Аудит IT. Топ-5 наиболее частых ошибок

Аудит IT – это мощный инструмент для того, чтобы повысить безопасность, эффективность и прозрачность бизнеса. Но сам по себе комплексный IT-аудит не будет гарантировать успеха, поскольку его результаты напрямую зависят от качества проведения.

На практике даже внешние специалисты часто допускают ряд системных ошибок, которые сводят на нет пользу от проверки в пустую трате времени и ресурсы. Как правило, ошибки связаны не только с техническими просчетами, а с неправильной постановкой целей, коммуникации и методологией. Поэтому нужно избегать наиболее распространенных ошибок при проведении аудита ИТ (см. на сайте o-digital.ua), для того чтобы он был лучше и эффективнее.

Наиболее частой ошибкой является отсутствие четких измеримых целей и границ ИТ аудита. Как правило, руководство инициирует проверку с расплывчатыми формулировками, и без конкретных вопросов, на которые должен отвечать аудитор, процесс превратится в бесцельный сбор данных. Аудиторы в этом случае будут действовать больше интуитивно, а итоговый отчет содержит массу разрозненных фактов без четких выводов и рекомендаций.

Вторая частая ошибка при проведении IT-аудита – это использование исключительно внутренних IT-специалистов. Несмотря на то, что у штатных сотрудников, как правило, глубокие знания инфраструктуры, все-таки они лишены двух ключевых преимуществ внешнего взгляда – это объективности и свежего опыта. Специалисты могут осознанно не замечать проблемы, которые создают слабые места. Они для них могут казаться непривычными и некритичными. Внутренний аудит может быть полезен для оперативных проверок, но для того, чтобы стратегически проверить соответствие компании, лучше всего привлекать внешних специалистов.

Еще одна частая ошибка, которая встречается при проведении аудита IT – это избыточный фокус на технических деталях в ущерб бизнес-контексту. Аудиторы могут погрузиться в детальный анализ конфигурации сетевого оборудования, версий прошивок и логов, забыв о главном, как эти детали влияют на способность компании зарабатывать деньги. Таким образом, отчеты будут перегружены техническим жаргоном, а руководитель, по сути, не получит нужной ему информации.

Также аудит ИТ часто связан с игнорированием человеческого фактора и процессов. То есть, как правило, ИТ-аудит ограничивается проверкой железа и софта. При этом вне поля зрения остаются люди и регламенты. Самые современные технологии могут быть нейтрализованы некорректным действием сотрудникам. Если они используют слабые пароли, не следуют инструкциям и пересылают конфиденциальные данные в мессенджерах, то никакая даже самая современная система безопасности не сможет достичь поставленных целей.