Mobile
Aplikacje mobilne
Audyt bezpieczeństwa aplikacji iOS i Android razem z backendem, z którym się komunikują.
- Dane zapisane na urządzeniu
- Komunikacja z serwerem
- Autoryzacja w API aplikacji
Cyberbezpieczeństwo · Audyt bezpieczeństwa
Audyt bezpieczeństwa IT dla firm i instytucji
Audyt bezpieczeństwa IT to sprawdzenie, czy systemy i procesy firmy chronią dane tak, jak powinny - ale pod tą nazwą kryją się różne usługi: test penetracyjny aplikacji, przegląd kodu, chmury albo sieci, ocena zgodności z ustawą o krajowym systemie cyberbezpieczeństwa (KSC) lub z rozporządzeniem (UE) 2022/2554 w sprawie operacyjnej odporności cyfrowej sektora finansowego (DORA). Innovix, software house i zespół testów bezpieczeństwa z Wrocławia, pomaga dobrać właściwy rodzaj audytu i przeprowadza go dla organizacji z całej Polski - zdalnie albo na miejscu, z raportem, w którym każde ustalenie ma dowód.
01Pojęcie
Co firmy nazywają audytem bezpieczeństwa IT
W zapytaniach ofertowych „audyt bezpieczeństwa” znaczy co najmniej trzy różne rzeczy. Zanim zaproponujemy zakres, ustalamy, o którą z nich chodzi - bo od tego zależy metoda, czas pracy, wynik i to, kto może podpisać raport.
- Sprawdzenie techniczne - czy system wytrzyma atak: test penetracyjny aplikacji, API, sieci albo chmury, przegląd kodu źródłowego, przegląd konfiguracji. Wynikiem są potwierdzone podatności z dowodami.
- Ocena zgodności - czy organizacja spełnia wymagania przepisu lub standardu i potrafi to wykazać: audyt zerowy względem ustawy o KSC, ocena ram zarządzania ryzykiem ICT według DORA, weryfikacja wymagań OWASP ASVS. Wynikiem jest lista luk z rekomendacjami.
- Audyt formalny - procedura opisana w przepisie albo normie, z wymaganiami wobec audytora: ustawowy audyt bezpieczeństwa systemu informacyjnego podmiotu kluczowego albo audyt certyfikujący system zarządzania.
02Dobór
Jaki audyt bezpieczeństwa wybrać: potrzeba, usługa, rezultat
Zacznij od wiersza, który opisuje Twoją sytuację. Nazwa usługi prowadzi do strony z pełnym zakresem.
| Potrzeba | Usługa | Rezultat |
|---|---|---|
| Aplikacja mobilna z danymi klientów lub pacjentów przed wydaniem w sklepach | Test penetracyjny aplikacji mobilnej (iOS i Android) | Ustalenia osobno dla iOS, Androida i backendu, każde z wymaganiem OWASP MASVS; retest nowej wersji |
| Portal klienta, system transakcyjny albo panel administracyjny | Test penetracyjny aplikacji webowej | Sprawdzone role i procesy biznesowe według OWASP WSTG v4.2, dowody i rekomendacje |
| API dla aplikacji mobilnych, partnerów i integracji B2B | Test bezpieczeństwa API | Każdy endpoint ze specyfikacji sprawdzony z kont różnych ról, według OWASP API Security Top 10 2023 |
| Kod przejmowany od dostawcy, system krytyczny albo due diligence przed przejęciem | Audyt kodu źródłowego (white box) | Podatność z miejscem w kodzie i gotową poprawką do przejrzenia przez Twój zespół |
| Systemy w AWS, Microsoft Azure lub Google Cloud | Przegląd i test bezpieczeństwa chmury | Odstępstwa od CIS Benchmarks z oceną, które z nich da się realnie wykorzystać |
| Biura, serwerownia, VPN i sieć wewnętrzna | Test penetracyjny infrastruktury i sieci | Ścieżki ataku od internetu i od komputera pracownika oraz zmiany, które przerywają ich najwięcej |
| Chatbot, asystent AI albo aplikacja z modelem językowym | Testy bezpieczeństwa aplikacji LLM | Prompt injection, wycieki danych z bazy wiedzy i uprawnienia narzędzi sprawdzone na Twoim wdrożeniu |
| Dojrzały program bezpieczeństwa po kilku cyklach pentestów | Red teaming | Wieloetapowy scenariusz ataku pod cele uzgodnione z zarządem, raport i warsztat z zespołem obrony |
| Organizacja podlega ustawie o KSC jako podmiot kluczowy albo ważny | Audyt zerowy NIS2/KSC | Raport luk, macierz zgodności i plan wdrożenia z priorytetami |
| Podmiot finansowy objęty DORA | Ocena ram zarządzania ryzykiem ICT | Macierz zgodności z art. 5-16 DORA, raport luk i plan działań dla zarządu |
Jedno zamówienie często łączy kilka wierszy tej tabeli - na przykład test aplikacji mobilnej z testem API, z którego korzysta, albo audyt zerowy NIS2/KSC z testem penetracyjnym systemu, od którego zależy świadczenie usługi. Na rozmowie zakresowej proponujemy kolejność według ryzyka i terminów, a nie listę wszystkiego, co da się sprawdzić.
