IT-аудит за 5 дней: что получит директор на выходе

Директору редко нужен том на двести страниц про версии ядра и настройки межсетевого экрана. Ему нужно другое: где компания реально рискует деньгами и репутацией, что чинить в первую очередь и сколько это примерно стоит. «IT вроде работает» — не диагноз. Это отложенный счёт, который предъявят простой, проверка или внезапный рост облачных расходов.

Короткий аудит за несколько рабочих дней как раз про это: не академическое исследование, а приоритизированная карта для решений. Без пафоса «цифровой трансформации» — с конкретными угрозами простою, утечкам и перерасходу.

Типичный запрос звучит так: «Не понимаю, куда уходят деньги на IT и насколько мы уязвимы». Или: «Подрядчик говорит одно, штатный специалист — другое, нужна независимая картина». Или перед сделкой, проверкой, импортозамещением, переездом в облако.

Зачем аудиту несколько дней, а не «взглянуть одним глазом»

За один день можно снять только сливки: бэкапы странные, мониторинга нет. За месяц легко утонуть в деталях, которые не меняют решений руководителя. Несколько рабочих дней — компромисс: успеть пройти критичные контуры и выдать язык приоритетов, а не бесконечный список пожеланий.

Важно заранее договориться о границе. Аудит инфраструктуры и доступов — это одно. Глубокий разбор прикладного кода — другое. Смешение ожиданий рождает разочарование: директор ждал бюджет на риски, а получил пересказ настроек.

Сценарии, когда «и так сойдёт» дорого

Компания живёт без схемы сети и списка владельцев сервисов. При инциденте час уходит на поиск, кто отвечает за удалённый доступ. Вторая история — лицензии и хрупкие связки: всё крутится, пока не придёт проверка или не отвалятся обновления. Третья — облако без дисциплины расходов: счёт вырос вдвое, а никто не знает, какие тестовые машины забыли выключить.

В каждом случае руководитель узнаёт о проблеме поздно — из счёта, из простоя или из письма юриста. Аудит переносит момент правды левее по времени, пока ещё можно выбрать, а не тушить.

Что смотрят на практике

Не всё подряд, а то, что бьёт по бизнесу. Доступность критичных сервисов: учёт, почта, сайт, CRM, телефония. Бэкапы и факт проверки восстановления. Учётные записи и права «администратор у всех». Периметр: удалённый доступ, торчащие наружу рабочие столы, устаревшие протоколы. Обновления систем и прикладного ПО. Документация и зависимость от одного человека. Облачные ресурсы и неочевидные статьи расходов.

Важно отделять находку от рекомендации. Находка: «резервная копия базы не проверялась одиннадцать месяцев». Рекомендация: «ввести ежеквартальное восстановление, оценить целевое время». Бюджетная вилка: «от X до Y в зависимости от объёма». Без вилки отчёт остаётся страшилкой, на которую нельзя выделить деньги.

Чего избегать в «аудитах»

Отчёт ради отчёта с сотнями пунктов без приоритетов. Руководитель не закроет четыреста строк — он закроет десяток. Продажа своих услуг под видом аудита без альтернатив: хороший аудит допускает «сделаете сами / другим подрядчиком / примете риск». Сканирование только внешнего периметра без разговора с бизнесом: иногда дыра в метриках безопасности не сравнится с отсутствием владельца процесса выставления счетов.

Ещё одна ловушка — аудировать «для галочки» перед проверкой и положить PDF на полку. Ценность появляется, когда по красным пунктам назначают ответственных и сроки.

Как выглядит полезный выход

Одна-две страницы для руководителя: красное, жёлтое, зелёное. Таблица приоритетов: что чинить сейчас, в этом квартале, что наблюдать. Оценка последствий в бизнес-языке — простой, штрафы, потеря данных, репутация. Черновик дорожной карты на девяносто дней. Список быстрых побед без большого бюджета.

Техническое приложение можно отдать специалисту. Директору оно не обязательно для решения «да / нет / сколько».

Решения, которые можно принять сразу

Хороший короткий аудит заканчивается не фразой «нужно усилить IT», а развилкой. Принять риск по пункту A. Выделить бюджет на пункт B. Сменить модель сопровождения по пункту C. Перенести миграцию, потому что зависимости не готовы.

Если после аудита на столе только страх и толстый файл — результат слабый. Если есть три приоритета, ориентир по деньгам и ответственные — вы уже управляете, а не гадаете.

На что смотреть через месяц

Любое улучшение проверяют не ощущением «стало спокойнее», а фактами: меньше инцидентов, короче простой, ниже доля ручной работы, предсказуемее счета и понятнее ответственность. Если через месяц картина не изменилась, вы либо выбрали не тот рычаг, либо не закрепили регламент и владельца.

Полезно зафиксировать исходную точку до изменений: сколько длился последний простой, откуда о нём узнали, сколько часов ушло на ручной сбор отчёта, какая строка счёта непонятна. Иначе через квартал снова будет спор «стало лучше или просто забыли».

Отдельно договоритесь, что считается успехом для бизнеса, а что — для инженерии. Для коммерции важны заявки, оплаты, скорость ответа клиенту. Для инженерии — повторяемость, наблюдаемость, откат. Когда метрики разные и не согласованы, проект «закрывают», а боль возвращается.

Практический минимум на ближайшие две недели

Не пытайтесь исправить всё сразу. Выберите один критичный контур и доведите его до состояния «можно объяснить директору за три минуты»: что может сломаться, кто заметит первым, как откатываемся, сколько это примерно стоит в простое. Затем повторите для следующего контура.

Документируйте коротко: схема, доступы, владельцы, даты проверок. Документ на две страницы, который читают, полезнее wiki на двести, которую забыли. Обновляйте его после каждого инцидента — именно тогда правда свежая.

И наконец назначьте человека, а не «команду». Коллективная ответственность в инцидентах обычно означает отсутствие ответственности. Заместитель нужен, но имя на дверце должно быть одно.

Итог

IT без регулярной независимой сверки с реальностью всегда выглядит «нормально» — до первого дорогого инцидента. Несколько дней честной диагностики обычно дешевле месяца тушения последствий. Для директора правильный аудит — это не лекция про технологии, а инструмент выбора: куда вкладывать, что отложить и какой риск больше нельзя игнорировать.