IT infratuzilmasi auditi — kompaniyaning serverlari, tarmoqlari, kirish huquqlari, zaxira nusxalari va ishchi tizimlarining tashqi tekshiruvi bo‘lib, u ustuvorliklar va bartaraf etish xarajatlari bahosi bilan topilmalar ro‘yxati bilan yakunlanadi. U rahbarning ikkita savoliga javob beradi: infratuzilma biznesni qayerda sinovdan o‘tkazmaydi va nimani birinchi bo‘lib tuzatish kerak.
Qisqacha
IT infratuzilmasi auditi — kompaniyaning texnik asosini tahlil qilish: uskunalar, tarmoqlar, serverlar, bulut xizmatlari, hisob yozuvlari, zaxira nusxalari va bularning barchasiga qanday xizmat ko‘rsatilishi. Tekshiruvchi tizim hujjatlarda qanday tasvirlanganiga emas, u hozir qanday sozlangani va ishlayotganiga qaraydi.
Bu tizim administratorining ishini tekshirish emas. Ichki mutaxassis xizmatlarni ishlayotgan holda ushlab turadi va har kuni vazifalarni yopadi; tekshiruvning vazifasi boshqacha — infratuzilma tuzilishini umumiy qabul qilingan amaliyot bilan solishtirish va kundalik ekspluatatsiyada ko‘rinmaydigan narsalarni topish: yagona ishdan chiqish nuqtalari, ishdan bo‘shaganlarning kirish huquqlari, bir marta ham tiklanmagan nusxalar.
Natijada rahbarda odatda IT byudjeti bo‘yicha qaror qabul qilish uchun yetishmaydigan narsa paydo bo‘ladi.
Tekshiruv sababi — buzilish emas, xatoning narxi bor kelayotgan qaror: uskuna xarid qilish, bulutga ko‘chish, pudratchini almashtirish, yuk o‘sishi. Pul sarflangandan keyin infratuzilmani tekshirish kech.
Alohida holat — biznesni yoki undagi ulushni sotib olish. Tekshiruv bitimga aynan nima kirishini va undan keyin darhol qanday xarajatlar chiqishini ko‘rsatadi.
Tekshiruv sohalarga bo‘linadi, va har birida uchta narsaga qaraladi: qanday tuzilgan, birinchi bo‘lib nima buziladi va buzilish qanchaga tushadi. Quyida — sohalar va eng ko‘p uchraydigan topilmalar.
| Soha | Nimani tekshiramiz | Tipik topilmalar |
|---|---|---|
| Serverlar va virtualizatsiya | Tarkib, yuklanish, resurs zaxirasi, yangilanishlar, uskuna qo‘llab-quvvatlash muddatlari | Bitta jismoniy server barcha xizmatlarni bir vaqtda ushlab turadi, zaxirasi yo‘q |
| Tarmoq va aloqa kanallari | Tarmoq sxemasi, segmentlarga bo‘linishi, Wi-Fi, VPN, zaxira internet kanali | Butun tarmoq bitta segmentda: mehmon Wi-Fi serverlar va kassalarni ko‘radi |
| Zaxira nusxalar | Nima nusxalanadi, qayerga, qanchalik tez-tez va tiklash oxirgi marta qachon tekshirilgan | Nusxalar olinadi, lekin ularni joylashtirib ko‘rish bir marta ham sinalmagan |
| Kirish huquqlari va hisob yozuvlari | Kim nimaga kirish huquqiga ega, ikki faktorli autentifikatsiya, ishdan bo‘shaganlarning hisob yozuvlari | Bitta administrator paroli ofisning yarmiga ma’lum |
| Ishchi tizimlar | CRM, ERP, pochta, fayl saqlagichlar, ma’lumotlar bazalari va ular orasidagi almashinuv | Ma’lumotlar qo‘lda eksport qilib ko‘chiriladi, almashinuv xatolarini hech kim payqamaydi |
