Cyberbezpieczeństwo w małej firmie: zakres i cena audytu IT

W małej firmie pierwsze pytanie po incydencie brzmi zwykle tak samo: kto ma hasło administratora i czy wczorajsza kopia się wykonała. Poprawy bezpieczeństwa nie trzeba więc zaczynać od drogiego systemu. Najpierw trzeba wiedzieć, jakie macie konta, urządzenia i dane, kto ma do nich dostęp i czy potraficie odtworzyć najważniejsze zasoby.

Poniższy przegląd pomaga odnaleźć podstawowe braki. Audytu dopasowanego do Waszego środowiska i ryzyka nie zastąpi, ale pokaże, gdzie taki audyt powinien zajrzeć w pierwszej kolejności.

Zakres i cena audytu IT dla małej firmy

Cena audytu IT zależy od tego, co dokładnie ma zostać sprawdzone, a dopiero potem od liczby komputerów. Dlatego przed zamówieniem ustalcie, czy potrzebujecie szybkiej oceny ryzyk, analizy procesów, czy technicznego audytu bezpieczeństwa z raportem dla klienta lub ubezpieczyciela.

U nas wygląda to tak (ceny netto):

Wariant	Zakres	Cena
Bezpłatny przegląd IT	60 minut online z inżynierem; trzy najważniejsze ryzyka w kopiach, sieci, dostępach i zabezpieczeniach	0 zł
Audyt operacyjny	Procesy i automatyzacja: gdzie ginie czas, co przepisuje się ręcznie, plan na 6-12 miesięcy; zwykle 2-5 dni	od 3 500 zł, w firmach powyżej 50 osób od 6 000 zł
Audyt istniejącej instalacji Bitdefender	Konfiguracja ochrony stanowisk, polityki, zasięg i alerty	od 500 zł
Audyt bezpieczeństwa infrastruktury	Dziesięć obszarów opisanych niżej, w zakresie uzgodnionym przed startem	wycena po rozmowie o zakresie

Audyt operacyjny dotyczy procesów i podstaw bezpieczeństwa nie wyczerpuje. Audyt bezpieczeństwa infrastruktury wyceniamy osobno, bo jego koszt zależy od kilku zmiennych:

• liczby stanowisk, serwerów i lokalizacji;
• liczby usług chmurowych i kont administracyjnych do przejrzenia;
• tego, czy obejmuje testy techniczne, np. skanowanie podatności, czy przegląd konfiguracji i dokumentacji;
• tego, czy raport ma odpowiadać na wymagania klienta, ubezpieczyciela albo przepisów o krajowym systemie cyberbezpieczeństwa;
• dostępności dokumentacji: środowisko bez spisu urządzeń wymaga najpierw inwentaryzacji.

Niezależnie od dostawcy dobry raport z audytu zawiera listę ustaleń z priorytetem, dowód przy każdym ustaleniu, plan naprawczy z właścicielem i terminem oraz opis ryzyka, które zostaje po zmianach. Rekomendacje możecie wdrożyć sami, z obecnym dostawcą albo z nami; audyt nie zobowiązuje do kolejnego zlecenia.

1. Inwentaryzacja zasobów

Nie da się chronić systemu, o którego istnieniu nikt nie pamięta. Przygotujcie listę komputerów, telefonów, serwerów, urządzeń sieciowych, aplikacji chmurowych, domen i kont administracyjnych. Przy każdej pozycji wskażcie właściciela, przeznaczenie, stan wsparcia producenta i sposób aktualizacji.

Rezultatem ma być rejestr, który regularnie aktualizujecie. Lista sporządzona raz i odłożona do archiwum po pół roku przestaje odpowiadać rzeczywistości.

2. Konta i uwierzytelnianie

Każda osoba powinna korzystać z własnego konta. Konta współdzielone utrudniają ustalenie, kto wykonał zmianę, i komplikują odbieranie dostępu po zakończeniu współpracy.

Sprawdźcie, czy:

• hasła są unikalne i przechowywane w menedżerze haseł;
• uwierzytelnianie wieloskładnikowe chroni pocztę, usługi chmurowe, VPN i konta administracyjne;
• uprawnienia administratora mają tylko osoby, które ich potrzebują;
• istnieją bezpiecznie przechowywane metody odzyskania dostępu;
• nieaktywne konta są wyłączane.

Tam, gdzie to możliwe, wybierajcie metody odporne na phishing, na przykład klucze sprzętowe lub passkeys. Kod SMS jest lepszy niż brak drugiego składnika, ale chroni słabiej niż te metody.

