До 300 млн $ убытков, 45000 переустановленных ПК, 4000 серверов и парализованные портовые операции по всему миру – так для Maersk (крупнейшего морского перевозчика в мире) выглядели последствия атаки NotPetya. Формально это был внешний инцидент, но масштаб убытков показал внутренние проблемы: устаревшие системы, недостаточную сегментацию сети, слабый контроль обновлений и отложенные изменения в безопасности.
Главный урок этой истории простой: компания может годами работать с рисками, которых не видит, пока первая серьёзная атака не превратит их в финансовый и операционный кризис.
Часто компании узнают о проблемах в IT тогда, когда уже что-то сломалось, утекло или стоит втрое дороже, чем должно бы. Именно чтобы увидеть проблему до того, как она станет кризисом, и существует IT-аудит компании.
Это системная проверка всей технологической инфраструктуры бизнеса: оборудования, программного обеспечения, сетевой архитектуры, процессов безопасности, лицензий и DevOps-практик. Целью является выявление слабых мест, неэффективных расходов и рисков до того, как они превратятся в реальные убытки.
Если проводить аналогию с медициной: это профилактический осмотр. Выявить проблему на ранней стадии всегда дешевле, чем устранять последствия.
Эти два понятия часто путают, но между ними есть принципиальная разница:
| Критерий | IT-аудит | Аудит кибербезопасности |
|---|---|---|
| Фокус | Вся IT-инфраструктура в целом | Исключительно безопасность систем и данных |
| Что проверяется | Архитектура, расходы, процессы, лицензии, DevOps | Уязвимости, доступы, шифрование, защита периметра |
| Результат | Комплексная картина состояния IT + рекомендации | Карта угроз и план устранения уязвимостей |
| Когда проводят | Перед масштабированием, M&A, оптимизацией расходов | После инцидентов, регулярно для compliance |
Аудит IT-инфраструктуры охватывает кибербезопасность как один из блоков, но не сводится только к ней.
Чаще всего запрос возникает в одной из пяти ситуаций, описанных в следующем разделе. Но в целом регулярный аудит (раз в год или перед любым значительным изменением) является нормой для зрелого бизнеса. Именно поэтому IT-консалтинг в Украине всё чаще включает аудит как первый шаг.
Если компания готовится к раунду инвестиций, слиянию или поглощению – техническая проверка со стороны покупателя обычно является частью due diligence. Он хочет понимать, что покупает: есть ли технический долг, какого качества кодовая база, нет ли скрытых уязвимостей или нелегального ПО. Для таких случаев существует отдельное направление IT-аудита и консалтинга.
После инцидента важно понять первопричину. Как злоумышленник попал в систему? Какие ещё уязвимости остались? Именно здесь аудит кибербезопасности для бизнеса перестаёт быть абстрактной темой с конференций и становится конкретным перечнем действий: что закрыть, что перестроить, что проверить повторно.
С годами в любой компании накапливается технический и финансовый балласт: забытые подписки на SaaS, дублирующие инструменты, серверы, которые уже никому не нужны, но продолжают стоить денег. Оптимизация IT-расходов является одним из самых практичных и быстро ощутимых результатов аудита.
Миграция в облако без предварительной инвентаризации текущей инфраструктуры – это как переезд без упаковки вещей. Аудит помогает понять, что переносить, что оставить, а от чего стоит просто избавиться. Без этого облачная миграция нередко превращается в перенос всего хаоса с физических серверов в облачную среду.
Новый технический директор или подрядчик нуждается в объективной картине состояния дел. Аудит позволяет зафиксировать текущую точку отсчёта, не полагаясь только на устные объяснения предыдущей команды.
Аудит информационных систем включает пять больших блоков. На практике их глубина зависит от размера компании и целей аудита: иногда достаточно проверить один-два блока, иногда нужна полная картина.
Проверяется всё, что составляет физическую и логическую основу IT: серверы, сетевое оборудование, рабочие станции, облачные ресурсы. Важно понять, соответствует ли архитектура текущим потребностям бизнеса и выдержит ли она рост. Отдельно смотрят на резервные копии: проверял ли кто-нибудь вообще, что из них можно восстановить данные.