| Bulut xizmatlari va litsenziyalar | Qaysi obunalar to‘lanadi, kimning nomiga rasmiylashtirilgan va umuman ishlatilyaptimi | Kompaniya ancha oldin ishdan bo‘shagan xodimlarning ish o‘rinlari uchun to‘laydi |
| Ma’lumotlar joylashuvi | Bazalar va nusxalar jismonan qayerda yotibdi, ularga kim kirish huquqiga ega, qonun nimani talab qiladi | Mijozlarning biometrik ma’lumotlari xorijiy provayderda saqlanadi |
| Ekspluatatsiya | Monitoring, jurnallar, murojaatlar tartibi, hujjatlar, avariya vaqtidagi harakatlar rejasi | Nosozlik haqida mijozlardan bilib qolishadi, hujjatlar yo‘q, hammasi bitta odamga tayanadi |
Jadvalning ma’lumotlar joylashuvi haqidagi oxirgi qatori shunchaki shakl emas. O‘zbekiston ichida majburiy saqlash biometrik va genetik ma’lumotlarga hamda aloqa operatorlari abonentlarining ma’lumotlariga tegishli: bu — 2026-yil 26-martdagi tahrirdagi shaxsga doir ma’lumotlar to‘g‘risidagi qonunning 27-1-moddasi. Qolgan shaxsiy ma’lumotlarni o‘sha moddaning shartlariga rioya qilgan holda xorijda saqlash mumkin, bazalar esa ro‘yxatdan o‘tkazilishi shart.
Misol Eng ko‘p uchraydigan topilma zararsizdek ko‘rinadi: zaxira nusxalash sozlangan, vazifalar bajariladi, muvaffaqiyat haqida xatlar keladi. Tekshiruvda esa CRM bazasi nusxaga tushmasligi va arxivni test serverida joylashtirib bo‘lmasligi ma’lum bo‘ladi. Tekshiruvgacha kompaniya o‘zini himoyalangan deb hisoblardi.
To‘rtta ish bitta so‘z bilan — «audit» — atalsa-da, ular turli savollarga javob beradi va narxi ham har xil. Chalkashlik qimmatga tushadi: kompaniya pentest buyurtma qiladi, aslida esa jarayonlar tahlili kerak bo‘lgan.
| Ish | Qanday savolga javob beradi | Natijada nima |
|---|---|---|
| IT infratuzilmasi auditi | Texnik asos biznes vazifalariga bardosh berarmikan va qayerda sinovdan o‘tmaydi | Tizimlar ro‘yxati, muhimlik bo‘yicha topilmalar, reja va byudjet bahosi |
| Axborot xavfsizligi auditi | Ma’lumotlar va kirish huquqlarini himoyalash to‘g‘ri qurilganmi | Ustuvorlik va oqibatlar bahosi bilan xatarlar ro‘yxati |
| Penetratsiya testi | Amalda ichkariga kirib bo‘ladimi va qayergacha yetib borish mumkin | Hujum stsenariylari — pentest qanday o‘tadi |
| Biznes auditi | Kompaniya savdo va operatsion ishda qayerda pul yo‘qotadi | Yo‘qotish nuqtalari bilan jarayonlar xaritasi — pul oqib ketishini qanday topish mumkin |
Bu ishlar bir-birini almashtirmaydi va ko‘pincha parallel olib boriladi. Infratuzilma tekshiruvi serverlarda ibratli tartib borligini ko‘rsatishi mumkin, lekin bo‘limlar orasida arizalarning yarmi yo‘qolayotgani haqida hech narsa aytmaydi.
Audit hujjatlardan odamlarga, odamlardan esa qo‘lda tekshirishga o‘tadi: har bir keyingi qadam avvalgisini tasdiqlaydi yoki inkor etadi. Tartib kompaniya kattaligiga deyarli bog‘liq emas — chuqurlik o‘zgaradi.
Davomiyligi maydonchalar, serverlar va tizimlar soniga bog‘liq, shuning uchun u chegaralar aniqlangandan keyin kelishiladi. Infratuzilma tarkibi ma’lum bo‘lmay turib muddat aytish insofdan emas.
