Аудит IT-инфраструктуры: цели, этапы, пример отчета

Аудит IT-инфраструктуры — это обследование, которое оценивает состояние информационной системы предприятия и её соответствие задачам бизнеса. Аудит проходит в несколько этапов: инвентаризация оборудования и ПО, оценка рисков и «узких мест», поиск решений и итоговый отчёт с рекомендациями, затратами и ожидаемой выгодой. Чаще всего его заказывают при росте расходов на IT, реорганизации, устаревании систем или проблемах со стабильностью. Прикинуть объём работ можно калькулятором ниже.

Когда нужен аудит IT-инфраструктуры

• растут расходы на поддержание IT-инфраструктуры;
• идёт реорганизация, слияние или создание новой инфраструктуры;
• элементы системы устарели, требуется обновление ПО и оборудования;
• есть проблемы со стабильной работой инфраструктуры;
• нужно оценить, тянет ли IT стратегию развития бизнеса (главная причина).

Что обследуют: объекты аудита

Этапы проведения аудита

1. Инвентаризация и обследование — учёт оборудования, оценка надёжности ПО и антивируса, выявление рисков и проблемных узлов, классификация проблем.
2. Детальная оценка проблем — анализ найденного и поиск вариантов решений.
3. Поиск «узких мест» — оценка текущих IT-решений и рекомендации по оптимизации.
4. Объединение выводов — рекомендации по каждой найденной проблеме.
5. Итоговый отчёт — результаты обследования, проблемы, способы решения, затраты и ожидаемая выгода.

Типичные проблемы при аудите

На практике обследование осложняют типовые трудности — их полезно знать заранее:

• нет квалифицированных сотрудников как источника информации;
• руководство нечётко формулирует цели аудита;
• недостаток или отсутствие документации: нет карты ЛВС, не промаркированы кабели;
• нет данных о лицензиях и регистрациях ПО;
• отсутствует база паролей — приходится собирать заново;
• сложно получить данные по удалённым офисам;
• аудитор должен трезво оценивать бюджет компании и не предлагать невыполнимого, а также давать оценку рисков по каждому решению — финальное слово за топ-менеджментом.

Рекомендации по аудиту аппаратной части

• инвентаризацию вести по категориям: серверы, рабочие станции, периферия, активное и пассивное сетевое оборудование, сервисное оборудование;
• схемы СКС составлять самостоятельно, не доверяя готовым данным — они часто ошибочны;
• оценивать сроки работы оборудования (по данным бухгалтерии) и соответствие задачам;
• оценивать мощность серверов — объединять, модернизировать или выводить из эксплуатации;
• виртуализировать серверы при необоснованном росте их числа, но не виртуализировать критичные к стабильности узлы — VPN-серверы, роутеры, серверы БД и бухгалтерии;
• для связи с филиалами привлекать системного интегратора;
• документировать все изменения, схемы, конфигурации и пароли.

Пример структуры отчёта

Итоговый отчёт по аудиту — это рабочий документ, по которому затем планируют изменения. Типовая структура включает около 17 разделов:

1. Оглавление и принятые обозначения помещений.
2. Локальная сеть и топология сети.
3. Активное сетевое оборудование.
4. Состав и состояние пассивных компонентов ЛВС.
5. Получение внешних сервисов, центральная точка.
6. Пользовательские места: количество, распределение, оборудование и ПО.
7. Периферийное оборудование.
8. Замечания, проблемы и пути их решения (включая мнение системного администратора).
9. Перечень мероприятий для улучшения работы информационной системы и комментарии к спецификации.

Пример рекомендаций по итогам аудита

Чтобы было понятнее, как выглядит результат, приведём типичные выводы из реального формата отчёта:

• серверы низкой производительности, нет отказоустойчивости дисковой системы — риск потери данных и остановки при отказе одного диска;
• нет доступа к управлению маршрутизатором — нельзя оперативно менять настройки;
• глубина резервного копирования файлового сервера — 1 неделя: при поздно замеченной потере данные не восстановить;
• почтовый сервер копируется раз в неделю, журналы транзакций не очищаются и копятся на диске, замедляя работу;
• резервные копии хранятся на дисках того же сервера — ненадёжно;
• используется внешняя почта при наличии своего почтового сервера — при сбоях интернета пользователи теряют доступ.

Современный аудит дополнительно проверяет готовность к импортозамещению: какие зарубежные продукты пора заменить на российские аналоги из реестра и насколько инфраструктура соответствует требованиям по ИБ. Это удобно совмещать с переходом на российские NGFW и при необходимости — с аудитом информационной безопасности.

Частые вопросы