Это наиболее критичный блок. По данным IBM, среднюю утечку данных в 2024 году выявляли 194 дня, а ещё 64 дня тратили на локализацию инцидента. Для атак со скомпрометированными учётными данными цикл был ещё длиннее: в среднем 292 дня. Это месяцы, в течение которых злоумышленник может оставаться в системе, копировать данные, читать корпоративную почту или готовить следующий этап атаки.
Нелегальное программное обеспечение – это одновременно юридический риск и прямая угроза безопасности: пиратские версии не получают патчей и нередко содержат встроенный вредоносный код. Аудит выявляет всё установленное ПО, сравнивает с имеющимися лицензиями и отдельно фиксирует решения, которые уже вышли из поддержки производителя.
Этот блок актуален для компаний, которые имеют собственную разработку или работают с подрядчиками. Проверяют CI/CD пайплайны, практики ревью кода, тестирование, документацию, мониторинг в рабочей среде и то, как команда реагирует на инциденты. Часто именно здесь выявляется наибольший технический долг, и становится понятно, сколько он будет стоить при масштабировании. Если по результатам аудита нужна переработка, далее идёт аудит архитектуры и кастомная разработка.
Отдельный блок, который часто даёт самый быстрый и самый ощутимый результат. Проверяются все действующие подписки и SaaS-инструменты, дублирующие или неиспользуемые ресурсы, соответствие облачных конфигураций реальной нагрузке.
Этот список можно использовать для самодиагностики или как ориентир при разговоре с подрядчиком по IT-консалтингу. Если на большинство вопросов нет чёткого ответа – это уже сигнал.
Хороший отчёт – это документ, с которым можно реально работать: понимать приоритеты, планировать бюджет, ставить задачи команде. Если подрядчик после аудита приносит сотню страниц технического текста без чёткой структуры и приоритизации – это перекладывание ответственности обратно на клиента.
Нормальный отчёт по результатам аудита IT-инфраструктуры состоит из нескольких уровней:
| Блок отчёта | Что содержит |
|---|---|
| Резюме для руководства | Ключевые выводы на 1-2 страницы понятным языком для CEO и владельца |
| Текущее состояние | Детальная картина каждого блока: что есть, как работает, где есть риски |
| Выявленные проблемы | Классификация по критичности: критические/важные/рекомендованные |
| Приоритизированный план действий | Что исправлять первым, с оценкой трудозатрат и влияния на бизнес |
| Оценка расходов | Где есть избыточные расходы и сколько можно сэкономить |
| Дорожная карта | Поэтапный план изменений на 3-12 месяцев |
Отдельно стоит обратить внимание на то, как классифицируются проблемы.
Критический риск: то, что может привести к остановке бизнеса, утечке данных или юридическим санкциям прямо сейчас.
Важный: то, что станет критическим без вмешательства в течение нескольких месяцев. Рекомендованный: оптимизация, которая улучшит эффективность, но не несёт прямой угрозы. Если все проблемы в отчёте отмечены как критические, что-то здесь не так.
Часто выявляется потребность в автоматизации после аудита IT-процессов, и именно тогда становится понятно, что аудит – это только отправная точка.
Фиксированных тарифов нет, стоимость зависит от размера компании, глубины проверки и того, какие блоки входят в скоуп. По международным данным, базовая проверка для небольшого бизнеса стартует от 5000$, для компаний среднего размера диапазон обычно составляет 10000-50000$. Украинские компании, как правило, работают в нижней части этих диапазонов, из-за разницы в ставках специалистов.
Кстати, чем дольше компания не видит инцидент, тем дороже становится его локализация. Поэтому мониторинг, регулярные проверки, тестирование резервных копий и понятный план реагирования – это способ уменьшить будущие убытки.
Часто компании обращаются за IT-консалтингом уже после того, как что-то пошло не так, и тогда аудит превращается в антикризисную меру с соответствующей ценой. Если провести его раньше, он стоит меньше и даёт больше.
Команда IWIS проводит комплексный IT-аудит компании, от инфраструктуры и безопасности до лицензий и процессов разработки. По результатам вы получаете чёткий план: что исправлять первым, что можно оптимизировать и сколько это будет стоить.
Свяжитесь с нами, и мы предложим тот формат, который подходит под ваш масштаб и задачи.
DAX отвечает за расчёты внутри модели...
Читать далее DAX формулы в Power BI: практический гайд
