Dla jednostek publicznych i spółek komunalnych
Audyty cyberbezpieczeństwa oparte na dowodach
Oceniamy gotowość organizacji do wymagań KSC/NIS2 i KRI. Wynikiem są konkretne ustalenia, ryzyka i rekomendacje.
Porządkujemy bezpieczeństwo IT przed formalnym audytem lub wdrożeniem zmian.
Pracujemy głównie z jednostkami publicznymi, spółkami komunalnymi i organizacjami, które oceniają swoją gotowość do wymagań KSC/NIS2, KRI oraz dobrych praktyk bezpieczeństwa.
Dlaczego audyt bezpieczeństwa jest ważny dla Twojej jednostki?
Niecałe dwie minuty o tym, skąd biorą się zaległości w bezpieczeństwie i jak audyt pomaga je uporządkować. Film ma napisy.
Audyt dopasowany do Twojej jednostki
Każda jednostka ma inne systemy, inne dane i inne zaległości. Wybierz swoją, żeby zobaczyć, na czym się skupiamy i jak przebiega audyt.
Szkoła
Szkoła przetwarza dane dzieci, a informatyką zajmuje się często nauczyciel po godzinach albo firma wzywana do awarii. Sprzęt pochodzi z wielu programów i dostaw.
- KRI
- RODO
Co zwykle zastajemy
- wspólne konta i hasła w pracowniach i pokoju nauczycielskim
- jedna sieć Wi-Fi dla uczniów, nauczycieli i sekretariatu
- sprzęt z różnych programów bez aktualnej ewidencji
- komputery z systemami bez wsparcia producenta
- dziennik elektroniczny i poczta chronione samym hasłem
- dokumentacja sekretariatu bez kopii poza budynkiem
Jak przebiega audyt
- Rozpoznanie i umowa Ustalamy zakres i podział obowiązków między szkołą a organem prowadzącym.
- Spotkanie otwierające Z dyrekcją, sekretariatem i osobą, która zajmuje się IT.
- Praca w szkole Sekretariat, pracownie, pokój nauczycielski, sieć i Wi-Fi, uprawnienia w dzienniku elektronicznym.
- Ocena Ustalenia oddzielone od deklaracji, ryzyka dla danych uczniów i pracowników.
- Plan naprawczy Osobne zadania dla szkoły i dla organu prowadzącego, z priorytetami.
Urząd
Urząd ma najwięcej systemów i obowiązków: systemy dziedzinowe, elektroniczny obieg dokumentów, rejestry i usługi dla mieszkańców. Od 3 kwietnia 2026 r. obowiązuje znowelizowana ustawa o KSC, a kierownik urzędu odpowiada za cyberbezpieczeństwo osobiście.
- KRI
- KSC
- RODO
Co zwykle zastajemy
- systemy dziedzinowe kilku dostawców, każdy z innymi zasadami dostępu
- stałe konta serwisowe i zdalny dostęp dostawców bez rejestru
- konta byłych pracowników i uprawnienia nadane „na zapas”
- polityka bezpieczeństwa na papierze, rozjechana z praktyką
- kopie zapasowe, których nikt nie próbował odtworzyć
- rozwiązania z projektów grantowych bez planu utrzymania
Jak przebiega audyt
- Rozpoznanie i umowa Zakres audytu, systemy i rejestry urzędu oraz jego miejsce w wykazie KSC.
- Spotkanie otwierające Z kierownictwem urzędu, informatykiem i inspektorem ochrony danych.
- Praca terenowa Serwerownia i sieć, konta i uprawnienia, dostęp dostawców, kopie zapasowe, rozmowy w wydziałach.
- Ocena wobec KRI i KSC Każde ustalenie ze wskazaniem źródła i ryzyka.
- Plan naprawczy Harmonogram, który uwzględnia terminy z KSC i budżet urzędu.
Wodociągi
W wodociągach awaria systemu oznacza przerwę w dostawie wody albo w oczyszczaniu ścieków. Woda i ścieki to sektory objęte KSC, a największe ryzyko leży zwykle w automatyce, nie w biurze.
- KSC
- OT/SCADA
- RODO
Co zwykle zastajemy
- jedna płaska sieć dla biura i automatyki
- stanowiska operatorskie na systemach bez wsparcia producenta
- zdalny dostęp integratorów i serwisantów bez nadzoru
- domyślne hasła w sterownikach, routerach i telemetrii obiektów
- schemat sieci automatyki znany tylko jednej osobie
- nieprzećwiczone przejście na pracę ręczną w razie awarii
Jak przebiega audyt
- Rozpoznanie i umowa Obiekty (ujęcia, stacje uzdatniania, oczyszczalnia, przepompownie), systemy IT i OT, miejsce w wykazie KSC.
- Spotkanie otwierające Z zarządem, kierownikiem technicznym i automatykiem lub integratorem.
- Wizje lokalne Połączenia między biurem a automatyką, zdalne dostępy, telemetria. Bez ingerencji w pracujące sterowniki.
- Ocena Ryzyka dla ciągłości dostaw, także po stronie dostawców i serwisantów.
- Plan naprawczy Segmentacja sieci, dostępy, kopie konfiguracji i procedury awaryjne, bez przerywania dostaw.
