Internet Exposure Audit (IEA)

Każda firma jest dzisiaj widoczna w Internecie. Nie, to nie tylko strona www. To także dostępy zdalne, VPN, RDP, panele administracyjne, Microsoft 365, poczta, API, DNS, certyfikaty TLS, a często również elementy OT.
Każdy z tych punktów jest potencjalnym wejściem dla atakującego i obszarem ryzyka utraty danych, reputacji i pieniędzy.

Problemy?

• Brak kopii zapasowej stron www. Aktualizacje silników oraz wtyczek w CMS-ach „odkładane na później”.
• Nieprawidłowo skonfigurowane dostępy zdalne w tym RDP, VPN, domyślne porty, panele admin wystawione „na świat”.
• Brak MFA lub luki w dostępie warunkowym.
• Zasoby chmury widoczne z Internetu.
• Błędna konfiguracja rekordów DNS, wygasające certyfikaty, brak DMARC.
• W OT – zdalne dostępy serwisowe bez segmentacji i kontroli.

Przeprowadzimy audyt ekspozycji Twojej organizacji: WWW/CMS, Microsoft 365 i chmury, zdalnego dostępu, DNS/TLS, VPN/RDP/API oraz – w razie potrzeby – OT (pasywnie). Otrzymasz streszczenie zarządcze dla zarządu, rejestr podatności i plan działań 30/60/90 dni. Pracujemy bez przestojów, w modelu opartym na dowodach, z mapą zgodności do ISO/IEC 27001 i – jeśli dotyczy – NIS2/uKSC.

Co zyskasz po audycie

• Streszczenie zarządcze: najważniejsze wnioski i priorytety.
• Rejestr podatności/ryzyk z oceną (CVSS) oraz wskazaniem właścicieli działań.
• Plan: co zrobić, kiedy i kto za to odpowiada.
• Pakiet dowodowy: konfiguracje, dzienniki, zrzuty ekranu – pod audyt, kontrolę, ubezpieczyciela.
• Mapa zgodności: ISO/IEC 27001, OWASP, IEC 62443 oraz odniesienie do NIS2/uKSC.

Zakres audytu (co sprawdzamy?)

WWW/CMS

• Aktualizacje i zależności (silnik/wtyczki/motywy)
• WAF/CDN, TLS/HSTS, nagłówki bezpieczeństwa (CSP, X-Frame-Options)
• OWASP Top 10 – testy w ograniczonym zakresie
• Kopia zapasowa, próbne odtworzenie danych

Microsoft 365 / Tożsamość

• MFA/Zasady Dostępu Warunkowego, wyłączenie starszych metod logowania
• Zarządzanie uprawnieniami uprzywilejowanymi (PIM), konto awaryjne („break-glass”)
• SPF/DKIM/DMARC, ochrona poczty i udostępnianie na zewnątrz
• Wartość wyjściowa wskaźnika Secure Score oraz przegląd dzienników/audytu

Chmura IaaS/SaaS

• Zarządzanie tożsamością i uprawnieniami (IAM) – zasada najmniejszych uprawnień
• Publicznie dostępne zasoby (S3/Blob) i szyfrowanie
• Rotacja haseł/kluczy, wersjonowanie/niezmienność
• Ocena postawy bezpieczeństwa chmury (CSPM): skan konfiguracji i sieci (grupy zabezpieczeń)

Zdalny dostęp

• VPN/RDP/VDI, panele administracyjne, host pośredniczący (bastion)
• MFA na kanałach uprzywilejowanych
• Ograniczenia geograficzne dostępu i otwartych portów

DNS/TLS

• Porządkowanie rekordów DNS, DNSSEC (jeśli dostępne)
• Nadzór nad certyfikatami (Certificate Transparency)
• MTA-STS/TLS-RPT

OT (opcjonalnie, pasywnie)

• Segmentacja (ISA/IEC 62443), zdalny serwis
• Konta serwisowe dostawców, dzienniki dostępu
• Kopie zapasowe i weryfikacja konfiguracji PLC/RTU

Pakiety

PODSTAWOWY — IEA BASIC
Audyt WWW/CMS, audyt Microsoft 365, inne usługi (VPN/RDP/DNS). Streszczenie zarządcze + plan działań i pakiet dowodowy.

STANDARDOWY — IEA STANDARD
PODSTAWOWY + testy podatności w ograniczonym zakresie wybranych WWW/API, chmura IaaS/SaaS, próbny odtworzenie kopii zapasowej, rejestr ryzyk/podatności.

ZAAWANSOWANY — IEA ADVANCED
STANDARDOWY + testy penetracyjne, moduł OT (pasywny), warsztat wg priorytetów, mapa zgodności ISO/NIS2/IEC 62443.

Dodatek OT (pasywny)
Segmentacja, zdalny dostęp, konta serwisowe, kopie konfiguracji PLC/RTU.

Abonament EASM (Zewnętrzny monitoring ekspozycji)
Kwartalne przeglądy ekspozycji + comiesięczne zmiany w Microsoft 365 (Secure Score) –notatka z zaleceniami.

Dlaczego warto skorzystać z naszej usługi teraz?

• Wzrost liczby incydentów i kosztów przestojów.
• Wymogi regulacyjne (NIS2/uKSC, ISO/IEC 27001) i presja ubezpieczycieli.
• Rosnące oczekiwania klientów co do bezpieczeństwa łańcucha dostaw.

Jak pracujemy

1. Spotkanie startowe: cel, zakres, okna serwisowe, akceptacja metod.
2. Inwentaryzacja: przegląd konfiguracji i metadanych.
3. Testy w ograniczonym zakresie i potwierdzenie ustaleń: bezpieczne próby w uzgodnionym zakresie.
4. Analiza i nadanie priorytetów (CVSS): ryzyko → właściciel → termin.
5. Wyniki i plany: omówienie z zespołem, przekazanie pakietu dowodowego.

Mierzalne wskaźniki (KPI)

• Wzrost Microsoft Secure Score (z poziomu wyjściowego do poziomu docelowego)
• 100% MFA (dla ról uprzywilejowanych)
• Spadek liczby otwartych portów/punktów ekspozycji
• Zgodność DMARC dla domen pocztowych

Zastrzeżenia i zgodność

• Testy w środowisku produkcyjnym wyłącznie w trybie odczytu; w OT – tylko pasywnie.
• Przetwarzanie danych ograniczone do metadanych i konfiguracji; umowa o poufności (NDA) i lista dozwolonych adresów źródłowych testów.
• Raporty zgodne z ISO/IEC 27001:2022, OWASP, IEC 62443; mapowanie do NIS2/uKSC (jeśli dotyczy).

Umów bezpłatną konsultację i dobór pakietu IEA
Telefon: 531 700 531
Napisz, jaki masz zakres i termin – dobierzemy wariant PODSTAWOWY / STANDARDOWY / ZAAWANSOWANY lub abonament EASM (zewnętrzny monitoring ekspozycji).