IT-аудит: компания инфрақұрылымында нені тексеру керек

Компанияның IT-инфрақұрылымы жылдар бойы елеулі апатсыз жұмыс істеуі мүмкін, бірақ бұл оның сенімді әрі қауіпсіз екенін білдірмейді. Компьютерлер біртіндеп ескіреді, сервер конфигурациялары өзгереді, қызметкерлер жаңа қол жеткізу құқықтарын алады, ал резервтік көшірмелер сырт көзге байқалатын белгісіз-ақ жасалмай қалуы мүмкін.

Көбіне ұйым жиналып қалған мәселелерді тек елеулі оқиғадан кейін байқайды: сервер істен шыққанда, корпоративтік файлдар шифрланғанда, 1С базасы жоғалғанда немесе құпиясөздер мен желінің құрылымын жалғыз өзі білетін жүйелік әкімші жұмыстан кеткенде.

IT-аудит инфрақұрылымның жай-күйін алдын ала бағалауға, техникалық және ұйымдастырушылық тәуекелдерді анықтауға, маңызды жүйелерді тексеруге және компанияға шын мәнінде қандай өзгерістер қажет екенін айқындауға мүмкіндік береді.

IT-аудит деген не

IT-аудит — ұйымның ақпараттық инфрақұрылымын, оның конфигурацияларын, қызмет көрсету процестерін, қауіпсіздігін және техникалық ақаулардан кейін қалпына келуге дайындығын жүйелі түрде тексеру.

Компанияның міндеттеріне қарай ол жұмыс станцияларын, серверлерді, желілік жабдықты, бұлттық сервистерді, дерекқорларды, резервтік көшіруді және қол жеткізуді басқаруды қамтуы мүмкін.

Бұл ретте IT-аудитті енуге тестілеумен автоматты түрде теңестіруге болмайды. Пентест келісілген шектерде осалдықтарды пайдалану мүмкіндігін тексеруге бағытталса, инфрақұрылымдық аудит техникалық және ұйымдастырушылық мәселелердің әлдеқайда кең ауқымын қарастырады.

Белгілі бір стандартқа немесе заңнама талаптарына сәйкестікті бөлек растау қажет болса, мұндай тексерудің көлемі мен әдістемесін қосымша келісу керек.

Компанияға IT-аудит қашан қажет

Инфрақұрылымның жағдайын тексеру үшін міндетті түрде апатты күтудің қажеті жоқ.

Кеңсенің кеңеюі, жаңа ақпараттық жүйелерді енгізу, көшу, қызмет көрсетуші мердігерді ауыстыру, серверлерді жаңғырту немесе қызметкерлердің компьютер жұмысына қатысты қайталанатын шағымдары аудит жүргізуге себеп болуы мүмкін.

Компанияда жабдық бойынша өзекті құжаттама болмаған, бағдарламалық лицензиялардың нақты құрамы белгісіз немесе резервтік көшірмелерден деректерді қалпына келтіру тексерілмеген жағдайлар ерекше назар аударуды қажет етеді.

Мұндай жағдайда салыстырмалы түрде шағын техникалық ақаудың өзі ұзақ уақыт жұмыс тоқтауына әкелуі мүмкін.

1. Түгендеу: компанияның қандай активтерге ие екенін білу қажет

Толыққанды аудит инфрақұрылым шекараларын анықтаудан және IT-активтердің өзекті тізімін жасаудан басталады.

Корпоративтік желіге қандай құрылғылар қосылғаны, серверлердің қайда орналасқаны және қызметкерлер қандай бағдарламалық жасақтаманы пайдаланатыны белгісіз болса, жүйенің жай-күйін объективті бағалау мүмкін емес.

Түгендеуге нені енгізу қажет

• Үстел үсті компьютерлері мен жұмыс станциялары.
• Ноутбуктер мен мобильді жұмыс құрылғылары.
• Физикалық және виртуалды серверлер.
• Деректерді сақтау жүйелері және NAS.
• Маршрутизаторлар, коммутаторлар және қол жеткізу нүктелері.
• Желілік принтерлер мен көпфункциялы құрылғылар.
• IP-камералар, бейнетіркеуіштер және СКУД желілік контроллерлері.
• Бұлттық сервистер мен корпоративтік есептік жазбалар.
• Бағдарламалық лицензиялар және қолданыстағы жазылымдар.
• Домендер, DNS-аймақтар және пайдаланылатын сыртқы сервистер.

