Поскольку в современных компаниях все больше операций автоматизируются, проведение ИТ-аудита необходимо, чтобы удостовериться, что все связанные с информацией процессы работают должным образом.
Смотрите также:
Как защитить электронную почту компании
Безопасность электронной почты пользователя - сотрудника компании - часто является уязвимым местом, которым пользуются злоумышленники. Рассказываем что необходимо предпринять для защиты от вирусов, спама, фишинговых атак и пр.
Как настраивать WhatsApp для консультантов и менеджеров
Делимся опытом как настроить консультации по WhatsApp через мессенджеры, облегчить участь онлайн-консультантов, хранить всю переписку в удобном и понятном виде, защитить себя от потери потенциальных клиентов и "слива" контактов.
Аудит сайта
Поисковые системы “не замечают” ваш сайт, несмотря на все усилия по его продвижению? Seo анализ поможет понять, в чем проблема и как ее устранить.
Аудит ИТ-инфраструктуры логистической компании
ИТ-специалистами ГК "Интегрус" проведен комплексный аудит ИТ-инфраструктуры логистической компании, входящей в состав холдинга и имеющей общую ИТ-систему.
Аудит телефонии и предложение оптимизации затрат на звонки
Проведен аудит аналоговой телефонии в крупной строительной компании - расходы на звонки, оборудование и его содержание. Руководству компании предоставлен развернутый отчет о возможностях экономии до 30% бюджета при внедрении IP-телефонии. Преимущества перехода бизнеса на услуги IP-телефонии значительная экономия на стоимости звонков простота и удобство внедрения и поддержки, легко модернизировать и расширять. нет необходимости в телефонной…
Аудит серверного оборудования
Подписан договор на комплексный аудит 1С между компанией Интегрус (исполнитель) и компанией-заказчиком, занимающейся комплексным оснащением салонов красоты в Петербурге, Ленинградской области и по всей России. В ближайших планах заключение договора с данной компанией на комплексный аудит серверов (физические blade-сервера) а также аудит системы хранения данных, аудит sql-серверов, терминальных серверов и серверов приложений данной компании. После…
Подготовка IT инфраструктуры для работы офиса крупной строительной компании
Выполнен комплекс работ по подготовке и развертыванию IT-инфраструктуры для работы офиса крупной строительной компании после переезда в новый Бизнес-центр в Санкт-Петербурге.
Аудит 1С
Внедрение, автоматизация, создание эффективной системы управленческого учета 1С. Разработка автоматизированной системы управленческого учета на предприятии в программах 1С 8 УПП, УП (ERP), УТ
Добрый день!
Я хотел бы осветить вопрос соблюдения требований к управлению ИТ отдела в рамках внешнего финансового аудита компании. Цель статьи заключается не в описании сопутствующих законов, а в их конкретном влиянии на управление ИТ отдела.
Вероятно, многие из вас уже сталкивались с этими требованиями в виде либо каждодневной рутины, либо авралов в конце календарного года (больше склоняюсь ко-второму), но лично я, кроме упоминаний таких понятий как SOX, HIPAA, SAS 70 (заменен на SSAE 16) и ITGC, не встречал сколько-нибудь исчерпывающего описания этого вопроса.
Не так давно, в рамках своей работы я подготовил презентацию для новых сотрудников, которая дает минимальное представление об этом виде деятельности нашей фирмы. Собственно говоря, сама презентация и сподвигла меня на написание данной статьи. Здесь я хочу заметить, что мой опыт работы на территории стран СНГ весьма ограничен – я больше работаю с международными компаниями.
Если вас интересует данный вопрос, добро пожаловать.
Вступление
Проведу краткий экскурс в историю возникновения этих требований: вследствие финансовых махинаций в нескольких крупных компаниях в начале 2000-ых, президентом США был утвержден закон SOX, касающийся прямой ответственности высшего звена менеджеров за достоверность финансовой отчетности. Поскольку финансовая отчетность в наше время ведется не в амбарных книгах, а в специализированных информационных системах, возникла необходимость удостовериться в том, что на хранящиеся в этих системах финансовые данные можно положиться.У каждого из вас может возникнуть вопрос, каким образом это касается компании, где вы работаете? В случае если компания котируется на фондовом рынке в США, либо является дочерней для одной из таких компаний, необходимо создать внутренний механизм контроля за работой ИТ отдела. Разумеется, что необходимо создание подобного механизма и в других отделах, но здесь я повторюсь, что целью данной статьи является ИТ отдел.
Итак, каким образом создается такой механизм контроля? Как правило, компания обращается к консалтинговой фирме, которая выступает представителем этой компании в переговорах с аудиторской фирмой, причем в роли консультанта может выступить и другая аудиторская фирма. Консалтинговая компания использует свои наработки, подгоняя их в той или иной степени под каждую конкретную компанию.
Что же это за наработки? По сути, это обычная таблица в Excel, содержащая риски и контроли, скомпонованные по темам, которые я опишу в дальнейшем. Откуда взялись эти риски и контроли? В зависимости от степени самоотверженности сотрудников консалтинговых фирм, начиная с тщательного изучения различных стандартов (COBIT, ITIL, COSO), их последующего анализа и построения своей собственной «библиотеки» рисков и контролей, и заканчивая простым плагиатом, как правило, бывшими сотрудниками крупных фирм, отправившимися в свободное плавание.
