Audyt cyberbezpieczeństwa dla małych i średnich firm

Audyt cyberbezpieczeństwa to sprawdzenie, którędy przestępcy mogą zaatakować firmę: pracowników (phishing), konta i uprawnienia, pocztę, stronę www, sieć, kopie zapasowe i przetwarzanie danych osobowych. Wynikiem jest raport z priorytetami (krytyczne, wysokie, średnie) i plan naprawczy. W CodeScriptum audyt jest nieinwazyjny i kosztuje od 1 490 zł netto.

Audyt cyberbezpieczeństwa w CodeScriptum kosztuje od 1 490 zł netto dla mikrofirm (pakiet Starter), od 3 990 zł netto dla firm 5-50 osób (Business, z trzema kampaniami phishingowymi, audytem poczty i szkoleniem), a dla firm 50+ i podmiotów objętych NIS2 wyceniamy zakres indywidualnie. Pierwsza konsultacja jest bezpłatna.

Tak - mała firma zwykle nie ma działu IT, a korzysta z tych samych narzędzi co duża: poczty, bankowości, social mediów i sklepu. Phishing to najczęstszy typ incydentu w Polsce, a do przejęcia konta wystarczy jedno hasło bez 2FA. Pakiet Starter sprawdza najczęstsze luki w 3-5 dni i daje listę konkretnych poprawek.

Audyt obejmuje osiem obszarów: test phishingowy, konta i uprawnienia (Microsoft 365, Google Workspace, Meta Business, domeny), skan podatności strony i serwerów, hasła i 2FA, konfigurację poczty (SPF, DKIM, DMARC), zgodność z RODO, kopie zapasowe i odtwarzanie oraz raport z planem naprawczym.

Pakiet Starter trwa 3-5 dni roboczych, Business 7-10 dni, a zakres Enterprise ustalamy indywidualnie. Kampanie phishingowe trwają zwykle 5-7 dni, bo pracownicy muszą mieć czas, żeby zareagować na wiadomość.

Nie. Audyt jest nieinwazyjny - nie modyfikujemy Twoich systemów. Testy phishingowe to kontrolowane maile, a skany podatności nie wpływają na działanie strony. Testy penetracyjne w pakiecie Enterprise planujemy z Tobą, w ustalonym oknie czasowym.

Nie. Właśnie dla firm bez dedykowanego IT audyt jest najbardziej wartościowy. Wszystko wyjaśniamy prostym językiem i pomagamy wdrożyć zalecenia.

Dostaniesz raport z priorytetami (krytyczne, wysokie, średnie) i planem naprawy. Na życzenie wdrażamy poprawki od razu - nie zostawiamy Cię z samym PDF-em.

Audyt zalecamy powtarzać co 6-12 miesięcy oraz po większych zmianach: nowym systemie, przeprowadzce, zmianie dostawcy IT czy po incydencie. Testy phishingowe najlepiej działają cyklicznie, bo odporność zespołu spada z czasem.

Audyt cyberbezpieczeństwa sprawdza szeroko całą firmę - ludzi, konta, pocztę, stronę, backup i RODO - i daje plan naprawczy. Test penetracyjny to kontrolowana próba włamania do wybranych systemów, głębsza, ale węższa i droższa. Małym firmom zwykle zaczynamy od audytu, a pentest dokładamy tam, gdzie wymaga tego ryzyko lub przepisy.

NIS2, wdrożona w Polsce nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa, obejmuje co do zasady średnie i duże firmy z wymienionych w niej sektorów, m.in. energetyki, transportu, ochrony zdrowia, infrastruktury cyfrowej, usług ICT, produkcji, żywności, gospodarki odpadami i usług kurierskich. Część podmiotów jest objęta niezależnie od wielkości. Mniejsze firmy mogą dostać wymagania pośrednio - w umowach z klientami objętymi NIS2.

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa weszła w życie 3 kwietnia 2026 roku. Termin na złożenie przez podmioty kluczowe i ważne wniosku o wpis do wykazu to 3 października 2026, a na wdrożenie systemu zarządzania bezpieczeństwem informacji mają czas do 3 kwietnia 2027. Podmiot kluczowy przeprowadza pierwszy audyt w ciągu 24 miesięcy, a potem co najmniej co 3 lata.

Tak. Sprawdzamy politykę prywatności, podstawy przetwarzania, zgody, umowy powierzenia i zabezpieczenia danych. RODO wymaga zgłoszenia naruszenia ochrony danych do UODO w ciągu 72 godzin od jego stwierdzenia, a maksymalne kary sięgają 20 mln euro lub 4% rocznego obrotu - dlatego warto wiedzieć, jak zareagować, zanim coś się stanie.

SPF, DKIM i DMARC to rekordy DNS, które chronią domenę przed podszywaniem się w mailach. SPF wskazuje, które serwery mogą wysyłać pocztę z Twojej domeny, DKIM podpisuje wiadomości, a DMARC mówi odbiorcy, co zrobić z mailem, który nie przeszedł kontroli (p=none, quarantine lub reject). Swoją domenę sprawdzisz w teście na tej stronie.

Odłącz zainfekowane urządzenia od sieci, nie kasuj śladów i zmień hasła z czystego urządzenia. Zgłoś incydent do CERT Polska (incydent.cert.pl), a jeśli mogło dojść do wycieku danych osobowych - do UODO w ciągu 72 godzin. Potem odtwórz dane z kopii zapasowej i usuń przyczynę. Pomagamy w każdym z tych kroków.

Tak. Umowę o zachowaniu poufności podpisujemy przed rozpoczęciem audytu, a wyniki testów i raport trafiają wyłącznie do osób wskazanych przez Ciebie.