IT-аудит: что проверять в инфраструктуре компании

IT-инфраструктура компании может годами работать без серьёзных аварий, но это ещё не означает, что она надёжна и безопасна. Компьютеры постепенно устаревают, конфигурации серверов меняются, сотрудники получают новые права доступа, а резервные копии могут перестать создаваться без очевидных внешних признаков.

Нередко организация обнаруживает накопившиеся проблемы только после серьёзного происшествия: отказа сервера, шифрования корпоративных файлов, потери базы 1С или увольнения системного администратора, который единственный знал пароли и устройство сети.

IT-аудит позволяет заранее оценить состояние инфраструктуры, найти технические и организационные риски, проверить критичные системы и определить, какие изменения действительно необходимы компании.

Что такое IT-аудит

IT-аудит — это систематическая проверка информационной инфраструктуры организации, её конфигураций, процессов обслуживания, безопасности и готовности к восстановлению после технических сбоев.

В зависимости от задач компании он может охватывать рабочие станции, серверы, сетевое оборудование, облачные сервисы, базы данных, резервное копирование и управление доступом.

При этом IT-аудит не следует автоматически приравнивать к тестированию на проникновение. Пентест направлен на проверку возможности эксплуатации уязвимостей в согласованных пределах, а инфраструктурный аудит рассматривает более широкий круг технических и организационных вопросов.

Если требуется отдельное подтверждение соответствия определённому стандарту или законодательным требованиям, объём и методику такой проверки необходимо согласовать дополнительно.

Когда компании необходим IT-аудит

Необязательно ждать аварии, чтобы проверить состояние инфраструктуры.

Поводом для аудита могут стать расширение офиса, внедрение новых информационных систем, переезд, смена обслуживающего подрядчика, модернизация серверов или повторяющиеся жалобы сотрудников на работу компьютеров.

Отдельного внимания заслуживают ситуации, когда компания не располагает актуальной документацией на оборудование, не знает точного состава программных лицензий или не проверяла восстановление данных из резервных копий.

В таких условиях даже относительно небольшая техническая неисправность может привести к длительному простою.

1. Инвентаризация: необходимо знать, чем владеет компания

Полноценный аудит начинается с определения границ инфраструктуры и составления актуального перечня IT-активов.

Нельзя объективно оценить состояние системы, если неизвестно, какие устройства подключены к корпоративной сети, где находятся серверы и какое программное обеспечение используется сотрудниками.

Что необходимо включить в инвентаризацию

• Настольные компьютеры и рабочие станции.
• Ноутбуки и мобильные рабочие устройства.
• Физические и виртуальные серверы.
• Системы хранения данных и NAS.
• Маршрутизаторы, коммутаторы и точки доступа.
• Сетевые принтеры и многофункциональные устройства.
• IP-камеры, видеорегистраторы и сетевые контроллеры СКУД.
• Облачные сервисы и корпоративные учётные записи.
• Программные лицензии и действующие подписки.
• Домены, DNS-зоны и используемые внешние сервисы.

Для каждого значимого устройства желательно зафиксировать модель, серийный номер, назначение, местоположение, ответственного сотрудника, используемую операционную систему и сведения о технической поддержке.

При необходимости дополнительно составляется карта зависимостей: какие приложения используют конкретный сервер, на каком устройстве хранятся базы данных и какие сетевые компоненты необходимы для работы каждого критичного сервиса.

2. Проверка рабочих компьютеров

Следующий этап — оценка состояния рабочих станций сотрудников.

Здесь важно отличать технически неисправные компьютеры от оборудования, которое просто больше не соответствует требованиям используемого программного обеспечения.

Что проверяется

• Модель и поколение процессора.
• Объём оперативной памяти и фактическая загрузка.
• Тип, ёмкость и состояние накопителей.
• Версия Windows и срок её поддержки.
• Наличие необходимых обновлений безопасности.
• Состояние антивирусной защиты.
• Наличие неиспользуемых программ.
• Права локальных администраторов.
• Состояние и производительность сетевого подключения.
• Совместимость оборудования с рабочими приложениями.

Отдельно проверяются компьютеры, на которых используются ресурсоёмкие CAD, BIM, графические или инженерные программы.

Для таких рабочих мест необходимо учитывать не только процессор и оперативную память, но и графический адаптер, дисковую производительность и системные требования конкретных приложений.

