IT-аудит предприятия: как проверить инфраструктуру, безопасность и готовность к сбоям

Что такое IT-аудит предприятия и чем он отличается от инвентаризации

Инвентаризация отвечает на вопрос «что у нас есть». IT-аудит должен идти дальше: показать, насколько инфраструктура соответствует задачам бизнеса, какие риски подтверждаются техническими данными и что произойдет при отказе критичного компонента.

Поэтому хороший аудит начинается не с сканера сети, а с контекста. Какие процессы нельзя останавливать? Что произойдет, если на несколько часов станет недоступна 1С? Как долго компания может работать без интернета? Где хранятся документы? Как восстанавливается почта? Есть ли производство, склад, кассы, удаленные филиалы или внешние интеграции?

Когда компании особенно нужен IT-аудит

Аудит также полезен перед внедрением ERP/WMS/MES, переездом в новый офис или ЦОД, миграцией в облако, объединением компаний, прохождением проверки безопасности и после серьезного инцидента.

1. Инвентаризация: сначала нужно понять реальный IT-контур

На первом этапе фиксируются не только серверы и компьютеры. В реальной компании IT-контур включает физическое оборудование, виртуальные машины, сетевые устройства, облачные сервисы, учетные системы, лицензии, внешние каналы связи, резервное копирование и зависимости между ними.

• физические серверы, гипервизоры, СХД, NAS и UPS;
• виртуальные машины, роли и владельцы сервисов;
• рабочие станции, ноутбуки и терминальные серверы;
• маршрутизаторы, FortiGate, MikroTik, коммутаторы, точки Wi-Fi;
• 1С, SQL Server, RDS, файловые сервисы, телефония и видеонаблюдение;
• Microsoft 365, облачные сервисы, домены, сертификаты и внешние интеграции;
• лицензии, договоры поддержки и ответственные лица.

Одновременно строится карта зависимостей. Например, «1С работает» только пока доступны DNS, Active Directory, SQL Server, сервер 1С, RDS, сеть, хранилище и лицензирование. Это позволяет увидеть единые точки отказа, которые не заметны в обычном списке оборудования.

2. Аудит серверов и виртуализации

Высокая загрузка CPU сама по себе не является диагнозом, как и низкая загрузка не доказывает отсутствие проблем. Проверяются ресурсы в динамике, задержки дисков, очереди, память, состояние RAID/СХД, журнал событий и конкуренция между виртуальными машинами.

Физическая инфраструктура

• возраст и поддерживаемость оборудования;
• состояние RAID, накопителей и контроллеров;
• резервирование блоков питания и подключение к UPS;
• температура, аппаратные события и состояние firmware;
• доступное место и прогноз роста.

VMware, Hyper-V и Proxmox

Для виртуализации важно проверить не только объем выделенных vCPU и RAM. Проблемы могут возникать из-за CPU oversubscription, недостатка физической памяти, хранения нескольких тяжелых VM на одном медленном datastore, старых snapshots и неконтролируемого роста thin-provisioned дисков.

3. Active Directory, DNS и административные права

Active Directory часто является скрытым фундаментом всей инфраструктуры: пользователи, компьютеры, RDS, файловые ресурсы, приложения и политики зависят от домена и DNS. Поэтому аудит AD — это не только проверка «контроллер домена включен».

• количество и состояние контроллеров домена;
• репликация AD и состояние DNS;
• расположение FSMO-ролей и доступность соответствующих DC;
• структура OU и применяемые Group Policy;
• состав Domain Admins и других привилегированных групп;
• неиспользуемые, уволенные и сервисные учетные записи;
• парольные политики, блокировки и административные аккаунты;
• устаревшие протоколы и системы, которые невозможно безопасно обновить.

Отдельно проверяется принцип минимальных привилегий: повседневная учетная запись сотрудника IT не должна автоматически использоваться для всех административных действий.

4. Сеть, Wi-Fi, VPN и FortiGate

Сетевой аудит должен показать не только наличие связи, но и архитектуру: где проходят границы доверия, какие VLAN существуют, кто может обращаться к серверам, как подключаются филиалы и удаленные сотрудники и какие сервисы опубликованы наружу.

