Oferta QuestLab.pl

Cyberbezpieczeństwo, audyty, szkolenia i infrastruktura IT dla urzędów, firm, JDG i instytucji

QuestLab łączy audyty bezpieczeństwa, wymagania KSC/NIS2, KRI, ISO/IEC 27001 i RODO z techniczną weryfikacją rzeczywistego stanu infrastruktury IT.

Nie ograniczamy audytu do dokumentów i ankiet. Sprawdzamy również konfigurację systemów, sieci, urządzeń, środowisk wirtualnych, mechanizmów backupu, monitoringu i logowania zdarzeń. Dzięki temu rekomendacje wynikają z rzeczywistego stanu organizacji, a nie wyłącznie z deklaracji.

Na tej stronie:

Dla kogo pracujemy

Wspieramy przede wszystkim:

  • urzędy miast i gmin,
  • starostwa i jednostki samorządu terytorialnego,
  • jednostki organizacyjne administracji publicznej,
  • jednoosobowe działalności gospodarcze,
  • mikrofirmy oraz małe i średnie przedsiębiorstwa,
  • organizacje posiadające niewielkie lub przeciążone działy IT,
  • podmioty, które muszą połączyć wymagania formalne z rzeczywistym bezpieczeństwem infrastruktury.

Znamy realia administracji publicznej, JDG i małych organizacji: ograniczone zasoby, brak własnego działu IT albo wiele obowiązków skupionych w niewielkim zespole, zależność od dostawców zewnętrznych i konieczność utrzymania ciągłości działania bez budowania nadmiernie rozbudowanych systemów.

Jak pracujemy

Bezpieczeństwo traktujemy jako połączenie trzech obszarów:

  • organizacji i odpowiedzialności,
  • wymagań formalnych i dokumentacji,
  • rzeczywistego stanu technicznego infrastruktury.

Dokumentacja jest potrzebna, ale powinna opisywać to, co faktycznie dzieje się w organizacji.

Dlatego podczas audytu lub wdrożenia szukamy dowodów: konfiguracji, logów, wyników monitoringu, ustawień systemów, kopii zapasowych, procedur oraz informacji od osób odpowiedzialnych za poszczególne procesy.

Naszym celem nie jest stworzenie kolejnego segregatora. Celem jest ustalenie:

  • co działa poprawnie,
  • gdzie występuje ryzyko,
  • co należy poprawić w pierwszej kolejności,
  • kto powinien odpowiadać za działanie,
  • jak sprawdzić, czy zmiana rzeczywiście przyniosła oczekiwany efekt.

W czym możemy pomóc

1. Cyberbezpieczeństwo i audyty bezpieczeństwa

Prowadzimy audyty techniczne i organizacyjne środowisk IT. Weryfikujemy zabezpieczenia nie tylko na podstawie dokumentacji, ale także przez analizę konfiguracji, infrastruktury, urządzeń i logów.

Zakres może obejmować między innymi:

  • audyty cyberbezpieczeństwa,
  • KSC i NIS2,
  • KRI,
  • ISO/IEC 27001,
  • analizę ryzyka,
  • hardening systemów,
  • ocenę konfiguracji Active Directory,
  • serwery Windows i Linux,
  • firewalle i urządzenia UTM,
  • sieci LAN i Wi-Fi,
  • segmentację sieci i VLAN-y,
  • monitoring i logowanie zdarzeń,
  • mechanizmy kopii zapasowych i odtwarzania,
  • dostęp zdalny i konta uprzywilejowane,
  • ocenę powierzchni ataku.

Sprawdź zakres audytów i cyberbezpieczeństwa =>

2. RODO i Inspektor Ochrony Danych

Ochronę danych osobowych łączymy z rzeczywistym bezpieczeństwem systemów, w których dane są przetwarzane.

Pełnimy funkcję Inspektora Ochrony Danych i wspieramy organizacje w analizie procesów przetwarzania danych, ryzyka oraz zabezpieczeń technicznych i organizacyjnych.

W pracy uwzględniamy między innymi:

  • organizację ochrony danych,
  • analizę ryzyka,
  • uprawnienia użytkowników,
  • bezpieczeństwo systemów przetwarzających dane,
  • retencję i kopie zapasowe,
  • incydenty i naruszenia,
  • korzystanie z usług zewnętrznych,
  • narzędzia AI i problem Shadow AI,
  • zgodność dokumentacji z rzeczywistym sposobem działania organizacji.

Zobacz zakres wsparcia w ochronie danych =>

3. Infrastruktura IT i wsparcie informatyczne

Pomagamy projektować, porządkować i zabezpieczać infrastrukturę IT.

Zakres prac może obejmować:

  • serwery fizyczne i wirtualne,
  • środowiska wirtualizacyjne,
  • Windows Server i Linux,
  • Active Directory,
  • sieci LAN i Wi-Fi,
  • routery i przełączniki,
  • urządzenia wpięte do sieci,
  • firewalle i UTM,
  • VLAN-y i segmentację,
  • systemy backupu,
  • monitoring infrastruktury,
  • Zabbix i Wazuh,
  • integrację systemów,
  • certyfikaty i usługi infrastrukturalne,
  • lokalną infrastrukturę AI,
  • automatyzację zadań administracyjnych.

Nie zakładamy, że każda organizacja potrzebuje rozbudowanego środowiska klasy enterprise. Dobieramy rozwiązania do rzeczywistej skali, ryzyka i możliwości utrzymania.

