Что входит в ИТ-аудит и сколько он стоит

Большинство средних компаний заказывают ИТ-аудит по одной из трех причин. Что-то пошло не так: сбой, утечка данных или проваленный проект. Вопросы задает кто-то извне: банк, инвестор, клиент из ЕС или регулятор. Или новый финансовый либо ИТ-директор хочет понять, что именно ему досталось.

Проблема каждый раз одна и та же. «ИТ-аудитом» могут назвать и двухдневную проверку по чек-листу, и двухмесячное расследование, поэтому и предложения сильно различаются. Это руководство объясняет, что входит в полноценный ИТ-аудит, что вы должны получить в результате, сколько он длится и от чего зависит цена.

Четыре вида ИТ-аудита

ИТ-аудит не является одним продуктом. Обычно он сочетает несколько из четырех видов, описанных ниже. Определитесь, что именно вам нужно, еще до того, как сравнивать предложения.

1. Аудит инфраструктуры. Аудитор проверяет сеть, серверы, хранилища, резервные копии и рабочие места пользователей. Что уже не поддерживается производителем? Где единая точка отказа? Можете ли вы на самом деле восстановить данные, и как быстро?

2. Аудит безопасности. Он охватывает права доступа, политики безопасности, установку обновлений, журналирование и настройку межсетевых экранов и других средств защиты. Часто в него входит сканирование уязвимостей, а при письменном согласии и тестирование на проникновение. Во время такого теста специалист пытается проникнуть в систему так, как это сделал бы злоумышленник.

3. Аудит процессов. Он показывает, как люди на самом деле работают с ИТ: заявки, согласования, передача работ, управление изменениями и служба поддержки. Аудит находит, где работа застревает или дублируется и где ИТ-бюджет уходит на проекты, которые бизнес не ценит.

4. Аудит соответствия. Он проверяет ваши средства контроля на соответствие конкретному стандарту или закону. Для компаний в Украине и ЕС чаще всего речь идет о трех документах:

ISO/IEC 27001:2022. Международный стандарт, который устанавливает требования к системе управления информационной безопасностью (СУИБ). Его приложение A содержит 93 средства контроля, сгруппированных в четыре темы: организационные, кадровые, физические и технологические. Сертификаты по предыдущей редакции уже утратили силу: переходный период завершился 31 октября 2025 года.
NIS2. Директива ЕС о кибербезопасности. Она вступила в силу в январе 2023 года, а государства-члены должны были до 17 октября 2024 года перенести ее в национальное законодательство. Как правило, она распространяется на средние и крупные организации в 18 критических секторах. Статья 21 определяет десять минимальных мер: от анализа рисков и реагирования на инциденты до резервного копирования, безопасности цепочки поставок и многофакторной аутентификации. Национальные законы различаются. Португалия, например, перенесла NIS2 Декретом-законом 125/2025, который вступил в силу 3 апреля 2026 года.
GDPR. Статья 32 требует надлежащей защиты персональных данных и процесса регулярного тестирования и оценки этой защиты. Регулярный аудит является одним из практических способов показать, что такой процесс существует.

Отдельно об украинских компаниях, которые продают клиентам в ЕС. Статья 21 NIS2 охватывает безопасность цепочки поставок, в том числе отношения между организацией, на которую распространяется директива, и ее прямыми поставщиками. Даже если ваша компания не подпадает под NIS2, клиенты из ЕС могут присылать вам опросники по безопасности или просить подтверждение аудита. Независимый отчет об аудите отвечает на многие такие вопросы сразу.

Что вы должны получить в результате

Отчет об аудите и есть тот продукт, за который вы платите. Полезный отчет содержит:

Замечания с доказательствами. Каждое замечание описывает, что проверяли, что обнаружили и почему это важно. Фраза «Резервные копии не тестируются» годится как замечание, а «Резервное копирование можно улучшить» не годится.
Ранжирование рисков. Замечания упорядочены по вероятности и влиянию на бизнес, поэтому руководство знает, что исправлять в первую очередь.
Карту пробелов (для аудита соответствия). Каждое требование или средство контроля выбранного стандарта отмечено как выполненное, выполненное частично или отсутствующее.
Затраты. Оценку того, во сколько бизнесу могут обойтись главные риски и сколько стоит их устранить.
Дорожную карту. Исправления, разбитые на этапы «сейчас», «следующий квартал» и «следующий год», с ответственными и бюджетом.
Резюме для руководства. Несколько страниц, которые совет директоров прочитает за считанные минуты.

Если в примере отчета, который показывает аудитор, этого нет, не будет и в вашем.

Сколько длится ИТ-аудит

Длительность зависит прежде всего от объема. Типичный аудит проходит четыре этапа:

Определение объема. Согласуем площадки, системы, юридические лица и стандарты, которые будем проверять.
Сбор данных. Анализ документации, интервью и технические проверки в режиме только чтения.
Тестирование. Сканирование уязвимостей и тестирование на проникновение, если они входят в объем.
Отчет. Анализ, ранжирование рисков, дорожная карта и презентация для руководства.

Для компании с одной площадкой и одной ИТ-командой весь цикл обычно занимает 3–4 недели, до месяца. Группам с несколькими юридическими лицами, площадками или странами нужно больше времени, прежде всего потому, что нужно опросить больше людей и проверить больше систем.

От чего зависит стоимость

Мы не нашли надежного публичного источника цен на ИТ-аудит в Украине или ЕС, поэтому в этом руководстве нет ценовых диапазонов. Вместо этого объясняем, что влияет на цену, чтобы вы могли сравнивать предложения на одинаковых условиях.