Әрбір маңызды құрылғы үшін моделін, сериялық нөмірін, мақсатын, орналасқан жерін, жауапты қызметкерді, пайдаланылатын операциялық жүйені және техникалық қолдау туралы мәліметтерді тіркеген жөн.

Қажет болған жағдайда тәуелділіктер картасы да жасалады: қандай қолданбалар нақты серверді пайдаланады, дерекқорлар қай құрылғыда сақталады және әрбір маңызды сервистің жұмысына қандай желілік компоненттер қажет.

2. Жұмыс компьютерлерін тексеру

Келесі кезең — қызметкерлердің жұмыс станцияларының жағдайын бағалау.

Мұнда техникалық ақауы бар компьютерлерді пайдаланылатын бағдарламалық жасақтама талаптарына енді сай келмейтін жабдықтан ажырату маңызды.

Не тексеріледі

• Процессордың моделі мен буыны.
• Жедел жад көлемі және нақты жүктемесі.
• Жинақтауыштардың түрі, сыйымдылығы және жағдайы.
• Windows нұсқасы және оны қолдау мерзімі.
• Қажетті қауіпсіздік жаңартуларының болуы.
• Антивирустық қорғаныстың жағдайы.
• Пайдаланылмайтын бағдарламалардың болуы.
• Жергілікті әкімші құқықтары.
• Желілік қосылымның жағдайы мен өнімділігі.
• Жабдықтың жұмыс қолданбаларымен үйлесімділігі.

Ресурсты көп қажет ететін CAD, BIM, графикалық немесе инженерлік бағдарламалар қолданылатын компьютерлер бөлек тексеріледі.

Мұндай жұмыс орындары үшін процессор мен жедел жадты ғана емес, графикалық адаптерді, диск өнімділігін және нақты қолданбалардың жүйелік талаптарын да ескеру қажет.

Жаңғырту қажеттілігін қалай анықтауға болады

Баяу жұмыс істейтін әр компьютерді толық ауыстыру міндетті емес.

Кейде SSD орнату, жедел жад көлемін ұлғайту немесе бағдарламалық ақауды жою қажетті өнімділікті қалпына келтіруге мүмкіндік береді.

Бірақ аппараттық платформа ескірсе, операциялық жүйенің қажетті нұсқаларын қолдамаса немесе қымбат жөндеуді қажет етсе, оны ауыстырудың орындылығын бағалау керек.

3. Серверлік жабдық аудиті

Серверлер маңызды корпоративтік сервистердің жұмысын қамтамасыз етеді. Олардың істен шығуы бір мезгілде ондаған қызметкерге әсер етуі мүмкін.

Сондықтан Windows Server-дің ағымдағы жағдайын ғана емес, физикалық жабдықты, диск ішкі жүйесін, тәуелді қызметтерді және апаттық қалпына келтіру мүмкіндіктерін де тексеру қажет.

Аппараттық бөлік

• Сервер моделі және техникалық қолдау жағдайы.
• Процессор және нақты жүктеме.
• Орнатылған және қолжетімді RAM көлемі.
• Жинақтауыштардың жағдайы.
• RAID-массивтің конфигурациясы мен жағдайы.
• RAID-контроллердің және оның қорғаныс модулінің жағдайы.
• Температура көрсеткіштері және желдеткіштердің жұмысы.
• Қуат блоктарының жағдайы.
• Өзекті резервтік конфигурациялардың болуы.

Аппараттық мониторинг жүйесінің ескертулеріне және сақтау контроллерлерінің журналдарына ерекше назар аударылады.

Пайдаланушылардан шағымның болмауы физикалық жабдықта жасырын ақаулар жоқ екенін дәлелдемейді.

Операциялық жүйе және серверлік рөлдер

Пайдаланылатын Windows Server нұсқасын, оны қолдау мерзімін, түзетулердің өзектілігін және негізгі қызметтердің жағдайын тексеру қажет.

Домендік инфрақұрылымда домен контроллерлері, DNS, DHCP, уақытты синхрондау, Active Directory репликациясы және топтық саясаттардың қолданылуы қосымша талданады.

Терминалдық сервер пайдаланылса, пайдаланушы сеанстарының саны, профильдер, қолданбалардың өнімділігі және лицензиялау шарттары бағаланады.

Виртуализация

Компания виртуалды машиналарды пайдаланса, тексеру қонақ операциялық жүйелерді ғана емес, физикалық хостты да қамтуы тиіс.

