Przykładowy kształt raportu oceny bezpieczeństwa

Poniżej jest kształt raportu, jaki dostajesz po uzgodnionej ocenie. Dane firmowe są zanonimizowane. To nie jest ocena Twojego środowiska — tylko wzór sekcji.

1. Metryka

Pole	Treść
Zakres	Tenant Microsoft 365 (1 domena), 2 hosty Windows Server w sieci biurowej, 1 firewall brzegowy, publiczne DNS domeny firmowej
Poza zakresem	Stacje końcowe użytkowników, sieć gościnna Wi‑Fi, aplikacje SaaS poza M365, test penetracyjny aplikacji WWW
Okres prac	3–5 marca 2026
Metody	Wywiad z administratorem, przegląd konfiguracji Entra ID / Exchange Online, odczyt DNS (SPF/DKIM/DMARC), przegląd reguł NAT/firewall, lista nasłuchu uzgodnionych hostów
Ograniczenia	Brak konta break-glass do podglądu; logi VPN tylko z 14 dni

2. Streszczenie dla decyzji

Największe ryzyka w zakresie: (1) konto Global Administrator bez MFA odpornego na phishing, (2) RDP z internetu na jeden host „tymczasowo”, (3) brak udokumentowanego testu odtworzenia backupu z ostatnich 12 miesięcy. Żadne z ustaleń nie jest oceną „bezpieczeństwa w skali 1–10”.

3. Ustalenia

U-01 — Global Administrator bez passkey / FIDO2

Priorytet: krytyczne
Fakt: Dwa konta z rolą Global Administrator logują się MFA opartym o aplikację TOTP; brak zarejestrowanego klucza bezpieczeństwa.
Ryzyko: Skuteczny phishing sesji lub kodu daje pełną kontrolę nad tenantem.
Rekomendacja: Wymusić phishing-resistant MFA na rolach uprzywilejowanych; dodać drugą metodę zapasową poza telefonem codziennym.
Właściciel (propozycja): IT / właściciel firmy

U-02 — RDP wystawione pod publicznym adresem

Priorytet: krytyczne
Fakt: Host srv-app01 przyjmuje połączenia TCP/3389 z sieci nieufnej; reguła opisana jako „tymczasowa” bez daty wygaśnięcia.
Ryzyko: Automatyczne skany i credential stuffing przeciwko kontom lokalnym / domenowym.
Rekomendacja: Natychmiast zamknąć publikację; dostęp tylko przez VPN lub broker z MFA; jeśli musi zostać — allowlista źródła + osobne konto + monitoring logowań.
Właściciel (propozycja): Administrator sieci

U-03 — DMARC w trybie none bez przeglądu raportów

Priorytet: ważne
Fakt: Rekord DMARC p=none; skrzynka raportów istnieje, ale nie ma stałego odbiorcy.
Ryzyko: Można podszywać się pod domenę bez sygnału dla właściciela.
Rekomendacja: Ustawić właściciela raportów; po inwentaryzacji źródeł przejść etapami do quarantine zgodnie z procedurą.

U-04 — Backup bez potwierdzonego testu odtworzenia

Priorytet: ważne
Fakt: Kopia na dysk sieciowy w tej samej lokalizacji; ostatni udany test odtworzenia pliku — według wywiadu — ponad rok temu.
Ryzyko: Po ransomware lub awarii nośnika brak dowodu, że da się wrócić.
Rekomendacja: Jeden test odtworzenia według arkusza; rozważyć kopię poza lokalizacją produkcyjną.

U-05 — Konto byłego współpracownika w grupie VPN

Priorytet: później
Fakt: Konto wyłączone w AD, nadal członkiem grupy dostępu VPN.
Rekomendacja: Usunąć z grup dostępu; dodać checklistę offboardingu.

4. Czego nie sprawdzano

stacji końcowych i EDR
segregacji VLAN gościnnego / IoT
aplikacji WWW firmy (brak zgody na testy aktywne)
polityk DLP i etykiet wrażliwości

5. Proponowana kolejność napraw

Zamknąć RDP z internetu (U-02).
Domknąć MFA na Global Admin (U-01).
Ustawić właściciela DMARC i kalendarz przejścia (U-03).
Wykonać i zapisać test odtworzenia (U-04).
Offboarding VPN (U-05).

6. Załączniki (w pełnym raporcie)

Zrzut rekordów DNS poczty
Lista reguł firewall objętych zakresem
Notatka o ograniczeniach dostępu

Jeśli chcesz taki kształt dla swojego środowiska: ustal zakres oceny.