03Zakres
Audyt bezpieczeństwa aplikacji, infrastruktury i chmury - obszary
Techniczną część audytu prowadzi ten sam zespół, który na co dzień buduje oprogramowanie dla firm.
Web
Aplikacje webowe
Portale, systemy transakcyjne, panele i sklepy - test z kontami każdej roli.
- Uprawnienia między użytkownikami
- Logika procesów biznesowych
- Sesja i logowanie
API
Interfejsy API
REST, GraphQL, gRPC i webhooki, także interfejsy udostępniane partnerom.
- Dostęp do cudzych obiektów
- Tokeny i klucze partnerów
- Limity i nadużycia przepływów
Kod
Audyt kodu źródłowego
Przegląd kodu backendu tam, gdzie test z zewnątrz nie sięga.
- Warunki dostępu w kodzie
- Sekrety i kryptografia
- Biblioteki ze znanymi CVE
Chmura
Chmura
Konfiguracja, tożsamości i dane w AWS, Azure i Google Cloud.
- Role i uprawnienia IAM
- Publiczne zasoby i kopie
- Kontenery i Kubernetes
Sieć
Infrastruktura i sieci
Audyt infrastruktury IT od strony atakującego: z internetu i z wnętrza sieci.
- Usługi widoczne z internetu
- Segmentacja sieci
- Eskalacja uprawnień
AI
Aplikacje LLM
Asystenci i chatboty na modelach językowych, także z dostępem do dokumentów i narzędzi.
- Prompt injection
- Wyciek danych i promptu
- Uprawnienia agentów
Symulacja ataku
Red teaming
Scenariusz wieloetapowy dla organizacji, które mają już za sobą testy penetracyjne.
- Cele uzgodnione z zarządem
- Reguły zaangażowania
- Warsztat z zespołem obrony
Raport
Przykładowy raport
Jak wygląda raport z testu: podsumowanie dla zarządu, ustalenia z CVSS i retest - na danych demonstracyjnych.
- Struktura raportu
- Cztery przykładowe ustalenia
- Tabela priorytetów
04Przepisy
Audyt bezpieczeństwa a NIS2/KSC, DORA i RODO
Ustawa o KSC. Podmiot kluczowy i ważny wdraża system zarządzania bezpieczeństwem informacji, który obejmuje m.in. bezpieczeństwo w procesie nabywania, rozwoju, utrzymania i eksploatacji systemu informacyjnego, w tym jego testowanie, oraz polityki i procedury oceny skuteczności środków technicznych i organizacyjnych (art. 8 ust. 1 pkt 2 lit. b i h). Raport z testu penetracyjnego albo audytu kodu jest jednym z dowodów realizacji tych wymagań. Stan organizacji względem całej ustawy pokazuje audyt zerowy NIS2/KSC.
DORA. Podmioty finansowe oceniają ramy zarządzania ryzykiem ICT i prowadzą program testowania operacyjnej odporności cyfrowej. Ocenę ram opisujemy na stronie oceny ryzyka ICT, a testy i ich miejsce w programie - na stronie DORA.
RODO. Wśród środków bezpieczeństwa ogólne rozporządzenie o ochronie danych (RODO, rozporządzenie (UE) 2016/679) wymienia regularne testowanie, mierzenie i ocenianie ich skuteczności (art. 32 ust. 1 lit. d RODO - kiedy potrzebny jest pentest). Raport z testu jest jednym z dowodów, które administrator danych może pokazać.