Процесс аудита ИТ отдела можно разделить на два отрезка времени. Первый, как правило, протекает поздней весной либо в начале лета, он включает в себя описание ИТ процессов и контролей (заполнение матриц) и требует предоставить минимум один документированный пример для каждого ключевого контроля. По своему опыту могу заявить, что этот этап чрезвычайно важен для самого ИТ отдела – при отсутствии тщательной проверки описанных ИТ процессов и контролей, возможные неточности могут дорого обойтись в будущем. Вторая часть аудита выпадает на осень, и включает в себя тестирование всех ключевых контролей посредством сбора документации по этим контролям.
Здесь требуется небольшое объяснение разницы между обычным и ключевым контролем: обычный контроль вносится в матрицу в виде описания, ключевой же, помимо описания, необходимо протестировать. Как узнать, где необходимо предоставить документацию по контролю, а где можно ограничиться всего лишь упоминанием? Никак. Это обговаривается между посредником и аудитором, на основании размера компании, результатов первой части аудита и т.д. Вместе с тем, по большинству из приведенных ниже контролей, необходимо предоставить документацию.
Перед началом описания процесса аудита я хотел бы упомянуть тему приказов и процедур – необходимо задокументировать все ключевые рабочие процессы ИТ отдела. Эти документы должны быть утверждены руководством компании, периодически пересматриваться и обновляться в случае существенных изменений в процессах либо технологиях.
И еще одно замечание: по возможности предоставляйте списки в формате Excel – этим вы облегчите жизнь и аудиторам, и себе (повторные требования с просьбами предоставить то же самое, но в другом виде могут заставить вас понервничать).
Перейдем к описанию контролей. Таблица рисков и контролей подразделяется на три части:
1. Логический и физический доступ
2. Эксплуатация информационных систем
3. Управление изменениями в информационных системах
Четвертая часть, «Разработка информационных систем», как правило, проверяется в рамках управления изменениями, поскольку фокусируется на документировании изменений.
Логический и физический доступ
Первый раздел - Логический и физический доступ ко всем информационным системам, на которых фокусируется аудит.1. Администраторы систем – здесь требуется предоставить список администраторов в каждой системе, включая сеть компании (Administrators, Domain, Enterprise и Scheme Admins) и базы данных. Список должен быть либо экспортирован из системы, либо предоставлен в виде скриншотов, причем первое предпочтительнее.
Для каждого сотрудника с правами администратора системы должен существовать приказ по утверждению. Также необходимо знать каждую сервисную учетную запись с аналогичными правами.
2. Права доступа сотрудников – проводится тестирование нескольких подпунктов:
a. Сотрудники, начавшие работу в тестируемом году – требуется предоставить список таких сотрудников, проще всего из бухгалтерской программы (исходя из факта, что нет сотрудника, который не получает зарплату).
b. Сотрудники, закончившие работу в тестируемом году – аналогично, список таких сотрудников.
c. Сотрудники, сменившие должность – список сотрудников.
d. Дополнительно следует предоставить полные списки пользователей во всех системах, включая сеть компании и базы данных
По запросу аудиторов (полный список либо выборка), следует предоставить заполненные и заверенные бланки найма и увольнения сотрудников.
Будет проведена перекрестная проверка данных: есть ли сотрудники, получившие права доступа к каким-либо системам без соответствующего разрешения, есть ли уволенные/уволившиеся сотрудники с открытыми правами доступа, есть ли неиспользуемые открытые учетные записи (вход в систему больше 90-180 дней назад).
Так же проверяется выполнение ежегодной процедуры ревизии прав пользователей – необходимо предоставить заверенный список пользователей и их прав в каждой системе. Кстати, с помощью этой проверки можно обнаружить не закрытые вовремя учетные записи уволенных/уволившихся сотрудников.
3. Права удаленного доступа – необходимо предоставить список всех сотрудников имеющих право на удалённый доступ. Так же может проверяться выполнение процедуры ревизии списка сотрудников в рамках ежегодной процедуры ревизии прав пользователей. В случае если в AD существует отдельная группа с данными правами – готовьтесь к дополнительной перекрестной проверке.
4. Права для локальной установки программ – желательно, чтобы ни один сотрудник не был локальным администратором на своем компьютере.
5. Внешние подключения – желательно заблокировать CD-ROM, USB-порты, LAN-розетки и Wi-Fi-точки. Плюс использовать систему слежения и оповещения за подключениями.
6. Политика паролей – необходимо предоставить скриншот экрана настроек пароля для всех систем, а также AD. Минимальные требования к паролю:
a. длина минимум 8 символов
b. использование различных символов
c. смена пароля максимум через 90 дней, минимум через день
d. сохранение истории паролей минимум 5 поколений, либо год
e. отсутствие возможности восстановить пароль
f. блокирование учетной записи максимум после 5 неправильных попыток
g. разблокирование учетной записи администратором сети (желательно не использовать автоматический сброс блокировки)
Также будет проведена проверка даты последней смены пароля в AD у всех учетных записей.
7. Межсетевой экран – скриншот версии FW, списка администраторов FW, списка рассылки предупреждений. Также могут потребовать заверенную периодическую проверку правил в FW. В особо тяжелых случаях просмотрят лог или потребуют документ, удостоверяющий (!), что такая проверка выполняется.
8. Антивирус – скриншот версии AV, списка рассылки предупреждений, экрана настроек обновлений сервера AV и клиентов.
9. Безопасность ноутбуков – довольно редко (пока еще) требуют предоставить список сотрудников с ноутбуками. Шифруются ли жесткие диски, если да, то каким образом.
