Аудит ИТ-инфраструктуры компании: чек-лист для руководителя
Аудит ИТ-инфраструктуры компании начинается не с утилит и сканеров, а с ответа на несколько простых вопросов: что у нас есть, кто за это отвечает, что случится при отказе и кто имеет доступ. Руководитель может провести первичный аудит сам по чек-листу из этой статьи, а затем решить, нужен ли углублённый технический разбор. Ниже порядок, в котором я обычно иду по компании любого размера.
Зачем проводить аудит ИТ-инфраструктуры и когда он нужен
Поводов обычно три. Первый: сменился ИТ-специалист или подрядчик, и вы получили систему, которую никто до конца не понимает. Второй: случился сбой или инцидент, после которого хочется выяснить, не повторится ли он. Третий: компания растёт, и то, что работало для пяти человек, начинает скрипеть на двадцати.
Аудит не должен превращаться в бумажный отчёт ради отчёта. Результат хорош, если на выходе вы получаете три списка: что срочно исправить, что запланировать на квартал, что можно оставить как есть. Всё остальное лишнее.
Шаг первый: инвентаризация, или что у вас вообще есть
Невозможно защитить и поддерживать то, чего нет в списке. Соберите единый перечень по категориям:
- Рабочие места: компьютеры, ноутбуки, телефоны, кому выданы, какая операционная система, дата последнего обновления.
- Серверы и облачные сервисы: физические и виртуальные серверы, облачные аккаунты, хостинг сайта, почта, учётные системы, в том числе 1С.
- Сетевое оборудование: маршрутизатор, коммутаторы, точки Wi-Fi, межсетевой экран, кто и как ими управляет.
- Периферия и специфическое оборудование: принтеры, кассы, терминалы, камеры, контроллеры доступа.
- Программное обеспечение и лицензии: что куплено, на кого оформлено, когда заканчивается.
- Домены, сертификаты, подписки: даты окончания и владелец аккаунта.
Для каждой позиции запишите владельца со стороны компании и ответственного за поддержку. Если ответственного нет, это уже находка. Такой реестр достаточно вести в обычной таблице, но обновлять его надо при любой покупке и списании.
Шаг второй: доступы и учётные записи
Здесь чаще всего находятся реальные риски. Проверьте:
- Есть ли учётные записи уволившихся сотрудников и бывших подрядчиков в почте, 1С, облачных сервисах, VPN.
- Используются ли общие логины вроде «admin» или «buh», за которыми нельзя определить человека.
- У кого права администратора и зачем они нужны именно этим людям.
- Включена ли двухфакторная аутентификация для почты, облачных панелей, панели хостинга и доменного регистратора.
- Где хранятся пароли: в менеджере паролей или в заметках, таблицах и мессенджерах.
Подробные практики по паролям вынесены в отдельную статью: пароли и двухфакторная аутентификация в компании. Для аудита достаточно понять масштаб проблемы и составить план очистки.
Хороший признак зрелости: на уход сотрудника есть чек-лист отзыва доступов, и он выполняется в день увольнения.
Шаг третий: сеть, периметр и удалённый доступ
Сеть редко ломается эффектно, чаще она тихо накапливает слабые места. Что проверяю:
- Схема сети. Есть ли она на бумаге или в файле. Если нет, нарисуйте хотя бы упрощённо: интернет, маршрутизатор, внутренние сегменты, серверы.
- Разделение сегментов. Гостевой Wi-Fi отделён от рабочей сети? Камеры и оборудование кассовой зоны не находятся в одной сети с бухгалтерией?
- Открытые снаружи сервисы. Какие порты проброшены в интернет и зачем. Удалённый рабочий стол, выставленный наружу без дополнительной защиты, типичная проблема.
- Удалённый доступ сотрудников. VPN с индивидуальными учётными записями предпочтительнее, чем проброс портов.
- Обновления прошивок маршрутизаторов, точек доступа и другого оборудования. Устаревшие прошивки встречаются повсеместно.
- Пароли по умолчанию на оборудовании. Поменяны ли они везде, включая камеры и принтеры.
Если нужно быстро увидеть, что наружу смотрит из вашей сети, это можно сделать сканированием со стороны интернета, но делайте это только для собственной инфраструктуры и желательно силами специалиста.
Шаг четвёртый: почта, домен и сайт
Это часть инфраструктуры, которую часто забывают, пока не попадёшь в спам или не потеряешь домен. Проверьте:
- на кого зарегистрирован домен и есть ли доступ к аккаунту регистратора у компании, а не только у бывшего подрядчика;
- когда истекает домен и сертификат SSL, настроено ли автоматическое продление;
- настроены ли записи SPF, DKIM и DMARC для вашей деловой почты, иначе письма рискуют оседать в спаме или подделываться. Как это устроено: домен, SSL и почта;
- где физически размещён сайт, кто обновляет его движок и плагины, как часто;
- есть ли у сайта и сервисов мониторинг доступности.
