Аудит IT-инфраструктуры — это внешняя проверка серверов, сетей, доступов, резервных копий и рабочих систем компании, которая заканчивается перечнем находок с приоритетами и оценкой затрат на их устранение. Он отвечает на два вопроса руководителя: где инфраструктура подведёт бизнес и что чинить первым.
Коротко
Аудит IT-инфраструктуры — разбор технической основы компании: оборудования, сетей, серверов, облачных сервисов, учётных записей, резервных копий и того, как всё это обслуживается. Проверяющий смотрит не на то, как система описана в документах, а на то, как она настроена и работает сейчас.
Это не проверка работы системного администратора. Внутренний специалист держит сервисы на ходу и закрывает задачи каждый день; у обследования другая задача — сравнить устройство инфраструктуры с общепринятой практикой и найти то, что не видно из ежедневной эксплуатации: единые точки отказа, доступы уволившихся, копии, из которых ни разу не восстанавливались.
По итогам у руководителя появляется то, чего обычно не хватает для решения об IT-бюджете.
Повод для обследования — не поломка, а предстоящее решение с ценой ошибки: покупка оборудования, переезд в облако, смена подрядчика, рост нагрузки. Проверять инфраструктуру после того, как деньги потрачены, поздно.
Отдельный случай — покупка бизнеса или доли в нём. Обследование показывает, что именно входит в сделку и какие расходы возникнут сразу после неё.
Проверку разбивают по областям, и в каждой смотрят три вещи: как устроено, что сломается первым и во что обойдётся поломка. Ниже — области и находки, которые встречаются чаще всего.
| Область | Что проверяем | Типичные находки |
|---|---|---|
| Серверы и виртуализация | Состав, загрузка, запас по ресурсам, обновления, сроки поддержки оборудования | Один физический сервер держит все сервисы сразу, запасного нет |
| Сеть и каналы связи | Схема сети, разделение на сегменты, Wi-Fi, VPN, резервный канал в интернет | Вся сеть в одном сегменте: гостевой Wi-Fi видит серверы и кассы |
| Резервные копии | Что копируется, куда, как часто и когда восстановление проверяли в последний раз | Копии делаются, но развернуть их не пробовали ни разу |
| Доступы и учётные записи | Кто к чему имеет доступ, двухфакторная аутентификация, учётные записи уволившихся | Один пароль администратора известен половине офиса |
| Рабочие системы | CRM, ERP, почта, файловые хранилища, базы данных и обмен между ними | Данные переносят выгрузками вручную, ошибки обмена никто не замечает |
| Облачные сервисы и лицензии | Какие подписки оплачиваются, на чьё имя оформлены и используются ли вообще | Компания платит за рабочие места сотрудников, которые давно уволились |
| Размещение данных | Где физически лежат базы и копии, кто имеет к ним доступ, что требует закон | Биометрические данные клиентов хранятся у зарубежного провайдера |
| Эксплуатация | Мониторинг, журналы, порядок обращений, документация, план действий при аварии | О сбое узнают от клиентов, документации нет, всё держится на одном человеке |
Последняя строка таблицы про размещение данных — не формальность. Обязательное хранение внутри Узбекистана распространяется на биометрические и генетические данные и данные абонентов операторов связи: это статья 27-1 закона о персональных данных в редакции от 26 марта 2026 года. Остальные персональные данные можно хранить за рубежом при соблюдении условий той же статьи, а в Государственном реестре регистрируют только базы с данными из первой категории.
Пример Самая частая находка выглядит безобидно: резервное копирование настроено, задания выполняются, письма об успехе приходят. При проверке оказывается, что база CRM в копию не попадает, а развернуть архив на тестовом сервере не удаётся. До обследования компания считала, что защищена.
Четыре работы называют одним словом «аудит», хотя отвечают они на разные вопросы и стоят по-разному. Путаница обходится дорого: компания заказывает пентест, а нужен был разбор процессов.
| Работа | На какой вопрос отвечает | Что на выходе |
|---|---|---|
| Аудит IT-инфраструктуры | Выдержит ли техническая основа задачи бизнеса и где она подведёт | Опись систем, находки по критичности, план и оценка бюджета |
| Аудит информационной безопасности | Правильно ли выстроена защита данных и доступов | Список рисков с приоритетами и оценкой последствий |
| Тестирование на проникновение | Можно ли на практике попасть внутрь и куда удастся дойти | Сценарии атак — как проходит пентест |
| Аудит бизнеса | Где компания теряет деньги в продажах и операционной работе | Карта процессов с точками потерь — как найти утечки денег |
Работы не заменяют друг друга и часто идут параллельно. Обследование инфраструктуры может показать образцовый порядок в серверах и не сказать ничего о том, что половина заявок теряется между отделами.
Аудит идёт от документов к людям и от людей к проверке руками: каждый следующий шаг подтверждает или опровергает предыдущий. Порядок почти не зависит от размера компании — меняется глубина.