10. Управление чрезвычайными происшествиями – каждая компания должна вести список таких происшествий (попытки взлома сети и т.д.). Желательно передавать ежеквартальные отчеты вышестоящему руководству.
Эксплуатация информационных систем
Ну что же, с безопасностью информационных систем вроде разобрались. Перейдем непосредственно к их эксплуатации.1. Резервное копирование данных – одна из основных проверок в этом разделе.
Следует предоставить скриншот версии программы бэкапа, списка рассылки статуса выполнения заданий, а также экрана настроек бэкапа. Поскольку, как правило, каждая финансовая система устанавливается на свой виртуальный сервер, да и требования к бэкапу могут быть разными (полный, дифференциальный, инкрементальный), потребуется соответствующее количество скриншотов. Непрерывность процесса резервного копирования проверяется просмотром логов, поэтому необходимо хранить логи бэкапа за три предыдущих месяца, а еще лучше - за весь тестируемый год. Здесь ищутся проблемы с бэкапом систем, длящиеся больше 2-3 дней. В таких случаях следует сохранять отчеты вышестоящему руководству, хотя бы в виде сообщений по электронной почте.
2. Проверка восстановления данных – необходимо предоставить логи восстановления данных с кассет. Опытный аудитор не ограничится несколькими документами с файлового сервера, поэтому желательно выполнять восстановления баз данных и финансовых систем.
3. Кассеты для резервного копирования – политика круговорота и перезаписи кассет должна отвечать следующим правилам:
a. ежедневные кассеты должны храниться минимум две недели
b. недельные кассеты – минимум месяц
c. месячные кассеты – минимум год
d. годичные кассеты – минимум семь лет
Кассеты необходимо хранить в огнеупорном сейфе, как минимум не в серверной комнате, а лучше в другом здании. Соответственно, необходимо иметь список всех сотрудников с доступом к сейфу.
4. Доступ в серверную комнату – следует предоставить заверенный список сотрудников с доступом в серверную комнату. Необходимо вести журнал посещений, а сделать это посредством установки специализированной системы контроля доступа. На мой взгляд, достаточно обычной системы доступа по личным удостоверениям (ID tag). Я бы посоветовал периодически просматривать журнал посещений – в некоторых случаях, вам может открыться интересная картина.
5. Контроль окружающей среды в серверной комнате – наличие датчиков дыма, огня, затопления, независимая система кондиционирования (от близлежащих помещений), наличие UPS и генератора, список сотрудников, получающих уведомления в экстренных случаях.
6. Резервный ДЦ – расстояние от головного офиса, способ передачи данных, наличие плана BCM/DRP (ИТ отделу следует обратить внимание на вторую часть плана), осуществление ежегодных (как минимум) учений по плану.
7. Пакетная обработка данных – здесь подразумевается автоматическая обработка данных (как правило, выполняющаяся в ночное время), не требующая вмешательства операторов. Необходим список всех сотрудников с правами изменения настроек, список рассылки статуса выполнения обработки данных. Также могут потребовать предоставить лог и исследовать его на предмет ошибок, как в случае с бэкапами.
8. Интерфейсы – в принципе взаимосвязано с предыдущим пунктом, но все же упомяну этот контроль. Желательно иметь схему интерфейсов всех финансовых систем (не только между ними, а к ним и от них).
9. Решение проблем инфраструктуры – здесь подразумевается внутренний колл-центр для регистрации и последующего решения всех возникающих в компании проблем, в той или иной степени связанных с информационными системами и инфраструктурой (упал сервер, отключили электричество, не работает мышь, две кнопки «Пуск» и т.д.). Управление чрезвычайными происшествиями из предыдущего раздела может осуществляться в рамках этого контроля.
Управление изменениями в информационных системах
Два раздела позади, остался один, требующий пристального внимания, поскольку для успешного прохождения аудита, как правило, необходимы изменения в самих рабочих процессах. Итак, управление изменениями в информационных системах.Начну с нескольких замечаний. Первое – необходимо иметь задокументированные и утвержденные процедуры разработки. Второе – очень и очень желательно иметь специализированную систему для управления разработкой, в которой будет задокументировано каждое изменение. Третье – при условии ведения разработки в аутсорсинге, либо использования коробочных версии продуктов, аудит будет несколько отличаться.
1. Рабочие среды – очень просто: для каждой финансовой системы предоставить скриншоты как минимум трех рабочих сред – разработки, тестирования и боевой. Для вышеупомянутых случаев, достаточно двух последних скриншотов (да-да, даже для коробочной версии должна быть среда тестирования).
2. Доступ к рабочим средам – списки учетных записей для каждой среды, список имен разработчиков и тестировщиков. Выполняется уже известная нам перекрестная проверка, смысл которой заключается в следующем: разработчикам и тестировщикам запрещен доступ в боевую среду, обычным пользователям запрещен доступ ко всему, кроме боевой среды. Если версия коробочная, достаточно списков к тестируемой и боевой средам. Это весьма проблематично сделать в компаниях малых и средних размеров, поэтому аудиторы идут на некоторые компромиссы.
3. Процесс переноса изменений – в идеале, сотрудник, отвечающий за перенос изменений из тестируемой среды в боевую, не имеет отношения ни к разработке, ни к бизнес-процессам. Опять-таки, в этом случае аудиторы тоже могут пойти на компромисс.