Как определить необходимость модернизации

Не каждый медленно работающий компьютер необходимо заменять целиком.

Иногда установка SSD, увеличение оперативной памяти или устранение программной неисправности позволяют восстановить необходимую производительность.

Но если аппаратная платформа устарела, не поддерживает необходимые версии операционной системы или требует дорогостоящего ремонта, следует оценить целесообразность замены.

3. Аудит серверного оборудования

Серверы обеспечивают работу критичных корпоративных сервисов. Их отказ может одновременно затронуть десятки сотрудников.

Поэтому проверять необходимо не только текущее состояние Windows Server, но и физическое оборудование, дисковую подсистему, зависимые службы и возможности аварийного восстановления.

Аппаратная часть

• Модель сервера и состояние технической поддержки.
• Процессор и фактическая нагрузка.
• Объём установленной и доступной RAM.
• Состояние накопителей.
• Конфигурация и состояние RAID-массива.
• Состояние RAID-контроллера и его защитного модуля.
• Температурные показатели и работа вентиляторов.
• Состояние блоков питания.
• Наличие актуальных резервных конфигураций.

Особое внимание уделяется предупреждениям системы аппаратного мониторинга и журналам контроллеров хранения.

Отсутствие жалоб пользователей не доказывает, что физическое оборудование не имеет скрытых неисправностей.

Операционная система и серверные роли

Необходимо проверить используемую версию Windows Server, срок её поддержки, актуальность исправлений и состояние основных служб.

В доменной инфраструктуре дополнительно анализируются контроллеры домена, DNS, DHCP, синхронизация времени, репликация Active Directory и применение групповых политик.

При использовании терминального сервера оцениваются количество пользовательских сеансов, профили, производительность приложений и условия лицензирования.

Виртуализация

Если компания использует виртуальные машины, проверка должна охватывать не только гостевые операционные системы, но и физический хост.

Анализируются распределение CPU и RAM, состояние виртуальных дисков, нагрузка на систему хранения, сеть виртуализации, а также возможности резервного копирования и восстановления отдельных виртуальных машин.

4. Аудит локальной сети

Даже исправные серверы и производительные рабочие компьютеры не обеспечат стабильную работу компании, если проблемы находятся в сетевой инфраструктуре.

В ходе аудита необходимо восстановить фактическую топологию сети, определить расположение коммутаторов, маршрутизаторов, точек доступа, серверов и основных кабельных соединений.

Что проверяется

• Актуальность схемы локальной сети.
• Фактическая скорость портов и магистральных соединений.
• Ошибки и потери пакетов на сетевых интерфейсах.
• Загрузка маршрутизаторов и коммутаторов.
• Состояние и маркировка кабельных линий.
• Конфигурация VLAN.
• Правила межсетевого экрана.
• Разделение корпоративной и гостевой сетей.
• Покрытие и загруженность Wi-Fi.
• Актуальность прошивок сетевого оборудования.
• Наличие резервных копий сетевых конфигураций.

При этом наличие нескольких VLAN само по себе ещё не означает, что сеть правильно защищена.

Для ограничения взаимодействия между сегментами необходимо проверить маршрутизацию, правила доступа и фактическую возможность подключения к критичным ресурсам.

Например, гостевой Wi-Fi обычно не должен предоставлять прямой доступ к серверу 1С, файловому хранилищу или административным интерфейсам оборудования.

Подробнее о признаках проблем и вариантах модернизации читайте в статье «Как понять, что локальная сеть компании требует модернизации».

5. Резервное копирование: проверять нужно восстановление, а не только создание копий

Один из важнейших этапов IT-аудита — проверка системы резервного копирования.

Само наличие backup-программы, NAS или папки с архивами не гарантирует возможность восстановления информации.

Резервное копирование может выполняться с ошибками, сохранять неполный набор данных или использовать хранилище, недоступное после основной аварии.

Что необходимо выяснить

• Какие данные подлежат резервному копированию.
• Как часто создаются копии.
• Где хранятся основные и дополнительные копии.
• Кто отвечает за контроль выполнения заданий.
• Как долго сохраняются архивы.
• Как защищён доступ к резервному хранилищу.
• Существуют ли изолированные или неизменяемые копии.
• Когда последний раз проверялось восстановление.
• Сколько времени необходимо для восстановления критичных систем.