CPU мен RAM бөлінуі, виртуалды дискілердің жағдайы, сақтау жүйесіне түсетін жүктеме, виртуализация желісі, сондай-ақ жекелеген виртуалды машиналарды резервтік көшіру және қалпына келтіру мүмкіндіктері талданады.

4. Жергілікті желі аудиті

Егер мәселе желілік инфрақұрылымда болса, тіпті ақаусыз серверлер мен өнімді жұмыс компьютерлері де компанияның тұрақты жұмысын қамтамасыз ете алмайды.

Аудит барысында желінің нақты топологиясын қалпына келтіріп, коммутаторлардың, маршрутизаторлардың, қол жеткізу нүктелерінің, серверлердің және негізгі кабельдік қосылыстардың орналасуын анықтау қажет.

Не тексеріледі

• Жергілікті желі сызбасының өзектілігі.
• Порттар мен магистральдық қосылыстардың нақты жылдамдығы.
• Желілік интерфейстердегі қателер мен пакет жоғалту.
• Маршрутизаторлар мен коммутаторлардың жүктемесі.
• Кабельдік желілердің жағдайы мен таңбалануы.
• VLAN конфигурациясы.
• Желіаралық экран ережелері.
• Корпоративтік және қонақ желілерін бөлу.
• Wi-Fi қамтуы мен жүктемесі.
• Желілік жабдық микробағдарламасының өзектілігі.
• Желілік конфигурациялардың резервтік көшірмелерінің болуы.

Бірнеше VLAN болуының өзі желінің дұрыс қорғалғанын әлі білдірмейді.

Сегменттер арасындағы өзара әрекетті шектеу үшін маршрутизацияны, қол жеткізу ережелерін және маңызды ресурстарға нақты қосылу мүмкіндігін тексеру қажет.

Мысалы, қонақ Wi-Fi әдетте 1С серверіне, файлдық сақтау орнына немесе жабдықтың әкімшілік интерфейстеріне тікелей қол жеткізуді бермеуі тиіс.

Мәселе белгілері мен жаңғырту нұсқалары туралы толығырақ мына мақалада оқыңыз: «Компанияның жергілікті желісін жаңғырту қажет екенін қалай түсінуге болады».

5. Резервтік көшіру: тек көшірме жасалуын емес, қалпына келтіруді тексеру керек

IT-аудиттің ең маңызды кезеңдерінің бірі — резервтік көшіру жүйесін тексеру.

Backup-бағдарламаның, NAS-тың немесе архивтер салынған буманың болуы ақпаратты қалпына келтіру мүмкіндігіне кепілдік бермейді.

Резервтік көшіру қателермен орындалуы, деректердің толық емес жиынтығын сақтауы немесе негізгі апаттан кейін қолжетімсіз болатын сақтау орнын пайдалануы мүмкін.

Нені анықтау қажет

• Қандай деректер резервтік көшіруге жатады.
• Көшірмелер қаншалықты жиі жасалады.
• Негізгі және қосымша көшірмелер қайда сақталады.
• Тапсырмалардың орындалуын бақылауға кім жауап береді.
• Архивтер қанша уақыт сақталады.
• Резервтік сақтау орнына қол жеткізу қалай қорғалған.
• Оқшауланған немесе өзгертілмейтін көшірмелер бар ма.
• Қалпына келтіру соңғы рет қашан тексерілді.
• Маңызды жүйелерді қалпына келтіруге қанша уақыт қажет.

RPO және RTO

Маңызды сервистер үшін екі көрсеткішті анықтаған пайдалы.

RPO — уақыт бойынша деректердің ең көп рұқсат етілетін жоғалуы.

RTO — ақаудан кейін сервисті қалпына келтірудің мақсатты уақыты.

Мысалы, компания дерекқордағы өзгерістердің бір сағаттан артығын жоғалтуға жол бере алмаса, тәулігіне бір рет резервтік көшірудің өзі мұндай талапқа сай келмейді.

Егер бухгалтерлік жүйе бірнеше сағат ішінде жұмысын қайта бастауы тиіс болса, жабдық, архитектура және қолда бар көшірмелер осы уақытқа сыюға мүмкіндік бере ме — мұны алдын ала бағалау қажет.

Бақылау мақсатындағы қалпына келтіру

Аудит аясында маңызды деректерді оқшауланған ортада келісілген тестілік қалпына келтіруді орындаған жөн.