4. Изменения – необходимо предоставить список всех изменений в финансовых системах, внедренных в тестируемом году. Не было таких? Значит скриншот папки с установленной системой, с файлами, упорядоченными по дате изменений. Ну, а если были, то будет вам выборка с просьбой предоставить следующую документацию:
a. Запрос на изменения от пользователя – специальные бланки, либо письмо по электронной почте.
b. Техническое задание для изменения – в зависимости от типа изменения (добавить поле в бланке либо разработать модуль с нуля) будет требоваться документация - от обычного письма с описанием изменения до полноценного многостраничного документа, заверенного подписями всевозможных начальников и руководителей.
c. Тестирование изменения – тест-кейсы с чек-листами и разрешение пользователя, что данное изменение удовлетворяет его запросу.
d. Разрешение на перенос изменения в боевую среду – за подписью руководителя, ответственного за разработку в данном направлении.
5. Управление критическими изменениями – по большому счету не отличается от предыдущего пункта. Единственное отличие – критические изменения обычно происходят без документации, поэтому важно получить все документы ретроактивно, и сохранить на будущее.
Вот вы и закончили сбор всей необходимой документации, что же делать дальше? Аудитор запросит у вас собранные документы и проведет их анализ. По некоторым контролям будут запрошены дополнительные документы, поскольку аудитору необходимо сохранять независимость от внутренних проверок (вдруг у вас есть только 10 запросов на открытие учетных записей для новых сотрудников, хотя самих сотрудников больше 50-ти; или вы стерли со скриншота группы администраторов домена учетную запись генерального директора). А дальше таблица рисков и контролей будет заполнена результатами тестов и представлена на обсуждение руководителю ИТ отдела и финансовому директору компании (поскольку он несет ответственность за финансовую отчетность).
Заключение
Работа аудитора заключается в том, чтобы находить дефекты и недостатки в процессах и контролях. Даже если все работает идеально, аудитор может зацепиться за незначительную мелочь и раскрутить ее до серьезного недостатка. Небольшое отступление: недостатки делятся на три категории – недостаток (дефект), серьезный недостаток и существенный недостаток, причем последний вносится в годовую финансовую отчетность и может повлиять на стоимость компании. Опытный руководитель ИТ отдела может использовать этот нюанс в целях запроса на выделение дополнительного бюджета под нужды отдела. Факт отсутствия огнеупорного сейфа или системы контроля доступа в серверную комнату второй год подряд, поднимается до уровня комитета по аудиту, состоящего из членов совета директоров, что при правильном подходе позволяет получить необходимый бюджет для устранения недостатка.На мой взгляд, это описание в достаточной мере дает представление о процессе внешнего аудита ИТ отдела, но я думаю, что главный вопрос заключается в следующем: можно ли самостоятельно подготовиться к внешнему аудиту ИТ отдела, не прибегая к помощи посредников? На основании своего опыта, я заявляю, что можно, хотя это и требует приложить определенные усилия, но в конечном итоге позволит ежегодно сэкономить приличную сумму. Вместе с тем, если вы готовитесь к аудиту впервые и не уверены в своих силах и знаниях, я все же порекомендовал бы нанять хорошую консалтинговую фирму. Правда, желательно выделить одного сотрудника для помощи в подготовке к аудиту, чтобы в дальнейшем он взял на себя эту обязанность.
Надеюсь, представленная информация будет полезна как непосредственно принимающим участие в аудите, так и более широкой публике.
С радостью отвечу на все возникшие вопросы.
Наши специалисты проведут аудит it инфраструктуры в Москве и Санкт-Петербурге: найдут все уязвимые места вашей IT инфраструктуры, выявят возможные риски и просчитают их последствия. В итоге Вы получите исчерпывающие рекомендации по оптимизации IT-инфраструктуры и управлению рисками - это информация, которая позволит вам избежать вероятных убытков.
На какие вопросы даёт ответ IT-аудит?
- Каким рискам подвержена IT-инфраструктура вашей компании?
- Если произойдут сбои в работе системы, останется ли в сохранности важная информация?
- Как быстро снова заработают ключевые IT-сервисы?
- Насколько хорошо IT-инфраструктура вашей фирмы справляется со своими задачами?
- Адекватную ли оплату получают сотрудники вашего IT-отдела?
- Насколько профессиональны сотрудники вашего IT-отдела?
- Могут ли сотрудники вашего IT-отдела нанести вред вашей компании?
В каких случаях проведение IT-аудита особенно важно?
Существует три ситуации, когда IT-аудит становится необходимостью. Это:
1. Увольнение системного администратора компании
IT-аудит поможет:
- Понять, в каком состоянии находится IT-инфраструктура вашей фирмы на данный момент.
- Оценить реальный уровень профессионализма вашего системного администратора и проверить, соответствует ли ему уровень оплаты.
- Произвести обоснованное увольнение при несоответствии сотрудника занимаемой должности.
- Сформулировать важные для завершения трудовых отношений критерии.
- Проверить, не наносят ли действия системного администратора ущерб вашей компании.
2. Приём на работу системного администратора
IT-аудит поможет:
- Сформулировать для сотрудника профессиональный план работ.
- Установить важные и стопроцентно прозрачные критерии прохождения сотрудником испытательного срока.
- Привязать материальную мотивацию к успешному выполнению важных для компании задач.
- Предоставить кандидату действительно объективную оценку состояния IT-инфраструктуры фирмы.
- Максимально облегчить передачу новому системному администратору.
3. Частые сбои, потеря важной информации
IT-аудит поможет:
- Узнать, как минимизировать потери и чего ждать в будущем.
- Определить, насколько долго IT-сервисы вашей компании будут восстанавливаться после вероятных сбоев.