4. Szkolenia

Szkolenia są jednym z głównych obszarów działalności QuestLab. Prowadzimy przede wszystkim praktyczne szkolenia stacjonarne dla firm, urzędów, instytucji, kierownictwa oraz zespołów IT.

Zakres obejmuje między innymi:

  • cyberbezpieczeństwo, KSC i NIS2,
  • KRI i ISO/IEC 27001,
  • ochronę danych osobowych i RODO,
  • szkolenia dla kierownictwa i osób odpowiedzialnych za bezpieczeństwo,
  • hardening, backup i odtwarzanie,
  • Windows Server, Linux i sieci komputerowe,
  • Wazuh i Zabbix,
  • automatyzację z n8n,
  • lokalne rozwiązania AI.

Preferujemy szkolenia stacjonarne i warsztatowe. Bezpośredni kontakt pozwala pracować na rzeczywistych problemach uczestników i dostosować zakres oraz poziom techniczny do konkretnej organizacji.

Zobacz szkolenia =>

Co faktycznie sprawdzamy

Zakres technicznej weryfikacji zależy od środowiska klienta. Może obejmować między innymi:

  • serwery fizyczne i wirtualne,
  • platformy wirtualizacyjne,
  • Active Directory i polityki bezpieczeństwa,
  • konta uprzywilejowane i uprawnienia użytkowników,
  • systemy Windows i Linux,
  • urządzenia wpięte do sieci,
  • routery, przełączniki i punkty dostępowe Wi-Fi,
  • firewalle i UTM,
  • segmentację sieci i VLAN-y,
  • połączenia pomiędzy sieciami i lokalizacjami,
  • dostęp zdalny i VPN,
  • kopie zapasowe i możliwość odtworzenia,
  • monitoring infrastruktury,
  • logi systemowe i bezpieczeństwa,
  • aktualizacje i podatności,
  • konfigurację usług wystawionych do Internetu,
  • certyfikaty,
  • synchronizację czasu,
  • urządzenia NAS i inne zasoby sieciowe,
  • zależności od usług i dostawców zewnętrznych.
  • weryfikację bezpieczeństwa infrastruktury LAN/WAN,
  • audyt uprawnień, kont uprzywilejowanych i polityk haseł w Active Directory,
  • weryfikację konfiguracji usług chmurowych i tożsamości, jeśli są częścią środowiska klienta.

Nie każda organizacja posiada wszystkie te elementy. Zakres audytu jest ustalany na podstawie rzeczywistej infrastruktury i ryzyka.

Od wymagania do konkretnej kontroli

Wymagania prawne i normatywne przekładamy na działania, które można rzeczywiście sprawdzić.

Przykładowo wymaganie dotyczące kontroli dostępu może prowadzić do sprawdzenia:

  • grup i uprawnień w Active Directory,
  • kont administracyjnych,
  • zasad MFA,
  • dostępu VPN,
  • reguł firewalli,
  • historii zmian i logowania zdarzeń.

Wymaganie dotyczące ciągłości działania może oznaczać sprawdzenie:

  • czy wykonywane są kopie zapasowe,
  • gdzie są przechowywane,
  • jaka jest ich retencja,
  • czy obejmują najważniejsze systemy,
  • czy wykonano próbę odtworzenia.

Dzięki temu audyt nie kończy się na odpowiedzi „tak” lub „nie”.

Co otrzymuje klient

W zależności od zakresu prac wynikiem może być:

  • opis stanu obecnego,
  • wykaz stwierdzonych ryzyk,
  • wskazanie priorytetów,
  • konkretne rekomendacje techniczne i organizacyjne,
  • plan działań naprawczych,
  • wskazanie odpowiedzialności,
  • dokumentacja wymaganych zmian,
  • ponowna weryfikacja po wdrożeniu,
  • materiały potrzebne do dalszego utrzymania rozwiązania.

Rekomendacje dzielimy według znaczenia i realnego ryzyka. Nie każda niezgodność wymaga natychmiastowej inwestycji.

Doświadczenie w administracji publicznej

QuestLab powstał na bazie wieloletniego doświadczenia w administracji publicznej, informatyce, ochronie danych i bezpieczeństwie informacji.

Rozumiemy, że urząd, JDG lub mała organizacja nie działa jak duża korporacja.

Dlatego przy projektowaniu zabezpieczeń bierzemy pod uwagę:

  • realną liczbę pracowników,
  • kompetencje i obciążenie działu IT,
  • istniejącą infrastrukturę,
  • dostępny budżet,
  • wymagania formalne,
  • możliwość późniejszego utrzymania rozwiązania.

Dobre zabezpieczenie to nie tylko rozwiązanie technicznie poprawne. Musi być również możliwe do utrzymania przez organizację po zakończeniu wdrożenia.

Nie wierz nam na słowo - zobacz, jak pracujemy

Opisujemy techniczne i organizacyjne aspekty bezpieczeństwa w dziale Wiedza.

Polecamy między innymi:

Przejdź do pełnej bazy wiedzy =>

Porozmawiajmy o Twoim środowisku

Jeżeli chcesz omówić audyt, bezpieczeństwo infrastruktury, wymagania KSC/NIS2, RODO lub konkretne problemy techniczne, skontaktuj się z nami.

Nie musisz na początku dokładnie wiedzieć, jak nazwać potrzebną usługę.

Najpierw ustalimy:

  • jaki problem ma zostać rozwiązany,
  • jaki jest zakres infrastruktury,
  • jakie wymagania dotyczą organizacji,
  • co warto sprawdzić w pierwszej kolejności.

Kontakt =>