Що входить в ІТ-аудит і скільки він коштує

Більшість середніх компаній замовляють ІТ-аудит з однієї з трьох причин. Щось пішло не так: збій, витік даних чи провалений проєкт. Питання ставить хтось ззовні: банк, інвестор, клієнт із ЄС або регулятор. Або новий фінансовий чи ІТ-директор хоче знати, що саме йому дісталося.

Проблема щоразу та сама. «ІТ-аудитом» можуть назвати і дводенну перевірку за чеклистом, і двомісячне розслідування, тож і комерційні пропозиції дуже різняться. Цей посібник пояснює, що входить у повноцінний ІТ-аудит, що ви маєте отримати в результаті, скільки він триває і від чого залежить ціна.

Чотири види ІТ-аудиту

ІТ-аудит не є одним продуктом. Зазвичай він поєднує кілька з чотирьох видів, описаних нижче. Визначтеся, що саме вам потрібно, ще до того, як порівнювати пропозиції.

1. Аудит інфраструктури. Аудитор перевіряє мережу, сервери, сховища, резервні копії та робочі місця користувачів. Що вже не підтримується виробником? Де єдина точка відмови? Чи можете ви насправді відновити дані, і як швидко?

2. Аудит безпеки. Він охоплює права доступу, політики безпеки, встановлення оновлень, журналювання та налаштування міжмережевих екранів та інших засобів захисту. Часто до нього входить сканування вразливостей, а за письмовою згодою й тестування на проникнення. Під час такого тесту фахівець намагається проникнути в систему так, як це зробив би зловмисник.

3. Аудит процесів. Він показує, як люди насправді працюють з ІТ: заявки, погодження, передавання робіт, управління змінами та служба підтримки. Аудит знаходить, де робота застрягає чи дублюється і де ІТ-бюджет іде на проєкти, яких бізнес не цінує.

4. Аудит відповідності. Він перевіряє ваші засоби контролю на відповідність конкретному стандарту чи закону. Для компаній в Україні та ЄС найчастіше йдеться про три документи:

ISO/IEC 27001:2022. Міжнародний стандарт, що встановлює вимоги до системи управління інформаційною безпекою (СУІБ). Його додаток A містить 93 засоби контролю, згруповані в чотири теми: організаційні, кадрові, фізичні й технологічні. Сертифікати за попередньою редакцією вже втратили чинність: перехідний період завершився 31 жовтня 2025 року.
NIS2. Директива ЄС про кібербезпеку. Вона набула чинності в січні 2023 року, а держави-члени мали до 17 жовтня 2024 року перенести її в національне законодавство. Як правило, вона поширюється на середні й великі організації у 18 критичних секторах. Стаття 21 визначає десять мінімальних заходів: від аналізу ризиків і реагування на інциденти до резервного копіювання, безпеки ланцюга постачання та багатофакторної автентифікації. Національні закони різняться. Португалія, наприклад, перенесла NIS2 Декретом-законом 125/2025, який набрав чинності 3 квітня 2026 року.
GDPR. Стаття 32 вимагає належного захисту персональних даних і процесу регулярного тестування та оцінювання цього захисту. Регулярний аудит є одним із практичних способів показати, що такий процес існує.

Окремо про українські компанії, які продають клієнтам у ЄС. Стаття 21 NIS2 охоплює безпеку ланцюга постачання, зокрема відносини між організацією, на яку поширюється директива, та її прямими постачальниками. Навіть якщо ваша компанія не підпадає під NIS2, клієнти з ЄС можуть надсилати вам опитувальники з безпеки або просити підтвердження аудиту. Незалежний звіт про аудит відповідає на багато таких запитань одразу.

Що ви маєте отримати в результаті

Звіт про аудит і є тим продуктом, за який ви платите. Корисний звіт містить:

Зауваження з доказами. Кожне зауваження описує, що перевіряли, що виявили і чому це важливо. Фраза «Резервні копії не тестуються» підходить як зауваження, а «Резервне копіювання можна покращити» не підходить.
Ранжування ризиків. Зауваження впорядковані за ймовірністю та впливом на бізнес, тож керівництво знає, що виправляти першим.
Карту прогалин (для аудиту відповідності). Кожна вимога чи засіб контролю обраного стандарту позначені як виконані, виконані частково або відсутні.
Витрати. Оцінку того, у скільки бізнесу можуть обійтися головні ризики і скільки коштує їх усунути.
Дорожню карту. Виправлення, розподілені на етапи «зараз», «наступний квартал» і «наступний рік», з відповідальними та бюджетом.
Резюме для керівництва. Кілька сторінок, які рада директорів прочитає за лічені хвилини.