3. Nadawanie i odbieranie dostępu

Procedura przyjęcia pracownika powinna określać, kto zatwierdza dostęp i jaki jest jego zakres. Procedura zakończenia współpracy obejmuje wyłączenie kont, odebranie sesji, urządzeń i kluczy oraz zmianę danych dostępowych, które były współdzielone. To samo dotyczy zewnętrznego informatyka lub firmy IT; listę dostępów do odebrania opisaliśmy w tekście o zmianie firmy IT.

Okresowo porównujcie rzeczywiste uprawnienia z bieżącymi obowiązkami pracowników. Zmiana stanowiska nie powinna prowadzić do bezterminowego gromadzenia dawnych uprawnień.

4. Aktualizacje i cykl życia

Systemy operacyjne, aplikacje, przeglądarki, urządzenia sieciowe i oprogramowanie serwerów wymagają aktualizacji. Samo włączenie automatycznych aktualizacji nie wystarcza, jeżeli nikt nie kontroluje błędów instalacji ani urządzeń pozostających poza mechanizmem zarządzania.

Ustalcie:

• kto ocenia i wdraża poprawki;
• jak szybko instalowane są poprawki krytyczne;
• kiedy przypada okno serwisowe;
• jak sprawdzany jest wynik aktualizacji;
• co dzieje się ze sprzętem i oprogramowaniem po zakończeniu wsparcia producenta.

5. Ochrona urządzeń

Komputery firmowe powinny mieć aktywną, aktualizowaną ochronę punktów końcowych. Jej zakres zależy od systemu, licencji i ryzyka. Oprócz ochrony przed złośliwym oprogramowaniem sprawdźcie szyfrowanie dysku, blokadę ekranu, ograniczenie praw lokalnego administratora oraz możliwość zdalnego zablokowania zarządzanego urządzenia.

Potwierdzenie, że program został kiedyś zainstalowany, to za mało. Administrator powinien mieć wiarygodną informację o stanie ochrony wszystkich urządzeń i reagować na te, które przestały raportować.

6. Kopie zapasowe i odtwarzanie

Kopia zapasowa ma wartość dopiero wtedy, gdy potraficie odtworzyć z niej dane w wymaganym czasie. Zakres kopii powinien wynikać z ustalonych parametrów RPO i RTO, czyli akceptowalnej utraty danych i czasu przywrócenia procesu.

Sprawdźcie:

• jakie dane i konfiguracje są kopiowane;
• czy kopie są odseparowane od kont i systemów produkcyjnych;
• czy błędne lub brakujące zadania tworzą alert;
• kto przegląda raporty;
• kiedy wykonano ostatni udokumentowany test odtworzenia.

Zasada 3-2-1 jest dobrym punktem wyjścia, ale analizy zagrożeń, retencji ani testu nie zastępuje. Więcej piszemy w poradniku o kopiach zapasowych w firmie.

7. Poczta i odporność na phishing

Przejęcie poczty może prowadzić do wyłudzenia płatności, kradzieży danych i podszywania się pod firmę. Oprócz MFA sprawdźcie konfigurację SPF, DKIM i DMARC, reguły automatycznego przekazywania, konta z dostępem do skrzynek oraz nietypowe logowania.

Szkolenie pracowników powinno obejmować rzeczywiste scenariusze: zmianę numeru rachunku, pilną prośbę przełożonego, fałszywy panel logowania i podejrzany załącznik. Ważne zmiany finansowe potwierdzajcie niezależnym kanałem, pod znanym wcześniej numerem telefonu.

8. Sieć i dostęp zdalny

Sieć gościnna, urządzenia IoT, komputery pracowników i infrastruktura administracyjna nie powinny domyślnie tworzyć jednej nieograniczonej strefy. Segmentacja wymaga poprawnych reguł zapory i testów izolacji. Podstawy opisaliśmy w tekście o bezpieczeństwie sieci firmowej.

Dostęp zdalny udostępniajcie tylko do potrzebnych zasobów, chrońcie MFA i rejestrujcie. VPN może być jednym z elementów rozwiązania, ale nie jest automatycznie potrzebny do każdej usługi chmurowej i nie naprawi przejętego urządzenia.

9. Rejestrowanie zdarzeń i reakcja

Powinniście wiedzieć, skąd przyjdzie pierwsza informacja o problemie. Logi i alerty trzeba przechowywać odpowiednio długo, synchronizować czas urządzeń i przypisać odpowiedzialność za ich przegląd.

Krótka procedura reagowania wskazuje:

• osobę podejmującą decyzje;
• dane kontaktowe zespołu IT, dostawców, banku i ubezpieczyciela;
• sposób odizolowania podejrzanego urządzenia bez niszczenia dowodów;
• kolejność przywracania systemów;
• zasady dokumentowania zdarzenia i oceny obowiązków zgłoszeniowych.

