audyt IT w firmie to proces, który łączy technikę i organizację: inwentaryzację, bezpieczeństwo, backup, sieć, chmurę, monitoring i procedury. Jego celem jest nie tylko wykrycie problemów, ale zbudowanie planu działań, który realnie zmniejsza ryzyko awarii i incydentów oraz podnosi stabilność środowiska. Dobrze zrobiony audyt daje spokój: wiesz, gdzie są słabe punkty i co robić, zanim coś się zepsuje.
Jeśli szukasz kompleksowej obsługi informatycznej w Warszawie, sprawdź ofertę firmy E-Support.