Pomoc społeczna
Ośrodek pomocy społecznej przetwarza jedne z najbardziej wrażliwych danych w gminie: o zdrowiu, sytuacji rodzinnej i przemocy domowej. Pracownicy socjalni działają też w terenie.
- KRI
- RODO
Co zwykle zastajemy
- notatki i zdjęcia dokumentów z wizyt na prywatnych telefonach
- laptopy do pracy w terenie bez szyfrowania dysku
- dane podopiecznych wysyłane zwykłą pocztą e-mail
- wspólne komputery i konta w małych zespołach
- niejasny podział odpowiedzialności za IT między ośrodkiem a urzędem
Jak przebiega audyt
- Rozpoznanie i umowa Jakie dane i systemy, kto obsługuje IT: ośrodek, urząd, centrum usług wspólnych czy firma.
- Spotkanie otwierające Z kierownikiem ośrodka, inspektorem ochrony danych i osobą od IT.
- Praca terenowa Stanowiska, praca w terenie, obieg dokumentów, uprawnienia w systemach.
- Ocena Ryzyka dla danych szczególnych kategorii i dla samych podopiecznych.
- Plan naprawczy Proste zasady pracy w terenie, szyfrowanie, uprawnienia i podział obowiązków z urzędem.
Jednostki budżetowe
Centra usług wspólnych, biblioteki, domy kultury, ośrodki sportu czy zarządy dróg rzadko mają informatyka na etacie, a obsługują pieniądze: płace, przelewy i rozliczenia. To częsty cel oszustw na podmienione konto.
- KRI
- RODO
Co zwykle zastajemy
- bankowość, płace i poczta na jednym komputerze
- brak zasady potwierdzania zmiany numeru konta dostawcy
- informatyk „na telefon” bez umowy określającej zakres
- strona internetowa i BIP na nieaktualizowanym systemie
- kopia zapasowa na dysku podłączonym na stałe
Jak przebiega audyt
- Rozpoznanie i umowa Co jednostka robi sama, a co obsługuje centrum usług wspólnych, urząd lub firma zewnętrzna.
- Spotkanie otwierające Z kierownikiem jednostki i główną księgową.
- Praca terenowa Stanowiska finansowe, bankowość, poczta, strona i BIP, kopie zapasowe.
- Ocena Ryzyka finansowe i dla danych pracowników.
- Plan naprawczy Dopasowany do skali i budżetu jednostki.
Pomagamy uporządkować zaległości, zanim będzie za późno
Zaległości techniczne narastają latami i rzadko da się je usunąć jednym zakupem. Dlatego wynik audytu układamy w plan, który da się wykonać, i pomagamy go wdrożyć.
- Od razu zmiany bez kosztów: hasła, uprawnienia, zbędne konta i dostępy
- W tym roku kopie zapasowe, aktualizacje, procedury i dokumentacja
- W budżecie wymiana sprzętu i systemów bez wsparcia, zmiany w sieci, z uzasadnieniem do planu wydatków
Zakres audytu
Zakres ustalamy w umowie i trzymamy się go przez cały audyt.
Organizacja i dostęp
- Organizacja bezpieczeństwa
- Podział odpowiedzialności
- Zarządzanie dostępem
- Współpraca z dostawcami
Zasoby i ryzyko
- Inwentaryzacja systemów i zasobów
- Analiza ryzyka
Dane i ciągłość działania
- Kopie zapasowe
- Ochrona danych
- Obsługa incydentów
Środowiska OT/SCADA
Tam, gdzie ma to zastosowanie, audyt obejmuje także systemy sterowania i automatyki, z uwzględnieniem ich specyfiki.
Jak prowadzimy audyt
Audyt opiera się na rozmowach, weryfikacji dokumentów, obserwacji i dowodach. Każde ustalenie wynika z materiału, który da się wskazać.
- Zakres zgodny z umową
- Pracujemy w rzeczywistym zakresie umowy, ustalonym przed rozpoczęciem audytu.
- Deklaracje oddzielone od faktów
- To, co organizacja deklaruje, i to, co zweryfikowaliśmy, opisujemy osobno.
- Ślad dowodowy
- Każde ustalenie ma wskazane źródło: rozmowę, dokument, obserwację lub dowód.
- Bezpieczeństwo danych klienta
- Materiały zebrane w trakcie audytu chronimy jak dane wrażliwe organizacji.
Ustalenia Ryzyka Rekomendacje
Tak wygląda wynik naszej pracy. Zamiast ogólnego „raportu z cyberbezpieczeństwa” dostajesz konkretne ustalenia, ryzyka i rekomendacje.
Własne narzędzie
Radoro AuditOS
Rozwijamy narzędzie, które porządkuje cały proces audytu, od rozpoznania i umowy po przygotowanie raportów.
- Rozpoznanie i umowa
- Spotkanie otwierające
- Praca terenowa i zbieranie materiału
- Ocena kontroli
- Przygotowanie raportów
Przez cały audyt: historia czynności, ślad dowodowy i bezpieczeństwo danych klienta.
Porozmawiajmy o audycie
Napisz krótko, jakiej organizacji dotyczy audyt i czego ma dotyczyć. Odezwiemy się z propozycją rozmowy.
Wolisz napisać bezpośrednio? [email protected]