ИТ аудит

Зачем нужен ИТ аудит

• Понять состояние ИТ инфраструктуры.
• Собрать перечень сервисов.
• Узнать о сервисах, работающих со сбоями.
• Получить рекомендации по инфраструктуре.
• Узнать, как снизить стоимость использования ИТ.
• Оценить уровень нашей компетенции.

Аутсорсинговые компании начинают практическое знакомство с потенциальными клиентами с ИТ аудита. Мы не исключение.

ИТ аудит - процедура, помогающая клиенту понять профессиональную пригодность ИТ специалистов нашей компании обслуживать инфраструктуру.

АВИ Консалт с радостью проведет предпроектное исследование ИТ инфраструктуры, чтобы помочь понять текущую ситуацию, спланировать дальнейшие шаги по развитию и оптимизации сети, а также познакомиться с нашей командой. Если захотите сотрудничать, мы сделаем работу техники отказоустойчивой. Следовательно, убережем от неприятных неожиданностей, связанных с остановкой работы критических сервисов.

Ниже перечислим виды аудита, и дадим полезные советы по выбору обслуживающей компании.

Коммуникативные навыки, живость ума, уровень процессного подхода, качество документации - на это заказчик будет смотреть испытующим взглядом, чтобы решить, готов ли доверить дорогостоящее оборудование и критичные сервисы незнакомым людям.

Нередко клиент принимает решение уже в первые пятнадцать минут общения, т.к. основывается на сравнении уровня специалиста, который перед ним, с теми, которых встречал раньше. Закономерно, что это первое впечатление обманчиво, в силу нескольких нижеуказанных причин.

• Клиенту в прошлом попадались специалисты высокой квалификации, к которым руководитель привык, и испытывал доверие. Но это не значит, что не удастся найти такую же команду, если лучше познакомиться с новичками и оценить их способности.
• Субъективность оценки, вызванная личной симпатией. Приятный психологический портрет исполнителя при встрече не всегда показывает профессионализм остальных сотрудников компании в работе.
• Красноречивый сотрудник отдела продаж убеждает неискушенного заказчика подписать контракт. При этом качество услуг отличается от качества продаж в худшую сторону.
• Сниженная цена соблазнительна. Но нужно не забыть проверить, какой состав услуг при этом продается.

Для этого заказчик должен понимать, из каких этапов и процедур состоит процесс ИТ аудита, и что получится на выходе. Тогда просто посмотрев на то, как новоявленные специалисты выполняют аудит, делается вывод, стоит ли доверять сторонней компании функции жизнеобеспечения.

Для полного понимания скажем, что ИТ аудит - сложный процесс, который подразделяется на много видов, и в зависимости от контекста применения выглядит каждый раз иначе. Сузим обсуждение, и оставим для рассмотрения пример, когда клиент заказывает аудит у сторонней компании.

Аудит на верхнем уровне сводится к простой формуле:

• Сбор информации (интервьюирование, анкетирование, документирование).
• Непосредственный анализ (обследование оборудования, ПО, анализ процессов).
• Подготовка рекомендаций.
• Составление отчета.

Каждый из этапов, в зависимости от ситуации, или сложившейся практики, реализуют разными способами. Но в большинстве случаев присутствуют все этапы, вне зависимости от вида аудита. Рассмотрим варианты внешнего аудита, которые часто встречаются в нашей сегодняшней действительности.

Экспресс ИТ аудит

Это наиболее распространенный на российском рынке вариант ИТ аудита. Проводится аутсорсинговыми компаниями перед принятием на обслуживание компьютерной техники у малого и среднего бизнеса. Инициатором выступает владелец или топ менеджер компании, который для оценки предстоящих ежемесячных расходов устраивает своеобразный тендер. В ходе такого аудита заказчик оценивает квалификацию исполнителя, и может в режиме онлайн принять окончательное решение. Критерии выбора - стоимость, названная исполнителем, и уровень продемонстрированных навыков.

Такой аудит характерен отсутствием документации, общение происходит на словах, продолжительность составляет от одного до нескольких часов. Как и любой аудит, экспресс вариант состоит из обязательных этапов, отсутствие которых озадачивает заказчика, и вызывает сомнения в компетентности аудиторов. Первым делом технические специалисты со стороны исполнителя выясняют, «как все устроено», т.е. составляют перечень сервисов, узнают о работающих со сбоями. Затем исполнитель приступает к непосредственному осмотру техники, серверного, сетевого оборудования, рабочих станций. Плюс экспресс аудита - скорость выполнения. Заказчик уже через считанные минуты получает рекомендации по инфраструктуре, и далее оценивает, насколько эти рекомендации адекватны. Специалист обратит внимание на критичные потенциальные риски и проблемы безопасности.

Наиболее распространенные проблемы в сегменте малого и среднего бизнеса:

• резервное копирование (бэкап);
• антивирусная безопасность;
• безопасность систем банк-клиент (интернет-банкинга);
• резервирование оборудования;
• административный доступ пользователей.

Если знаете об этих проблемах, но в результате экспресс аудита специалисты не акцентировали на них внимание, то появляется причина насторожиться. Профессионал дает потенциальному клиенту рекомендации по оптимизации инфраструктуры, и с них начинает разговор.

Отдельного упоминания требует соответствие инфраструктуры стандартам. У каждой обслуживающей компании они различаются, но, если их нет, это как минимум подозрительно. Стандарт включает в себя должный уровень безопасности и отказоустойчивости. Аутсорсинговые компании настаивают на приведении инфраструктуры к стандарту без дополнительной оплаты со стороны клиента.

