Чек-лист IT-инфраструктуры: оцените состояние IT сами

По опросу ГК «Солар», в 2024 году 82% российских компаний малого и среднего бизнеса столкнулись хотя бы с одним киберинцидентом — атакой или утечкой данных (обзор Anti-Malware.ru). Большинство дыр, через которые приходят такие инциденты, видны без технических знаний, и чек-лист IT-инфраструктуры ниже показывает, куда смотреть: непроверенные резервные копии, живые доступы уволенных сотрудников, сервер, который годами работает на пределе.

Он собран для руководителя, который хочет за пару часов понять реальное состояние своего IT: без найма аудитора, без жаргона и без охоты на виноватых. Семь зон, в каждой — вопросы, способ проверки и красные флаги. Мы в ИИС обслуживаем 3500+ единиц техники в компаниях Москвы и области, и в этот список попало то, что чаще всего всплывает на наших аудитах.

Зачем руководителю самому оценивать IT-инфраструктуру?

Возражение «без специалиста тут не разобраться» снимают сами авторы стандартов. В 2024 году американский институт стандартов NIST выпустил руководство по кибербезопасности для малого бизнеса — по словам NIST, оно написано для компаний, у которых планы по защите скромные или их нет вовсе. Center for Internet Security выделил базовый набор из 56 защитных мер и назвал его необходимой кибергигиеной — тем минимумом, который посилен компании без штатных специалистов по защите.

В России простого госстандарта для малого бизнеса нет: у Минцифры — просветительские памятки про базовую защиту, методики ФСТЭК писались для госсектора и компаний, которые по закону отвечают за персональные данные. Поэтому разумная опора — мировая практика плюс здравый смысл, и ровно на них построен чек-лист ниже.

Есть и вторая, практичная выгода: самопроверка отвечает на вопрос «хорошо ли работает мой админ или подрядчик». Без сцен и подозрений: попросили показать — показали или нет.

Как пользоваться чек-листом?

Порядок такой:

1. Распечатайте или выпишите вопросы всех семи зон.
2. Назначьте встречу с тем, кто отвечает за IT: штатным админом, «знакомым айтишником» или подрядчиком. Час-полтора хватит.
3. На каждый вопрос ставьте оценку-светофор: зелёный, жёлтый или красный. Правило одно: «вроде да» без подтверждения — это жёлтый, зелёным его делает только показанный документ или живая демонстрация.
4. Посчитайте итог по таблице в конце и назначьте по каждому красному флагу ответственного и срок.

Совет: начните встречу с прямой фразы — «проверяем систему, а не твою работу». Грамотному специалисту такой разбор на руку: находки чек-листа превращаются в аргументы за бюджет на давно назревшие исправления.

Зона 1. Знаете ли вы, из чего состоит ваше IT?

В методике NIST первая функция называется «Идентификация»: составить перечень того, что у компании есть, и держать его актуальным. Стоит она в начале не случайно — любая защита начинается со списка. Вопросы зоны:

1. Есть ли список техники: какие серверы и компьютеры есть, где стоят, сколько им лет?
2. Есть ли список программ и платных подписок с суммами и датами списаний?
3. Известно ли, где физически лежат критичные данные: база 1С, клиентская база, договоры?

По нашим кейсам в этой зоне две частые находки. Первая — подписки и программы, за которые компания платит, хотя ими давно никто не пользуется. Вторая опаснее: пиратские копии, которые когда-то поставил сотрудник, — руководитель о них не знает, но юридический риск несёт компания.

Красные флаги: списка техники нет вообще; никто не может назвать сумму месячных IT-платежей; про часть сервисов неизвестно, кто ими владеет и зачем они нужны.

Зона 2. Что будет, если ваш админ завтра исчезнет?

Эту проблему аудиторы находят постоянно:

«Часто в ходе аудита вскрывается ситуация, когда все ключевые знания, доступы и архитектура держатся на одном системном администраторе» — Авдей Мартынович, ALP ITSM, разбор состояния ИТ-инфраструктуры для собственника (Хабр).

Вопросы зоны:

1. Знаете ли вы, где хранятся пароли от серверов, домена сайта, корпоративной почты? Сможете ли получить их без участия админа?
2. Оформлены ли домен, хостинг и ключевые сервисы на компанию, или на личную почту специалиста?
3. Есть ли схема сети и описание настроек, по которым новый специалист разберётся в системе за дни, а не за месяцы?
4. Кто подхватывает работу, когда единственный айтишник в отпуске или на больничном?

Ориентир здесь сформулировал директор компании «Решение»:

«Основная задача грамотного системного администратора — именно в том, чтобы «все прекрасно работало без него»» — Андрей Лодочников, компания «Решение», Бизнес-секреты, Т-Банк.

Цена вопроса ощутимая: у рекламного агентства из нашей практики после увольнения сисадмина выяснилось, что доступы к клиентским базам никак не разграничены, — закрывать риски пришлось срочно, за пять дней. Если ваши ответы в этой зоне — жёлтые и красные, разбираться в одиночку не обязательно: бесплатный IT-аудит ИИС за один день покажет, что держится на честном слове, и превратит догадки в список конкретных исправлений.