Бұл резервтік көшірменің пайдалануға жарамды екенін, ал қалпына келтіру рәсімінің құжатталғанын және жауапты мамандарға түсінікті екенін тексеруге мүмкіндік береді.

Корпоративтік ақпаратты қорғау туралы толығырақ — «Деректерді қорғау және резервтік көшіру» бөлімінде.

6. Есептік жазбалар мен қол жеткізу құқықтарының аудиті

Техникалық тұрғыдан ақаусыз инфрақұрылымның өзінде пайдаланушылардың қол жеткізуін ұйымдастыруда елеулі кемшіліктер болуы мүмкін.

Көптеген компанияларда құқықтар қажеттілік туындаған сайын беріледі, бірақ қызметкердің лауазымы өзгергеннен немесе жұмыстан кеткеннен кейін сирек қайта қаралады.

Нәтижесінде жекелеген пайдаланушылар өз міндеттерін орындауға енді қажет емес жүйелер мен деректерге қол жеткізуді сақтап қалуы мүмкін.

Нені тексеру қажет

• Қолданыстағы пайдаланушы есептік жазбаларының тізімі.
• Жұмыстан кеткен қызметкерлердің есептік жазбаларының болуы.
• Жергілікті және домендік әкімшілер құрамы.
• Ортақ бумалар мен маңызды қолданбаларға қол жеткізу құқықтары.
• Сервистік есептік жазбалар және олардың мақсаты.
• Ортақ құпиясөздерді пайдалану.
• Көпфакторлы аутентификацияның болуы.
• Мердігерлерге уақытша қол жеткізуді беру тәртібі.
• Жұмыстан шыққан кезде қол жеткізуді кері қайтарып алу рәсімі.

Артықшылықтары жоғары есептік жазбаларды: домен, сервер, сақтау жүйелері, резервтік көшіру және корпоративтік бұлттық сервистер әкімшілерін ерекше мұқият талдау керек.

Сондай-ақ резервтік көшірмелерді жоюға немесе өзгертуге кімнің құқығы барын тексеру қажет.

7. Қашықтан қол жеткізуді тексеру

Қызметкерлердің қашықтан жұмысы мен техникалық қызмет көрсету корпоративтік ресурстарға кеңседен тыс жерден қол жеткізуді талап етеді.

Алайда дұрыс ұйымдастырылмаған қашықтан қол жеткізу бүкіл инфрақұрылымға қосымша тәуекел тудыруы мүмкін.

Аудит барысында интернеттен қандай сервистер қолжетімді екенін, қашықтан қосылуға кімге рұқсат берілгенін және пайдаланушылар әрекеттері қалай бақыланатынын анықтау қажет.

Тексеріледі

• VPN және пайдаланылатын аутентификация тәсілдері.
• Қашықтан қосылулар үшін MFA қолданылуы.
• Интернетке тікелей жарияланған RDP-сервистерінің болуы.
• Әкімшілік веб-интерфейстердің қолжетімділігі.
• Сыртқы мердігерлердің есептік жазбалары.
• Топтар мен құрылғылар бойынша қол жеткізу шектеулері.
• Қашықтан қосылуларды журналдау.
• Қажетсіз қол жеткізуді өшіру тәртібі.

Аудиттің маңызды міндеттерінің бірі — мердігерлерге бір реттік жұмыстар үшін беріліп, қызмет көрсету аяқталғаннан кейін белсенді күйде қалып қойған ұмытылған уақытша қосылуларды анықтау.

8. 1С және корпоративтік қолданбалар аудиті

Көптеген компанияларда бухгалтерлік жүйенің жұмыс қабілеті күнделікті операциялардың орындалуына тікелей әсер етеді.

Сондықтан 1С, дерекқорларды басқару жүйесі және оған тәуелді инфрақұрылым жағдайын аудиттің жеке бағыты ретінде қарастырған жөн.

1С-та не тексеріледі

• Платформа мен конфигурациялардың пайдаланылатын нұсқалары.
• Файлдық немесе клиент-серверлік архитектура.
• Ақпараттық базалардың орналасуы.
• ДҚБЖ жағдайы мен өнімділігі.
• Пайдаланушылар мен әкімшілер құқықтары.
• Лицензиялаудың дұрыстығы.
• Регламенттік тапсырмалар және олардың өнімділікке әсері.
• Ақпараттық базаларды резервтік көшіру.
• Базаны тестілік ортада қалпына келтіру мүмкіндігі.
• Пайдаланылатын сыртқы өңдеулер мен интеграциялар.