Объем. Каждый добавленный вид аудита (инфраструктура, безопасность, процессы, соответствие) добавляет работы.
Площадки и юридические лица. Каждый дополнительный офис, завод или дочерняя компания означает больше систем, больше интервью и часто командировки.
Количество систем. ERP, CRM, почта, облачные сервисы, промышленные системы. Каждую систему в объеме аудита проверяют.
Интервью. Сколько ИТ-специалистов, руководителей и владельцев процессов нужно опросить.
Глубина тестирования. Сканирование уязвимостей проходит быстро. Ручной тест на проникновение внешнего периметра и внутренней сети занимает гораздо больше времени специалиста.
Стандарты. Анализ разрывов по всем средствам контроля приложения A ISO/IEC 27001 занимает больше времени, чем общий обзор безопасности. Каждый дополнительный документ, например NIS2 или GDPR, добавляет работы по сопоставлению требований.
Инструменты. Нужно ли устанавливать сканеры или другие инструменты в вашей сети.
Ваша документация. Если схемы сети, реестры активов и политики существуют и актуальны, аудит будет быстрее и дешевле.

Цену отказа от аудита найти проще. По NIS2 государства-члены должны предусмотреть для существенных организаций штрафы как минимум до 10 млн евро или 2% мирового годового оборота (в зависимости от того, что больше), а для важных организаций как минимум до 7 млн евро или 1,4%. Нарушение статьи 32 GDPR может стоить штрафа до 10 млн евро или 2% мирового оборота. Кроме того, NIS2 делает ответственным руководство: по статье 20 органы управления должны утверждать меры кибербезопасности, контролировать их выполнение и проходить обучение.

В Tymko Tech мы определяем объем каждого аудита во время 30-минутного звонка, а затем присылаем письменное предложение с объемом, сроками и ценой.

Как подготовиться

Время и стоимость аудита можно сократить, если заранее подготовить несколько вещей:

Назначьте одного ответственного внутри компании, который будет договариваться об интервью и собирать документы.
Соберите то, что уже есть: схемы сети, перечень серверов и программного обеспечения, ИТ-политики, графики резервного копирования, договоры с поставщиками и список тех, у кого есть права администратора.
Перечислите известные проблемы. Если сразу рассказать о них аудитору, у него останется больше времени на проблемы, о которых вы не знаете.
Определитесь со стандартом, на соответствие которому вас будут проверять, если он нужен, еще до звонка по объему.
Проверьте процесс реагирования на инциденты. По статье 23 NIS2 организации, на которые распространяется директива, должны отправить раннее предупреждение в течение 24 часов после того, как узнали о существенном инциденте, и уведомление в течение 72 часов. Заранее определите, кто в вашей компании будет это делать.
Согласуйте тестирование письменно. Для теста на проникновение нужны письменно определенный объем, временное окно и контактное лицо с вашей стороны.

Тревожные сигналы при выборе аудитора

Обещают сертификацию. Консультант не может вас сертифицировать. Сертификаты ISO/IEC 27001 выдает независимый орган по сертификации. Консультант готовит вас к этому аудиту.
Называют фиксированную цену без звонка по объему. Либо объем крошечный, либо в цену заложен большой запас.
Не могут показать пример отчета. Попросите обезличенный. Если его нет, вы не знаете, что покупаете.
Работают только по чек-листу. Опросник без интервью и технических проверок фиксирует то, что говорят люди, а не то, что есть на самом деле.
До сих пор ссылаются на редакцию 2013 года ISO/IEC 27001. Действующая редакция вышла в 2022 году.
В отчете нет ранжирования и затрат. Перечень из 200 замечаний одинакового веса не помогает принимать решения.
Аудит служит воронкой продаж. Многие аудиторы, в том числе и мы, также внедряют исправления. Это нормально, если отчет самодостаточен и вы вольны внедрять его с кем угодно.

Пример: что изменил аудит в Stork Investment

Stork Investment является украинской группой в агросекторе, трейдинге и производстве соусов. Когда бизнес масштабировался, ИТ начало отставать: безопасность была фрагментированной, плана аварийного восстановления не было, а цели ИТ не были согласованы с целями бизнеса.

Мы начали с ИТ-аудита и описали каждый бизнес-процесс. Первое решение было не техническим: группа сократила портфель ИТ-проектов до тех, что действительно приносили ценность. Дальше настала очередь исправлений из дорожной карты. Мы интегрировали ключевые инструменты безопасности, перенесли локальную инфраструктуру в облако и построили план непрерывности бизнеса и аварийного восстановления. Теперь все ИТ-проекты координирует центральный офис управления изменениями.

Результаты: после миграции в облако операционные расходы снизились на 20%, а проекты стали реализовываться на 35% быстрее. Group CFO Александр Березюк отметил, что работу над аудитом и стратегией «отличали глубокие знания и системный подход Ивана». Читать кейс Stork полностью.

Следующий шаг

Tymko Tech проводит аудиты инфраструктуры, безопасности, процессов и соответствия для средних компаний, удаленно и где угодно в мире. Наш основатель Иван Тимко прошел обучение и экзамен как менеджер и внутренний аудитор ISO/IEC 27001:2022 (Quay Audit Ukraine, сертификат QAUA/02/235/23).

Хотите знать, что охватит аудит и сколько он будет стоить для вашей компании? Запишитесь на 30-минутный звонок.