RPO и RTO

Для критичных сервисов полезно определить два показателя.

RPO — максимально допустимая потеря данных во времени.

RTO — целевое время восстановления сервиса после сбоя.

Например, если компания может позволить потерять не более одного часа изменений базы данных, резервное копирование один раз в сутки само по себе не соответствует такому требованию.

Если бухгалтерская система должна возобновить работу в течение нескольких часов, необходимо заранее оценить, позволяют ли оборудование, архитектура и существующие копии уложиться в это время.

Контрольное восстановление

В рамках аудита желательно выполнить согласованное тестовое восстановление критичных данных в изолированной среде.

Это позволяет убедиться, что резервная копия пригодна для использования, а процедура восстановления документирована и понятна ответственным специалистам.

Подробнее о защите корпоративной информации — в разделе «Защита данных и резервное копирование».

6. Аудит учётных записей и прав доступа

Даже технически исправная инфраструктура может иметь серьёзные недостатки в организации доступа пользователей.

Во многих компаниях права выдаются по мере необходимости, но редко пересматриваются после изменения должности или увольнения сотрудника.

В результате отдельные пользователи могут сохранять доступ к системам и данным, которые больше не требуются для выполнения их обязанностей.

Что необходимо проверить

• Список действующих пользовательских учётных записей.
• Наличие учётных записей уволенных сотрудников.
• Состав локальных и доменных администраторов.
• Права доступа к общим папкам и критичным приложениям.
• Сервисные учётные записи и их назначение.
• Использование общих паролей.
• Наличие многофакторной аутентификации.
• Порядок выдачи временного доступа подрядчикам.
• Процедуру отзыва доступа при увольнении.

Особенно внимательно следует анализировать привилегированные учётные записи: администраторов домена, серверов, систем хранения, резервного копирования и корпоративных облачных сервисов.

Следует также проверить, кто имеет право удалять или изменять резервные копии.

7. Проверка удалённого доступа

Удалённая работа сотрудников и техническое обслуживание требуют доступа к корпоративным ресурсам из-за пределов офиса.

Однако плохо организованный удалённый доступ может создавать дополнительные риски для всей инфраструктуры.

В ходе аудита необходимо определить, какие сервисы доступны из интернета, кому разрешено удалённое подключение и каким образом контролируются действия пользователей.

Проверяются

• VPN и используемые способы аутентификации.
• Применение MFA для удалённых подключений.
• Наличие напрямую опубликованных RDP-сервисов.
• Доступность административных веб-интерфейсов.
• Учётные записи внешних подрядчиков.
• Ограничения доступа по группам и устройствам.
• Журналирование удалённых подключений.
• Порядок отключения ненужного доступа.

Важная задача аудита — обнаружить забытые временные подключения, которые предоставлялись подрядчикам для разовых работ, но остались активными после завершения обслуживания.

8. Аудит 1С и корпоративных приложений

Для многих компаний работоспособность бухгалтерской системы непосредственно влияет на выполнение ежедневных операций.

Поэтому состояние 1С, системы управления базами данных и зависимой инфраструктуры желательно рассматривать как отдельное направление аудита.

Что проверяется в 1С

• Используемые версии платформы и конфигураций.
• Файловая или клиент-серверная архитектура.
• Расположение информационных баз.
• Состояние и производительность СУБД.
• Права пользователей и администраторов.
• Корректность лицензирования.
• Регламентные задания и их влияние на производительность.
• Резервное копирование информационных баз.
• Возможность восстановления базы в тестовой среде.
• Используемые внешние обработки и интеграции.

При проверке производительности важно отличать проблемы платформы, СУБД, серверного оборудования и конкретной конфигурации.

Медленное проведение документов не обязательно означает, что организации необходим новый сервер.

Причиной могут быть длительные запросы, блокировки, регламентные операции, неоптимальная конфигурация или перегруженная дисковая подсистема.

Аудит должен установить фактическую причину проблемы, прежде чем предлагать замену оборудования.

9. Корпоративная почта, облачные сервисы и домены

Часть IT-инфраструктуры может находиться за пределами офиса.

Корпоративная почта, облачное хранилище, системы совместной работы, домены и DNS также должны учитываться в ходе аудита.