Өнімділікті тексерген кезде платформа, ДҚБЖ, серверлік жабдық және нақты конфигурация мәселелерін бір-бірінен ажырату маңызды.

Құжаттарды баяу өткізу ұйымға міндетті түрде жаңа сервер қажет дегенді білдірмейді.

Себеп ұзақ сұраулар, бұғаттаулар, регламенттік операциялар, оңтайландырылмаған конфигурация немесе шамадан тыс жүктелген диск ішкі жүйесі болуы мүмкін.

Жабдықты ауыстыруды ұсынбас бұрын аудит мәселенің нақты себебін анықтауы тиіс.

9. Корпоративтік пошта, бұлттық сервистер және домендер

IT-инфрақұрылымның бір бөлігі кеңседен тыс орналасуы мүмкін.

Корпоративтік пошта, бұлттық сақтау орны, бірлесіп жұмыс істеу жүйелері, домендер мен DNS те аудит барысында ескерілуі тиіс.

Нені тексеру қажет

• Компания домені кімге тиесілі.
• Доменді тіркеу мен ұзартуды кім басқарады.
• Қандай қызметкерлердің DNS-ке қол жеткізуі бар.
• Пошта жүйесінің әкімшісі кім.
• SPF, DKIM және DMARC бапталған ба.
• Пошта есептік жазбалары үшін MFA қолданыла ма.
• Пайдаланылмайтын есептік жазбалар бар ма.
• Қандай қолданбаларға корпоративтік деректерге қол жеткізу берілген.
• Маңызды бұлттық деректердің резервтік көшірмесі қалай жасалады.
• Маңызды жазылымдардың төлемін кім бақылайды.

Мысалы, корпоративтік доменнің бұрынғы мердігердің жеке есептік жазбасына тіркелуі сайт пен электрондық поштаны басқаруды қиындатуы мүмкін.

Сондықтан техникалық баптауларды тексеріп қана қоймай, маңызды ресурстардың кімге тиесілі екенін және әкімшілік қол жеткізуді қалпына келтіру тәртібін құжаттау қажет.

10. Бағдарламалық жасақтаманы жаңарту және қолдау

Аудит барысында қандай операциялық жүйелер мен қолданбалар өндірушінің стандартты қолдауын енді алмайтынын анықтау маңызды.

Бұл ретте тексеру өнімнің нақты шығарылымын, редакциясын және нұсқасын ескеруі тиіс, өйткені қызмет көрсету мерзімдері әртүрлі болуы мүмкін.

Интернетке қол жеткізетін, құпия деректерді өңдейтін немесе маңызды сервистерді ұсынатын жүйелерге ерекше назар аударылады.

Жаңартуларды орнатуға кім жауап беретінін, тестілік топтың бар-жоғын, қызмет көрсету терезелері қарастырылғанын және сәтсіз жаңартудан кейін компания қалай әрекет ететінін анықтау қажет.

Жаңартуларға белгісіз мерзімге толық тыйым салу басқарылатын қызмет көрсету процесін алмастырмайды.

11. Журналдау және мониторинг

Егер компания техникалық көрсеткіштер мен оқиғалар журналдарын жинамаса, көптеген ақаулар тек қызметкерлердің шағымынан кейін анықталады.

Бұл ретте журналдардың болуы оларды біреу міндетті түрде қарап отырады дегенді білдірмейді.

Аудит аясында мониторинг жүйесін, хабарландыру баптауларын, журналдарды сақтау мерзімдерін және оқиғаларға әрекет ету тәртібін бағалау қажет.

Нені бақылаған жөн

• Серверлер мен негізгі қызметтердің қолжетімділігі.
• CPU мен жедел жад жүктемесі.
• Маңызды томдардағы бос орын.
• RAID-массивтер мен жинақтауыштардың жағдайы.
• Резервтік көшіру нәтижелері.
• Желілік интерфейстердің жағдайы.
• Аутентификация қателері және әкімшілік оқиғалар.
• VPN мен сыртқы сервистердің қолжетімділігі.
• Қажетті сертификаттардың жарамдылық мерзімдері.
• Үздіксіз қоректендіру көздерінің жағдайы.

Инциденттерді тергеу үшін құрылғылар арасындағы уақыттың дұрыс синхрондалуы да қажет.

