Audyt IT w małej firmie: lista kontrolna na jeden dzień

Co to jest audyt IT i czym różni się od testu penetracyjnego?

Audyt IT to ocena stanu informatyki w firmie: sprzętu, programów, dostępów, kopii zapasowych, dostawców i zasad pracy. Pod tą nazwą kryje się jednak kilka różnych usług i warto wiedzieć, której potrzebujesz, zanim poprosisz kogoś o wycenę.

Mała firma bez działu IT prawie zawsze powinna zacząć od pierwszego wiersza. Test penetracyjny systemu, w którym połowa zespołu loguje się wspólnym hasłem, wskaże problemy, które przegląd znalazłby za darmo.

Kiedy zrobić audyt IT w firmie?

Według stałego planu dopasowanego do ryzyka: pełny przegląd co najmniej raz w roku, a kopie zapasowe i konta byłych pracowników częściej, na przykład co kwartał. Do tego zawsze, gdy w firmie zmienia się coś, co dotyka danych i dostępów. Z mojej praktyki to są najczęstsze sygnały:

• odchodzi osoba, która „zajmowała się komputerami”, i nikt nie wie, jakie hasła miała tylko ona;
• duży klient przysyła ankietę o bezpieczeństwie, a Ty nie umiesz odpowiedzieć na połowę pytań;
• planujesz nowy system, przejście na Google Workspace albo Microsoft 365 albo wdrożenie AI;
• abonamenty rosną, a nikt nie potrafi powiedzieć, kto z nich korzysta;
• coś już się stało: zgubiony laptop, przejęta skrzynka, skasowany folder.

Jest też powód prawny. RODO w art. 32 ust. 1 lit. d wymaga regularnego testowania, mierzenia i oceniania skuteczności zabezpieczeń danych osobowych. W artykule w Biuletynie UODO z września 2026 roku czytamy, że przepis nie wskazuje ani metod, ani częstotliwości. Regularność oznacza jednak sprawdzanie planowe i udokumentowane, a nie doraźne. Autorzy zaznaczają też, że przyjęcie z góry cyklu rocznego nie daje automatycznie gwarancji, a częstotliwość ma odpowiadać ryzyku. Zasada organizacyjna, na przykład zakaz prywatnych pendrive’ów, liczy się tylko wtedy, gdy ludzie naprawdę jej przestrzegają. Stan na 24 października 2026 roku. To nie jest porada prawna. Jeśli Twoja branża ma własne przepisy o cyberbezpieczeństwie, sprawdź je osobno.

Lista kontrolna audytu IT na jeden dzień

Ten plan zakłada firmę do kilkudziesięciu osób, która pracuje głównie w przeglądarce i na laptopach. Potrzebujesz jednej osoby, która zna firmę, dostępu administratora do głównych kont i arkusza z sześcioma zakładkami.

Jak ocenić znaleziska w ostatniej godzinie, opisuję niżej.

1. Programy i abonamenty

Spisz każdy program, za który firma płaci albo w którym trzyma dane: poczta, dyski, księgowość, CRM, program do faktur, komunikator, strona internetowa. Dla każdego zapisz:

• na czyj adres e-mail założone jest konto główne (firmowy czy prywatny?);
• kto płaci i z jakiej karty;
• ile osób z niego korzysta i ile licencji jest opłaconych;
• czy da się wyeksportować dane i w jakim formacie.

Konto główne założone na prywatny e-mail byłego pracownika to jedno z najczęstszych znalezisk. Przy zmianie dostawcy albo sporze firma nie ma wtedy jak dostać się do własnych danych. O tym, o co pytać dostawcę przed zakupem, piszę w artykule system dedykowany czy gotowe narzędzie.

2. Konta i dostępy

Dla każdego programu z listy wypisz osoby z dostępem i ich uprawnienia. Zaznacz na czerwono:

• konta osób, które już w firmie nie pracują;
• konta współdzielone, na przykład „biuro@” z hasłem znanym całemu zespołowi;
• administratorów, którzy nie muszą nimi być;
• dostępy zewnętrznych firm, z którymi już nie współpracujesz.

