ИТ-аудит инфраструктуры компании
ИТ-аудит помогает понять, в каком состоянии находится инфраструктура компании, какие сбои наиболее вероятны и на что разумно направить бюджет в первую очередь. Это не формальная опись техники и не продажа заранее выбранного решения. Сначала фиксируется фактическая схема работы: серверы, рабочие места, сеть, резервные копии, доступы, критичные программы, документация и порядок поддержки.
Результатом становится понятная картина текущего состояния и план действий по приоритетам. Руководитель видит риски для бизнеса и последовательность улучшений, а технический специалист получает перечень проверок, зависимостей и задач, который можно использовать в работе.
На какие вопросы отвечает ИТ-аудит
Аудит нужен, чтобы заменить предположения проверяемыми фактами. До начала работ согласуются границы: какие площадки, системы и процессы входят в проверку, кто предоставляет информацию и какие действия допустимы.
- Какие сервисы критичны для работы компании и от чего они зависят?
- Есть ли единый перечень серверов, компьютеров, сетевых устройств и программ?
- Какие точки отказа способны остановить офис, 1С, почту, телефонию или удалённый доступ?
- Создаются ли резервные копии и можно ли подтвердить возможность восстановления?
- Кому принадлежат административные учётные записи и как восстанавливается доступ?
- Какие системы устарели, перегружены или не имеют ответственного за сопровождение?
- Какие улучшения нужны немедленно, а какие можно включить в план развития?
Когда компании нужен аудит инфраструктуры
Проверка особенно полезна перед сменой подрядчика или системного администратора, после серии повторяющихся сбоев, при открытии нового офиса, перед переносом сервисов, при быстром росте штата и перед заключением договора на ИТ-аутсорсинг.
Другой частый сценарий — инфраструктура работает, но знания о ней находятся у одного человека. Нет актуальной схемы сети, перечня доступов, сведений о резервных копиях и понятного плана восстановления. В такой ситуации даже небольшая авария превращается в расследование. Аудит собирает разрозненные сведения в управляемый контур.
Что проверяется во время ИТ-аудита
Состав инфраструктуры и зависимости
Формируется перечень площадок, серверов, виртуальных машин, рабочих станций, сетевого оборудования, каналов связи и основных бизнес-приложений. Отдельно отмечается, какие сервисы связаны друг с другом: например, как работа 1С зависит от СУБД, домена, хранилища, сети и резервного копирования.
Если учёт оборудования не ведётся, аудит можно дополнить инвентаризацией ИТ-оборудования. Это позволяет отделить фактически используемые активы от устаревших записей и неизвестных устройств.
Серверы и виртуализация
Проверяются назначение серверов, версии операционных систем, состояние дисков и хранилищ, загрузка ресурсов, обновления, журналы событий, схема виртуализации и наличие единичных точек отказа. Задача аудита — определить, где требуется наблюдение, обслуживание, обновление или отдельная диагностика.
Технические задачи после аудита можно передать в поддержку серверов. Если инфраструктура разделена между Windows и Linux, рекомендации формируются с учётом роли каждой платформы и реальных зависимостей.
Сеть, Wi-Fi и рабочие места
Оценивается логическая схема сети, адресация, маршрутизация, сегментация, состояние коммутаторов и точек доступа, удалённые подключения и связь между площадками. На рабочих местах проверяются типовые конфигурации, актуальность систем, критичные программы и порядок оказания поддержки пользователям.
При недостатке наблюдаемости отдельно оценивается необходимость мониторинга инфраструктуры: какие параметры нужно контролировать, кому направлять уведомления и какие события считать инцидентами.
Резервное копирование и восстановление
Наличие задания резервного копирования само по себе не доказывает, что данные можно восстановить. Во время аудита фиксируются источники данных, расписание, глубина хранения, расположение копий, уведомления об ошибках и наличие проверок восстановления.
Если резервирование отсутствует или не соответствует задачам компании, в план включается отдельный проект по резервному копированию серверов и данных. Изменение действующей схемы выполняется только после согласования и не входит автоматически в диагностический этап.
1С и корпоративные приложения
Для 1С и других критичных приложений описываются серверные роли, базы данных, точки интеграции, расписание фоновых задач и зависимость от инфраструктуры. Аудит не заменяет профильное тестирование производительности, но помогает определить, требуется ли отдельный аудит производительности 1С.
Доступы и базовая защищённость
Проверяется порядок хранения административных доступов, наличие персональных учётных записей, права бывших сотрудников, способы удалённого подключения, обновления и базовые настройки защиты. Пароли и закрытые ключи не включаются в итоговый отчёт. В нём фиксируются владельцы, назначение доступа, способ безопасной передачи и порядок восстановления контроля.
Глубокая проверка уязвимостей выполняется отдельной услугой. Если задача связана с внешними рисками, аудит дополняется внешним анализом защищённости.