Завершающим этапом аудита будет коммерческое предложение на постоянное обслуживание. Продвинутые компании предоставляют информацию о том, как рассчитывается стоимость обслуживания в разрезе сервисов и оборудования. Сегодня расчет стоимости абонентского обслуживания у многих компаний автоматизирован, и на сайтах присутствуют калькуляторы для приблизительного расчета. Заказчик может сравнить стоимость, рассчитанную на калькуляторе, с заявленной по результатам аудита. Также может оценить стоимость предложений различных компаний на виртуальном рынке. Если стоимость сильно отличается, запрашивают разъяснения от исполнителей.

Объективно ситуация возможна, но на то необходимы веские причины:

• наличие специализированного ПО;
• большое количество виртуальных машин;
• особые условия предоставления сервиса.

Помимо предложения постоянно обслуживать клиента, хорошая компания по результатам аудита порекомендует также проект по оптимизации инфраструктуры, для устранения обнаруженных недостатков. Расскажем о маленькой хитрости, уменьшающей стоимость ежемесячного обслуживания. В компаниях малого и среднего бизнеса обслуживать ИТ поручают студентам, привлекают знакомых и друзей владельца или администратора, когда еще не решено перейти к ИТ аутсорсингу. Инфраструктура, которая получилась в результате таких действий, не экономная в дальнейшем. Стоимость использования отягощает бюджет компании. Но бизнес хочет сократить издержки, в том числе на обслуживание ИТ. Перед подписанием договора на абонентское обслуживание, или в первые месяцы сотрудничества заказывают у ИТ компании разработку проекта по оптимизации инфраструктуры, нацеленный на удешевление ежемесячных ИТ услуг. Уже через год обслуживания получают серьезную экономию на стоимости абонентских услуг, которая наверняка окупит издержки на реализацию проекта.

Целевой ИТ аудит

Даже у солидной фирмы со временем возникает неразрешимая проблема. И когда никто из сотрудников не справляется с задачей, приходит время обратиться к аутсорсинговой или ИТ компании. Целевой аудит характерен тем, что помогает решать локализованные проблемы или конкретные задачи. Т.е. если происходит поломка или хроническая проблема, с которой хотите разобраться раз и навсегда с полным пониманием причин, последствий, вариантов решений, то заказывают целевой ИТ аудит. Сфер применения этого варианта аудита великое множество. Ниже перечислены те немногие, которые применимы на ИТ рынке сегодня.

• Обновление оборудования (апгрейд железа).
• Оптимизация работы сервисов.
• Производительность офисного программного обеспечения, информационных систем, баз данных.
• Выявление и устранение проблем безопасности.
• Аудит лицензий.
• Мониторинг отказоустойчивости.
• Системная интеграция.
• Улучшение работы ИТ подразделения.
• Внедрение информационных систем.
• Автоматизация бизнес процессов.

Преимущество целевого аудита - низкая стоимость проведения по сравнению с полным аудитом. При этом клиент платит за решение проблемы, не за выявление, как в случае экспресс аудита. Компания заказчик получает комплексное решение, обширные консультации, и документацию по решенной проблеме. Клиент работает самостоятельно при повторном возникновении аналогичных неполадок.

Важный момент целевого аудита - полная документированность процедуры. В крупных проектах составляют план мероприятий со сроками, этапами, указанием лиц, отвечающих за выполнение. Исполнитель опрашивает представителей заказчика, что тоже документируется и прилагается к результатам.

Затем начинается этап непосредственного анализа. Здесь исполнитель применяет специальные знания, которые нелегко формализуются, требуют интеллектуального подхода. Высокий уровень формализации свидетельствует о серьезности подхода ИТ компании. Если исполнители не первый раз работают в предметной области, у них под рукой подробные списки возможных рисков, наборы стандартов (собственные, российские или международные) для выявления отклонений, чек листы и протоколы для фиксации показателей.

Сегодня ИТ аудит выполняют, не вставая из-за стола, за считанные часы, клиент не знает, сколько человек причастно к аудиту, и где люди физически живут. Чтобы заказчик получил подробности по аудиту, запрашивают операционную документацию или дистанционную консультацию. Рекомендации и отчет, конечно же, необходимые составляющие целевого аудита, т.к. представляют конечный результат для заказчика. Отчет оформляют документально, на бумажных и цифровых носителях информации, по нему заказчик судит о качестве аудита. Если в отчете слабо акцентирована цель аудита, исполнитель применил сомнительный аналитический инструментарий, отсутствуют рекомендации, выводы не коррелируют с аналитическим разделом или не мотивированы, то у потребителя такого продукта возникнут резонные сомнения в ценности приобретения.

Полный ИТ аудит

Еще называется комплексным. Это дорогостоящий вариант аудита, который чаще заказывают представители среднего и крупного бизнеса. Применяется как часть полного аудита компании, или с целью внесения изменений в работу отдельного ИТ подразделения. В силу того, что процесс многосторонний и сложный, качество проведения полного аудита гарантировано только при следовании наработанным международным практикам и действующим стандартам.

Признанный авторитет в области стандартизации проведения ИТ аудита - международная Ассоциация по аудиту и контролю информационных систем (ISACA), которая выпустила исчерпывающие и современные публикации по проведению ИТ аудита «IT Assurance Framework» и «Cobit 5 for Assurance». Следование стандартам и профессиональный менеджмент послужат залогом успеха аудита.

Рассмотрим направления, на которые распространяется комплексный ИТ аудит:

• информационные системы;
• технологическая инфраструктура;
• информационная безопасность;
• ИТ-подразделение.

На выходе руководство компании получает информацию о том, насколько ИТ инфраструктура соответствует стандартам (критериям), какие риски присутствуют, а также рекомендации по устранению недостатков.

Начните с первоначального бесплатного ИТ аудита!