Что необходимо проверить

• Кому принадлежит домен компании.
• Кто управляет регистрацией и продлением домена.
• Какие сотрудники имеют доступ к DNS.
• Кто является администратором почтовой системы.
• Настроены ли SPF, DKIM и DMARC.
• Используется ли MFA для почтовых учётных записей.
• Существуют ли неиспользуемые учётные записи.
• Каким приложениям предоставлен доступ к корпоративным данным.
• Как выполняется резервное копирование важных облачных данных.
• Кто контролирует оплату критичных подписок.

Например, регистрация корпоративного домена на личную учётную запись бывшего подрядчика может осложнить управление сайтом и электронной почтой.

Поэтому необходимо не только проверить технические настройки, но и документировать принадлежность критичных ресурсов и порядок восстановления административного доступа.

10. Обновления и поддержка программного обеспечения

В ходе аудита важно определить, какие операционные системы и приложения больше не получают стандартную поддержку производителя.

При этом проверка должна учитывать конкретный выпуск, редакцию и версию продукта, поскольку сроки обслуживания могут различаться.

Особое внимание уделяется системам, которые имеют доступ в интернет, обрабатывают конфиденциальные данные или предоставляют критичные сервисы.

Необходимо выяснить, кто отвечает за установку обновлений, существует ли тестовая группа, предусмотрены ли окна обслуживания и как компания действует после проблемного обновления.

Полный запрет обновлений на неопределённый срок не является заменой управляемого процесса обслуживания.

11. Журналирование и мониторинг

Если компания не собирает технические показатели и журналы событий, многие неисправности обнаруживаются только после жалоб сотрудников.

При этом наличие журналов ещё не означает, что их кто-то проверяет.

В рамках аудита необходимо оценить систему мониторинга, настройку уведомлений, сроки хранения журналов и порядок реакции на события.

Что желательно контролировать

• Доступность серверов и основных служб.
• Загрузку CPU и оперативной памяти.
• Свободное место на критичных томах.
• Состояние RAID-массивов и накопителей.
• Результаты резервного копирования.
• Состояние сетевых интерфейсов.
• Ошибки аутентификации и административные события.
• Доступность VPN и внешних сервисов.
• Сроки действия необходимых сертификатов.
• Состояние источников бесперебойного питания.

Для расследования инцидентов также необходима корректная синхронизация времени между устройствами.

Если часы серверов, камер и сетевого оборудования расходятся, сопоставление событий может оказаться затруднительным.

12. Физическая безопасность и электропитание

IT-аудит не должен ограничиваться проверкой программного обеспечения.

Не менее важно оценить условия, в которых установлены серверы, коммутаторы и системы хранения.

Необходимо проверить, кто имеет физический доступ к серверному оборудованию, как организованы охлаждение и электропитание, а также существуют ли условия для безопасного обслуживания.

Особое внимание

• Ограничение доступа к серверной.
• Температура и вентиляция.
• Состояние UPS и аккумуляторных батарей.
• Расчётная нагрузка на источники питания.
• Корректное завершение работы при длительном отключении электричества.
• Маркировка кабелей и оборудования.
• Резервное хранение критичных конфигураций.
• Защита от воды и других физических воздействий.

Если оборудование подключено к UPS, следует оценить не только наличие резервного питания, но и фактическое время автономной работы под расчётной нагрузкой.

13. Документация: сможет ли другой администратор разобраться в инфраструктуре

Отсутствие документации часто становится заметным при смене IT-специалиста, восстановлении после аварии или передаче обслуживания новому подрядчику.

Для критичной инфраструктуры желательно иметь актуальную схему сети, перечень оборудования, описание серверных ролей и зависимостей корпоративных приложений.

Отдельно документируются регламент резервного копирования, порядок восстановления, процедуры обновления и контактные данные ответственных поставщиков.

При этом административные пароли, ключи восстановления и другие секреты нельзя хранить в открытом виде в обычном отчёте IT-аудита.

Для них необходимо использовать подходящий защищённый способ хранения с ограниченным доступом.

14. Как проводится IT-аудит

Проверка должна выполняться по заранее согласованному плану. Особенно это важно, если организация использует критичные бухгалтерские, производственные или серверные системы.