05Granice
Czym audyt bezpieczeństwa u nas nie jest
Usługi, których nie świadczymy albo świadczymy tylko z partnerem, i to, co możemy zrobić w zamian.
| Usługa | Czy ją wykonujemy | Co możemy zrobić zamiast |
|---|---|---|
| Wdrożenie i certyfikacja ISO/IEC 27001 | Nie - nie jesteśmy jednostką certyfikującą i nie wdrażamy tego systemu | Wykorzystać istniejącą dokumentację ISO w audycie zerowym NIS2/KSC albo w ocenie ram ICT |
| Ustawowy audyt z art. 15 ustawy o KSC | Tylko we współpracy z partnerem i nie tam, gdzie w ciągu roku wspieraliśmy wdrożenie | Audyt zerowy przed audytem i plan, kto wdraża, a kto audytuje |
| TLPT w rozumieniu DORA | Nie - nie występujemy jako tester TLPT | Ocena gotowości, przygotowanie do TLPT i red teaming jako ćwiczenie przed nim |
| Phishing, socjotechnika i testy fizyczne (poza ofertą) | Nie - nie testujemy ludzi ani fizycznego dostępu do budynków | Sprawdzenie, co atakujący zrobi z przejętym hasłem: drugi składnik, sesje, odzyskiwanie dostępu |
| Testy DoS i obciążeniowe | Nie - testujemy w trybie nieinwazyjnym | Weryfikacja limitów pojedynczymi żądaniami, bez przeciążania systemu |
Piszemy o tym wprost, bo „audyt bezpieczeństwa firmy” w wielu ofertach obejmuje wszystko naraz. Lepiej wiedzieć od początku, co dostaniesz od nas, a co trzeba zamówić u innego wykonawcy.
06Różnice
Audyt, test penetracyjny czy skan podatności?
Krótko: skan podatności automatycznie szuka znanych błędów w wielu systemach naraz, test penetracyjny pokazuje, co atakujący zrobi w konkretnym systemie, a audyt w znaczeniu zgodności ocenia procesy i dowody względem wymagań. W ofertach te nazwy się mieszają - „audyt bezpieczeństwa aplikacji” bywa raportem ze skanera, a bywa kilkudniowym testem ręcznym z retestem.
Dlatego w każdej naszej ofercie piszemy, jaką metodą pracujemy, ile czasu przypada na testy ręczne i co znajdzie się w raporcie. Porównanie trzech usług z przepisami i sześcioma typowymi sytuacjami opisujemy w artykule pentest, skan podatności czy audyt bezpieczeństwa.
07Przebieg
Jak przebiega audyt bezpieczeństwa
Pięć kroków od pierwszej rozmowy do retestu. Prace techniczne zaczynamy dopiero po pisemnej zgodzie właściciela systemu.
-
Rozmowa o celu
Kto będzie odbiorcą wyniku, jakie systemy i dane są w grze, jakie przepisy obowiązują organizację. Na życzenie najpierw NDA.
-
Zakres i zgoda
Wybór usług z tabeli wyżej, lista celów, konta testowe, okna czasowe, kontakt awaryjny i pisemna zgoda właściciela systemu.
-
Prace
Testy ręczne wspierane narzędziami albo przegląd dokumentów i wywiady - w trybie nieinwazyjnym, w uzgodnionych godzinach.
-
Raport i omówienie
Ustalenia z dowodami i rekomendacjami, omówienie z zespołem technicznym i krótkie podsumowanie dla zarządu.
-
Retest albo plan
Po naprawach sprawdzamy każdą podatność ponownie; w ocenie zgodności zostawiamy plan działań z priorytetami.
08Wynik
Co dostajesz po audycie
Raport z technicznej części audytu ma dwie warstwy. Pierwsza to podsumowanie dla zarządu: najważniejsze ryzyka językiem biznesowym i decyzje, które trzeba podjąć. Druga to ustalenia dla zespołu, który naprawia:
- opis i wpływ na Twój biznes, a nie tylko nazwa klasy błędu,
- ocena w CVSS 3.1 (na życzenie także 4.0) z pełnym wektorem i oceną kontekstową,
- dowód, który pozwala odtworzyć każdy krok,
- rekomendacja naprawy i zalecany termin: Critical 14 dni, High 30 dni, Medium 90 dni, Low 180 dni,
- wynik retestu po naprawach.
Raport przygotowujemy po polsku i po angielsku. Ocena zgodności kończy się macierzą zgodności: wymaganie, przepis, stan, dowód i rekomendacja.
09Gdzie działamy
Audyt bezpieczeństwa w całej Polsce
Biuro mamy we Wrocławiu, przy Alei Śląskiej 1, a audyty prowadzimy dla organizacji z całej Polski. Aplikacje, API, kod i chmurę sprawdzamy zdalnie. Test sieci wewnętrznej prowadzimy przez VPN, z komputera przygotowanego w Twojej sieci albo na miejscu, w Twojej siedzibie. Wywiady w ramach audytu zerowego i omówienie wyników z zarządem możemy zrobić u Ciebie albo online, a dokumenty przeglądamy w uzgodnionym bezpiecznym kanale.
