10.10.2025
Weryfikacja tego, co wystawiasz do Internetu
Współczesna organizacja jest widoczna w sieci nie tylko ze względu na stronę www. Ekspozycja do Internetu to także Microsoft 365 i poczta, zdalne dostępy (VPN/RDP/VDI), panele administracyjne, API, DNS i certyfikaty TLS, a w wielu firmach również elementy OT. Każdy taki punkt styku to potencjalna brama ataku. Internet Exposure Audit (IEA) bada ten obszar i w krótkim cyklu dostarcza najważniejsze informacje do decyzji o priorytetach: gdzie są największe zagrożenia, co poprawić w pierwszej kolejności, jaki będzie efekt dla ryzyka i jak to zmierzyć.
Incydent może zacząć się od włamania do nieaktualnego systemu operacyjnego routera czy serwera, złamania słabego hasła i braku MFA, wykorzystania otwartego portu, nieaktualnej wtyczki czy biblioteki na stronie www, publicznych widocznie zasobów chmurowych, źle skonfigurowanych rekordów DNS, wygasłych certyfikatów, braku DMARC. Nawet jeśli posiadasz procedury i polityki, to właśnie systemy wystawione do Internetu i ich odporność warunkują czy atakujący w ogóle dostanie się do środka. IEA ma jeden cel: zamknąć najprostsze i jednocześnie najbardziej ryzykowne luki szybciej, niż zdążą zostać wykorzystane.
Co obejmuje IEA?
Pracujemy w kilku logicznych domenach – strona www/CMS, tożsamość i Microsoft 365, chmura IaaS/SaaS, zdalne dostępy i panele administracyjne, DNS/TLS oraz – opcjonalnie, pasywnie – OT. Zamiast rozciągać projekt na miesiące, koncentrujemy się na aktualizacjach, konfiguracji, testach potwierdzających i jednoznacznych rekomendacjach. Już na etapie kick-offu ustalamy, jakie metryki będą kluczowe: docelowy wzrost Secure Score, pełne MFA dla ról uprzywilejowanych, przejście domen na politykę DMARC „reject”, uporządkowanie certyfikatów TLS, czy ograniczenie liczby otwartych punktów ekspozycji.
Jak wygląda przebieg audytu?
Zaczynamy od spotkania organizacyjnego, na którym precyzujemy cele, zakres i okna serwisowe. Następnie inwentaryzujemy elementy, które są widoczne z Internetu, oraz te, które – choć teoretycznie ukryte – w praktyce bywają dostępne (np. panele admin, testowe subdomeny, publiczne zasoby chmurowe). Równolegle wykonujemy testy potwierdzające w uzgodnionym zakresie, bez przestojów po Twojej stronie. Całość domykamy analizą i ustaleniem priorytetów według wpływu na ryzyko i ciągłość działania, tak aby rekomendacje były wprost „do wprowadzenia” przez zespoły IT/Dev/OT.
Co dostaje zarząd i zespół IT?
Kluczowym rezultatem jest Executive Brief – zwięzły dokument dla decydentów, który wprost pokazuje, gdzie firma jest najbardziej odsłonięta i jakie efekty przyniesie wdrożenie poszczególnych działań. Dodatkowo przedstawiamy rejestr zaleceń z priorytetami i odpowiedzialnościami oraz właścicielami a także plan miesięczny, kwartalny i półroczny, dzięki któremu można rozpocząć prace zgodnie z priorytetami. Dołączamy pakiet dowodowy (zrzuty, konfiguracje, logi), który jest wymagany przez audytorów, ubezpieczycieli czy partnerów w łańcuchu dostaw. Całość mapujemy do uznanych standardów (ISO/IEC 27001, OWASP, IEC 62443) i – gdzie to właściwe – odnosimy do wymogów DORA, NIS2/uKSC, abyś mógł łatwo wykorzystać wyniki w procesach zgodności.
Język liczb, nie deklaracji
IEA to nie lista „dobrych praktyk”, lecz zestaw mierzalnych wyników. W praktyce oznacza to np. docelowe wartości dla Secure Score, 100% MFA na kontach uprzywilejowanych i zdalnych, politykę DMARC „reject” na domenach pocztowych, zerową liczbę przeterminowanych certyfikatów TLS, zamknięcie zbędnych portów i ograniczenie powierzchni ekspozycji o określony procent w określonym czasie. Dzięki temu postęp jest widoczny, a raportowanie do zarządu – proste i oparte na konkretnych danych.
Bezpieczeństwo procesu i tempo pracy
Audyt projektujemy tak, by nie zaburzać pracy organizacji: uzgadniamy minimalne okna techniczne, elementy OT badamy wyłącznie pasywnie, a testy aplikacyjne mają charakter potwierdzający. Celem nie jest „znaleźć jak najwięcej”, lecz najpierw uszczelnić to, co da największą redukcję ryzyka przy najmniejszym koszcie i zaangażowaniu czasowym. W praktyce już po pierwszym tygodniu podejmujemy działania: włączenie MFA, blokada portów, porządek w rekordach DNS i wdrożenie DMARC.
Dla kogo jest IEA?
Z rozwiązania korzystają przede wszystkim zarządy i C-level, które potrzebują szybko ocenić ekspozycję, zmniejszyć ryzyka i podjąć decyzje inwestycyjne, oraz CISO/IT, które chcą mieć klarowny plan działań i materiał „pod kontrolę, audyt czy rozmowy z ubezpieczycielem”. IEA sprawdza się także w relacjach z partnerami – jako dowód dojrzałości bezpieczeństwa w łańcuchu dostaw.
Co dalej po audycie?
Rekomendacje przygotowujemy tak, by można je było wdrażać etapami: od szybkich poprawek konfiguracyjnych po głębokie zmiany architektoniczne. Jeśli chcesz, towarzyszymy we wdrożeniu i mierzymy postępy według wcześniej ustalonych wskaźników. Proponujemy również przeglądy cykliczne – kwartalne „odświeżenie” ekspozycji i comiesięczny przegląd zmian w Microsoft 365, tak aby trend wzmacniania bezpieczeństwa był rosnący.
Efekt biznesowy? Szybkie domknięcie luk, czytelne wskaźniki dla zarządu, porządek w obszarach najczęściej weryfikowanych przez regulatorów i partnerów.
Następny krok? Skontaktuj się z nami, aby ustalić krótki kick-off. W standardowym przebiegu po 10 dniach roboczych otrzymasz Executive Brief, plan działań i zestaw mierników, które można wdrożyć.