Этап 1. Определение границ

На первом этапе согласовываются перечень проверяемых систем, контактные лица, допустимые методы диагностики и ограничения по времени.

Необходимо отдельно определить, допускаются ли сетевое сканирование, нагрузочные испытания и проверка уязвимостей.

Любые действия, способные повлиять на производственную инфраструктуру, должны выполняться только в согласованных пределах.

Этап 2. Сбор информации

Специалисты изучают существующую документацию, проводят инвентаризацию, собирают сведения об используемых системах и уточняют жалобы пользователей.

Этап 3. Техническая проверка

Проверяются конфигурации, состояние оборудования, показатели производительности, журналы событий, резервное копирование и управление доступом.

Глубина проверки зависит от согласованного объёма аудита.

Этап 4. Анализ результатов

Выявленные проблемы необходимо сопоставить с их последствиями для конкретной компании.

Например, одинаковая техническая неисправность может иметь разные последствия на резервном тестовом сервере и на единственном сервере, обслуживающем бухгалтерию.

Этап 5. Подготовка отчёта

Заказчик получает перечень проверенных систем, обнаруженных проблем, подтверждающие материалы, оценку последствий и рекомендации по устранению.

15. Что должно быть в итоговом отчёте

Для руководителя отчёт IT-аудита должен отвечать на несколько практических вопросов:

• Какие системы обеспечивают работу бизнеса?
• Где находятся основные точки отказа?
• Какие риски необходимо устранить в первую очередь?
• Что можно исправить настройкой, а где необходима закупка?
• Какие работы потребуют остановки сервисов?
• Какие расходы следует запланировать?
• Кто отвечает за устранение проблем?

Полезно разделить отчёт на краткое управленческое заключение и подробное техническое приложение.

Первое предназначено для принятия организационных и финансовых решений.

Второе содержит конкретные конфигурации, диагностические результаты и технические рекомендации для IT-специалистов.

Пример оформления обнаруженных проблем

Предположим, в ходе аудита выявлены следующие недостатки.

Это условный пример. В реальном отчёте каждая проблема должна сопровождаться подтверждающими данными, указанием затронутых систем и согласованным планом устранения.

16. Как расставлять приоритеты после аудита

Не все обнаруженные проблемы обязательно устранять одновременно.

Приоритет зависит от возможных последствий, вероятности возникновения инцидента, важности затронутого сервиса и существующих защитных мер.

Например, неисправность диска на единственном сервере с критичной базой данных может требовать срочных действий.

А отсутствие маркировки на нескольких неиспользуемых сетевых линиях обычно допускает плановое устранение.

Рекомендации желательно разделить на срочные, краткосрочные и плановые мероприятия.

Для каждой работы необходимо назначить ответственного, определить необходимый бюджет и зафиксировать критерий успешного выполнения.

17. Какой результат должен получить бизнес

Качественный IT-аудит не должен заканчиваться общими рекомендациями «обновить оборудование» или «усилить безопасность».

Заказчику необходим практический результат: актуальная документация, понимание текущего состояния инфраструктуры и план конкретных мероприятий.

Если выявлена необходимость замены сервера, в отчёте следует объяснить, какие именно ограничения мешают его дальнейшей эксплуатации.

Если предлагается модернизация сети, необходимо показать, где возникают проблемы и какие изменения помогут их устранить.

Если обнаружены недостатки резервного копирования, следует определить, как будет организована и проверена новая схема защиты данных.

Чек-лист IT-аудита компании

Вывод

IT-аудит помогает компании получить объективное представление о состоянии своей инфраструктуры и обнаружить проблемы до того, как они приведут к серьёзной аварии.

Проверка должна охватывать не только серверы и компьютеры, но и сетевые соединения, резервное копирование, права доступа, корпоративные приложения, облачные сервисы и техническую документацию.

Особенно важно проверять фактическую работоспособность защитных механизмов: возможность восстановления данных, правильность ограничений доступа и готовность компании к отказу критичных компонентов.

По итогам аудита руководство должно получить не просто список неисправностей, а понятный план модернизации и снижения технических рисков.

WEB-LABS помогает организациям проводить диагностику, аудит и модернизацию корпоративной IT-инфраструктуры: от рабочих мест и локальных сетей до серверов, резервного копирования и информационной безопасности.