Продолжительность зависит от числа площадок, серверов и систем, поэтому её согласуют после того, как определены рамки. Называть срок до того, как известен состав инфраструктуры, нечестно.
Половина скорости обследования определяется тем, что подготовлено заранее. Соберите по списку: это сэкономит время и заодно покажет, каких документов у компании нет.
Если собрать половину пунктов не получается, это уже результат: у компании нет описи собственной инфраструктуры, а значит, нет и понимания, за что она платит каждый месяц.
Отчёт полезен тогда, когда по нему можно принять решение и выделить деньги, а не когда он длинный. У каждой находки должно быть пять вещей: что нашли, чем это подтверждается, что произойдёт при худшем развитии событий, что делать и во сколько это обойдётся.
| Уровень | Что это значит | Пример находки |
|---|---|---|
| Критический | Работа останавливается или данные теряются безвозвратно; занимаются в первую очередь | Резервные копии не разворачиваются, запасного сервера нет |
| Высокий | Серьёзный сбой или утечка вероятны, но есть обходной путь | База с паролем по умолчанию, панель управления открыта наружу |
| Средний | Мешает работе и повышает риск, планируется в ближайший бюджет | Мониторинга нет: о сбоях узнают от сотрудников и клиентов |
| Низкий | На работу сейчас не влияет, но копится: порядок, документация, расходы | Оплачиваются неиспользуемые лицензии, документации по системам нет |
Сравнивать инфраструктуру есть с чем: практику описывают открытые своды правил. CIS Critical Security Controls в версии v8.1 задают порядок базовых мер — от описи оборудования и программ до управления доступом и резервного копирования. COBIT 2019 от ISACA описывает управление IT со стороны руководства компании, а требования к системе управления информационной безопасностью собраны в стандарте ISO/IEC 27001:2022.
Просите, чтобы отчёт и опись систем остались у вас в редактируемом виде: они пригодятся любому следующему подрядчику и не дадут начинать разбор заново.
Отдельной услуги «аудит IT-инфраструктуры» с фиксированной ценой у нас на сайте нет, и придумывать её мы не будем. Объём зависит от числа площадок и серверов, количества рабочих систем и обменов между ними, числа пользователей и того, нужна ли проверка защищённости. Задачу закрывают работы, у которых цена названа на странице услуги.
Обследование под новую систему и техническое задание — это первый этап разработки, а не отдельная услуга с прайсом: объём считают после того, как определены рамки. Что входит в такое задание, разобрано в статье о техническом задании для IT-проекта.
Syntra Systems — разработчик, и мы говорим об этом до начала работ: у любой нашей рекомендации есть сторона, на которой мы зарабатываем. Поэтому в отчёте отдельно помечено то, что закрывается настройкой уже купленного и изменением правил, — без нас и без бюджета на разработку.
Начинаем с описи и проверки резервных копий, потому что эти два пункта чаще всего оказываются слабым местом. Дальше смотрим доступы, сеть и рабочие системы, разворачиваем копию в тестовой среде и замеряем время восстановления. Находки отдаём с приоритетами и оценкой, документы — в редактируемом виде, вместе с описью.
Порядок действий на случай, когда инфраструктура всё-таки подвела, разобран отдельно — в статье о восстановлении IT-систем после сбоев: план, резервные копии и первые шаги после инцидента.
Обсудим вашу задачу
Расскажите, что нужно сделать, — оценим сроки и стоимость и предложим решение.
Нет. Обследование идёт на работающей инфраструктуре: инвентаризация, чтение настроек и журналов, интервью с сотрудниками. Действия, которые влияют на нагрузку или требуют перезапуска сервисов, согласуют заранее и проводят в оговорённое окно.
Да, и до передачи доступов, а не после первого инцидента. Проверяющий видит схемы, доступы и данные систем, поэтому NDA подписывают вместе с договором, а доступы выдают персональные, с правом чтения и с возможностью отозвать их после завершения работ.
Опись систем, проверку восстановления из копий и разбор доступов внутренняя команда сделать может, и это уже полезно. Но администратор держит сервисы на ходу каждый день, а обследование сравнивает инфраструктуру с общепринятой практикой и находит то, что не видно изнутри: единые точки отказа и доступы уволившихся.
Это обычная ситуация, и она не мешает начать. Опись составляется в ходе обследования и сама по себе становится частью результата: после аудита у компании впервые появляется список того, что у неё работает, где размещено и сколько стоит.
Он нужен перед решениями, а не после аварий. Отсутствие сбоев говорит о том, что инфраструктура справляется с текущей нагрузкой, и ничего не говорит о том, выдержит ли она рост, переезд или новую систему. Скрытые проблемы обычно проявляются именно в момент изменений.
Фиксированной цены нет: объём зависит от числа площадок, серверов и систем. Задачу закрывают услуги с ценой на сайте: аудит информационной безопасности — от 1 200 $, ИИ-аудит процессов — 400 $, а приёмка систем на поддержку — первый этап обслуживания от 700 $ в месяц.
