ИТ-аудит компании — это независимая проверка того, как устроена, работает и защищена ваша ИТ-инфраструктура. Аудит ИТ отвечает на три вопроса: что у вас есть, в каком это состоянии и где спрятаны риски. В отличие от планового мониторинга, аудит даёт срез на конкретную дату и приоритизированный список того, что чинить в первую очередь.
Многие руководители откладывают аудит ИТ инфраструктуры до момента, когда что-то ломается. Это дорогой путь: авария на проде обходится дороже плановой проверки. Ниже — практический разбор для тех, кто отвечает за ИТ: по каким признакам понять, что пора; что входит в аудит по шагам; как проверить подрядчика и какие ошибки повторяют чаще всего.
Внешний аудит ИТ систем стоит доверять команде, у которой это отдельная услуга, а не бесплатное приложение к продаже оборудования. Такие проекты ведёт, например, оператор ИТ-решений ОБИТ — аудит ИТ-инфраструктуры входит в его услуги по обслуживанию ИТ.
По каким признакам пора проводить аудит
Аудит нужен не ради формальности, а когда накопились симптомы. Проверьте себя по списку — если совпадает два-три пункта, тянуть не стоит.
-
Частые сбои и повторяющиеся инциденты. Обычно это говорит о скрытых узких местах, устаревшем оборудовании или некорректно настроенных сервисах.
-
Непрозрачные ИТ-расходы. Часто причина в отсутствии актуальной карты активов и лицензий, из-за чего компания переплачивает за дублирующиеся или неиспользуемые сервисы.
-
Нет учёта оборудования и программного обеспечения. Неясно, какие системы используются, где они находятся и кто отвечает за их поддержку.
-
Уход ключевого системного администратора. Если знания хранились только у одного специалиста, а документация не велась, возрастает риск простоев и ошибок.
-
Планы по масштабированию, переезду или слиянию. Перед изменениями важно понять, выдержит ли существующая инфраструктура рост нагрузки и новые требования.
-
Подозрения на проблемы с информационной безопасностью. Неясная схема периметра, избыточные права доступа или отсутствие контроля над хранением данных требуют проверки.
-
Подготовка к внедрению новой системы. Необходимо оценить совместимость нового решения с существующей инфраструктурой и заранее выявить возможные ограничения.
Отдельный триггер — смена подрядчика или передача ИТ на аутсорсинг. Прежде чем отдавать инфраструктуру в новые руки, полезно зафиксировать её состояние аудитом, чтобы потом было с чем сравнивать.
Что входит в ИТ-аудит по шагам
Аудит ит процессов и инфраструктуры разворачивается в предсказуемую последовательность. Глубина каждого шага зависит от целей, но структура сохраняется.
- Постановка задачи и границ. Определяете, что проверяете: всю инфраструктуру, отдельный сегмент, ИБ или готовность к конкретному проекту. От границ зависят сроки и стоимость.
- Сбор данных и инвентаризация. Аудитор описывает оборудование, серверы, сеть, каналы связи, программное обеспечение и лицензии, учётные записи. На выходе — актуальная карта активов.
- Анализ конфигураций и нагрузки. Проверка настроек серверов, виртуализации, сети, резервного копирования. Оценка запаса по мощности и точек отказа.
- Оценка информационной безопасности. Периметр, права доступа, парольные политики, обновления, защита от вредоносного ПО, хранение и восстановление данных.
- Анализ процессов эксплуатации. Как обрабатываются заявки, кто отвечает за сервисы, есть ли регламенты и документация, соблюдаются ли SLA.
- Выявление рисков и приоритизация. Каждая находка получает оценку критичности и влияния на бизнес — чтобы вы понимали, что чинить сегодня, а что можно отложить.
- Отчёт и рекомендации. Документ с текущим состоянием, перечнем проблем, планом работ и ориентировочными затратами.
Чеклист: что проверить в первую очередь
Если хотите оценить состояние своими силами до привлечения внешней команды, пройдитесь по базовому списку. Он не заменяет полноценный аудит ИТ инфраструктуры, но покажет масштаб.
- Активы. Есть ли актуальный реестр оборудования и ПО с указанием ответственных.
- Лицензии. Все ли программы лицензированы, нет ли просроченных или лишних подписок.
- Резервное копирование. Делаются ли бэкапы, проверяли ли восстановление на практике.
- Доступы. Кто имеет административные права, отключены ли учётки уволенных сотрудников.
- Обновления. Установлены ли актуальные патчи на серверы, сетевое оборудование и рабочие станции.
- Сеть и периметр. Понятна ли схема сети, закрыты ли лишние порты, как организован удалённый доступ.
- Документация. Описаны ли ключевые системы так, чтобы новый специалист разобрался без прежнего админа.
- Мониторинг. Видите ли вы сбои заранее или узнаёте о них от пользователей.
Каждый пункт, на который вы не можете ответить уверенно, — кандидат в план работ.
Своими силами или с подрядчиком
Внутренняя команда знает систему изнутри и проведёт аудит дешевле. Но у своих специалистов есть слепые зоны: сложно объективно оценить то, что настраивал сам, и не хватает насмотренности по другим инфраструктурам.
