IT audit: čo sa kontroluje, ako prebieha a čo z neho firma dostane

Koľko firiem vie presne, koľko zariadení má pripojených do ich siete? Prekvapivo málo. A práve preto sa IT audit dnes posúva z „nice to have“ na nástroj, bez ktorého konateľ riadi firmu poslepiačky. Predstavte si, že zajtra odíde kľúčový zamestnanec a s ním aj jediné heslo k serveru. Presne na takéto situácie audit IT existuje.

Čo je IT audit?

IT audit je systematická kontrola firemnej IT infraštruktúry, zariadení, sietí, softvéru a bezpečnostných procesov, ktorej cieľom je zistiť reálny stav IT prostredia, odhaliť slabiny a rizikové miesta a dať konateľovi jasný prehľad o tom, kde firma stojí a čo treba zlepšiť.

• Hardvér a sieťová infraštruktúra (servery, switche, routre, WiFi)
• Operačné systémy, softvér a platnosť licencií
• Nastavenie firewallu a sieťovej bezpečnosti
• Zálohovanie dát a plán obnovy po výpadku
• Riadenie prístupov, hesiel a oprávnení
• Súlad s predpismi, napríklad s požiadavkami smernice NIS2
• Zraniteľnosti, ktoré by mohol zneužiť útočník

Čo presne sa pri IT audite kontroluje

Audit IT infraštruktúry nie je len „pozrieme sa, či počítače fungujú“. Technik prechádza fyzickú aj logickú vrstvu firemnej siete: od zapojenia switchov cez konfiguráciu serverov až po to, kto má prístup ku ktorým dátam. Súčasťou je aj kontrola zastaraného softvéru, ktorý si firmy často nechávajú bežať roky, pretože „to funguje“. Problém je, že nepodporovaný operačný systém alebo zabudnutá aplikácia bez aktualizácií je presne to miesto, kadiaľ sa útočníci dostanú dnu, podobne ako to ukázal aj prípad zraniteľností v Barracuda ESG, kde neopravené zariadenia stáli útočníkov na ceste do siete len pár krokov.

Druhou veľkou oblasťou je bezpečnostný audit v užšom zmysle: kontrola hesiel, dvojfaktorového overenia, nastavenia firewallu, segmentácie siete a toho, ako firma reaguje na podozrivú aktivitu. Práve tu sa často odporúča prejsť aj k modelu Zero Trust, teda k prístupu, pri ktorom sa dôveruje vždy len to, čo je overené, nie to, čo sa „tvári“ ako interné zariadenie.

Ako prebieha IT audit krok za krokom

Bez ohľadu na veľkosť firmy má poriadny IT audit podobnú štruktúru. Líši sa len rozsah a hĺbka jednotlivých krokov.

1. Úvodná konzultácia a zmapovanie cieľov auditu (čo chce firma zistiť alebo riešiť)
2. Inventarizácia zariadení, sietí, softvéru a licencií
3. Kontrola konfigurácie firewallu, serverov a prístupových práv
4. Overenie zálohovania a plánu obnovy dát
5. Vyhodnotenie rizík a zraniteľností, prípadne doplnkové penetračné testy
6. Príprava správy so zisteniami a odporúčaniami
7. Prezentácia výsledkov konateľovi alebo vedeniu firmy

Oplatí sa IT audit aj malej firme s pár počítačmi, alebo je to zbytočné?

Áno, oplatí sa aj malej firme, pretože aj pri 10 až 20 zariadeniach stačí jedno neaktualizované alebo zdieľané heslo a firma príde o dáta alebo prevádzku. Základný IT audit pre malú firmu zvyčajne trvá 1 až 2 pracovné dni vrátane obhliadky a prípravy správy. Výstup je rovnako konkrétny ako pri väčšej firme, len rozsah kontrolovaných bodov je menší.

