Audyt IT w firmie: co sprawdzić i jak czytać wyniki

Poniedziałek, 8:15. Serwer plików nie wstaje po weekendowej burzy, a w firmie nikt nie wie, kiedy ostatnio wykonano kopię zapasową ani kto ma hasło administratora. W takich chwilach widać, że audyt IT w firmie ma sens: dzięki niemu awaria nie zaskakuje Cię w najgorszym momencie. Poniżej znajdziesz listę obszarów do sprawdzenia i wskazówki, jak czytać wyniki, żeby raport nie trafił do szuflady.

Po co robić audyt IT w firmie

Audyt to uporządkowany przegląd tego, co firma ma, jak to działa i gdzie są słabe punkty. W małych i średnich firmach infrastruktura rośnie latami. Ktoś dokupił drukarkę, ktoś założył konto w chmurze, poprzedni informatyk skonfigurował router i zabrał wiedzę ze sobą.

Po dobrym audycie masz aktualny obraz środowiska i listę ryzyk uszeregowanych według wagi. Przede wszystkim jednak dostajesz plan działań z kosztami i terminami. Bez tego planu audyt jest tylko kosztowną inwentaryzacją.

Co sprawdzić podczas audytu IT, obszar po obszarze

1. Sprzęt i licencje

Zacznij od spisu komputerów, serwerów, urządzeń sieciowych i drukarek: wiek, gwarancja, przypisany użytkownik, system operacyjny. Do tego licencje oprogramowania: ile kupiono, ile jest w użyciu, kiedy wygasają. Szczegółowo opisaliśmy to w tekście o inwentaryzacji sprzętu i licencji IT.

• Czy w firmie działają komputery z systemem bez wsparcia producenta?
• Czy serwer ma aktywną gwarancję lub umowę serwisową?
• Czy liczba licencji odpowiada liczbie użytkowników?

2. Kopie zapasowe

Tu audyty najczęściej znajdują poważne luki. Sam fakt, że kopia „się robi”, niczego nie dowodzi. Sprawdź, co dokładnie jest kopiowane, gdzie leżą kopie, czy przynajmniej jedna jest odseparowana od sieci firmowej i kiedy ktoś ostatnio przetestował odtworzenie danych. Jak to zrobić, opisujemy w poradniku o testowaniu odtwarzania kopii zapasowej.

• Czy kopia obejmuje bazę ERP, pliki, pocztę i konfigurację urządzeń?
• Czy istnieje kopia poza biurem lub w chmurze?
• Czy jest udokumentowany test odtworzenia z ostatnich miesięcy?

3. Konta i uprawnienia

Przejrzyj listę kont w domenie, poczcie, systemie ERP i usługach chmurowych. Zwykle znajdują się tam konta byłych pracowników, wspólne loginy w rodzaju „biuro” czy „magazyn” oraz użytkownicy, którzy na co dzień pracują z uprawnieniami administratora.

• Czy uwierzytelnianie wieloskładnikowe jest włączone dla poczty i dostępu zdalnego?
• Czy istnieje procedura odbierania dostępów przy odejściu pracownika?
• Kto zna hasła administracyjne i gdzie są przechowywane?

4. Sieć i dostęp zdalny

Sprawdź konfigurację routera i zapory, aktualność oprogramowania urządzeń sieciowych, podział sieci (goście, pracownicy, urządzenia) i sposób pracy zdalnej. Porty pulpitu zdalnego otwarte do internetu to jeden z najczęstszych punktów wejścia dla atakujących.

5. Aktualizacje i ochrona stacji roboczych

Czy aktualizacje systemu i programów instalują się automatycznie, czy „kiedy ktoś pamięta”? Czy każdy komputer ma działającą ochronę antywirusową i czy ktoś widzi jej alerty? Czy laptopy są zaszyfrowane?

6. Dokumentacja i procedury

Ostatni obszar to wiedza: schemat sieci, lista dostawców i umów, kontakty serwisowe, plan działania na wypadek awarii. Jeśli cała wiedza o IT siedzi w głowie jednej osoby, to już jest ryzyko, które trzeba zapisać w raporcie.

Jak czytać wyniki audytu IT

Raport z audytu bywa długi i techniczny. Do decyzji potrzebujesz z niego odpowiedzi na dwa pytania: co i jak bardzo grozi firmie oraz ile kosztuje naprawa.

