SECURE · Audit IT și securitate
Audit IT și securitate: află ce riști înainte să devină incident.
Ne uităm la conturi, emailul și documentele din Microsoft 365, rețea, laptopuri, backup și cloud. Primești riscurile în ordinea în care contează pentru firmă și un plan clar de rezolvare, nu un raport de 100 de pagini.
- 2–4 săptămânide obicei, fără să oprești activitatea
- 8 zoneverificate după risc
- 30 / 60 / 90zile, planul de rezolvare
Exemplu de rezultat al unui audit
Realitatea din teren
Faptul că IT-ul merge nu înseamnă că e sub control
Stânga e ce vede de obicei conducerea. Dreapta e ce găsim des la audit. Apasă butonul și compară.
- Emailul mergeTrei oameni lucrează zilnic cu conturi de administrator.
- Backup-ul arată „reușit”Nimeni n-a încercat să restaureze datele în ultimul an.
- Firewall-ul nu dă alarmeReguli vechi lasă deschise porți pe care nu le mai folosește nimeni.
- Fișierele se partajează ușorDocumente interne sunt accesibile oricui are linkul.
- Nimeni n-a raportat nimicJurnalele se șterg după 7 zile, deci nu ai cum să afli.
Cum arată o constatare
Fiecare problemă vine cu impactul, soluția și dovada
Patru exemple tipice. Alege una și vezi cum o explicăm, pe înțelesul conducerii și cu detaliile pentru IT.
Conturi de administrator folosite zilnic
- Ce am găsit
- Trei angajați își citesc emailul și navighează pe internet cu conturi care pot modifica orice în firmă.
- De ce contează pentru firmă
- Un singur email de phishing deschis de unul dintre ei poate da atacatorului controlul complet.
- Ce faci
- Conturi separate pentru administrare, folosite doar când e nevoie, cu verificare în doi pași.
- Dovada că e rezolvat
- Lista rolurilor exportată, procedura scrisă, test făcut.
Backup-ul nu a fost testat niciodată
- Ce am găsit
- Backup-ul rulează în fiecare noapte, dar nimeni nu a încercat să restaureze un server sau o bază de date.
- De ce contează pentru firmă
- După un atac cu ransomware nu știi dacă poți reveni și nici în cât timp. Firma poate sta pe loc zile întregi.
- Ce faci
- Un test de restaurare programat, cu timpul măsurat, plus o copie pe care atacatorul nu o poate șterge.
- Dovada că e rezolvat
- Raportul testului de restaurare, cu data și durata.
Documente partajate cu oricine are linkul
- Ce am găsit
- Peste 200 de documente din SharePoint și OneDrive sunt accesibile prin linkuri publice.
- De ce contează pentru firmă
- Oferte, contracte sau date despre clienți pot ajunge la oricine primește linkul, fără ca cineva să afle.
- Ce faci
- Linkurile publice dezactivate implicit, iar cele existente revizuite.
- Dovada că e rezolvat
- Raportul de partajare externă, înainte și după.
Rețeaua Wi-Fi pentru oaspeți nu e separată complet
- Ce am găsit
- Oaspeții sunt pe o rețea separată, dar pot vedea imprimantele din birou.
- De ce contează pentru firmă
- Risc mic, dar ușor de închis. E genul de detaliu pe care un auditor NIS2 îl notează.
- Ce faci
- O regulă în firewall care izolează complet rețeaua de oaspeți.
- Dovada că e rezolvat
- Captura regulii și un test din rețeaua de oaspeți.
Ce verificăm
Opt zone unde o problemă poate opri firma
Nu bifăm mecanic totul. Intrăm în detaliu acolo unde riscul o justifică. Alege o zonă.
Zona 01 din 8
Conturi și acces
Cine are acces la ce și cât de ușor poate fi furat un cont.
„Câți oameni pot schimba orice în sistemele firmei?”
Verificarea în doi pași, accesul condiționat, rolurile de administrator, conturile de urgență, invitații externi (Entra ID, MFA, Conditional Access, PIM).
Zona 02 din 8
Microsoft 365
Emailul, documentele și colaborarea, protejate pentru riscul real, nu doar configurate să meargă.
„Știi ce documente sunt vizibile din afara firmei?”
Defender, SharePoint, Teams, partajarea externă, jurnalele de audit, retenția, aplicațiile conectate.
Zona 03 din 8
Rețea și acces de la distanță
Pe unde poate intra cineva din afară și cât de departe ajunge.
„Dacă un laptop e infectat, ce mai poate atinge?”
Regulile firewall, VPN, separarea rețelelor (VLAN), Wi-Fi, accesul de administrare, legăturile dintre sedii.
Zona 04 din 8
Laptopuri și telefoane
Dacă dispozitivele sunt actualizate, criptate și sub control.
„Ce se întâmplă dacă un laptop e uitat în tren?”
Intune, actualizări, criptarea discului, drepturi de administrator local, antivirus și EDR.