Čo z IT auditu firma reálne dostane

Výstupom nie je len „zoznam chýb“. Kvalitný IT audit dáva konateľovi dokument, s ktorým sa dá rozhodovať: čo opraviť hneď, čo naplánovať na najbližší rozpočet a čo môže počkať. Súčasťou je zvyčajne:

• Prehľad aktuálneho stavu infraštruktúry a zariadení
• Zoznam zistených rizík zoradených podľa závažnosti
• Konkrétne odporúčania (nielen „zlepšite bezpečnosť“, ale čo presne nastaviť)
• Odhad, čo je potrebné riešiť okamžite a čo môže počkať
• Podklad pre rozhodovanie o investíciách do IT na ďalšie obdobie

Práve táto posledná časť je pre konateľa najcennejšia. Namiesto dohadov, prečo IT „zase niečo stojí“, dostane podklad, ktorý vie obhájiť aj pred spoločníkmi alebo pri žiadosti o rozpočet.

Prečo je to dôležité pre vašu firmu

IT audit nie je byrokracia navyše; je to spôsob, ako zistiť veci, ktoré by inak vyšli najavo až vtedy, keď je už neskoro. Výpadok servera, zašifrované dáta po útoku ransomvérom alebo únik citlivých údajov klientov sú scenáre, ktoré sa dajú z veľkej časti predvídať, ak firma vie, kde má diery. Podľa prehľadu ENISA o aktuálnych kybernetických hrozbách patria medzi najčastejšie vstupné body práve zle zabezpečené alebo neaktualizované zariadenia, teda presne tie veci, ktoré IT audit odhalí ako prvé.

Pre firmu, ktorá spracúva osobné údaje alebo prevádzkuje kritickejšie služby, je audit aj prvým krokom k súladu s predpismi, napríklad pri príprave na požiadavky smernice NIS2. A pre firmu, ktorá rastie, je to spôsob, ako sa uistiť, že IT rastie spolu s ňou a nestáva sa brzdou. Súvisiace oblasti ako IT bezpečnosť, zálohovanie dát v cloude a nastavenie prístupov sú zväčša prvé veci, ktoré audit odhalí ako najslabšie.

Keď si to firma už nezvládne sama

Malá firma s jedným serverom a pár počítačmi si vie urobiť základnú kontrolu svojpomocne, napríklad podľa verejných odporúčaní NBÚ alebo SK-CERT. Akonáhle však firma rastie, pribúdajú pobočky, vzdialený prístup zamestnancov alebo citlivé dáta klientov, interný pohľad už spravidla nestačí: chýba odstup aj skúsenosť s tým, čo útočníci reálne skúšajú, ako ukazuje aj starší prípad zraniteľnosti v routeroch Calix. V takej chvíli sa oplatí zveriť audit externému tímu, ktorý ho robí opakovane a vie porovnať váš stav s desiatkami podobných firiem.

Čo by vás ešte mohlo zaujímať

Čo presne je IT audit?

IT audit je nezávislá kontrola IT infraštruktúry, zariadení, softvéru a bezpečnostných procesov firmy. Jeho cieľom je zistiť reálny stav prostredia, odhaliť riziká a dať konateľovi podklad na rozhodovanie o ďalších investíciách do IT.

Ako dlho trvá IT audit vo firme?

Základný IT audit v malej firme trvá spravidla 1 až 2 pracovné dni, pri väčšej infraštruktúre s viacerými pobočkami alebo serverovňami sa doba predlžuje podľa rozsahu kontrolovaných systémov. Dĺžku ovplyvňuje aj to, či je súčasťou auditu aj doplnkový penetračný test.

Čo je výstupom IT auditu?

Výstupom je prehľadná správa so zistenými rizikami zoradenými podľa závažnosti, konkrétnymi odporúčaniami a návrhom, čo riešiť okamžite a čo neskôr. Pre konateľa slúži ako podklad na plánovanie rozpočtu a investícií do IT na ďalšie obdobie.