Документация и процессы поддержки
Оценивается, какие сведения уже зафиксированы: схема сети, перечень оборудования, инструкции, договоры, лицензии, контакты провайдеров, регламент обращений и план действий при аварии. Документ считается полезным, если по нему другой специалист может понять назначение системы и продолжить обслуживание.
Как проходит аудит
- Определяем цель и границы. Фиксируем площадки, системы, ограничения, контактных лиц и ожидаемый результат.
- Собираем исходные данные. Изучаем документы, перечни оборудования, доступную статистику, журналы и сведения ответственных сотрудников.
- Проверяем фактическое состояние. Сопоставляем документы с реальной конфигурацией и отмечаем расхождения.
- Оцениваем риски и зависимости. Разделяем критичные проблемы, плановые улучшения и задачи развития.
- Передаём результаты. Обсуждаем выводы, ограничения проверки и рекомендуемую последовательность действий.
Аудит по возможности выполняется без остановки рабочих систем. Если для проверки требуется изменение конфигурации, перезапуск или тест восстановления, такое действие согласуется отдельно. Диагностика не должна создавать новый риск для работающей инфраструктуры.
Что получает компания
Состав документов зависит от согласованного объёма, но обычно результат включает:
- перечень обследованных систем и границы аудита;
- описание основных связей и критичных зависимостей;
- реестр выявленных проблем с пояснением возможных последствий;
- разделение задач на критичные, плановые и развивающие;
- рекомендации с ожидаемым результатом и условиями выполнения;
- план работ по этапам без смешивания срочных исправлений и долгосрочных проектов;
- перечень сведений, которых не хватило и которые требуется восстановить.
В отчёте не должно быть только списка технических терминов. Для каждого существенного замечания важно указать, где оно обнаружено, как влияет на работу, чем подтверждается и какое решение предлагается.
Чем ИТ-аудит отличается от аудита безопасности
ИТ-аудит рассматривает инфраструктуру шире: управляемость, надёжность, производительность, резервирование, документацию и организацию поддержки. Проверка информационной безопасности глубже изучает угрозы, уязвимости, права, средства защиты и выполнение специальных требований.
Эти задачи пересекаются, но не заменяют друг друга. Например, отсутствие персональных административных учётных записей важно и для управляемости, и для безопасности. А нехватка дискового пространства влияет прежде всего на надёжность. Поэтому границы и метод проверки фиксируются до начала работ.
Как перейти от отчёта к изменениям
После аудита компания может выполнять план своими силами, разделить работы между штатными специалистами и подрядчиками или передать согласованный контур на обслуживание. Срочные исправления не следует смешивать с полной модернизацией: сначала устраняются риски остановки, потери данных и утраты доступа, затем планируются архитектурные изменения.
Если требуется постоянная ответственность за результат, выводы аудита становятся основой договора на ИТ-аутсорсинг: перечня систем, границ поддержки, приоритетов, каналов обращений и правил эскалации.
От чего зависят сроки и стоимость
Объём определяется количеством площадок, серверов, сетевых устройств, рабочих мест и приложений, состоянием документации, доступностью ответственных сотрудников и глубиной проверки. По одному числу компьютеров корректно оценить аудит нельзя: небольшая компания с несколькими связанными сервисами может требовать больше анализа, чем крупный офис с типовыми рабочими местами.
Для оценки достаточно описать инфраструктуру, цель проверки и известные проблемы. После короткого уточнения можно согласовать границы, формат результата и этапы работ.
Вопросы об ИТ-аудите
Что именно вы будете проверять?
Состав фиксируется до начала работ. В него могут входить серверы, виртуализация, сеть, рабочие места, резервное копирование, 1С, доступы, документация и процессы поддержки. Системы вне согласованных границ в выводы не включаются.
Нужна ли остановка серверов?
Большинство проверок выполняется без остановки. Действия, которые могут повлиять на пользователей или сервисы, заранее согласуются и переносятся в отдельное окно работ.
Нужно ли передавать все административные пароли?
Нет. Способ доступа выбирается по задаче: временная персональная учётная запись, сеанс под контролем ответственного сотрудника или выгрузка согласованных данных. Передача общего набора паролей без ограничений не требуется.
Будут ли в отчёте пароли и закрытые ключи?
Нет. В отчёте можно зафиксировать владельца доступа, назначение, место безопасного хранения и порядок восстановления, но не сами секреты.
Можно ли проверить только один участок?
Да. Например, резервное копирование, серверы, сеть или инфраструктуру 1С. При этом в отчёте указываются границы проверки, чтобы частичный аудит не воспринимался как оценка всей системы.
Вы можете выполнить рекомендации после аудита?
Да, после согласования приоритетов. Разовые исправления, проектные изменения и постоянное обслуживание оцениваются отдельно, чтобы диагностический отчёт не превращался в автоматическое обязательство заказать все работы.
Обсудить ИТ-аудит
Опишите количество площадок, основные системы, известные проблемы и цель проверки. Мы уточним границы аудита, необходимые исходные данные и формат результата.