Mnohé firmy zistia, ako to majú s IT, až keď sa niečo pokazí. IT audit je opačný prístup: pozrieť sa na stav vopred, nájsť slabé miesta a dostať plán, čo s nimi robiť, skôr než sa z nich stane výpadok alebo incident.
Čo je IT audit
Je to systematické posúdenie technického a organizačného stavu IT: čo firma má, ako je to nastavené, aké sú riziká a čo sa dá zlepšiť. Výsledkom je report s odporúčaniami zoradenými podľa dôležitosti.
Aké typy auditu existujú
- Sieťový audit: návrh, výkon, bezpečnosť a dokumentácia siete a Wi-Fi.
- Bezpečnostný audit: nastavenie, oprávnenia, aktualizácie, ochrana e-mailu a zariadení.
- Audit infraštruktúry a licencií: servery, virtualizácia, úložisko, zálohy a licencie.
- Technická príprava na GDPR a NIS2: technické a organizačné opatrenia, bez právneho posúdenia.
Čo sa najčastejšie kontroluje
- inventár zariadení, aplikácií a licencií,
- sieť, segmentácia, firewall a Wi-Fi,
- servery, virtualizácia a úložisko,
- zálohy a ich skutočná obnoviteľnosť,
- e-mail a jeho ochrana (SPF, DKIM, DMARC, filtrovanie),
- účty, oprávnenia, dvojfaktorové overenie a nepoužívané účty,
- aktualizácie a zraniteľnosti,
- fyzická bezpečnosť a dokumentácia.
Audit nie je penetračný test
Audit hodnotí nastavenia, procesy a dokumentáciu. Penetračný test simuluje útok a zisťuje, ako ďaleko by sa útočník dostal. Doplňujú sa, no nie sú to isté a každý odhaľuje iné riziká.
Ako audit prebieha
- Zadanie: ciele, rozsah, kritické systémy.
- Zber údajov: rozhovory, kontrola konfigurácií a nástroje na zistenie stavu.
- Analýza: posúdenie rizík podľa pravdepodobnosti a dopadu.
- Report: nálezy, závažnosť, odporúčania a odhad nákladov.
- Prezentácia: vysvetlenie výsledkov vedeniu aj IT a dohoda o ďalších krokoch.
Kedy audit robiť
- pri prechode k novému dodávateľovi správy IT,
- pred väčšou investíciou do infraštruktúry,
- po bezpečnostnom incidente alebo výpadku,
- pri príprave na certifikáciu alebo požiadavky zákazníkov,
- pravidelne, napríklad raz ročne.
Čo získate
Prehľad o stave, zoznam rizík podľa závažnosti a plán nápravy s poradím krokov a odhadom nákladov. Report patrí vám. Môžete ho použiť s ktorýmkoľvek dodávateľom, nie nutne s nami.
Čo si pripraviť
- prístupy alebo možnosť pozrieť konfigurácie (v dohodnutom rozsahu),
- existujúcu dokumentáciu a zoznam dodávateľov,
- kontaktnú osobu, ktorá pozná firmu a procesy.
Modelový príklad: firma s 40 ľuďmi pred výmenou IT dodávateľa
Firma s 40 zamestnancami mení dodávateľa správy IT. Nový partner chce pred prevzatím vedieť, čo preberá. Ako vyzerá audit v takom prípade?
- Úvodný rozhovor: vedenie a pôvodný správca popíšu prostredie a problémy.
- Inventár: zariadenia, servery, licencie, účty a prístupy.
- Kontrola nastavení: firewall, siete, zálohy, aktualizácie, e-mail, MFA.
- Test obnovy: overí sa, či zálohy naozaj fungujú.
- Report: nálezy podľa závažnosti, odporúčania a odhad nákladov.
- Plán na prvých 90 dní: najdôležitejšie kroky, ktoré znížia riziko.
Audit tak slúži ako spoločný východiskový bod. Obe strany vedia, v akom stave sa správa preberá, a čo sa má zlepšiť.
Kontrolný zoznam pred auditom
- Je určený cieľ auditu (prevzatie správy, bezpečnosť, príprava na investíciu)?
- Máme kontaktnú osobu, ktorá pozná firmu?
- Je dohodnutý rozsah prístupov a mlčanlivosť?
- Máme k dispozícii existujúcu dokumentáciu?
- Vieme, ktoré systémy sú kritické?
- Sú zálohy dostupné na skúšku obnovy?
- Je dohodnutý termín a spôsob odovzdania reportu?
Otázky na audítora
- Aký je rozsah auditu a čo do neho nepatrí?
- Ako zabezpečíte našu dôvernú dokumentáciu a prístupy?
- Ako vyzerá report a bude zrozumiteľný pre vedenie?
- Dostaneme odhad nákladov na odstránenie nálezov?
- Je audit nezávislý od ďalšej spolupráce?
Slovníček pojmov
- Penetračný test: simulovaný útok na systémy.
- Gap analýza: porovnanie súčasného stavu s cieľovým.
- Riziko: kombinácia pravdepodobnosti a dopadu udalosti.
- Nález: zistená slabina alebo odchýlka od dobrej praxe.
- Plán nápravy: zoradený zoznam krokov na odstránenie nálezov.
Často kladené otázky
Ako dlho IT audit trvá?
Pri malej firme zvyčajne niekoľko dní až dva týždne vrátane vyhodnotenia. Závisí od veľkosti prostredia a rozsahu auditu.
Dostanem aj plán nápravy?
Áno. Report obsahuje odporúčania zoradené podľa dôležitosti, odhad nákladov a navrhované poradie krokov.
Musím realizovať odporúčania u vás?
Nie. Report je váš a môžete podľa neho postupovať s kýmkoľvek. Radi vám pomôžeme s realizáciou, ak o to budete mať záujem. Orientačnú cenu auditu dáva kalkulačka.
Potrebujete s tým poradiť?
Pozrite si súvisiacu službu Audity a konzultácie, spočítajte si orientačnú cenu alebo nám napíšte — pripravíme nezáväznú ponuku.