Про мониторинг отдельный разговор, он заслуживает собственного пункта в плане улучшений: мониторинг сервисов и уведомления о сбоях.
Шаг пятый: устойчивость к сбоям и документация
Сформулируйте для каждой критичной системы три вопроса:
- Что остановится в бизнесе, если она недоступна час, день, три дня?
- Кто узнает о сбое первым и как быстро?
- Кто и по какой инструкции будет восстанавливать работу?
Ответы покажут, где нужен резерв оборудования, запасной канал связи или хотя бы понятная инструкция. Отдельно проверьте, что процедуры восстановления кто-то действительно пробовал выполнять, а не только описал. Описание, которое ни разу не проверяли на практике, часто содержит пропущенные шаги.
Документация минимального уровня:
- реестр оборудования и сервисов;
- схема сети и расположение ключевых серверов;
- список доступов и ответственных (без самих паролей в этом документе);
- контакты поставщиков и подрядчиков;
- инструкции для типовых сбоев.
Как оформить результаты аудита
Не пишите длинный отчёт. Сделайте таблицу из четырёх столбцов: проблема, чем грозит, что делать, срок и ответственный. Сортируйте по тому, что опаснее и дешевле исправить. Быстрые победы вроде смены паролей по умолчанию, отзыва лишних доступов и включения двухфакторной защиты делаются за считаные дни и сразу снижают риск.
Для тех, кто хочет взглянуть шире на безопасность, есть отдельная статья про минимум информационной безопасности для малого бизнеса. Аудит и безопасность связаны: первый показывает картину, вторая подсказывает, какие меры в неё вписать.
Шаг шестой: программное обеспечение, лицензии и учётные системы
Отдельно пройдитесь по программам, на которых держится работа. Для каждой выпишите: версию, кто администратор, как часто обновляется, на каком сервере или в каком облаке работает, есть ли поддержка у производителя. Устаревшие версии без поддержки превращаются в риск не сразу, а в тот день, когда в них находят уязвимость, а закрыть её нечем.
Для учётной системы вроде 1С проверьте вдобавок:
- кто может менять конфигурацию и есть ли разделение между разработкой и рабочей базой;
- есть ли тестовая копия, на которой пробуют обновления;
- какие внешние обмены настроены (сайт, банк, кассы) и кто знает, как они устроены;
- не используется ли одна учётная запись для нескольких людей.
Лицензии проверяйте не ради придирок. Нелицензионное или просроченное ПО создаёт и юридические, и технические проблемы: обновления не приходят, поддержка недоступна. Если в реестре видно, что срок скоро заканчивается, продление планируется заранее, а не в день отключения.
Как выстроить аудит в регулярный процесс
Единичный аудит быстро устаревает, поэтому закрепите ритм. Раз в квартал обновляйте реестр оборудования и доступов, раз в год проводите полный обзор по этому чек-листу, а при каждом значимом изменении (новый сервис, новый подрядчик, переезд) делайте короткую проверку затронутой части.
Назначьте ответственного, пусть даже совмещающего эту роль с другой. Если за ИТ отвечают все, то на практике не отвечает никто. И сохраняйте результаты прошлых аудитов, чтобы видеть, что действительно исправлено, а что переходит из отчёта в отчёт.
Частые вопросы
Как часто нужно проводить аудит ИТ-инфраструктуры?
Полный разбор разумно делать раз в год или при крупных изменениях: переезд офиса, смена подрядчика, запуск нового сервиса. Небольшие проверки, например реестра доступов, лучше делать чаще, раз в квартал.
Можно ли провести аудит самостоятельно без ИТ-специалиста?
Первичный обзор по чек-листу руководителю вполне по силам: инвентаризация, доступы, сроки доменов и сертификатов. Технические проверки сети и серверов лучше доверить специалисту, потому что неправильная проверка может нарушить работу.
Что важнее проверить, если времени мало?
Начните с доступов и с критичных систем: кто имеет права администратора, включена ли двухфакторная защита, кто восстановит учётную систему и почту при отказе. Эти пункты дают наибольший эффект при минимальных затратах.
Нужно ли привлекать внешнего подрядчика для аудита?
Свежий взгляд со стороны помогает увидеть то, к чему внутренняя команда привыкла. Но перед привлечением обязательно оформите договор и соглашение о неразглашении, потому что аудитор получает широкий доступ.
Если хотите, чтобы по результатам такого обзора кто-то помог привести инфраструктуру в порядок, посмотрите раздел про ИТ-инфраструктуру и проекты или задайте вопрос в Telegram.