- Оценить связанные с IT-инфраструктурой риски и угрозы для вашего бизнеса.
- Выяснить, какими резервами располагает IT-инфраструктура вашей компании, и определить, будет ли их достаточно (с учетом развития бизнеса).
Что входит в IT-аудит?
Наши сотрудники:
- Проведут интервью с вами и, если это необходимо, с IT-отделом и другими сотрудниками вашей фирмы.
- Тщательно изучат Ваши серверы, программное обеспечение и сетевое оборудование.
- Подготовят и презентуют детальный отчёт, содержащий в себе рекомендации по улучшению IT-инфраструктуры.
При необходимости, IT-аудит может быть проведён конфиденциально, в том числе, и в нерабочее время. Всё, что нам потребуется — это основные пароли доступа.
Мы проводим IT-аудит по многократно отработанной и проверенной на практике типовой программе. Разумеется, корректируя её под поставленные вами задачи. Это могут быть:
- Выяснение причин произошедшего сбоя или инцидента (к примеру, «атаки» на сервер фирмы).
- Организация удалённого доступа к серверам фирмы — разграничение прав доступа, проверка безопасности и т. д.
- Оценка рисков зависимости от текущего персонала IT-отдела (проверка наличия у Вас основных паролей, степени документированности IT-инфраструктуры и т. д.).
Сколько времени займёт IT-аудит?
От двух до пяти рабочих дней — конкретные сроки зависят от масштаба IT-инфраструктуры вашей компании. В срочных случаях мы готовы начать работу непосредственно в день обращения.
Мы гарантируем:
- Строгую конфиденциальность.
- Комплексный подход к проведению IT-аудита.
- Высокую квалификацию наших специалистов.
- Максимальное внимание к поставленным вами задачам.
Типовая программа проведения IT-аудита
Включает в себя следующие разделы и действия:
1. Выявление проблемных и потенциально проблемных мест с точки зрения безопасности:
1.1 Анализ политик безопасности:
Проверка результирующих локальных политик безопасности на серверах. Оцениваются:
- Политика аудита.
- Параметры безопасности.
- Назначение прав пользователя.
- Настройки лог-файлов.
- Настройки брандмауэра Windows.
- Сервисы в автозагрузке.
Проверка доменных политик, применяемых к рабочим станциям. Оцениваются:
- Параметры безопасности.
- Назначение прав пользователя.
- Сетевая установка ПО.
- Параметры брандмауэра Windows.
- Скрипты, которые выполняются при запуске/выключении рабочей станции.
- Ограничения приложений.
Проверка политик обновления ПО. Оцениваются:
- Наличие сервера WSUS.
- Синхронизация WSUS.
- Распространение обновлений.
1.2 Анализ сети и доступных извне сервисов на наличие уязвимостей:
Проверка списка сервисов, которые доступны из внешних сетей. Оцениваются:
- Права, с которыми запускаются доступные извне службы.
Проверка порядка предоставления доступа к различным сервисам извне. Оцениваются:
- Параметры предоставления доступа и хранения истории выдачи разрешений.
- Ограничения при доступе извне.
Проверка контроля над доступом из внешней сети. Оцениваются:
- Наличие лог-файлов/хранение истории обращений.
- Возможность быстро заблокировать доступ конкретному сотруднику или всем пользователям.
1.3 Анализ антивирусной защиты, политики паролей и пользовательских разрешений:
Проверка работы антивирусного ПО, оценка выбранного для защиты IT-инфраструктуры продукта.
Проверка применяемых к серверам политик. Оцениваются:
- Доступ к антивирусу (кто может остановить его работу на сервере?).
- Ограничения проверяемых файлов.
Проверка применяемых к рабочим станциям политик. Оцениваются те же параметры, что и в предыдущем пункте.
Проверка прав доступа к статистике антивируса.
Проверка оповещений при возникновении вирусной угрозы.
2. Диагностика работы серверного оборудования на аппаратном и программном уровнях:
Тестирование серверного оборудования и источников бесперебойного питания:
- Внешний осмотр серверных станций (без отключения).
- Проверка соответствия мощности ИБП ожидаемому времени автономной работы серверов.
- Проверка настроек ПО источников бесперебойного питания.
- Внутренний осмотр серверных станций (с отключением).
- Тестирование нагрузочной способности источников бесперебойного питания (с отключением).
Анализ хранящихся в журналах событий записей:
- Поиск событий, которые связаны с произошедшими аппаратными сбоями.
- Поиск событий, которые связаны с перезапуском служб.
Анализ настроек серверных служб:
- Проверка прав, с которыми запускаются службы.
- Поиск ошибок, которые связаны с запущенными службами.
3. Определение проблемных и потенциально проблемных мест с точки зрения производительности:
- Анализ нагрузки на серверные станции в часы пиковой активности.
- Проверка наличия свободного места на жестких дисках.
- Анализ распределения нагрузок между серверными станциями.
- Выявление приложений, которые наиболее требовательны к ресурсам.
4. Диагностика работы сети и активного оборудования:
- Проверка скорости интернет-канала.
- Оценка потерь пакетов во внутренней и внешней сети.
- Проверка политик безопасности и параметров работы активного оборудования.
- Проверка загруженности внутренних каналов, соединяющих активное оборудование.
5. Проверка корректности пользовательских настроек (несколько рабочих станций по выбору):
- Соответствие реальных настроек эталонным.
- Проверка состояния антивирусного ПО.