Tekshiruv tezligining yarmi oldindan nima tayyorlanganiga bog‘liq. Ro‘yxat bo‘yicha yig‘ing: bu vaqtni tejaydi va shu bilan birga kompaniyada qaysi hujjatlar yo‘qligini ko‘rsatadi.
Agar punktlarning yarmini ham yig‘ib bo‘lmasa, bu allaqachon natija: kompaniyada o‘z infratuzilmasining ro‘yxati yo‘q, demak, har oy nima uchun to‘lashini tushunish ham yo‘q.
Hisobot uzun bo‘lgani uchun emas, u asosida qaror qabul qilib, pul ajratish mumkin bo‘lgani uchun foydali. Har bir topilmada beshta narsa bo‘lishi kerak: nima topildi, bu nima bilan tasdiqlanadi, eng yomon holatda nima bo‘ladi, nima qilish kerak va bu qanchaga tushadi.
| Daraja | Bu nimani anglatadi | Topilma misoli |
|---|---|---|
| Kritik | Ish to‘xtaydi yoki ma’lumotlar qaytarib bo‘lmaydigan tarzda yo‘qoladi; birinchi navbatda hal qilinadi | Zaxira nusxalar joylashtirilmayapti, zaxira server yo‘q |
| Yuqori | Jiddiy nosozlik yoki oqib ketish ehtimoli bor, lekin aylanma yo‘l mavjud | Standart parolli baza, boshqaruv paneli tashqariga ochiq |
| O‘rta | Ishga xalaqit beradi va xatarni oshiradi, yaqin byudjetga rejalashtiriladi | Monitoring yo‘q: nosozliklarni xodimlar va mijozlardan bilib qolishadi |
| Past | Hozircha ishga ta’sir qilmaydi, lekin to‘planib boradi: tartib, hujjatlar, xarajatlar | Ishlatilmaydigan litsenziyalar uchun to‘lanadi, tizimlar bo‘yicha hujjat yo‘q |
Infratuzilmani solishtiradigan narsa bor: amaliyotni ochiq qoidalar to‘plamlari tasvirlaydi. CIS Critical Security Controls v8.1 versiyasida asosiy chora-tadbirlar tartibini belgilaydi — uskuna va dasturlar ro‘yxatidan tortib kirish huquqlarini boshqarish va zaxira nusxalashgacha. ISACA’ning COBIT 2019 standarti kompaniya rahbariyati tomonidan IT boshqaruvini tasvirlaydi, axborot xavfsizligini boshqarish tizimiga qo‘yiladigan talablar esa ISO/IEC 27001:2022 standartida to‘plangan.
Hisobot va tizimlar ro‘yxati sizda tahrirlanadigan ko‘rinishda qolishini so‘rang: ular keyingi istalgan pudratchiga kerak bo‘ladi va tahlilni qaytadan boshlashga yo‘l qo‘ymaydi.
Saytimizda qat’iy narxli alohida «IT infratuzilmasi auditi» xizmati yo‘q, va biz uni o‘ylab topmaymiz. Hajm maydonchalar va serverlar soniga, ishchi tizimlar va ular orasidagi almashinuvlar soniga, foydalanuvchilar soniga hamda himoyalanganlikni tekshirish kerak-emasligiga bog‘liq. Vazifani narxi xizmat sahifasida ko‘rsatilgan ishlar yopadi.
Yangi tizim uchun tekshiruv va texnik topshiriq — bu narxi bor alohida xizmat emas, ishlab chiqishning birinchi bosqichi: hajm chegaralar aniqlangandan keyin hisoblanadi. Bunday topshiriqqa nima kirishi IT loyihasi uchun texnik topshiriq haqidagi maqolada yozilgan.