Każdy dostaje tyle uprawnień, ile potrzebuje do swojej pracy, i ani trochę więcej.

3. Logowanie dwuskładnikowe i hasła

Sprawdź w panelu administratora poczty i dysków, kto ma włączone logowanie dwuskładnikowe (2FA), czyli kod z aplikacji albo klucz sprzętowy oprócz hasła. Zacznij od kont, które otwierają wszystko inne: poczta, administratorzy, bankowość, domena. Zapisz też, gdzie zespół trzyma hasła. Zeszyt, plik w Excelu i karteczki pod monitorem trafiają na listę poprawek, a rozwiązaniem jest firmowy menedżer haseł z folderami według ról.

4. Kopie zapasowe

To najważniejszy blok dnia. Ustal, co jest kopiowane, gdzie, jak często i kto sprawdza, czy kopia się wykonała. Potem zrób to, czego w małych firmach prawie nikt nie robi: odtwórz z kopii jeden prawdziwy plik albo jedną skrzynkę i sprawdź, czy da się z nich korzystać.

Centrum e-Zdrowia w swoich zaleceniach dla systemu kopii opisuje strategię 3-2-1: co najmniej trzy kopie, co najmniej dwie na różnych nośnikach i co najmniej jedna odizolowana od pozostałych i od sieci lokalnej. Te same zalecenia mówią, żeby kopii nie podłączać jako dysku sieciowego i cyklicznie testować odtworzenie systemów. Dla małej firmy praktyczne pytania brzmią tak:

• czy dane z programów w chmurze (poczta, dyski) mają kopię poza tym samym dostawcą;
• czy kopia nie jest widoczna jako zwykły dysk w sieci, który zaszyfruje razem z resztą złośliwe oprogramowanie;
• kiedy ostatnio ktoś odtworzył dane z kopii i ile to trwało.

5. Urządzenia

Spisz laptopy i telefony, na których są dane firmy, także prywatne telefony z firmową pocztą. Przy każdym sprawdź: czy dysk jest zaszyfrowany, czy ekran blokuje się hasłem, czy system ma aktualizacje i czy umiesz zdalnie usunąć z niego dane firmy, gdy zginie. Laptop bez szyfrowania zostawiony w samochodzie to gotowy incydent z danymi osobowymi.

6. Domena, poczta i dostawcy

Domena firmy to klucz do poczty i strony. Ustal, u kogo jest zarejestrowana, na kogo i kto ma do niej login. Sprawdź, czy poczta ma ustawione rekordy SPF, DKIM i DMARC, które utrudniają podszywanie się pod Twoją domenę (każdy dostawca poczty ma instrukcję, jak je sprawdzić). Na koniec zbierz umowy z dostawcami IT: zakres, czas reakcji na awarię, kto ma dostępy i co się dzieje z danymi, gdy umowa się kończy.

Co zrobić, gdy odchodzi pracownik

Odejście pracownika to moment, w którym najłatwiej zostawić otwarte drzwi. Dlatego z przeglądu warto od razu wyciągnąć stałą procedurę na jedną stronę:

1. Dzień przed ostatnim dniem pracy: lista programów i kont tej osoby (z bloku 2 audytu).
2. Ostatniego dnia: blokada konta w poczcie i dyskach, przekierowanie poczty do przełożonego.
3. Zmiana haseł do kont współdzielonych, które ta osoba znała.
4. Przeniesienie własności jej plików i folderów na inną osobę, zanim konto zostanie usunięte.
5. Zwrot laptopa i telefonu, zdalne wylogowanie z prywatnych urządzeń.
6. Usunięcie z grup, komunikatora, menedżera haseł i paneli dostawców.
7. Wpis w arkuszu: data, kto zrobił, co zostało.

Ta lista działa tylko wtedy, gdy ktoś ją odhacza za każdym razem. Dobrze ją powiązać z procesem kadrowym, żeby informacja o odejściu sama trafiała do osoby od IT.