- Проверка наличия вредоносного ПО (кейлоггеры, снифферы, программы подбора паролей и т. д.).
- Проверка наличия нелицензионного ПО.
6. Аудит политик резервного копирования
- Проверка наличия резервных копий для важных сервисов.
- Проверка политик резервного копирования, установленных для важных сервисов.
- Проведение выборочного тестирования хранящихся бэкапов.
- Диагностика устройств, на которых хранятся бэкапы.
7. Анализ структуры сети, анализ компоновки сетевых решений, выявление уязвимых мест
- Проверка способа доступа к активному сетевому и серверному оборудованию.
- Анализ системы охлаждения серверных станций.
- Выявление перегруженных серверных станций.
- Проверка соответствия текущих характеристик подводящей сети и электрической мощности серверов.
- Проверка альтернативного подключения серверных станций к электропитанию.
8. Выявление проблемных и потенциально проблемных мест с точки зрения надёжности:
- Определение общих «узких» мест производительности для двух или более сервисов.
- Определение общих точек отказа для двух или более сервисов.
9. Анализ ситуаций, в которых сетевое или серверное оборудование отказывает:
Наши специалисты сделают прогноз потери данных и простоя при выходе из строя отдельных серверных станций.
10. Анализ заявок пользователей и инцидентов, случившихся ранее:
- Проверка наличия системы учёта заявок от пользователей.
- Анализ самых часто встречающихся заявок.
- Анализ ранее произошедших крупных инцидентов и последствий, к которым они привели.
Наши преимущества
Профессиональный аудит ИТ инфраструктуры: комплексная проверка работы информационных систем
Любое современное предприятие просто не может полноценно существовать без развитой информационной системы. Кроме того, любые сбои компьютерного оборудования, программного обеспечения могут привести к целому ряду серьезных проблем. Среди них и неэффективное расходование финансовых средств предприятия, и утечка важных данных, и полная остановка всех процессов.
Если вы хотите оптимизировать работу информационной системы предприятия, закажите аудит ИТ инфраструктуры в Москве в компании Руки из плеч. Он дает возможность своевременно выявить намечающиеся проблемы и оперативно устранить их.
К целям таких работ можно отнести также обнаружение уязвимостей в информационной системе, недочетов, которые оказывают негативное влияние на работу предприятия. Также аудит позволяет разработать комплекс эффективных мер для ее возвращения в нормальный режим.
Какие услуги предлагает наша компания?
Наша аутсорсинговая компания выполняет комплексные услуги по проверке работоспособности информационных систем, которые включают в себя:
- оценку IT-инфраструктуры, технического состояния сетевого, компьютерного и серверного оборудования;
- проверку работоспособности программного обеспечения, выполнения им основных функций, обеспечивающих слаженную работу всех подразделений предприятия;
- оценку состояния структурированной кабельной системы;
- проверку систем, обеспечивающих полную безопасность информации, передаваемой по сети.
Что вы получите, обратившись к нам?
Проведением аудита ИТ инфраструктуры занимаются опытные аудиторы, разбирающиеся не только в особенностях современного оборудования и программного обеспечения, но и в специфических нюансах предприятий, задействованных в той или иной сфере деятельности.
Именно поэтому результатом обращения к нам будет:
- эффективная работа серверов и компьютеров;
- максимальная безопасность хранения и передачи данных, их защита от любых непредвиденных ситуаций;
- уменьшение затрат на расходные материалы для оргтехники;
- эффективная защита от шпионского и вирусного программного обеспечения;
- установленные на все компьютеры и другое оборудование лицензионные операционные системы и приложения, которые будут автоматически обновляться до самых актуальных версий;
- внедрение систем, предназначенных для эффективного хранения, резервирования и восстановления данных.
Обращение к нам - это возможность не только проверить IT-инфраструктуру, но и адаптировать ее к конкретным особенностям именно вашего предприятия, значительно повысить эффективность работы.
ИТ аудит - это изучение и оценка IT инфраструктуры компании и ее отдельных частей. С помощью аудита можно понять текущую ситуацию, а также спланировать дальнейшие шаги по развитию и оптимизации сети. Это сложный процесс, состоящий из множества этапов и адаптированный к каждому конкретному предприятию. При этом каждый из этапов может быть реализован разными способами.
Экспресс аудит
Экспресс-аудит - это наиболее распространенный вид IT аудита. Обычно он проводится перед тем, как взять компанию на обслуживание. Такой аудит состоит из нескольких этапов:
- сбор информации: опрос руководителя и сотрудников, изучение сервисов и т. д.;
- осмотр техники, серверов, сетевого оборудования и рабочих станций.
Главное достоинства экспресс-аудита - это скорость. Информацию по состоянию IT инфраструктуры компании и рекомендации по ее модернизации можно получить буквально за считанные минуты. К наиболее распространенным проблемам малого и среднего бизнеса относятся:
- резервное копирование;
- антивирусная безопасность;
- безопасность интернет-банка;
- резервирование оборудования;
- доступ пользователей к сети.
Особое внимание при проведении аудита уделяется приведению инфраструктуры в соответствие стандартам, которые включают в себя должный уровень безопасности и отказоустойчивости. Завершающим этапом ИТ аудита становится отчет по результатам проверки.
Целевой IT аудит компьютерной сети
Целевой ИТ аудит проводится для решения конкретных задач и локальных проблем. Ситуаций, когда стоит заказать целевой аудит ИТ, довольно много, среди них:
- апгрейд оборудования;
- оптимизация функционирования сервисов;
- выявление и устранение проблем безопасности;
- улучшение работы отдела IT;
- внедрение новых информационных систем;
- автоматизация бизнес-процессов.