Что смотреть на FortiGate

• актуальность и назначение firewall policies;
• наличие необоснованных правил с широкими source/destination/service;
• VPN, MFA и группы пользователей;
• IPS, Application Control, Web Filter и другие security profiles — там, где они нужны по политике;
• административный доступ и trusted hosts;
• журналы, резервные копии конфигурации и поддерживаемость FortiOS;
• публичные сервисы и DNAT/VIP.

Настройки security profiles нельзя оценивать в отрыве от лицензий, модели трафика и требований бизнеса: цель аудита — не включить «все галочки», а обеспечить контролируемый доступ без необоснованного риска.

5. Аудит 1С, SQL Server и RDS

Для компаний, где 1С влияет на продажи, склад, бухгалтерию или производство, этот контур следует проверять как единый сервис. Пользователь видит одну программу, но производительность зависит сразу от платформы 1С, сервера приложений, SQL Server, дисков, RDS, сети, фоновых заданий и доработок.

Сервер 1С

• версия платформы и совместимость конфигураций;
• кластер, рабочие серверы и процессы rphost;
• распределение фоновых и регламентных заданий;
• ошибки технологического и регистрационного журналов;
• конкуренция 1С с другими сервисами за CPU и RAM;
• лицензирование и архитектура при нескольких серверах.

SQL Server

Проверяются память SQL, TempDB, файлы данных и журналов, autogrowth, резервные копии, целостность, статистика, индексы, блокировки и наиболее тяжелые запросы. Для проблем производительности полезны Query Store, Extended Events и анализ wait statistics — выбор инструмента зависит от версии SQL Server и конкретной задачи.

RDS

Если пользователи работают через Remote Desktop Services, оцениваются количество сессий, профиль нагрузки, CPU/RAM, диски профилей, политика перенаправления ресурсов, сетевые задержки и соседство RDS с другими тяжелыми ролями.

6. Резервное копирование: проверяем возможность восстановления, а не зеленый статус

Одна из самых опасных иллюзий — считать резервное копирование работающим только потому, что задание завершилось без ошибки. В аудите необходимо проследить весь путь восстановления: что копируется, куда, кем защищается, сколько хранится и как быстро бизнес сможет вернуть критичные сервисы.

• полнота: какие системы и данные входят в backup;
• частота и соответствие допустимой потере данных;
• изоляция копий от основной инфраструктуры и административных учетных записей;
• offsite/offline или иная независимая копия согласно выбранной стратегии;
• сроки хранения и контроль свободного места;
• шифрование и доступ к репозиторию;
• тестовое восстановление файлов, VM, баз SQL/1С и критичных сервисов;
• документированные RPO и RTO.

Известный принцип 3-2-1 полезен как базовая модель: несколько копий данных, разные типы хранения и одна копия вне основной площадки. Но конкретная архитектура должна исходить из реального RPO/RTO и модели угроз.

7. Microsoft 365 и облачные учетные записи

Облачная инфраструктура не отменяет аудит. Для Microsoft 365 особенно важны привилегированные роли, многофакторная аутентификация, гостевой доступ, внешняя пересылка, приложения с доступом к данным и жизненный цикл учетных записей.

• Global Administrator и другие привилегированные роли;
• MFA и, при соответствующей лицензии, Conditional Access;
• Exchange Online: forwarding, transport rules, shared mailboxes;
• OneDrive/SharePoint: внешний доступ и публичные ссылки;
• Teams и гостевые пользователи;
• неиспользуемые лицензии и бывшие сотрудники;
• политики хранения и стратегия резервного копирования в соответствии с требованиями компании.

8. Информационная безопасность: проверяем реальные пути атаки

Безопасность нельзя свести к наличию антивируса. Важнее понять, насколько легко скомпрометированная учетная запись или рабочая станция сможет добраться до критичных систем.

• централизованный антивирус/EDR и состояние агентов;
• обновления ОС и критичных приложений;
• локальные администраторы и привилегированные учетные записи;
• MFA для удаленного и облачного доступа;
• RDP, VPN и опубликованные наружу сервисы;
• сегментация серверов, пользователей, камер, IoT и гостевых устройств;
• журналирование и возможность расследования инцидента;
• защита резервных копий от компрометации основной среды.

