Audyt IT to uporządkowany przegląd firmowej informatyki, czyli sprzętu, programów, kopii zapasowych i podstaw bezpieczeństwa.
Na końcu dostajesz raport z informacją co działa, co jest ryzykiem i od czego warto zacząć porządki.
Nikt nie zamawia audytu z nudów. Zwykle wszystko zaczyna się od jednego z czterech zdań, które słyszymy na pierwszej rozmowie:
Rozumiemy to, więc powiedzmy jasno, jak pracujemy. Nie szukamy winnych, szukamy ryzyk. Informatyk, który od lat sam utrzymuje całą firmę, zwykle nie zaniedbał niczego. Po prostu fizycznie nie dało się zrobić wszystkiego.
Dobrze przeprowadzony audyt jest dla takiej osoby sprzymierzeńcem. To niezależny głos, który wreszcie pokaże zarządowi na piśmie, że potrzeba budżetu, rąk do pracy albo jednego i drugiego.
Dlatego z zespołem IT rozmawiamy jak partner, a ustalenia w raporcie opisujemy językiem faktów i ryzyk, nie ocen personalnych.
Serwery, stacje robocze, sieć, urządzenia brzegowe. Co jest w firmie, w jakim jest stanie, co pracuje na granicy możliwości, a co dawno powinno być na emeryturze. Wskazujemy wąskie gardła, zanim staną się przestojami.
Porównujemy zainstalowane oprogramowanie z posiadanymi licencjami. To obszar, który zaskakuje najczęściej. Nielegalne lub nieudokumentowane instalacje potrafią powstawać bez złej woli, ale przy kontroli licencyjnej producenta odpowiedzialność i koszty są bardzo realne. Lepiej znaleźć to samemu.
Sprawdzamy nie tylko, czy backup „jest”, ale czy obejmuje właściwe dane, czy kopia trafia poza siedzibę firmy i czy ktokolwiek kiedykolwiek testował odtwarzanie. Backup, którego nikt nie odtwarzał, to przypuszczenie, nie zabezpieczenie.
Konta i uprawnienia, hasła, aktualizacje, ochrona stacji roboczych, dostępy zdalne. Nie straszymy hakerami w kapturach, pokazujemy proste luki, które wykorzystuje większość realnych ataków.
Czy wiedza o infrastrukturze istnieje gdzieś poza głową jednej osoby? Sprawdzamy stan dokumentacji i wskazujemy, co trzeba spisać, żeby firma nie była zakładnikiem pojedynczego administratora.
Problemy w IT rzadko występują pojedynczo, ale audyt informatyczny można też zamówić w węższym, celowanym wariancie:
Dostajesz:
Każde ustalenie ma przypisaną wagę, co jest krytyczne i wymaga działania teraz, co jest ważne w perspektywie miesięcy, a co jest kosmetyką.
Zarząd czyta podsumowanie na dwóch stronach, informatyk dostaje szczegóły techniczne.
Konkretna lista kroków w kolejności wynikającej z ryzyka i kosztów. Tak, żeby ograniczony budżet szedł najpierw tam, gdzie chroni najwięcej.
Raport przekazujemy na spotkaniu, nie mailem „w załączeniu przesyłam”. Tłumaczymy ustalenia prostym językiem i odpowiadamy na pytania, także te niewygodne.
Tak zaczynamy większość wdrożeń outsourcingu IT. Ale audyt u nas nie zobowiązuje do niczego dalej. Raport i plan działań są Twoje, niezależnie od tego, kto będzie je realizował.
Wolimy klientów, którzy zostają z nami dlatego, że zobaczyli jakość pracy, nie dlatego, że raport bez nas jest bezużyteczny.
A jeśli po audycie potrzebujesz wsparcia w decyzjach, który system wybrać, w co zainwestować najpierw, jak przygotować specyfikację, naturalną kontynuacją jest doradztwo informatyczne.
Kilka rzeczy działa u nas jednak inaczej niż zwykle:
Audytowaliśmy i utrzymywaliśmy środowiska od kilku do kilkuset stanowisk. Wiemy, jak wyglądają typowe zaniedbania i gdzie ich szukać.
Jako firma łącząca kompetencje informatyczne z instalacyjnymi patrzymy szerzej, od okablowania i zasilania serwerowni po konfigurację systemów.
Rzadko kto widzi cały obraz z jednej perspektywy.
Bezpieczeństwo informacji traktujemy systemowo. Także w tym, jak obchodzimy się z danymi, do których mamy dostęp podczas audytu.
Znaczną część prac audytowych wykonujemy zdalnie, dlatego dla środowisk rozproszonych lub firm z innych regionów przygotowujemy model mieszany (analiza zdalna plus wizyty na miejscu tam, gdzie są potrzebne).
To zależy od wielkości środowiska i zakresu.
Dla małej firmy (kilkanaście stanowisk, jeden serwer) audyt zamyka się zwykle w 1-2 tygodniach od rozpoczęcia prac do przekazania raportu.
Środowiska większe lub rozproszone – od kilku tygodni wzwyż.
Konkretny harmonogram ustalamy po rozmowie wstępnej i podajemy go przed startem, nie w trakcie.
Nie i pilnujemy tego świadomie.
Większość prac to skanowanie, analiza konfiguracji i rozmowy, które nie wymagają wyłączania niczego.
Jeśli jakiś test mógłby wpłynąć na działanie systemów, planujemy go poza godzinami pracy i zawsze za Twoją zgodą. Audyt ma pokazać ryzyko przestoju, a nie go spowodować.
Cena zależy od liczby stanowisk i serwerów, liczby lokalizacji oraz zakresu (np. czy audyt obejmuje pogłębioną weryfikację legalności oprogramowania).
Po krótkiej rozmowie o Twoim środowisku przygotowujemy wycenę ryczałtową, z góry wiesz, ile zapłacisz, bez licznika godzin.
Dla wielu firm audyt okazuje się tańszy niż jedna godzina przestoju produkcji czy sprzedaży.
Dostajesz raport z priorytetami, plan działań i omówienie wyników i pełną swobodę decyzji.
Możesz wdrożyć rekomendacje samodzielnie, zlecić je dowolnemu wykonawcy albo kontynuować z nami.
Wielu klientów wraca też do audytu cyklicznie, co 1-2 lata, traktując go jak okresowy przegląd techniczny firmy.
Jeśli Twoja firma podlega dyrektywie NIS2 lub ustawie o KSC, potrzebujesz audytu zerowego zgodności, z raportem luk i planem dostosowania.
Naturalna kontynuacja audytu – zewnętrzny dział IT, który wdroży rekomendacje z raportu i zadba, żeby porządek się utrzymał.
Audyt pokazał, co wymaga decyzji? Pomożemy wybrać rozwiązania i zaplanować inwestycje.