Стоимость целевого исследования компьютерной системы ниже, чем полного. При этом проблема не только выявляется, но и решается. Заказчик получает консультации и комплексные рекомендации, зафиксированные документально, что поможет ему в следующий раз устранить неполадки самостоятельно.
Главное достоинство целевого исследования ИТ инфраструктуры предприятия - это полная документированность процесса, то есть составляется план мероприятий, где указаны сроки, этапы и ответственные лица. Все выявленные проблемы и результаты исследования заносятся в отчет. Он может быть выполнен на цифровом или бумажном носителе.
Полное исследование сети
Комплексное исследование компьютерной сети обычно является частью полной проверки компании. Его целью является внесение изменений в работу отдела ИТ. Комплексная проверка инфраструктуры предприятия - это сложный многоступенчатый процесс, результат которого зависит от следования наработанным международным стандартам. Аудиту подлежат следующие направления:
- информационные системы;
- информационная безопасность;
- отдел ИТ;
- технологическая инфраструктура предприятия.
Результатом комплексной проверки системы является отчет, в котором содержится информация о том, насколько сеть соответствует стандартам, какие выявлены проблемы, и способы по их устранению.
Результат исследования систем
По результатам исследований системы заказчик получает отчет о текущем состоянии ИТ сетей и предложение по улучшению их работы.
Программа «IT Audit: Аудитор»
Программа «IT Audit : Аудитор» представляет собой конструктор для разработки методики проведения аудита, предлагая аудиторам гибкий инструмент для помощи в проведении аудита. Программа «IT Audit : Аудитор» обеспечивает автоматизацию деятельности аудиторской фирмы, связанной с проведением аудиторских проверок хозяйствующих субъектов.
Программа «IT Audit : Аудитор» разрабатывалась с учетом требований международных стандартов аудиторской деятельности (постановление Правительства РФ от 23 сентября 2002 г. № 696).
При проведении аудита небольшого предприятия (период проверки - 5 дней) применение программы «IT Audit : Аудитор» позволяет качественно спланировать, провести и запротоколировать выполненные аудиторские процедуры и результат проверки; при проведении аудита на среднем и крупном предприятии - сократить время на проведение аудита на 10-30%.
Программа обеспечивает:
1) ведение справочников по методологии аудита;
2) ведение учета клиентов;
3) ведение общений с клиентами;
4) учет заключенных договоров;
5) импорт данных бухгалтерского учета клиентов;
6) планирование аудиторских проверок;
7) формирование аудиторских проверок;
8) составление плана аудита;
9) составление программы аудита;
10) описание хозяйственных операций клиента;
11) расчет уровня существенности;
12) проведение выборки и анализ результатов;
13) форум аудиторов (общение аудиторов);
14) формирование сводной информации о найденных нарушениях;
15) формирование альтернативной отчетности;
16) контроль качества аудита Ковалева О.В. Аудит. Учебное пособие / Под ред. О.В. Ковалевой, Ю.П. Константинова. - М.: ПРИОР, 2008. - с. 128..
Программа «IT Audit : Аудитор» позволяет систематизировать информацию по клиентам аудиторской фирмы (число не ограничено), хранить информацию о реквизитах клиента, фактическом и юридическом адресе, контактных лицах, переговорах с клиентом, заключенных договорах, ответственных за работу с клиентом лицах и др. Программа допускает сортировку клиентов по различным характеризующим их параметрам.
Сведения о клиентах хранятся в соответствующем Справочнике клиентов . В Справочник клиентов также заносится информация о сотрудниках проверяемой организации.
Информация о заключенных с клиентом договорах также может быть занесена в информационную базу системы.
В программе значительное место уделено методологическому сопровождению аудита, причем сопровождение может осуществляться как разработчиками, так и самой аудиторской фирмой.
В состав программы «IT Audit : Аудитор» включены следующие справочники:
1) объекты аудита (разделы аудита);
2) аудиторские процедуры;
3) потенциальные нарушения;
4) типовые операции.
Программа позволяет установить взаимосвязь между аудиторскими процедурами и нарушениями, объектами (задачами) аудита и аудиторскими процедурами. Взаимосвязь устанавливается с использованием справочников.
Справочник объектов (разделов) аудита является основным, а справочники аудиторских процедур, потенциальных нарушений и типовых хозяйственных операций - подчиненными.
Справочник «Аудиторские процедуры» используется при формировании программы аудита и содержит шаблоны рабочих документов аудитора, заполняемые при проведении аудита. Значительная часть рабочих документов может быть заполнена автоматическими данными бухгалтерского учета клиента. С использованием данного справочника может быть установлена базовая трудоемкость выполнения соответствующей аудиторской процедуры. Аудиторская процедура - определенный порядок и последовательность действий аудитора для получения необходимых аудиторских доказательств на конкретном участке аудита (объекте аудита).
Справочник «Потенциальные нарушения» содержит наименование и описание потенциального нарушения. При выявлении нарушений на аудируемом предприятии справочник используется при формировании отчета аудитора.
Необходимо рассмотреть, как в программе реализуются основные требования федеральных законов.
Правило (стандарт) №2 «Документирование аудита».
Программа «IT Audit : Аудитор» дает аудитору широкие возможности по документальному закреплению полученных при проведении аудита доказательств, формированию необходимых рабочих документов с целью выполнения федеральных правил (стандартов) аудиторской деятельности, обеспечению хранения и резервного копирования, просмотра и вывода на печать.
