Блог

ИТ-аудит и аудит информационной безопасности часто путают, потому что они смотрят на одну и ту же инфраструктуру: те же серверы, та же сеть, те же учётные записи. Но задают ей разные вопросы. ИТ-аудит выясняет, насколько инфраструктура надёжна, производительна и готова к развитию. Аудит ИБ — насколько она защищена от атак и соответствует требованиям регуляторов.

Из-за этой путаницы компании заказывают не то, что им нужно: получают отчёт о защищённости, когда нужно было понять, почему всё тормозит, или наоборот. Разберём, чем виды аудита отличаются, где пересекаются и в каких случаях нужны оба.

Гибридная модель — это схема, при которой часть ИТ-функций остаётся у собственной команды, а часть выполняет внешний подрядчик. В среднем и крупном бизнесе это самый распространённый вариант: полностью внутренний ИТ дорог и уязвим к кадровым провалам, полностью внешний лишает компанию контроля над развитием.

Решить, какие функции оставить, а какие отдать, обычно удаётся за одно совещание. Сложности начинаются потом. Инцидент происходит на границе двух зон, и каждая сторона уверена, что это не её задача. Внутренний администратор меняет настройку и не предупреждает подрядчика. Какая-то работа не попадает ни в одну зону и висит месяцами. Гибрид редко ломается из-за неправильного выбора функций — он ломается на стыках.

«Зачем платить за аудит, если наш администратор и так всё знает?» — вопрос справедливый, и задают его обычно не от непонимания. Чаще всего так формулирует собственник или финансовый директор, которому администратор говорит, что в инфраструктуре всё в порядке. А иногда и сам администратор, который воспринимает внешнюю проверку как недоверие к своей работе.

Аудит ИТ-инфраструктуры заказывают в трёх ситуациях: перед модернизацией, когда нужно понять, что менять в первую очередь; при регулярных сбоях, когда причина не очевидна; и при смене ИТ-подрядчика или руководителя, когда новому человеку нужна честная картина того, что он принимает.

Спор «свой отдел или подрядчик» почти всегда бесплоден, потому что вопрос поставлен неправильно. В компаниях среднего и крупного размера ИТ никогда не находится целиком внутри или целиком снаружи: часть функций живёт в штате, часть у партнёров, и весь вопрос в том, где проходит граница.

Когда финансовый директор спрашивает, во сколько компании обходится ИТ-отдел, обычно называют фонд оплаты труда. Иногда добавляют страховые взносы. На этом расчёт заканчивается, и дальше с этой цифрой сравнивают предложения подрядчиков, считают бюджет на следующий год и решают, можно ли позволить себе ещё одного инженера.

Вопрос обычно возникает в двух ситуациях. Либо компания выросла, и одного администратора на весь офис перестало хватать. Либо ушёл человек, на котором держалась вся инфраструктура, и выяснилось, что заменить его некем и некогда: по данным «Поток Рекрутмент», проанализировавшего 1762 ИТ-вакансии, медианный срок закрытия составляет 44,5 дня.

В этой статье разберём, что и зачем отслеживают системы мониторинга, какие бывают платформы, по каким критериям их выбирать и как проходит внедрение.