8 listopada 2026

Audytor przyjdzie. Co mu położysz na stole z obszaru podatności

Szpital powiatowy. Pełnomocniczka do spraw jakości dostała zadanie: przygotować materiały do audytu bezpieczeństwa. Z obszaru podatności ma politykę aktualizacji z ubiegłego roku, kilkanaście maili od informatyków w stylu "serwery zaktualizowane", arkusz, który ktoś prowadził do wiosny, i zrzut ekranu ze skanera bez daty.

Prosi dział IT o "dowody, że łatamy". Dostaje raport ze skanu z dzisiejszego dnia. Wygląda dobrze, tylko nie pokazuje, jak wyglądało usuwanie podatności w poprzednich miesiącach.

Co mówi przepis

Ustawa o krajowym systemie cyberbezpieczeństwa po nowelizacji z 2026 roku w art. 10 ust. 1 wymaga od podmiotów kluczowych i ważnych opracowania, stosowania i aktualizowania dokumentacji bezpieczeństwa systemu informacyjnego. Dla wskazanych sektorów finansowych ustawa przewiduje wyłączenia w art. 8i. Art. 10 ust. 2 dzieli ją na dwie części: normatywną i operacyjną.

Dokumentacja normatywna to między innymi dokumentacja systemu zarządzania bezpieczeństwem informacji, czyli polityki, procedury i zasady. Dokumentację operacyjną art. 10 ust. 4 definiuje jako zapisy poświadczające wykonywanie czynności wymaganych przez dokumentację normatywną, w tym automatycznie generowane zapisy w dziennikach systemów.

Dalej art. 10 ust. 6 wymaga nadzoru nad dokumentacją: dostęp tylko dla upoważnionych osób, ochrona przed utratą i utratą integralności, oznaczanie wersji. Art. 10 ust. 7 przewiduje przechowywanie co najmniej przez 2 lata, ze szczególną regułą liczenia tego okresu wskazaną w przepisie; nie stosuje się go do podmiotów podlegających ustawie o narodowym zasobie archiwalnym i archiwach.

W praktyce to oznacza prostą rzecz. Polityka mówi, co firma zamierza robić. Dokumentacja operacyjna ma pokazać, że robiła to naprawdę.

Gdzie jest luka

Dowody z obszaru podatności mają trzy typowe słabości.

Pokazują stan, nie historię. Raport ze skanu z dnia audytu mówi, ile podatności jest teraz. Nie mówi, ile było w marcu, czy terminy były dotrzymywane i co się działo z podatnością, która zniknęła w maju. Dzisiejszy dobry wynik nie zastąpi roku zapisów.

Są rozproszone. Część w skanerze, część w mailach, część w systemie zgłoszeń, część w głowie administratora, który w międzyczasie zmienił pracę. Złożenie tego w całość zajmuje tygodnie, a luki w środku zostają.

Powstają na ostatnią chwilę. Arkusz uzupełniony tydzień przed audytem wygląda tak, jak wygląda: jak arkusz uzupełniony tydzień przed audytem. Jeśli materiał powstaje po fakcie, trzeba to jasno oznaczyć, a nie przedstawiać jako zapis z tamtego czasu. Zapisu, którego wtedy nie zrobiono, nie da się już wiarygodnie odtworzyć.

Co położyć na stole

Poniższa lista dotyczy tylko obszaru podatności i nie jest listą pytań, które zada każdy audytor. To zestaw, który pomaga wykazać, że proces opisany w polityce działa. Każda pozycja ma sens niezależnie od narzędzia.

1. Zasady i terminy. Polityka albo procedura z terminami usuwania podatności według wagi. Do tego potwierdzenie, że te same terminy obowiązują w praktyce, czyli w narzędziu albo arkuszu, którym IT się posługuje. Rozjazd między polityką a praktyką to pierwsze, co wychodzi przy porównaniu.

2. Zakres. Lista serwerów objętych skanowaniem i informacja, czego skan nie obejmuje i dlaczego. Raport bez zakresu nie mówi, jakiej części firmy dotyczy. Więcej o tym w następnym odcinku.