Зона 3. Резервные копии: восстановитесь ли вы после сбоя?

Это зона самого дорогого расхождения между «у нас всё настроено» и реальностью. По исследованию Veeam 58% резервных копий не восстанавливаются, ещё 14% данных не копируются вообще. Опрашивали там крупные компании, от тысячи сотрудников, — тем показательнее результат: за копиями следят штатные команды, а больше половины восстановлений всё равно проваливается. Проверка восстановления — отдельный процесс: сам собой он не происходит.

«Резервную копию надо регулярно тестировать: разворачивать и проверять на работоспособность» — Андрей Лодочников, компания «Решение», Бизнес-секреты, Т-Банк.

Отправьте своему специалисту три вопроса — можно прямо этим текстом:

1. Когда мы последний раз восстанавливали данные из резервной копии и сколько времени это заняло?
2. Где физически хранятся копии и есть ли экземпляр вне офиса, недоступный из рабочей сети?
3. Покажи, пожалуйста, восстановление одного вчерашнего файла - хочу посмотреть процесс и время.

Как читать ответы:

Пункт про хранение вне рабочей сети — не перестраховка: шифровальщики (их ещё называют программами-вымогателями) первым делом ищут и портят резервные копии, сценарий мы разбирали в статье о программах-вымогателях. И заложите запас на время: по нашей практике бизнес обычно ждёт восстановления за час, по факту выходит четыре.

Зона 4. Кто может войти в ваши системы?

Цифры по этой зоне самые громкие. Verizon DBIR 2025 зафиксировал шифровальщиков в 88% взломов малого бизнеса — против 39% у крупного. По данным InfoWatch, на компании до 49 человек пришлось 27,8% всех утечек 2024 года (обзор Anti-Malware.ru).

Вопросы зоны:

1. Что происходит с учётными записями уволенных? Попросите список активных пользователей и сверьте с отделом кадров — проверка на 15 минут, а находки случаются почти всегда.
2. Включён ли двухфакторный вход хотя бы в почту, банк и CRM? Что это и почему без него пароль не защищает — мы разбирали в статье про многофакторную аутентификацию.
3. Сколько компьютеров работает на устаревших системах без обновлений?
4. У кого есть права администратора и зачем? Частая находка — админские права «у всех, так удобнее».
5. Учили ли сотрудников распознавать фишинговые письма? Большинство атак начинается с письма, а не со взлома сервера.

Красные флаги: учётки уволенных живут месяцами; один пароль на всех; двухфакторного входа нет даже в банке; обновления «мешают работать», и их отключили.

Зона 5. Железо и сеть: на чём всё это держится?

Технические детали здесь не нужны — хватит четырёх вопросов:

1. Сколько лет основному серверу и есть ли план его замены? Классический ориентир — 3-5 лет, и жёсткого календарного правила сегодня нет: крупные операторы дата-центров продлевают срок службы серверов до шести лет за счёт обслуживания. Для офиса вывод тот же: на пятом году пора доставать план замены, даже если сервер ещё тянет.
2. Что произойдёт, если откажет вот эта конкретная железка? Задайте вопрос про сервер, роутер и интернет-канал по очереди.
3. Есть ли резервный интернет-канал и резервное питание для серверной?
4. Насколько загружен сервер в пиковые часы — есть ли запас под рост?

Симптомы для неайтишника: 1С тормозит у всего офиса, Wi-Fi отваливается в переговорке, на жалобы отвечают «перезагрузите, поможет». Знакомая картина из практики: у дистрибьютора стройматериалов единственный старый сервер с изношенными дисками падал по 3-4 раза в неделю в пик продаж — о состоянии дисков узнали только на диагностике. После переноса на новое железо — ни одного незапланированного простоя за девять месяцев. Как устроена инфраструктура, которая переживает отказ любого узла, — в нашем пошаговом руководстве по катастрофоустойчивости.

Зона 6. Узнаете ли вы о сбое раньше клиентов?

По отчёту Veeam о защите данных кибератаки остаются причиной номер один простоев. Значит, сбой — вопрос времени, и решает скорость: как быстро вы о нём узнаете и что сделаете в первые полчаса.

Вопросы зоны:

1. Есть ли автоматический мониторинг серверов и ключевых сервисов — или о падении сайта первым сообщает клиент?
2. Существует ли написанный план действий при аварии: контакты, порядок, ответственные?
3. Куда звонить в субботу вечером и какое время реакции вам обещано письменно?

Разница ощущается в цифрах. В одном из наших кейсов торгово-производственная компания жила с «айтишником по звонку» и ждала решения проблем до полутора суток. Настроили мониторинг, перевели заявки в одно окно — единый адрес, куда уходит всё, — и среднее время решения упало до полутора часов.

Зона 7. Сколько стоит час вашего простоя?

Формула для первой прикидки простая: выручка компании за час плюс оплата труда сотрудников, которые сидят без дела, плюс потери на сорванных обязательствах. ITIC в отчёте о стоимости простоя оценивает: даже 25-75 тысяч долларов за час без учёта штрафов и исков — сумма, способная закрыть малый бизнес. Для атак с шифровальщиками разрыв ещё нагляднее: по отчёту Datto за 2020 год, средний ущерб небольшой компании от простоя после такой атаки — 274 200 долларов, почти в 50 раз больше среднего запрошенного выкупа.