9. Мониторинг: узнает ли IT о проблеме раньше пользователя?

Аудит должен показать, какие события контролируются автоматически. Минимально полезный мониторинг обычно охватывает доступность сервисов, CPU/RAM, диски и свободное место, RAID/СХД, сетевые устройства, VPN, критичные службы, задания backup и ошибки приложений.

Для зрелой эксплуатации важна не только система мониторинга, но и маршрутизация уведомлений: кто получает сигнал, в какое время, что считается критичным и когда проблема эскалируется.

10. Документация и bus factor

Если восстановить инфраструктуру может только один человек, это самостоятельный операционный риск. Поэтому проверяется наличие актуальной документации и возможность передать поддержку другому специалисту.

• логическая и физическая схема сети;
• IP-план и VLAN;
• перечень серверов, VM и назначений;
• список критичных сервисов и зависимостей;
• контакты провайдеров и подрядчиков;
• процедура аварийного восстановления;
• место безопасного хранения административных секретов;
• ответственные за бизнес-системы.

Что должно быть на выходе IT-аудита

Отчет полезен только тогда, когда по нему можно принимать решения. Замечания необходимо связать с последствиями для бизнеса и разделить по приоритетам.

План 7 / 30 / 90 дней

Полный чек-лист IT-аудита предприятия

Ниже — базовый список для первичной самопроверки. Он не заменяет техническую диагностику, но быстро показывает, где не хватает контроля.

• Есть актуальная схема сети
• Есть перечень физических серверов
• Есть перечень виртуальных машин
• Известны владельцы критичных сервисов
• Проверено состояние RAID/СХД
• Контролируется свободное место
• Есть мониторинг серверов
• Есть мониторинг сетевых устройств
• Проверены гипервизоры и snapshots
• Проверена загрузка datastore
• Проверены контроллеры домена
• Проверена репликация AD
• Проверен DNS
• Известно расположение FSMO
• Проверены привилегированные группы AD
• Уволенные сотрудники отключаются своевременно
• Сервисные учетные записи документированы
• Админ-аккаунты отделены от повседневных
• Сеть разделена на обоснованные VLAN
• Гостевой Wi-Fi изолирован
• Камеры/IoT отделены от пользовательского сегмента
• Проверены firewall policies
• Нет необоснованных широких правил доступа
• Проверены NAT/VIP и публичные сервисы
• Удаленный доступ защищен
• MFA применяется там, где это требуется
• Есть backup конфигураций сетевых устройств
• Проверена версия платформы 1С
• Проверена архитектура кластера 1С
• Проверена нагрузка rphost
• Проверены фоновые задания 1С
• Проверена производительность RDS
• SQL Server имеет обоснованные настройки памяти
• Проверена TempDB
• Проверены autogrowth и свободное место SQL
• Есть обслуживание статистики и индексов
• Контролируются блокировки и тяжелые запросы
• Выполняется проверка целостности баз
• Определено, какие системы резервируются
• Backup контролируется автоматически
• Есть независимая копия критичных данных
• Проверены сроки хранения backup
• Проводилось тестовое восстановление
• Для критичных систем определены RPO/RTO
• Проверены роли Microsoft 365
• MFA включен для облачных учетных записей по политике
• Проверены внешние пересылки почты
• Проверены гостевые учетные записи
• Проверены публичные ссылки SharePoint/OneDrive
• Рабочие станции получают обновления
• Антивирус/EDR управляется централизованно
• Контролируются локальные администраторы
• Есть журнал критичных изменений
• Есть IP-план и список VLAN
• Есть контакты провайдеров и подрядчиков
• Есть инструкция аварийного восстановления
• Документация хранится доступно для уполномоченной команды

Какие ошибки самопроверка может не показать

Чек-лист отвечает на вопрос «проверяли ли мы это», но не всегда показывает качество настройки. Например, backup может существовать, но восстанавливаться дольше допустимого RTO; VLAN могут быть настроены, но firewall разрешает между ними слишком широкий доступ; SQL может иметь план обслуживания, но тяжелый запрос продолжает блокировать пользователей.

Поэтому технический аудит должен подтверждать выводы конфигурациями, журналами, метриками и тестами — а не только ответами «да/нет».

Частые вопросы об IT-аудите