Syntra Systems — dasturchi kompaniya, va biz buni ishlar boshlanishidan oldin aytamiz: bizning har qanday tavsiyamizda biz foyda ko‘radigan tomon bor. Shuning uchun hisobotda allaqachon xarid qilingan narsani sozlash va qoidalarni o‘zgartirish bilan yopiladigan narsalar — bizsiz va ishlab chiqish byudjetisiz — alohida belgilanadi.
Ro‘yxat va zaxira nusxalarni tekshirishdan boshlaymiz, chunki bu ikki punkt ko‘pincha zaif nuqta bo‘lib chiqadi. Keyin kirish huquqlari, tarmoq va ishchi tizimlarga qaraymiz, nusxani test muhitida joylashtiramiz va tiklash vaqtini o‘lchaymiz. Topilmalarni ustuvorlik va baho bilan, hujjatlarni esa ro‘yxat bilan birga tahrirlanadigan ko‘rinishda topshiramiz.
Infratuzilma baribir sinovdan o‘tmagan holat uchun harakatlar tartibi alohida — nosozliklardan keyin IT tizimlarini tiklash haqidagi maqolada yoritilgan: reja, zaxira nusxalar va hodisadan keyingi birinchi qadamlar.
Vazifangizni muhokama qilamiz
Nima qilish kerakligini yozing — muddat va narxni baholab, yechim taklif qilamiz.
Yo‘q. Tekshiruv ishlayotgan infratuzilmada o‘tkaziladi: inventarizatsiya, sozlamalar va jurnallarni o‘qish, xodimlar bilan suhbat. Yukka ta’sir qiladigan yoki xizmatlarni qayta ishga tushirishni talab qiladigan amallar oldindan kelishiladi va belgilangan oynada o‘tkaziladi.
Maydonchalar, serverlar va ishchi tizimlar soniga bog‘liq, shuning uchun muddat tekshiruv chegaralari aniqlangandan keyin kelishiladi. Infratuzilma tarkibi ma’lum bo‘lmasdan muddat aytish taxmin qilish demakdir: topilmalarning bir qismi faqat ma’lumot yig‘ish bosqichida chiqadi.
Ha, va kirish huquqlari berilishidan oldin, birinchi hodisadan keyin emas. Tekshiruvchi tizimlarning sxemalari, kirishlari va ma’lumotlarini ko‘radi, shuning uchun NDA shartnoma bilan birga imzolanadi, kirish huquqlari shaxsiy va faqat o‘qish uchun beriladi hamda ishlar tugagach bekor qilinishi mumkin.
Qisman: tizimlar ro‘yxatini tuzish, nusxalardan tiklashni tekshirish va kirish huquqlarini ko‘rib chiqishni ichki jamoa qila oladi, va bu allaqachon foydali. Solishtirish bilan qiyinroq: ichkaridagi odam infratuzilmani uning o‘z tarixi bo‘yicha baholaydi, tashqi tekshiruv esa uni boshqa kompaniyalar amaliyoti bilan solishtiradi.
Bu odatiy holat va ishni boshlashga xalaqit bermaydi. Ro‘yxat tekshiruv davomida tuziladi va o‘zi natijaning bir qismiga aylanadi: auditdan keyin kompaniyada birinchi marta nima ishlayotgani, qayerda joylashgani va qancha turishi haqida ro‘yxat paydo bo‘ladi.
U qarorlardan oldin kerak, avariyalardan keyin emas. Nosozliklar yo‘qligi infratuzilma joriy yukka bardosh berayotganini ko‘rsatadi, lekin o‘sish, ko‘chish yoki yangi tizimga bardosh berishi haqida hech narsa aytmaydi. Yashirin muammolar odatda aynan o‘zgarishlar paytida chiqadi.
Tizimlar ro‘yxati, muhimlik darajalari bo‘yicha topilmalar hisoboti, ularni bartaraf etish xarajatlari bahosi va ustuvorliklar bilan ish rejasi. Hujjatlarni tahrirlanadigan ko‘rinishda olib qolgan ma’qul: ular bo‘yicha faqat tekshiruvni o‘tkazgan bilan emas, istalgan pudratchi bilan gaplashish mumkin.