Вторая половина зоны — расходы. Сверьте собранный ранее список программ и платных подписок с реальным использованием: дубли сервисов, «мёртвые» подписки, избыточные тарифы. И посмотрите на обратный перекос — опасную экономию: нет резервного сервера, нет мониторинга, защита держится на бесплатном антивирусе. Скрытую часть расходов на собственный IT-штат мы разбирали отдельно.

Красные флаги: цену часа простоя никто не считал; месячный IT-бюджет собирается из десятка платежей, полной суммы не знает никто; расходы растут, а поводов доверять системе больше не становится.

Как посчитать результат самопроверки?

Приоритет закрытия при равных силах: резервные копии, затем доступы, затем зависимость от одного человека, затем железо. Так первым чинится то, что определяет, переживёт ли компания худший сценарий.

И антисовет из практики: чек-лист, пройденный «для галочки» и убранный в папку, ничего не меняет — результат даёт связка «красный флаг — ответственный — срок — повторная проверка через квартал».

Чего самопроверка не покажет?

Здесь позиции стандартов и практиков расходятся, и обе стоит знать. NIST и CIS считают базовую самопроверку посильной и нужной любому бизнесу. Практики-аутсорсеры добавляют: скрытые риски собственник без инструментов не увидит, тем более что зависимость от админа нередко скрывается от руководства. Наш вывод из обеих позиций: чек-лист покажет большинство типовых проблем и правильные вопросы, технический аудит — причины и полную картину.

Для калибровки бюджета: по открытым данным московского рынка, экспресс-чекап силами подрядчика занимает 3-5 дней и стоит около 50 тысяч рублей, полный аудит — от 200 до 800 тысяч (разбор ALP ITSM на Хабре). Что входит в такую проверку и каким должен быть отчёт — в нашей статье о том, что проверяют во время IT-аудита, а поводы для неё — в разборе когда стоит проводить IT-аудит.

Скажем честно, хотя нам как подрядчику это невыгодно: бывает, что аудит не нужен. Если у вас пять ноутбуков, облачная почта и никакого сервера — хватит самопроверки по этому чек-листу и пары исправлений. Заказывать полную диагностику тут рано, и честный подрядчик скажет об этом сам.

Частые вопросы про самостоятельную оценку IT

Сколько времени занимает проверка по чек-листу?

Час-полтора на встречу с админом или подрядчиком плюс несколько дней на сбор подтверждений: тестовое восстановление копии, список активных учёток, полная сумма IT-платежей. Не растягивайте дольше двух недель: проверка, которая тянется месяц, обычно не заканчивается ничем.

Я совсем не разбираюсь в технике — справлюсь?

Да. Все вопросы чек-листа организационные: «покажите», «когда проверяли», «кто отвечает», «сколько стоит». Методики NIST и CIS, на которые он опирается, написаны для компаний без штатных специалистов по защите. Разбираться в настройках не придётся: хватит умения отличать показанный документ от слов «да вроде всё нормально».

Как часто повторять самопроверку?

Раз в полгода плюс после серьёзных изменений: переезда, смены админа или подрядчика, внедрения новой системы, инцидента. Полный аудит силами специалистов мы советуем проводить раз в год — подробнее в статье когда стоит проводить IT-аудит.

Мой айтишник воспринимает проверку как недоверие. Что делать?

Сказать прямо: под проверкой система — копии, доступы, документация; к человеку вопросов нет. Грамотному специалисту чек-лист выгоден: найденные красные флаги — готовые аргументы за бюджет на исправления, о которых он, скорее всего, давно говорит. Настороженность без причин — сама по себе сигнал: у специалиста, у которого всё в порядке, демонстрация занимает минуты.

С чего начать

Прямо сегодня, до всякого чек-листа, задайте один вопрос своему админу или подрядчику: «Когда мы последний раз восстанавливали данные из резервной копии и сколько это заняло?» Ответ с датой и цифрой — хороший знак. Пауза — повод пройти все семь зон в ближайшие выходные.

А если хотите сверить свои выводы с профессиональным взглядом — у ИИС есть бесплатный IT-аудит за один день. Его проводит команда, которая с 2009 года ведёт IT-аутсорсинг компаний Москвы и области: специалисты проверят серверы, копии и защиту и отдадут план исправлений. Выполнить его можно любыми силами — своими или подрядчика. Пугать несуществующими проблемами нам невыгодно: 95% клиентов остаются с нами, средний срок сотрудничества — 4,5 года, и держится он на доверии.

Об авторе статьи

Алексей Блок

Технический эксперт компании «Инновационные Информационные Системы». Специализируется на построении, модернизации и сопровождении корпоративной IT-инфраструктуры.

Профессиональные интересы: DevOps, контейнеризация, Kubernetes, информационная безопасность, IT-аудит, обслуживание серверов, системное администрирование, настройка сетей.

Больше информации.