Егер серверлердің, камералардың және желілік жабдықтың сағаттары сәйкес келмесе, оқиғаларды өзара салыстыру қиындауы мүмкін.

12. Физикалық қауіпсіздік және электрмен жабдықтау

IT-аудит бағдарламалық жасақтаманы тексерумен ғана шектелмеуі тиіс.

Серверлер, коммутаторлар және сақтау жүйелері орнатылған жағдайларды бағалау да маңызды.

Серверлік жабдыққа кімнің физикалық қол жеткізуі барын, салқындату мен электрмен жабдықтау қалай ұйымдастырылғанын және қауіпсіз қызмет көрсетуге жағдай бар-жоғын тексеру қажет.

Ерекше назар

• Серверлік бөлмеге қол жеткізуді шектеу.
• Температура және желдету.
• UPS пен аккумулятор батареяларының жағдайы.
• Қуат көздеріне есептік жүктеме.
• Электр энергиясы ұзақ уақыт өшкен кезде жұмысты дұрыс аяқтау.
• Кабельдер мен жабдықты таңбалау.
• Маңызды конфигурацияларды резервтік сақтау.
• Судан және басқа физикалық әсерлерден қорғау.

Егер жабдық UPS-ке қосылған болса, резервтік қоректенудің бар-жоғын ғана емес, есептік жүктеме кезіндегі нақты автономды жұмыс уақытын да бағалау керек.

13. Құжаттама: басқа әкімші инфрақұрылымды түсіне ала ма

Құжаттаманың жоқтығы көбіне IT-маман ауысқанда, апаттан кейін қалпына келтіру кезінде немесе қызмет көрсетуді жаңа мердігерге бергенде байқалады.

Маңызды инфрақұрылым үшін өзекті желі сызбасы, жабдық тізімі, серверлік рөлдер мен корпоративтік қолданбалардың тәуелділіктері сипаттамасы болғаны жөн.

Резервтік көшіру регламенті, қалпына келтіру тәртібі, жаңарту рәсімдері және жауапты жеткізушілердің байланыс деректері бөлек құжатталады.

Бұл ретте әкімшілік құпиясөздерді, қалпына келтіру кілттерін және басқа құпияларды кәдімгі IT-аудит есебінде ашық түрде сақтауға болмайды.

Олар үшін қол жеткізуі шектелген, лайықты қорғалған сақтау тәсілін пайдалану қажет.

14. IT-аудит қалай жүргізіледі

Тексеру алдын ала келісілген жоспар бойынша орындалуы тиіс. Ұйым маңызды бухгалтерлік, өндірістік немесе серверлік жүйелерді пайдаланса, бұл әсіресе маңызды.

1-кезең. Шекараларды анықтау

Бірінші кезеңде тексерілетін жүйелер тізімі, байланысатын тұлғалар, рұқсат етілген диагностика әдістері және уақыт бойынша шектеулер келісіледі.

Желіні сканерлеуге, жүктемелік сынақтарға және осалдықтарды тексеруге рұқсат етіле ме — мұны бөлек анықтау қажет.

Өндірістік инфрақұрылымға әсер етуі мүмкін кез келген әрекет тек келісілген шектерде орындалуы тиіс.

2-кезең. Ақпарат жинау

Мамандар қолданыстағы құжаттаманы зерттейді, түгендеу жүргізеді, пайдаланылатын жүйелер туралы мәліметтерді жинайды және пайдаланушылардың шағымдарын нақтылайды.

3-кезең. Техникалық тексеру

Конфигурациялар, жабдықтың жағдайы, өнімділік көрсеткіштері, оқиғалар журналдары, резервтік көшіру және қол жеткізуді басқару тексеріледі.

Тексеру тереңдігі аудиттің келісілген көлеміне байланысты.

4-кезең. Нәтижелерді талдау

Анықталған мәселелерді нақты компания үшін олардың ықтимал салдарымен салыстыру қажет.

Мысалы, бірдей техникалық ақау резервтік тест серверінде және бухгалтерияға қызмет көрсететін жалғыз серверде мүлде әртүрлі салдарға әкелуі мүмкін.

5-кезең. Есеп дайындау

Тапсырыс беруші тексерілген жүйелердің, анықталған мәселелердің тізімін, растайтын материалдарды, салдарын бағалауды және жою бойынша ұсыныстарды алады.