Kopia procedury powinna być dostępna także wtedy, gdy poczta i podstawowe systemy firmy nie działają.

10. Wymagania prawne i umowne

RODO wymaga środków odpowiednich do ryzyka, bez narzucania jednej konfiguracji wszystkim firmom. Naruszenie ochrony danych osobowych nie zawsze podlega zgłoszeniu: według Urzędu Ochrony Danych Osobowych zgłoszenia nie wymaga sytuacja, w której jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób. Jeżeli zgłoszenie jest wymagane, administrator dokonuje go bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia naruszenia. Konkretne zdarzenie powinien ocenić inspektor ochrony danych lub prawnik.

NIS2 w Polsce: nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa

Dyrektywę NIS2 wdraża ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw, ogłoszona 2 marca 2026 r. w Dzienniku Ustaw pod poz. 252. Nowe przepisy weszły w życie 3 kwietnia 2026 r.

Ustawa dzieli objęte nią organizacje na podmioty kluczowe i ważne. Co do zasady chodzi o średnie i duże przedsiębiorstwa z sektorów wymienionych w załącznikach do ustawy, ale część kategorii jest objęta niezależnie od wielkości, np. dostawcy usług DNS i podmioty świadczące usługi rejestracji nazw domen. Dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa są objęci już od progu małego przedsiębiorcy. O statusie decydują sektor, rodzaj działalności, wielkość i szczegółowe kryteria, dlatego każda firma ocenia go sama.

Najważniejsze terminy dla podmiotów, które spełniały kryteria w dniu wejścia ustawy w życie, według Ministerstwa Cyfryzacji i tekstu ustawy:

• do 3 października 2026 r. wniosek o wpis do wykazu podmiotów kluczowych i ważnych, składany elektronicznie;
• do 3 kwietnia 2027 r. realizacja obowiązków z rozdziału 3 ustawy, w tym wdrożenie systemu zarządzania bezpieczeństwem informacji (SZBI);
• do 3 kwietnia 2028 r. pierwszy audyt w podmiotach kluczowych.

Podmiot, który spełni kryteria później, składa wniosek o wpis w ciągu 6 miesięcy od tego dnia, a obowiązki z rozdziału 3 realizuje w ciągu 12 miesięcy. Nowelizacja wprowadza też kary pieniężne m.in. za brak wpisu do wykazu i niewdrożenie systemu zarządzania bezpieczeństwem.

Nawet jeśli Wasza firma nie podlega ustawie, wymagania mogą przyjść od klienta, który sam jest podmiotem kluczowym lub ważnym i musi zarządzać ryzykiem łańcucha dostaw. Co nowelizacja oznacza dla małych i średnich firm, opisujemy szczegółowo w tekście o nowelizacji KSC i NIS2.

Opisane informacje mają charakter ogólny i nie stanowią porady prawnej.

Co zrobić po audycie

Nie wszystkie braki mają ten sam skutek. Najpierw usuwajcie te, które łączą duże prawdopodobieństwo z poważnymi konsekwencjami, na przykład brak MFA na koncie administracyjnym, brak sprawnej kopii kluczowych danych albo publicznie dostępną, niewspieraną usługę.

Przy każdym zadaniu zapiszcie właściciela, termin, sposób potwierdzenia wykonania i ryzyko pozostające po zmianie. Bez planu naprawczego audyt jest tylko opisem problemu. Przy wdrażaniu poprawek możemy pomóc w ramach usługi cyberbezpieczeństwa dla firm, zaczynając od ustalenia zakresu środowiska.

Źródła

• Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw, Dz.U. 2026 poz. 252, https://api.sejm.gov.pl/eli/acts/DU/2026/252/text.pdf (dostęp 2.10.2026)
• Ministerstwo Cyfryzacji, Miesiąc na samorejestrację w Wykazie KSC. Termin mija 3 października, 3.09.2026, https://www.gov.pl/web/cyfryzacja/miesiac-na-samorejestracje-w-wykazie-ksc-termin-mija-3-pazdziernika (dostęp 2.10.2026)
• Gov.pl, Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, 14.04.2026, https://www.gov.pl/web/baza-wiedzy/nowelizacja-ustawy-o-krajowym-systemie-cyberbezpieczenstwa (dostęp 2.10.2026)
• Urząd Ochrony Danych Osobowych, Zgłaszanie naruszeń, https://uodo.gov.pl/pl/525/2584 (dostęp 2.10.2026)

Stan na 2 października 2026 r.