Приведенные требования стандарта выполняются программой в результате заполнения форм: «Планирование аудита», «План аудита», «Программа аудита», «Задание на аудит», «Описание хозяйственных операций клиента».
Полученная при проведении аудита информация хранится в разделах:
1) общая информация по клиенту;
2) информация, относящаяся к заключенному договору;
3) информация, относящаяся к периоду, за который будет сформировано заключение аудитора;
4) информация, относящаяся к конкретному периоду проведения аудита.
Программа предусматривает разграничение права доступа к информации в разрезе клиентов, обеспечивая надежное хранение информации по клиенту и этапам проведения аудита.
Правило (стандарт) №3 «Планирование аудита».
В программе «IT Audit : Аудитор» проводится планирование аудита с целью его эффективного проведения в программе аудита и форме «Описание хозяйственных операций».
Сформировать детальный план аудита можно в программе аудита, где учитываются применяемые аудиторские процедуры, их распределение мжду сотрудниками и очередность выполнения, устанавливаются плановая и фактическая трудоемкость выполнения аудиторских процедур, описание процедур контроля хода проведения аудита. При этом допускается внесение изменений в течение всего времени проведения аудита.
Правило (стандарт) №4 «Существенность в аудите».
Программа «IT Audit : Аудитор» позволяет выполнять расчет существенности несколькими способами: в целом по отчетности, распределять по счетам бухгалтерского учета в разрезе существенности:
1) по дебету счета;
2) дебетовому обороту счета;
3) кредитовому обороту счета;
4) кредиту счета.
Выбор аудиторских процедур производится в формах «Программа аудита» и «Описание хозяйственных операций». Совокупность неисправленных искажений обобщается в форме «Альтернативная отчетность».
Правило (стандарт) №7 «Внутренний контроль качества аудита».
Руководителю проверки предоставлена возможность текущего контроля хода проведения аудита, формирования задания и замечаний в формах «Описание хозяйственных операций», «Программа аудита», «Общение аудиторов».
В формах «Описание хозяйственных операций», «Программа аудита», «Общение аудиторов» имеется возможность детального описания действий аудиторов и их ассистентов при выполнении порученной работы, а также прикрепления подлежащих заполнению рабочих документов.
В настоящее время ведется работа по включению в программу новых правил (стандартов).
В форме «Проведение выборочного исследования» аудитор на основе проверяемой (генеральной) совокупности может отбирать элементы, превышающие уровень существенности, ключевые элементы и формировать выборочную совокупность различными способами.
Аудитору также предоставлена возможность анализировать хозяйственные операции клиента, представленные в форме «Описание хозяйственных операций», устанавливать способы проверки операций (сплошная проверка, выборочная проверка, непроведение проверки, подтверждение низкого уровня риска).
Встроенные в программу «IT Audit : Аудитор» средства фильтрации (отбора) данных бухгалтерского учета позволяют выполнять стратификацию данных по любым критериям с возможностью последующей выгрузки данных для выборочного исследования или заполнения рабочего документа аудитора.
Программа позволяет аудитору произвести экстраполяцию выявленных при проведении аудита ошибок на всю генеральную совокупность.
Преимущества применения программы по автоматизации аудита :
· программа продается и сопровождается непосредственно разработчиками (без посредников), что позволяет сократить расходы покупателя на приобретение программы и ее последующее сопровождение;
· охватывает все аспекты аудиторского бизнеса (занятость сотрудников, организация договорной работы, учет клиентов, планирование аудита, работа в «поле» и т.д.);
· позволяет систематизировать всю информацию по результатам аудиторской проверки, возможность архивации и последующего доступа к данным;
· широко используется сотнями аудиторских фирм (от компаний, входящих в первую десятку, до небольших аудиторских компаний и индивидуальных аудиторов);
· является конструктором и позволяет пользователям самостоятельно настраивать методологию аудиторской проверки;
· содержит значительное количество шаблонов рабочих документов аудитора;
· обеспечивает удобные средства загрузки в программу по автоматизации аудита данных бухгалтерского учета из наиболее распространенных бухгалтерских программ: 1С Предприятие 7.7 (8.1) и т.д.
· позволяет автоматически заполнять рабочие документы аудитора данными бухгалтерского учета;
· содержит шаблоны потенциальных нарушений, а также инструменты для ее самостоятельного наполнения пользователями;
· предусмотрены различные способы статистического выборочного исследования: собственно-случайный (повторный и бесповторный), механический (систематический), монетарный собственно-случайный (повторный и бесповторный) способ;
· производится автоматическое формирование постоянного (переменного) файла по результатам аудиторской проверки;
· имеет интуитивно понятный интерфейс, большой объем разработанной документации на программу и учебные материалы (Flash-ролики), что позволяет быстро приступить к работе Ковалева О.В. Аудит. Учебное пособие / Под ред. О.В. Ковалевой, Ю.П. Константинова. - М.: ПРИОР, 2008. - с. 135..
Применение программы по автоматизации аудита обеспечивает:
· систематизацию методологической работы;
· организацию эффективного планирования аудита;
· повышение качества проведения аудита;
· повышение оперативного и последующего контроля за ходом проведения аудита;
· снижение трудоемкости проведения аудита;
· выполнение стандартов аудиторской деятельности;
· повышение управляемости компании;
· разграничение прав доступа к материалам аудиторских проверок;
· систематизацию и архивирование информации.