Jak ocenić wyniki i ułożyć plan na miesiąc

Po kilku godzinach spisywania lista ma zwykle kilkadziesiąt pozycji i wszystkiego naraz nie poprawisz, więc każde oceń dwiema liczbami od 1 do 3: jak prawdopodobne jest, że coś pójdzie źle, i jak bolesny będzie skutek. Iloczyn ustala kolejność.

Przykład z liczbami (wymyślony, do zilustrowania metody)

Firma usługowa, 25 osób, poczta i dyski w chmurze, program do faktur, CRM. Po dniu przeglądu właściciel ma między innymi takie znaleziska:

Trzy pierwsze pozycje to jeden, najwyżej dwa dni pracy, a usuwają największe ryzyko. Przegląd powtarzasz według planu tym samym arkuszem i porównujesz, co się zmieniło, a test odtworzenia kopii i konta byłych pracowników sprawdzasz częściej niż raz w roku. Każdy taki przegląd z datą, zakresem i wykonanymi poprawkami to dowód regularności, o którą pyta RODO. Jak często go powtarzać, zależy od ryzyka.

Jak pilnuję tego w Reefie

W Reefie, mojej firmie sprzątającej, prowadzę własny system operacyjny firmy, więc te same pytania zadaję sobie przy każdej zmianie. Kilka zasad, których pilnuję w tym systemie:

• Uprawnienia są w jednym katalogu, a role mają gotowe szablony dostępu, od koordynatora po tryb „tylko podgląd”. To, kto co widzi, sprawdza baza danych, a nie tylko ekran.
• Od 23 lipca 2026 roku główni administratorzy logują się wyłącznie z drugim składnikiem (2FA).
• Od 16 września 2026 roku koordynator widzi tylko swoje obiekty i swoich ludzi, a zmiany uprawnień testuję, symulując różne role.
• Pliki klientów leżą w prywatnym magazynie, a portal klienta dostaje do nich dostęp tylko przez funkcję po stronie serwera, która sprawdza, czyj to plik.
• Agenci AI, którzy codziennie pracują nad moimi stronami, mają zasady zablokowane sumą kontrolną. Zmiana zasad wymaga mojego ponownego zatwierdzenia.

Szerzej opisuję ten system w realizacji system operacyjny firmy usługowej. Jeśli w firmie planujesz AI, te same pytania o dostępy i dane przenosisz na nowe narzędzie. Minimum, którego pilnuję, opisuję w artykule AI w małej i średniej firmie.

Kiedy samodzielny przegląd nie wystarczy

Lista kontrolna z tego artykułu łapie najczęstsze problemy małej firmy, ale ma granice. Zewnętrzny specjalista jest potrzebny, gdy:

• firma ma własne serwery, sieć w kilku lokalizacjach albo produkcję sterowaną komputerami;
• masz własną aplikację, sklep albo portal, do którego logują się klienci. Wtedy potrzebny jest test penetracyjny;
• branża ma swoje przepisy o cyberbezpieczeństwie albo klient wymaga certyfikatu bezpieczeństwa informacji;
• coś już się wydarzyło i trzeba ustalić, co dokładnie wyciekło i komu to zgłosić.

Nie warto też robić przeglądu tylko po to, żeby go mieć. Jeśli po dniu spisywania nikt nie dostanie zadań z terminami, za rok znajdziesz to samo.

Od czego zacząć

Zarezerwuj jeden dzień w kalendarzu, weź listę kontrolną z tego artykułu i zacznij od kopii zapasowych oraz kont byłych pracowników. Jeśli wolisz, żeby przegląd zrobił ktoś z zewnątrz i potem pilnował planu poprawek, zobacz usługę wdrożenia IT i opieka techniczna: stała opieka kosztuje od 12 000 zł/mies. netto i zaczyna się od przeglądu IT. Możesz też umówić 30-⁠minutową rozmowę i przejść przez wyniki swojego przeglądu razem ze mną. A jeśli przy okazji chcesz sprawdzić, które procesy w firmie są gotowe na AI, zrób diagnozę gotowości na AI.