Zona 05 din 8
Backup și recuperare
Dacă poți reveni după un atac și în cât timp.
„În câte ore ar lucra din nou firma după un ransomware?”
Strategia de backup, retenția, copiile imutabile, testele de restaurare, RTO și RPO.
Zona 06 din 8
Jurnale și alerte
Dacă afli la timp că se întâmplă ceva și poți reconstitui ce s-a întâmplat.
„Ai afla dacă cineva ar copia date în weekend?”
Ce jurnale există, cât se păstrează, cine primește alertele, cum se escaladează.
Zona 07 din 8
Cloud și aplicații
Aplicațiile din cloud și pe unde pot ieși datele necontrolat.
„Ce aplicații au acces la datele firmei fără să știi?”
Azure, AWS, aplicații SaaS critice, autentificarea unică (SSO), permisiuni, integrări.
Zona 08 din 8
Reguli și procese
Dacă regulile scrise se potrivesc cu ce se întâmplă de fapt.
„Când pleacă cineva, în cât timp îi închizi accesul?”
Angajări și plecări, revizuirea accesului, răspunsul la incidente, furnizori, schimbări, responsabili, utilizarea AI.
Verificare în 30 de secunde
Ai nevoie de un audit acum?
Bifează ce se potrivește firmei tale. Acul arată cât de urgent e.
Cum decurge
Întâi înțelegem, apoi măsurăm, apoi prioritizăm
De obicei între 2 și 4 săptămâni în total. Firma lucrează normal pe tot parcursul.
1–2 zile
Discuția și perimetrul
Stabilim obiectivul, sistemele importante și ce intră în audit.
1–2 săptămâni
Strângerea datelor
Configurații, exporturi, documente și discuții scurte cu oamenii-cheie. Activitatea nu se oprește.
aproximativ o săptămână
Analiza riscului
Separăm riscul real de observațiile minore și legăm fiecare constatare de impactul asupra firmei.
o întâlnire
Prezentarea și planul
Prezentăm rezultatul conducerii și echipei IT, cu planul pe 30, 60 și 90 de zile.
Ce primești
Trei documente, pentru trei feluri de oameni
Conducerea vede riscul și deciziile. Echipa IT vede fiecare problemă și soluția ei. Toată lumea vede ordinea în care se rezolvă.
- Rezumatul executivRiscurile importante, impactul și deciziile cerute conducerii, fără jargon.
- Registrul constatărilorFiecare problemă cu gravitate, impact, dovadă, responsabil și recomandare.
- Prioritizarea riscurilorOrdinea după impact, probabilitate și efort de rezolvare.
- Planul pe 30, 60 și 90 de zileCe rezolvi repede, ce cere buget și ce devine proiect.
- Note pentru NIS2 și ISO 27001Ce din audit poți folosi direct ca dovadă, dacă e cazul.
Ca să alegi corect
Audit, test de penetrare sau analiza NIS2?
Sunt trei lucruri diferite, des confundate. Iată când are sens fiecare.
Primul pas
Hai să vorbim 30 de minute despre auditul tău.
Îmi spui ce te îngrijorează și ce sisteme ai. La final știi ce ar trebui să intre în audit, cât durează și ce primești.
- Alegi un momentcare îți convine
- Vorbim 30 de minuteonline sau la telefon
- Primești o propunerecu perimetru și preț
Mai departe
După audit, de obicei urmează
Întrebări
Întrebări despre auditul IT și de securitate
Ce include un audit IT și de securitate?
Perimetrul se stabilește înainte de proiect. Poate include conturile și accesul, Microsoft 365, laptopurile, rețeaua, backup-ul, cloud-ul, jurnalele, procesele și furnizorii. Intrăm în detaliu acolo unde riscul o justifică.
Auditul e același lucru cu un test de penetrare?
Nu. Auditul verifică cât de bine funcționează măsurile de protecție și ce lipsește. Testul de penetrare încearcă să atace concret o anumită cale. De obicei auditul vine primul, iar testul de penetrare îl recomandăm doar unde are sens.
Trebuie să oprim activitatea?
Nu. Lucrăm pe configurații, exporturi și documente, cu discuții scurte cu oamenii-cheie. Angajații lucrează normal.
Cât durează?
De obicei între 2 și 4 săptămâni, în funcție de mărimea firmei și de perimetru. Primești calendarul exact după discuția inițială.
Auditul poate fi doar pe Microsoft 365?
Da. Putem face un audit dedicat pentru Microsoft 365: conturi, verificare în doi pași, acces condiționat, administratori, Defender, SharePoint, Teams, jurnale și protecția datelor.
Ne ajută auditul pentru NIS2 și ISO 27001?
Da, dacă perimetrul e ales așa. Rezultatele devin baza tehnică pentru analiza lipsurilor, registrul riscurilor și dosarul de dovezi.
Cât costă?
Depinde de mărimea firmei și de perimetru. Prima discuție, de 30 de minute, nu te costă nimic. După ea primești o propunere scrisă, cu ce se face, ce primești și prețul.
Referințe