Внешний ит консалтинг даёт независимый взгляд, опыт десятков похожих проектов и готовую методологию. Компромиссный вариант — гибрид: подрядчик ведёт аудит и методологию, внутренняя команда помогает со сбором данных и доступами. Так дешевле, чем полностью внешний проект, и объективнее, чем полностью свой.
Ориентир по срокам: экспресс-оценка небольшой инфраструктуры — от нескольких дней, полноценный аудит среднего предприятия — ориентировочно две-четыре недели. Точные цифры зависят от масштаба и глубины.
Как выбрать подрядчика: что спросить
Разговор с потенциальным исполнителем стоит вести по конкретным вопросам, а не по общим обещаниям. Спросите заранее:
- Что войдёт в отчёт? Попросите пример обезличенного отчёта — по нему видно глубину проработки.
- Как оцениваете критичность находок? У зрелой команды есть методология приоритизации, а не просто список замечаний.
- Кто конкретно будет работать? Уровень инженеров важнее названия компании.
- Аудит отдельно или ради продажи? Если проверка бесплатна и заканчивается счётом на оборудование, объективность под вопросом.
- Что с конфиденциальностью? Аудитор получит доступ к чувствительным данным — нужен NDA и понятные правила работы с информацией.
- Будет ли план работ, а не только диагноз? Ценность аудита — в дорожной карте, а не в констатации проблем.
Хороший признак — когда подрядчик задаёт встречные вопросы о ваших бизнес-целях. Значит, он анализирует ИТ в привязке к задачам компании, а не по шаблону.
Типичные ошибки при аудите
- Аудит без цели. Проверка без конкретной задачи даёт разрозненный список замечаний, который некому внедрять. Формулируйте задачу заранее.
- Отчёт в стол. Самая частая ошибка — получить документ и не запустить работы. Аудит окупается только через выполнение рекомендаций.
- Экономия на независимости. Бесплатная проверка от поставщика оборудования нередко подводит к нужным поставщику выводам.
- Игнорирование процессов. Проверяют железо и софт, но забывают про регламенты, документацию и распределение ответственности — а сбои чаще растут именно оттуда.
- Разовость. Инфраструктура меняется, и срез годовой давности устаревает. Аудит полезнее как регулярная практика.
С чего начать проверку своей инфраструктуры
Начните с малого: соберите реестр активов, проверьте бэкапы на восстановление и составьте список административных доступов. Уже на этом шаге проявятся первые пробелы. Дальше решите по масштабу находок — хватит внутренних сил или стоит привлечь внешний ит консалтинг с готовой методологией. Главное — доводить аудит до плана работ и его выполнения, иначе даже подробный отчёт останется бумагой.
Вопросы и ответы
Как часто нужно проводить ИТ-аудит?
Полный аудит инфраструктуры разумно повторять раз в один-два года, а также перед крупными изменениями: переездом, масштабированием, сменой подрядчика, внедрением новой системы. Экспресс-проверку ключевых точек можно делать чаще. Для быстро растущих компаний интервал короче.
Сколько длится аудит ИТ инфраструктуры?
Экспресс-оценка небольшой инфраструктуры занимает от нескольких дней. Полноценный аудит ИТ систем среднего предприятия — ориентировочно от двух до четырёх недель. Срок зависит от числа площадок, объёма оборудования и глубины проверки ИБ.
Можно ли провести ИТ-аудит своими силами?
Да, базовую инвентаризацию и проверку по чеклисту внутренняя команда осилит. Но объективную оценку конфигураций и рисков ИБ лучше доверить независимой стороне — своим специалистам сложно критично оценить то, что они сами настраивали. Рабочий вариант — гибрид внутренней команды и внешнего аудитора.
Что входит в отчёт по аудиту?
Отчёт содержит карту ИТ-активов, описание текущего состояния, перечень выявленных проблем с оценкой критичности, риски информационной безопасности и план работ с приоритетами. Хороший отчёт включает ориентировочные затраты на устранение проблем, чтобы можно было планировать бюджет.
Чем аудит отличается от мониторинга?
Мониторинг непрерывно отслеживает заданные метрики и оповещает о сбоях в реальном времени. Аудит — это разовый глубокий срез всей инфраструктуры и процессов на конкретную дату с рекомендациями. Мониторинг показывает текущее состояние в реальном времени, аудит отвечает, что устроено неправильно и что с этим делать.
Сколько стоит ИТ-аудит компании?
Стоимость зависит от масштаба инфраструктуры, числа площадок и глубины проверки. Экспресс-аудит обходится заметно дешевле полного, аудит с упором на информационную безопасность — дороже базового. Точную цену подрядчик называет после уточнения границ и задач проекта.
Нужен ли аудит, если ИТ работает без сбоев?
Отсутствие видимых сбоев не означает отсутствие рисков. Проблемы с бэкапами, лишними доступами и лицензиями часто не проявляются, пока не случится инцидент. Аудит ИТ инфраструктуры находит такие скрытые уязвимости заранее, а не по факту аварии.