Ocena ryzyka, a nie lista usterek

Każde znalezisko powinno mieć ocenę skutku (co się stanie, jeśli ryzyko się zmaterializuje) i prawdopodobieństwa. Brak kopii poza biurem przy jednym serwerze to ryzyko krytyczne. Stara drukarka bez wsparcia sterowników to ryzyko niskie. Jeśli raport traktuje wszystkie punkty jednakowo, poproś o ich uszeregowanie.

Podział na trzy koszyki

1. Od razu: rzeczy tanie i krytyczne, czyli włączenie MFA, usunięcie nieaktywnych kont, zamknięcie otwartych portów, test odtworzenia kopii.
2. W budżecie: wymiana serwera, nowy system kopii, wymiana komputerów bez wsparcia.
3. Do monitorowania: elementy, które działają poprawnie, ale wymagają przeglądu przy kolejnym audycie.

Raport, który kończy się ofertą sprzętu

Ostrożnie podchodź do raportu, którego jedynym wnioskiem jest zakup sprzętu. Część problemów rozwiązuje zmiana konfiguracji lub procedury, a nie nowe urządzenie. Dobry audytor pokazuje, co da się naprawić bez inwestycji, a gdzie wydatek uzasadnia ryzyko.

Sprawdź też, czy raport opisuje stan faktyczny, czy deklaracje. „Kopie są wykonywane” to deklaracja. „Odtworzono testowo bazę z dnia X, czas odtworzenia: Y godzin” to fakt.

Kopia na dysku obok serwera

Weźmy firmę handlową zatrudniającą kilkadziesiąt osób, która zleca audyt po tym, jak pracownik otworzył zainfekowany załącznik. Infekcję udało się zatrzymać, ale audyt pokazuje, że kopie bazy ERP trafiają na dysk sieciowy w tym samym pomieszczeniu co serwer, z pełnym dostępem z kont użytkowników. Atak szyfrujący zaszyfrowałby kopię razem z danymi.

Plan naprawczy w takim przypadku ma trzy punkty: kopię odseparowaną poza siedzibą, osobne konto do zapisu kopii i comiesięczny test odtworzenia. Resztę ustaleń, np. wymianę części komputerów, przenosi się do budżetu na kolejne kwartały.

Jak przygotować firmę do audytu

Audyt idzie szybciej i taniej, gdy audytor nie musi zdobywać podstawowych informacji metodą prób i błędów. Przed startem przygotuj listę dostawców IT z kontaktami, dostęp do paneli administracyjnych (routera, poczty, konsoli kopii), aktualne umowy serwisowe i licencyjne oraz listę pracowników ze stanowiskami.

Wyznacz też jedną osobę kontaktową po stronie firmy. Nie musi być informatykiem. Wystarczy, że wie, kogo zapytać, i może udostępnić pomieszczenia czy dokumenty.

Jak często powtarzać audyt

Rozsądne minimum to pełny przegląd raz w roku albo przy większej zmianie, takiej jak przeprowadzka, nowy system ERP czy przejęcie spółki. Między audytami prowadź bieżący monitoring i krótkie kwartalne przeglądy kopii, kont i aktualizacji.

Aktualne ostrzeżenia o zagrożeniach dla firm publikuje serwis CERT Polska. To dobry kontekst przy ocenie ryzyk.

Chcesz uporządkować infrastrukturę i dostać raport, z którego da się zbudować plan działań? Porozmawiajmy o obsłudze IT Twojej firmy.

Pytania przed zleceniem audytu

Ile trwa audyt IT w małej firmie?

Zależy od liczby stanowisk, lokalizacji i stanu dokumentacji. W małym biurze przegląd na miejscu zajmuje zwykle kilka dni roboczych, do tego dochodzi czas na analizę i raport z rekomendacjami.

Czy audyt może przeprowadzić nasz obecny informatyk?

Może, ale spojrzenie z zewnątrz pomaga wychwycić rzeczy, do których osoba pracująca na miejscu się przyzwyczaiła. Dobrze sprawdza się audyt zewnętrzny z udziałem wewnętrznego informatyka, który zna historię środowiska.

Czy audyt IT obejmuje system ERP?

Powinien obejmować przynajmniej kopie bazy danych, uprawnienia użytkowników i wersję oprogramowania. Szczegółowy przegląd konfiguracji księgowej czy kadrowej to osobny zakres, który zwykle wykonuje partner wdrożeniowy systemu.