Jak łączymy pracę zdalną z wizytami i które miasta opisaliśmy osobno, pokazujemy na stronie obszaru działania.
10Koszt
Od czego zależy koszt audytu bezpieczeństwa
Koszt audytu bezpieczeństwa zależy od tego, które usługi z tabeli wybierzesz, i od wielkości każdej z nich: liczby ról, funkcji i endpointów w aplikacjach, liczby adresów i lokalizacji w sieci, liczby kont chmurowych, wielkości kodu, a w ocenie zgodności - od liczby systemów i lokalizacji oraz dojrzałości organizacji. Cen nie publikujemy; ofertę z terminem przygotowujemy po krótkiej rozmowie zakresowej, a na zapytanie odpowiadamy w ciągu 24 godzin w dni robocze.
Szczegółowe czynniki opisujemy osobno dla testów penetracyjnych i dla audytu NIS2/KSC.
Najczęściej zadawane pytania
Od czego zależy, ile potrwa audyt złożony z kilku usług?
Od wielkości każdej części - liczby ról i funkcji w aplikacji, endpointów API, adresów w sieci, kont w chmurze albo systemów objętych oceną zgodności - i od kolejności, którą ustalimy według ryzyka i Twoich terminów. Znaczenie ma też dostępność Twojego zespołu: osób do wywiadów, kont testowych i okien czasowych, a przed retestem - czas na naprawy. Termin rozpoczęcia i czas prac podajemy w ofercie.
Które części audytu nie wymagają kontrolowanego ataku na działające systemy?
Audyt zerowy NIS2/KSC opiera się na dokumentach, wywiadach oraz próbkach konfiguracji i dowodów. W ocenie ram zarządzania ryzykiem związanym z ICT według DORA weryfikacja techniczna może objąć także skanowanie podatności, ale w uzgodnionym, nieinwazyjnym zakresie. Kod przeglądamy w repozytorium udostępnionym tylko do odczytu albo na przekazanej kopii, a konfigurację chmury - z kontem tylko do odczytu. Kontrolowany atak na działający system prowadzimy wyłącznie w testach penetracyjnych i wtedy obowiązują zasady nieinwazyjności, także na produkcji.
Czy raport z audytu możemy przekazać klientowi, bankowi albo audytorowi?
Tak - raport ma podsumowanie dla zarządu, opis zakresu i metodyki, ustalenia z dowodami i wynik retestu, w wersji polskiej i angielskiej. Jeśli raport ma trafić do konkretnego odbiorcy, najlepiej uzgodnić z nim zakres przed startem. Jak wygląda taki dokument, pokazujemy w przykładowym raporcie.
Źródła
- Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252) - art. 8 i art. 15 ustawy o KSC ()
- Rozporządzenie (UE) 2016/679 (RODO) - art. 32, tekst skonsolidowany (Urząd Publikacji UE) ()
- Rozporządzenie (UE) 2022/2554 w sprawie operacyjnej odporności cyfrowej sektora finansowego (DORA), Dz.Urz. UE L 333 z 27.12.2022 - art. 5-16 i art. 24 (Urząd Publikacji UE) ()
- NIST SP 800-115 - Technical Guide to Information Security Testing and Assessment ()
- OWASP Web Security Testing Guide (WSTG) v4.2 ()
- OWASP Application Security Verification Standard (ASVS) 5.0.0 ()
- OWASP Mobile Application Security Verification Standard (MASVS) - wydania, v2.1.0 ()
Powiązane usługi
Cyberbezpieczeństwo · Testy penetracyjne
Testy penetracyjne
Testy penetracyjne aplikacji webowych i mobilnych, API, infrastruktury, chmury i kodu. OWASP, PTES, raport z dowodami i retest po naprawach.
Zgodność · NIS2/KSC
Audyt NIS2/KSC
Audyt NIS2 i KSC: kogo obejmuje nowelizacja, terminy 3.04.2027 i 3.04.2028, obowiązki, audyt z art. 15 i kary. Audyt zerowy, wdrożenie, pentesty.
Zgodność · DORA
DORA i TLPT
DORA (rozporządzenie 2022/2554): kogo dotyczy, obszary wymagań, testy z art. 24-25 i TLPT, ryzyko ICT i wymagania wobec dostawców. Testy i ocena zgodności.