Spis treści
Audyt bezpieczeństwa IT w Telbit24 zaczyna się od sieci, czyli od routera brzegowego i zapory, a potem obejmuje przełączniki, Wi-Fi, serwery i kopie zapasowe. Audyt i zabezpieczenie są u nas jedną usługą: najważniejsze poprawki i aktualizacje wdrażamy w trakcie pracy, więc po audycie znane luki są już zamknięte, a firma ma aktualną mapę swojej infrastruktury.
Prace prowadzimy zwykle w takiej kolejności:
- Router brzegowy i zapora, czyli urządzenia, przez które firma łączy się z Internetem.
- Przełączniki i sieć Wi-Fi.
- Mapa infrastruktury: jakie urządzenia pracują w sieci, jak są połączone i skonfigurowane.
- Serwery, wirtualizacja i kopie zapasowe.
- Redundancja serwerów i łączy, dobrana po rozmowie z właścicielem do tego, czego firma potrzebuje.
Dlaczego zaczynamy od routera i zapory
Router brzegowy jest tym urządzeniem w firmie, które widać z całego Internetu, dlatego od jego stanu zależy najwięcej. Skanujemy go razem z resztą infrastruktury, sprawdzamy wersję oprogramowania i porównujemy ją z biuletynami bezpieczeństwa producenta.
Często trafiamy na router, który od kilku lat działa bez zarzutu i przez cały ten czas nie był aktualizowany. W jego oprogramowaniu zdążyły się w tym czasie pojawić publicznie opisane luki, w tym takie, które pozwalają wejść na urządzenie bez hasła.
Dobrym przykładem są routery MikroTik. Na początku września 2026 roku producent opublikował poprawki sześciu podatności w systemie RouterOS, a CERT Polska ostrzegł, że połączenie dwóch z nich jest już wykorzystywane do przejęcia pełnej kontroli nad urządzeniami bez uwierzytelniania. Według CERT Polska ataki na routery z dostępem SSH otwartym od strony Internetu trwały co najmniej od 2 września, czyli już w dniach, w których producent ogłosił poprawki. Na przejętych urządzeniach atakujący zakładali własne konto z wysokimi uprawnieniami. W październiku producent poinformował, że jedna z wrześniowych poprawek była niepełna, i zalecił aktualizację do wersji 7.24.3, 7.23.6 albo 6.49.21 lub nowszej (stan na 6.11.2026).
- 2 września 2026Według CERT Polska od tego dnia trwają ataki na routery MikroTik z SSH dostępnym z Internetu.
- 3 września 2026MikroTik publikuje poprawki sześciu podatności w RouterOS.
- 5 września 2026CERT Polska ostrzega, że luki są aktywnie wykorzystywane do przejmowania urządzeń.
- 6 października 2026MikroTik informuje, że jedna z poprawek była niepełna. Routery zaktualizowane we wrześniu trzeba zaktualizować ponownie.
W takiej sytuacji aktualizacja jest pierwszą rzeczą, którą robimy. Przy okazji sprawdzamy, czy panel administracyjny i SSH są dostępne z Internetu, czy na urządzeniu nie ma kont, o których nikt w firmie nie wie, i czy zapora przepuszcza tylko ten ruch, z którego firma rzeczywiście korzysta. Te same pytania zadajemy potem przy przełącznikach i punktach dostępowych Wi-Fi.
Mapa infrastruktury
W trakcie przeglądu sieci powstaje mapa infrastruktury firmy, czyli spis urządzeń, które pracują w sieci, wraz z opisem tego, jak są ze sobą połączone i jak skonfigurowane. W wielu firmach taki dokument nigdy nie powstał, bo sieć rozbudowywano latami, a kolejne urządzenia dokładali różni ludzie.
Na mapę trafiają nie tylko komputery i serwery, ale też kamery, rejestratory, drukarki, centrale telefoniczne i sterowniki urządzeń, a przy każdym z nich sprawdzamy, czy jest dostępny z Internetu. Z mapy widać też, czy te urządzenia i sieć dla gości są oddzielone od komputerów, na których pracuje księgowość.
Przydaje się ona później przy każdej awarii i rozbudowie, bo od razu wiadomo, gdzie czego szukać.
Serwery, kopie zapasowe i redundancja
Kiedy sieć jest zabezpieczona, zajmujemy się serwerami i wirtualizacją. Sprawdzamy, jak są skonfigurowane i czy dostają aktualizacje, co jest kopiowane, gdzie leżą kopie i czy da się z nich odtworzyć dane.
W tej części więcej zależy od rozmowy z właścicielem niż od samej techniki. Pytamy, jak długo firma może pracować bez serwera, które dane są dla niej najważniejsze i czy awaria jednego łącza internetowego zatrzymuje pracę. Od odpowiedzi zależy, czy warto dołożyć drugie łącze, drugi serwer albo kopię przechowywaną poza firmą. Uzgodnione zmiany od razu konfigurujemy.
Incydentów przybywa
Według sprawozdania Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa za 2025 rok, opublikowanego w kwietniu 2026 roku, krajowe zespoły CSIRT obsłużyły w 2025 roku 272 941 incydentów, o 144,4% więcej niż rok wcześniej.
Podobnie jest w całej Unii Europejskiej. Unijna agencja do spraw cyberbezpieczeństwa ENISA w raporcie ENISA Threat Landscape 2026 z 22 września 2026 roku wskazuje, że najpoważniejsze skutki miały ataki nastawione na zysk, zwłaszcza ransomware, a do najczęściej atakowanych branż należały przemysł i usługi dla firm. Wśród włamań, w których udało się ustalić sposób wejścia, 60,4% zaczynało się od wykorzystania luki w oprogramowaniu.
