IT audit: co to je a proč ho dělat aspoň jednou ročně

Většina firem se ke svému IT chová podobně jako k autu, které „zatím jezdí". Dokud se nerozsvítí kontrolka nebo se něco nerozbije přímo na dálnici, nikdo kapotu neotevře. IT audit je přesně ta pravidelná technická prohlídka, která odhalí prasklou hadičku dřív, než vás nechá stát na krajnici. A na rozdíl od auta tu nejde jen o pohodlí, ale o data, peníze a často i o existenci firmy.

Co to vlastně IT audit je

IT audit je systematická a nezávislá kontrola celého vašeho informačního prostředí. Cílem není někoho nachytat nebo dělat ze správce IT viníka. Cílem je získat poctivý, ucelený obrázek o tom, v jakém stavu firemní technologie skutečně jsou, co je v pořádku, co je na hraně a co může v nejbližší době způsobit potíže.

Dobrý audit nekončí seznamem chyb. Končí srozumitelným přehledem a doporučeními seřazenými podle priority, tedy podle toho, co řešit hned a co může počkat na příští rozpočet. Je to dokument, se kterým může pracovat majitel firmy i účetní, nejen technik.

Co všechno audit zahrnuje

Pod pojmem „IT" si každý představí něco jiného, a proto je dobré si hned na začátku ujasnit rozsah. Kvalitní audit se nedívá jen na počítače na stolech, ale na celý ekosystém, který firma denně používá. Obvykle pokrývá tyto oblasti:

• Hardware — počítače, notebooky, servery, tiskárny, síťové prvky a jejich stáří, výkon i záruka.
• Software a operační systémy — co je nainstalováno, zda je to aktuální a zda už něco neběží na verzi, kterou výrobce přestal podporovat.
• Licence — zda za software platíte správně, neplatíte zbytečně dvakrát nebo naopak nepoužíváte něco nelegálně.
• Sítě a konektivita — Wi-Fi, kabeláž, firewally, vzdálené přístupy.
• Bezpečnost — antiviry, hesla, dvoufaktorové ověření, oprávnění uživatelů.
• Zálohy a obnova — zda zálohy existují, jsou kompletní a hlavně jestli z nich jde data skutečně obnovit.
• Procesy a dokumentace — kdo má jaká práva, jak se řeší odchod zaměstnance, kde jsou hesla a smlouvy.

Proč ho vůbec dělat

Důvodů je víc, než se na první pohled zdá, a zdaleka nejde jen o techniku. Tři největší se dají shrnout do slov rizika, náklady a soulad s pravidly.

Rizika jsou nejviditelnější. Zastaralý server, neexistující zálohy nebo zaměstnanec s administrátorskými právy, který už půl roku ve firmě nepracuje, to jsou tikající bomby. Audit je najde, dokud ještě nevybuchly.

Náklady bývají skryté. Firmy běžně platí za licence, které nikdo nepoužívá, za cloudové služby objednané kdysi na jeden projekt, nebo za dva nástroje, které dělají totéž. Audit tyhle duplicity odhalí a často se zaplatí sám už jen z uspořených předplatných.

Soulad s pravidly je téma, které v posledních letech sílí. Legislativa jako směrnice NIS2 nebo požadavky pojišťoven a velkých zákazníků čím dál častěji vyžadují doložitelný přehled o stavu zabezpečení. Bez auditu ho nemáte čím doložit.

Jak audit probíhá krok za krokem

Aby audit nebyl jen chaotické přehrabování v kabelech, drží se osvědčeného postupu. V praxi vypadá zhruba takto:

1. Úvodní rozhovor — zmapujeme, co firma dělá, co od IT očekává a kde ji nejvíc tlačí bota.
2. Sběr dat — inventarizace zařízení, software, účtů a služeb, často s pomocí automatických nástrojů.
3. Analýza — zjištěná data se porovnají s dobrou praxí a s potřebami firmy.
4. Identifikace rizik a příležitostí — co je nebezpečné, co drahé a co se dá zlepšit.
5. Zpráva a doporučení — srozumitelný výstup s prioritami a odhadem nákladů.
6. Prezentace — osobní vysvětlení výsledků, aby jim rozuměl i nelaik.

Audit, kterému majitel firmy nerozumí, je k ničemu. Hodnotu má teprve ve chvíli, kdy se z něj stane akční plán, nikoli archivovaný PDF soubor.

Tabulka: hlavní oblasti auditu

Oblast	Co se kontroluje	Typické riziko při zanedbání
Hardware	stáří, výkon, záruka, kapacita	výpadek kvůli odešlému disku
Software	verze, aktualizace, podpora	bezpečnostní díra ve staré verzi
Licence	počet, platnost, využití	pokuta nebo placení zbytečností
Síť	firewall, Wi-Fi, vzdálený přístup	nezabezpečený vstup do firmy
Bezpečnost	hesla, 2FA, oprávnění	únik dat, ransomware
Zálohy	existence, úplnost, obnovitelnost	nevratná ztráta dat
Procesy	dokumentace, přístupy, odchody	chaos a závislost na jednom člověku

Jak často, interní nebo externí

Obecné pravidlo zní: kompletní IT audit alespoň jednou ročně, u rychle rostoucích firem nebo po větší změně (nový systém, fúze, stěhování kanceláře) i častěji. Mezi velkými audity se vyplatí dělat menší průběžné kontroly bezpečnosti a záloh.

Otázka interní versus externí audit má jasnou logiku. Interní člověk prostředí dobře zná, ale je provozně slepý vůči vlastním zvyklostem a často nemá čas ani odstup. Externí auditor přináší nezávislý pohled, srovnání s desítkami jiných firem a hlavně nemá důvod nic zametat pod koberec. Ideál je kombinace: externí audit jednou za rok jako poctivé zrcadlo a interní průběžná údržba mezi tím.

Co s výsledky a co firma získá

Hotová zpráva je teprve začátek. Doporučení se rozdělí na ta, která je třeba řešit okamžitě (chybějící zálohy, díry v zabezpečení), na střednědobá (obnova zastaralého hardwaru) a na dlouhodobá (optimalizace procesů). Z toho vznikne plán s termíny a rozpočtem.

Co z toho firma reálně má? Především klid a přehled, protože konečně ví, na čem stojí. Dále jasné priority místo hašení náhodných požárů. A v neposlední řadě úspory, ať už z vyřazených licencí, levnějšího cloudu nebo z toho, že nemusí řešit drahou havárii, které se předešlo.

Nevíte, v jakém stavu vaše IT skutečně je? Nemusíte hádat. Objednejte si nezávislý online audit a získejte srozumitelný přehled o svých technologiích, nebo nám rovnou napište a domluvíme se na detailech. Pokud řešíte IT komplexně, podívejte se i na naše IT konzultace.