3. Regularność. Historia skanów z datami. Nie jeden raport, tylko ciąg, z którego widać, że skanowanie odbywało się regularnie, a przerwy da się wyjaśnić.

4. Terminowość za okres. Ile podatności usunięto w terminie, ile po terminie, ile jest teraz po terminie i jak długo średnio trwało usuwanie. Za konkretny okres, na przykład kwartał, a nie "ogólnie".

5. Decyzje. Każda podatność, której świadomie nie usunięto: z uzasadnieniem, właścicielem ryzyka, datą przeglądu i informacją, kto zatwierdził. O tym, jak taką decyzję podjąć, był poprzedni odcinek. Osobno systemy bez wsparcia producenta z planem migracji.

6. Plan działań. Kto co ma zrobić i do kiedy. Plan sam w sobie nie jest dowodem wykonania, ale pokazuje, że zaległości mają właścicieli.

7. Ślad zmian. Kto zmienił terminy, kto zaakceptował ryzyko, kto przypisał zadanie, z datami. Bez tego punkty 1 i 5 są tylko deklaracjami.

Jak to zbierać, żeby nie robić tego tydzień przed audytem

Zamykaj okresy. Raz na kwartał zapisz zestaw z punktów 3 do 7 za zakończony kwartał i odłóż go w jedno miejsce. Nie poprawiaj go później. Jeśli coś było źle, dopisz korektę z datą, zamiast zmieniać stary zapis.

Opisz, co jest w środku. Każdy zestaw powinien mówić, za jaki okres i które serwery obejmuje. Bez tego za rok nikt nie będzie wiedział, czego dotyczy.

Przechowuj tak, jak każe art. 10. Dostęp tylko dla osób, które go potrzebują, kopia, której nie da się przypadkiem nadpisać, i czas przechowywania nie krótszy niż wymaga ustawa, a w podmiotach objętych przepisami archiwalnymi niż wymagają te przepisy.

Sprawdzaj, czy zapisy powstają. Raz w miesiącu ktoś, kto nie jest administratorem, otwiera ostatni zestaw i sprawdza, czy jest kompletny. Lepiej zauważyć brak po miesiącu niż po roku.

Gdzie pomaga Secvalis, a gdzie nie

Evidence Pack w Secvalis to archiwum z raportem zarządczym, raportem ISO 27001, raportem EOL, rejestrem akceptacji ryzyka, planem działań naprawczych, dziennikiem audytowym, zbiorem danych i manifestem z sumami kontrolnymi SHA-256 pozostałych plików, które pozwalają sprawdzić, czy pliki pasują do tej listy. Dotyczy to tylko serwerów objętych Secvalis: zakres floty i dowody spoza produktu trzeba sprawdzić osobno.

Dane raportowe za zamknięty okres można utrwalić jako plik JSON z sumą SHA-256. Część wskaźników jest wtedy liczona względem końca okresu, a stan floty i przypisania pochodzą z chwili utworzenia zestawu. Dziennik audytowy zapisuje decyzje, w tym akceptacje ryzyka, przypisania, zmiany progów i zamrożenia dowodów, z eksportem do CSV. Mapa zgodności wskazuje, które dane są dostępne w produkcie, a w których obszarach dowody trzeba dostarczyć spoza niego.

Suma kontrolna pozwala sprawdzić, czy pliki pasują do manifestu. Nie jest podpisem i sama nie dowodzi, kto i kiedy przygotował paczkę. Secvalis nie zastąpi dokumentacji normatywnej ani dowodów z innych obszarów: kopii zapasowych, ciągłości działania, szkoleń, kontroli dostępu czy ochrony fizycznej. Nie zastępuje też archiwum dokumentacji na wymagany okres przechowywania. Paczkę trzeba pobrać i odłożyć zgodnie z zasadami nadzoru nad dokumentacją, które przyjęła firma. Czy materiał jest wystarczający, ocenia audytor.

Przykładową paczkę możesz obejrzeć w przykładowym Evidence Packu, bez rejestracji.

W następnym odcinku: raport o podatnościach wygląda dobrze. Zanim się ucieszysz, sprawdź, jaką część firmy w ogóle opisuje.

Źródła

Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.

Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.