Przypadek routerów MikroTik dobrze pokazuje, jak taki incydent zaczyna się w praktyce. Atakowane były urządzenia z usługą SSH dostępną z Internetu, więc o tym, czy firma znalazła się wśród poszkodowanych, decydowały wersja oprogramowania i konfiguracja routera.
Luki znajduje się szybciej, także z pomocą sztucznej inteligencji
Luki w oprogramowaniu znajduje się coraz szybciej, a jedną z przyczyn jest sztuczna inteligencja, z której korzystają zarówno badacze, jak i przestępcy. Opisane wyżej luki w routerach MikroTik znalazł zespół CERT Polska z pomocą modeli AI. Według autorów analizy modele przyspieszyły pracę, choć każdą podatność trzeba było potwierdzić na prawdziwym urządzeniu. W październiku 2026 roku twórcy języka PHP, na którym działa duża część stron internetowych, wydali pilne poprawki dwóch krytycznych błędów. Według Fortune znaleźli je badacze pracujący z modelami AI, a błąd tkwił w PHP od 14 lat.
Te same narzędzia ułatwiają też ataki. Google podaje, że w pierwszych ośmiu miesiącach 2026 roku w atakach wykorzystywano średnio 18 podatności miesięcznie, wobec 10,5 w 2025 roku, i wiąże ten wzrost głównie z szybkim wykorzystywaniem luk, które zostały już opisane.
We wrześniowym raporcie o nadużyciach AI Anthropic, twórca modeli Claude, opisał sprawę, w której agenci AI wykonali niemal całą pracę włamania, i inną, w której od pierwszego dostępu do masowej kradzieży danych minęło kilka godzin. ENISA ocenia jako wysoce prawdopodobne, że sztuczna inteligencja będzie coraz częściej wspierać ataki. Przy routerach MikroTik ataki trwały już wtedy, gdy producent publikował poprawki, dlatego oprogramowanie routerów, przełączników i serwerów w małej firmie trzeba dziś aktualizować na bieżąco.
Atak oznacza przestój i ryzyko utraty danych
Jednym z najpoważniejszych zagrożeń dla firm jest ransomware, czyli oprogramowanie, które szyfruje pliki na komputerach i serwerach i blokuje do nich dostęp. Jak przypomina baza wiedzy na gov.pl, przestępcy często nie tylko szyfrują dane, ale też je wykradają, żeby szantażować firmę ich ujawnieniem, a zapłacenie okupu nie gwarantuje ich odzyskania.
Jeśli zaszyfrowany zostanie serwer z programem do fakturowania albo rejestracji pacjentów, ta część pracy stoi do czasu, aż system zostanie odtworzony z kopii.
Ta sama strona wskazuje kopie zapasowe jako najskuteczniejszy sposób ograniczenia skutków takiego ataku, dlatego przy serwerach sprawdzamy nie tylko to, czy kopie powstają, ale też to, czy da się z nich odtworzyć dane.
Skutki nie zawsze dotyczą komputerów. Na początku listopada 2026 roku w kilku krajach Europy atakujący zdalnie zmieniali ustawienia sterowników urządzeń chłodniczych w sklepach, przez co lodówki i zamrażarki zaczynały grzać. Według Interii Auchan Polska potwierdził nieprawidłowości w sterowaniu urządzeniami chłodniczymi w trzech sklepach, a szef CERT Polska potwierdził atak na urządzenie chłodnicze w Polsce. W tym przypadku właściciel instalacji szybko zauważył nieuprawnioną ingerencję i strat udało się uniknąć (stan na 6.11.2026).
Dlatego przy audycie sprawdzamy także sterowniki, kamery i inne urządzenia, które mają dostęp do sieci firmowej.
Audyt a ustawa o krajowym systemie cyberbezpieczeństwa
Stan na 6.11.2026: nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa obowiązuje od 3 kwietnia 2026 roku. Według Ministerstwa Cyfryzacji podmioty kluczowe i ważne mają wdrożyć nowe obowiązki do 3 kwietnia 2027 roku, a podmioty kluczowe muszą przeprowadzić pierwszy obowiązkowy audyt do 3 kwietnia 2028 roku.
Wiele małych firm z regionu nie podlega tej ustawie i nie ma obowiązku audytu. Dla nich zabezpieczenie sieci i serwerów jest decyzją podejmowaną we własnym interesie, żeby uniknąć utraty danych i przestoju. Gdy w firmie już doszło do incydentu, warto zgłosić go do CERT Polska przez formularz na stronie incydent.cert.pl.
Jak wygląda współpraca
Firma nie musi niczego przygotowywać przed audytem. Przyjeżdżamy na miejsce i sami pytamy o to, co jest potrzebne, a o hasła i dostępy do poszczególnych urządzeń prosimy w trakcie pracy, kiedy do nich dochodzimy.
Po wprowadzeniu zmian pozostajemy pod telefonem. Zdarza się, że po aktualizacji jakiś program albo urządzenie zaczyna działać inaczej niż wcześniej, i wtedy od razu to poprawiamy.
Telbit24 działa w Dębicy od 1994 roku, więc do firm, przychodni i szkół z Rzeszowa, Tarnowa, Mielca czy Krosna dojeżdżamy bez trudu. Zakres usług, które prowadzimy w firmach na co dzień, w tym aktualizacje, zabezpieczenia sieciowe i nadzór nad kopiami bezpieczeństwa, opisujemy na stronie obsługi IT dla firm. Jeśli chcą Państwo sprawdzić, jak zabezpieczona jest sieć i serwery w Państwa firmie, zapraszamy do kontaktu.