IT аудит компании: что проверять и как провести (чек-лист)

Зачем владельцу бизнеса IT аудит

Во многих компаниях в Ташкенте и в регионах IT растёт стихийно. Бухгалтерии поставили одну программу, отдел продаж завёл CRM, кто-то подключил облачную таблицу, потом появились Telegram-бот для заказов, приём оплаты через Click и Payme, сайт у одного подрядчика и хостинг у другого. Каждое решение разумно по отдельности, но вместе они превращаются в систему, которую никто не видит целиком.

IT аудит собирает эту картину в один документ. Руководитель получает ответы на простые вопросы: что у нас есть, сколько это стоит, что случится, если сегодня сломается сервер или уйдёт ключевой сотрудник, и что нужно исправить первым. Это управленческий инструмент, а не техническая формальность.

Когда пора проводить аудит

Плановая проверка раз в год — разумный минимум. Но есть ситуации, когда откладывать не стоит.

• Расходы на подписки и сервисы растут, а понятнее не становится.
• Произошёл инцидент: взлом аккаунта, потеря данных, утечка базы клиентов.
• Пришёл новый IT-специалист или вы меняете подрядчика.
• Готовится крупный проект: новая CRM, интернет-магазин, переезд офиса.
• Компания растёт, открываются филиалы, увеличивается число сотрудников.
• Бизнес готовится к продаже, привлечению инвестиций или слиянию.
• Человек, который «всё знал про компьютеры», уволился или собирается уйти.

Что входит в IT аудит

Хороший аудит охватывает не только железо. Условно его можно разделить на несколько блоков, и каждый даёт свою часть картины.

Инвентаризация: оборудование, программы, облачные сервисы, лицензии, домены и хостинг. Для каждого пункта фиксируется, кто владелец, на кого оформлен аккаунт и когда истекает оплата. Именно здесь обычно находятся забытые подписки и программы, которыми никто не пользуется.

Безопасность: пароли, двухфакторная защита, права доступа, обновления, антивирус, защита Wi‑Fi и сети. Отдельно проверяются доступы бывших сотрудников и подрядчиков.

Резервные копии: что копируется, как часто, где лежит копия и когда в последний раз проверяли восстановление. Копия, которую ни разу не пытались развернуть, — это предположение, а не защита.

Расходы, процессы и документация. Сверяются все регулярные платежи, оборудование и оплата подрядчиков с реальным использованием; смотрят, как сотрудники просят помощи, как оформляются приём и увольнение, есть ли схема сети и список доступов. Если всё хранится в голове одного человека, это уже риск.

Как провести IT аудит по шагам

Не пытайтесь исправлять всё сразу. Сначала закрываются критичные риски: доступы, копии, обновления. Оптимизация расходов и модернизация идут следом.

• Назначьте ответственного и определите границы: весь офис, только отдел продаж или вся компания вместе с филиалами.
• Составьте реестр: оборудование, программы, сервисы, домены, аккаунты соцсетей и рекламных кабинетов. Таблицы достаточно.
• Для каждой строки укажите владельца, ответственного, способ оплаты и срок продления.
• Проверьте доступы: выгрузите списки пользователей в основных системах и сверьте с актуальным штатом.
• Проверьте резервные копии на практике: попробуйте восстановить один файл или одну базу на тестовом компьютере.
• Посчитайте расходы за год по каждому сервису и сопоставьте с тем, как им реально пользуются.
• Оформите итог: риски по трём уровням — срочно, в ближайший квартал, можно позже — и назначьте сроки и исполнителей.

Сравнение: своими силами, штатный IT или внешний аудитор

Своими силами проще и дешевле всего начать. Минус в том, что вы проверяете то, что и так знаете, а слепые зоны остаются. Подходит малому бизнесу как первая ревизия.

Штатный специалист или постоянный подрядчик хорошо знает инфраструктуру, но проверяет собственную работу. Объективность страдает, и это нормальное человеческое ограничение, а не обвинение.

Внешний аудитор смотрит свежим взглядом, сравнивает с практикой других компаний и не зависит от текущих договорённостей. Он дороже и требует времени на погружение, поэтому оправдан при росте, инцидентах, смене подрядчика или крупных инвестициях. Стоимость зависит от числа рабочих мест, количества систем и глубины проверки, поэтому честный подрядчик назовёт цену только после первичного знакомства.

Пример: интернет-магазин из Ташкента

Представим магазин одежды, который продаёт через Instagram, Telegram-бот и маркетплейс Uzum. Владелец решил провести ревизию и за один вечер составил таблицу всех сервисов.

Выяснилось три вещи. Домен сайта оформлен на личную почту фрилансера, который делал сайт два года назад. Бывший SMM-менеджер остался администратором страницы в Instagram и бизнес-аккаунта Meta. А в облачном хранилище с фотографиями товаров оплачивался тариф на несколько человек, хотя работали двое.

Ничего из этого не было катастрофой, но каждый пункт мог ей стать: потеря домена, чужой доступ к рекламному кабинету, лишние платежи. Исправление заняло несколько дней и не потребовало бюджета: перенос домена на компанию, смена прав доступа, пересмотр тарифа.

Типичные ошибки при проверке

Первая ошибка — проверять только технику и забывать про людей и доступы. Взломы чаще начинаются со слабого пароля или бывшего сотрудника, чем с устаревшего компьютера.

Вторая — оформлять аккаунты на личные почты и телефоны сотрудников. Когда человек уходит, вместе с ним уходит и контроль над доменом, соцсетью или рекламным кабинетом.

Третья — хранить все пароли у одного человека или в общем чате. Нужны менеджер паролей и понятные роли.

Четвёртая — не проверять восстановление из копий. Многие узнают о неработающей копии в день аварии.

Пятая — провести аудит и положить отчёт в стол. Без назначенных сроков и ответственных документ ничего не меняет.

Чек-лист для первичной проверки

Распечатайте список и пройдите по нему с ответственным за IT. Каждое «нет» — повод для задачи.

• Есть реестр оборудования, программ, сервисов и доменов.
• Все важные аккаунты оформлены на компанию, а не на личные контакты.
• Доступы уволенных сотрудников и бывших подрядчиков закрыты.
• Двухфакторная защита включена в почте, CRM, банковских и рекламных кабинетах.
• Резервные копии делаются по расписанию, а восстановление проверялось.
• Обновления систем устанавливаются регулярно.
• Известны все регулярные платежи, неиспользуемые подписки отключены.

IT аудит и маркетинг: где они пересекаются

Для маркетинга IT-основа не менее важна. Пиксели и счётчики аналитики, форма заявки на сайте, интеграция CRM с рекламой, Telegram-бот, доступы к Meta Business и Google Ads — всё это часть инфраструктуры. Если заявки не доходят до менеджера или аналитика считает неверно, бюджет на рекламу работает вхолостую.

Мы в markdev не занимаемся аудитом серверов и сетей, но при работе над маркетинговой стратегией обязательно проверяем маркетинговый стек: кому принадлежат аккаунты и домены, правильно ли настроена сквозная аналитика, куда попадают обращения. Если вы планируете пересмотреть IT и хотите заодно понять, как оно влияет на продажи, обсудите задачу с нашей командой — поможем расставить приоритеты.