15. Қорытынды есепте не болуы тиіс

Басшы үшін IT-аудит есебі бірнеше практикалық сұраққа жауап беруі тиіс:

• Бизнестің жұмысын қандай жүйелер қамтамасыз етеді?
• Негізгі істен шығу нүктелері қайда орналасқан?
• Қандай тәуекелдерді бірінші кезекте жою қажет?
• Нені баптаумен түзетуге болады, ал қай жерде сатып алу қажет?
• Қандай жұмыстар сервистерді тоқтатуды талап етеді?
• Қандай шығындарды жоспарлау керек?
• Мәселелерді жоюға кім жауап береді?

Есепті қысқаша басқарушылық қорытындыға және егжей-тегжейлі техникалық қосымшаға бөлген пайдалы.

Біріншісі ұйымдастырушылық және қаржылық шешімдер қабылдауға арналған.

Екіншісінде нақты конфигурациялар, диагностика нәтижелері және IT-мамандарға арналған техникалық ұсыныстар беріледі.

Анықталған мәселелерді рәсімдеу мысалы

Аудит барысында мынадай кемшіліктер анықталды делік.

Бұл шартты мысал. Нақты есепте әр мәселе растайтын деректермен, зардап шеккен жүйелерді көрсетумен және келісілген жою жоспарымен бірге берілуі тиіс.

16. Аудиттен кейін басымдықтарды қалай белгілеуге болады

Анықталған барлық мәселені бір уақытта жою міндетті емес.

Басымдық ықтимал салдарға, инциденттің туындау ықтималдығына, зардап шегетін сервистің маңыздылығына және қолданыстағы қорғаныс шараларына байланысты.

Мысалы, маңызды дерекқоры бар жалғыз сервердегі диск ақауы шұғыл әрекетті талап етуі мүмкін.

Ал пайдаланылмайтын бірнеше желілік желіде таңбалаудың болмауын әдетте жоспарлы түрде түзетуге болады.

Ұсыныстарды шұғыл, қысқа мерзімді және жоспарлы іс-шараларға бөлген жөн.

Әр жұмыс үшін жауапты адамды тағайындап, қажетті бюджетті анықтап және сәтті орындалу критерийін тіркеу қажет.

17. Бизнес қандай нәтиже алуы тиіс

Сапалы IT-аудит «жабдықты жаңарту» немесе «қауіпсіздікті күшейту» деген жалпы ұсыныстармен аяқталмауы тиіс.

Тапсырыс берушіге практикалық нәтиже қажет: өзекті құжаттама, инфрақұрылымның ағымдағы жағдайын түсіну және нақты іс-шаралар жоспары.

Егер серверді ауыстыру қажеттілігі анықталса, есепте оны әрі қарай пайдалануға нақты қандай шектеулер кедергі келтіретіні түсіндірілуі тиіс.

Егер желіні жаңғырту ұсынылса, мәселенің қай жерде туындайтынын және қандай өзгерістер оны жоюға көмектесетінін көрсету қажет.

Егер резервтік көшіруде кемшіліктер анықталса, деректерді қорғаудың жаңа схемасы қалай ұйымдастырылып, қалай тексерілетіні белгіленуі тиіс.

Компанияның IT-аудит чек-листі

Қорытынды

IT-аудит компанияға өз инфрақұрылымының жағдайы туралы объективті түсінік алуға және мәселелерді елеулі апатқа әкелмей тұрып анықтауға көмектеседі.

Тексеру серверлер мен компьютерлерді ғана емес, желілік қосылыстарды, резервтік көшіруді, қол жеткізу құқықтарын, корпоративтік қолданбаларды, бұлттық сервистерді және техникалық құжаттаманы да қамтуы тиіс.

Қорғаныс механизмдерінің нақты жұмыс қабілетін: деректерді қалпына келтіру мүмкіндігін, қол жеткізу шектеулерінің дұрыстығын және компанияның маңызды компонент істен шыққан жағдайға дайындығын тексеру ерекше маңызды.

Аудит қорытындысы бойынша басшылық ақаулардың жай тізімін емес, жаңғырту және техникалық тәуекелдерді төмендету жөніндегі түсінікті жоспарды алуы тиіс.

WEB-LABS ұйымдарға корпоративтік IT-инфрақұрылымды диагностикалауға, аудиттен өткізуге және жаңғыртуға көмектеседі: жұмыс орындары мен жергілікті желілерден бастап серверлерге, резервтік көшіруге және ақпараттық қауіпсіздікке дейін.