IT-аудит офиса: что проверяют и чек-лист

Что такое IT-аудит

IT-аудит (аудит IT-инфраструктуры) — это проверка того, как устроены и как работают информационные технологии в компании: какое оборудование и программы используются, насколько надёжно настроены сеть и серверы, защищены ли данные, есть ли резервные копии и документация. Цель — не найти виноватых, а увидеть риски и составить план, что улучшить в первую очередь.

Когда проводят аудит

• при смене IT-подрядчика или уходе штатного сисадмина;
• при частых сбоях и жалобах сотрудников;
• перед расширением, переездом, открытием филиала;
• после инцидента: вирус, потеря данных, взлом;
• при смене руководства или собственника;
• для планирования IT-бюджета.

Что проверяют при IT-аудите

1. Инвентаризация

Полный перечень компьютеров, ноутбуков, серверов, сетевого оборудования, оргтехники и периферии: модели, возраст, характеристики, состояние, за кем закреплены. Для каждого устройства — операционная система и её актуальность.

2. Сеть

Схема сети, роутер и коммутаторы, их настройки и прошивки, Wi‑Fi (покрытие, безопасность, гостевой доступ), качество и резервирование интернета, VPN, сегментация, состояние кабельной системы и шкафа.

3. Серверы и сервисы

Какие серверы есть и что на них работает, загрузка и запас ресурсов, состояние дисков и RAID, обновления, срок службы оборудования, ИБП, почта, облачные сервисы.

4. Резервное копирование

Что копируется, куда, как часто, сколько версий хранится, есть ли копия вне офиса, защищены ли копии от удаления и шифрования, когда последний раз проверялось восстановление.

5. Безопасность

Антивирусная защита на всех устройствах, обновления, права пользователей (не работают ли все под администратором), политика паролей, двухфакторная аутентификация, открытые порты и удалённый доступ, учётные записи уволенных сотрудников, хранение ключей ЭЦП.

6. Лицензии

Соответствие установленного ПО приобретённым лицензиям: Windows, Office, 1С, антивирусы, специализированные программы. Подробнее — «Лицензионное ПО для бизнеса».

7. Документация и процессы

Есть ли актуальные схемы, пароли, инструкции; как сотрудники обращаются за помощью; как подключаются новые сотрудники и отключаются уволенные; кто отвечает за домен, хостинг, почту.

Чек-лист для самопроверки

Ответьте «да» или «нет». Каждое «нет» или «не знаю» — потенциальный риск.

Документация и доступы

1. Есть список всех компьютеров и оборудования?
2. Вы знаете, где хранятся пароли администратора от сервера, роутера, Wi‑Fi?
3. Пароли от домена, хостинга и почты оформлены на компанию и доступны руководству?
4. Есть схема сети?
5. При увольнении сотрудника его доступы отключаются в тот же день?

Резервные копии

6. Базы 1С копируются автоматически хотя бы раз в день?
7. Общие документы копируются автоматически?
8. Есть копия вне офиса (облако, другое здание)?
9. Копии недоступны для изменения с обычных компьютеров?
10. Восстановление из копии проверялось в последние 3 месяца?

Безопасность

11. На всех компьютерах работает и обновляется антивирус?
12. Windows и программы обновляются регулярно?
13. Сотрудники работают без прав администратора?
14. Удалённый доступ к серверу — только через VPN, без открытого RDP?
15. Для почты и облачных сервисов включена двухфакторная аутентификация?
16. Гостевой Wi‑Fi отделён от рабочей сети?
17. Стандартные пароли на роутере, камерах и принтерах заменены?
18. Ключи ЭЦП хранятся в защищённом месте, а не на рабочем столе?

Оборудование и сеть

19. На компьютерах нет Windows 7 и Windows 10 без обновлений?
20. Сервер и сетевое оборудование подключены к ИБП?
21. Серверу меньше 5–6 лет или есть план замены?
22. Wi‑Fi стабильно работает во всех помещениях?
23. Кабели в шкафу промаркированы?
24. Есть резервный канал интернета (если без него останавливается работа)?

Процессы

25. Сотрудники знают, куда обращаться с IT-проблемами?
26. Обращения фиксируются, и вы видите их статистику?
27. Новый сотрудник получает готовое рабочее место в первый день?
28. Есть план действий на случай отказа сервера или заражения?
29. Лицензии на ПО соответствуют установленному?
30. Есть бюджет и план обновления техники на год?

Как интерпретировать результат

• 25–30 «да» — инфраструктура в хорошем состоянии, поддерживайте её.
• 15–24 «да» — есть заметные риски, стоит составить план улучшений.
• Меньше 15 «да» — высокая вероятность серьёзного инцидента; рекомендуем профессиональный аудит.

Особенно важны пункты про резервные копии и доступы: именно они определяют, станет ли сбой неприятностью или катастрофой.

Профессиональный аудит

Для офисов в Алматы мы проводим бесплатный экспресс-аудит и полный аудит с письменным отчётом, картой рисков и планом работ. Подробнее — IT-аудит инфраструктуры.