Domena i poczta
SPF, DKIM, DMARC, podszywanie się pod firmę, przekierowania i reguły skrzynek.
Audyt cyberbezpieczeństwaWiesz, gdzie jesteś
Wiesz, gdzie jesteś
najbardziej narażony.
Audyt pokazuje realne ryzyka w systemach, z których firma korzysta codziennie, i kolejność, w jakiej warto je zamknąć.
Audyt cyberbezpieczeństwa AI Business Lab obejmuje siedem obszarów: domenę i pocztę (SPF, DKIM, DMARC, przekierowania, reguły skrzynek), tożsamość i dostęp w Microsoft 365 lub Google Workspace (uwierzytelnianie wieloskładnikowe, konta uprzywilejowane, aplikacje z dostępem do danych), stronę internetową i aplikacje udostępnione w internecie, stacje robocze i aktualizacje, kopie zapasowe i odtwarzanie, narzędzia AI używane w firmie oraz procedury reagowania na incydenty. Każde ustalenie ma dowód, ocenę ryzyka i rekomendację. Po wdrożeniu poprawek sprawdzamy ponownie ustalenia krytyczne i wysokie.
ZakresSiedem obszarów,
Siedem obszarów,
dobranych do Twojej firmy.
Tożsamość i dostęp
MFA, konta administratorów, konta byłych pracowników, aplikacje z dostępem do danych w Microsoft 365 lub Google Workspace.
Strona i aplikacje
Wersje i wtyczki, nagłówki bezpieczeństwa, TLS, panele administracyjne widoczne z internetu.
Stacje i aktualizacje
Zarządzanie aktualizacjami, ochrona urządzeń, szyfrowanie dysków, uprawnienia lokalne.
Kopie zapasowe
Co jest kopiowane, gdzie, czy kopia jest odseparowana i kiedy ostatnio ktoś ją odtworzył.
Narzędzia AI
Z jakich narzędzi AI korzysta zespół, jakie dane do nich trafiają, na jakich kontach.
Raport
Raport dla zarządu i dla IT.
Pierwsze strony czyta zarząd: najważniejsze ryzyka, ich skutki biznesowe i decyzje do podjęcia. Dalsza część jest dla zespołu technicznego: dowody, kroki odtworzenia i konkretne zmiany konfiguracji.
- Podsumowanie dla zarządu na jednej stronie
- Ustalenia z dowodem i poziomem ryzyka
- Plan naprawczy z kolejnością i właścicielami
- Ponowna weryfikacja ustaleń krytycznych i wysokich
Przebieg
Od zakresu do weryfikacji.
- 01
Zakres i zasady
Ustalamy cel, systemy, osoby kontaktowe, okno prac i to, czego nie dotykamy. Podpisujemy NDA i, jeśli przetwarzamy dane osobowe, umowę powierzenia.
- 02
Zebranie informacji
Rozmowa z IT i właścicielami procesów, przegląd konfiguracji i dokumentów. Pracujemy na dostępach tylko do odczytu, chyba że zakres mówi inaczej.
- 03
Weryfikacja techniczna
Sprawdzamy konfigurację i zachowanie systemów: domena i poczta, tożsamość i uprawnienia, strona i aplikacje, kopie zapasowe, narzędzia AI.
- 04
Ocena ryzyka
Każde ustalenie ma dowód, ocenę wpływu i prawdopodobieństwa oraz poziom: krytyczny, wysoki, średni, niski lub informacyjny.
- 05
Raport i omówienie
Podsumowanie dla zarządu, szczegóły dla IT, plan naprawczy z kolejnością i właścicielami. Omawiamy wyniki na spotkaniu.
- 06
Weryfikacja poprawek
Po wdrożeniu zmian sprawdzamy ponownie ustalenia krytyczne i wysokie. Raport dostaje aktualizację statusu.
Pytania
Częste pytania.
Ile trwa audyt cyberbezpieczeństwa?
Zależy od liczby systemów, kont i lokalizacji. Harmonogram z terminem raportu podajemy w ofercie, po rozmowie o zakresie. Najwięcej czasu zajmuje zwykle zebranie dostępów i informacji po stronie firmy.
Czy audyt zakłóci pracę firmy?
Nie powinien. Pracujemy głównie na dostępach tylko do odczytu i konfiguracji. Działania, które mogłyby wpłynąć na systemy, uzgadniamy wcześniej i wykonujemy w ustalonym oknie.
Czym audyt różni się od testu penetracyjnego?
Audyt sprawdza konfigurację, procesy i zabezpieczenia w szerokim zakresie. Test penetracyjny to kontrolowana próba ataku na wybrane systemy, zwykle aplikację, API lub sieć. Często audyt jest pierwszym krokiem, a test penetracyjny drugim, dla systemów najważniejszych.
Co dostajemy na koniec?
Raport w PDF z podsumowaniem dla zarządu, ustaleniami z dowodami, oceną ryzyka i planem naprawczym, omówienie wyników na spotkaniu oraz weryfikację poprawek dla ustaleń krytycznych i wysokich.
Czy audyt obejmuje NIS2?
Audyt techniczny dobrze przygotowuje do NIS2, ale nie zastępuje przeglądu zgodności ani audytu ustawowego. Jeśli firma podlega ustawie o KSC, łączymy oba zakresy w jednym planie.
Zamów audyt.
Zakres ustalimy razem.
Napisz, ile macie kont, domen i systemów. Odezwiemy się z propozycją zakresu i terminu.