Якщо у прикладі звіту, який показує аудитор, цього немає, не буде й у вашому.

Скільки триває ІТ-аудит

Тривалість залежить насамперед від обсягу. Типовий аудит проходить чотири етапи:

Визначення обсягу. Узгоджуємо майданчики, системи, юридичні особи та стандарти, які перевірятимемо.
Збір даних. Аналіз документації, інтерв’ю та технічні перевірки в режимі лише читання.
Тестування. Сканування вразливостей і тестування на проникнення, якщо вони входять в обсяг.
Звіт. Аналіз, ранжування ризиків, дорожня карта і презентація для керівництва.

Для компанії з одним майданчиком і однією ІТ-командою весь цикл зазвичай триває 3–4 тижні, до місяця. Групи з кількома юридичними особами, майданчиками чи країнами потребують більше часу, передусім тому, що треба опитати більше людей і перевірити більше систем.

Від чого залежить вартість

Ми не знайшли надійного публічного джерела цін на ІТ-аудит в Україні чи ЄС, тому в цьому посібнику немає цінових діапазонів. Натомість пояснюємо, що впливає на ціну, щоб ви могли порівнювати пропозиції на однакових засадах.

Обсяг. Кожен доданий вид аудиту (інфраструктура, безпека, процеси, відповідність) додає роботи.
Майданчики та юридичні особи. Кожен додатковий офіс, завод чи дочірня компанія означає більше систем, більше інтерв’ю і часто відрядження.
Кількість систем. ERP, CRM, пошта, хмарні сервіси, промислові системи. Кожну систему в обсязі аудиту перевіряють.
Інтерв’ю. Скільки ІТ-фахівців, керівників і власників процесів треба опитати.
Глибина тестування. Сканування вразливостей відбувається швидко. Ручний тест на проникнення зовнішнього периметра та внутрішньої мережі забирає значно більше часу фахівця.
Стандарти. Аналіз розривів за всіма засобами контролю додатка A ISO/IEC 27001 триває довше, ніж загальний огляд безпеки. Кожен додатковий документ, як-от NIS2 чи GDPR, додає роботи зі зіставлення вимог.
Інструменти. Чи потрібно встановлювати сканери або інші інструменти у вашій мережі.
Ваша документація. Якщо схеми мережі, реєстри активів і політики існують і актуальні, аудит буде швидшим і дешевшим.

Ціну відмови від аудиту знайти простіше. За NIS2 держави-члени мають передбачити для суттєвих організацій штрафи щонайменше до 10 млн євро або 2% світового річного обороту (залежно від того, що більше), а для важливих організацій щонайменше до 7 млн євро або 1,4%. Порушення статті 32 GDPR може коштувати штрафу до 10 млн євро або 2% світового обороту. Крім того, NIS2 робить відповідальним керівництво: за статтею 20 органи управління мають затверджувати заходи кібербезпеки, контролювати їх виконання та проходити навчання.

У Tymko Tech ми визначаємо обсяг кожного аудиту під час 30-хвилинного дзвінка, а потім надсилаємо письмову пропозицію з обсягом, строками й ціною.

Як підготуватися

Час і вартість аудиту можна скоротити, якщо заздалегідь підготувати кілька речей:

Призначте одного відповідального всередині компанії, який домовлятиметься про інтерв’ю та збиратиме документи.
Зберіть те, що вже є: схеми мережі, перелік серверів і програмного забезпечення, ІТ-політики, графіки резервного копіювання, договори з постачальниками та список тих, хто має права адміністратора.
Перелічіть відомі проблеми. Якщо одразу розповісти про них аудитору, у нього залишиться більше часу на проблеми, про які ви не знаєте.
Визначтеся зі стандартом, на відповідність якому вас перевірятимуть, якщо він потрібен, ще до дзвінка щодо обсягу.
Перевірте процес реагування на інциденти. За статтею 23 NIS2 організації, на які поширюється директива, мають надіслати раннє попередження протягом 24 годин після того, як дізналися про суттєвий інцидент, і повідомлення протягом 72 годин. Заздалегідь визначте, хто у вашій компанії це робитиме.
Погодьте тестування письмово. Для тесту на проникнення потрібні письмово визначений обсяг, часове вікно та контактна особа з вашого боку.

Тривожні сигнали під час вибору аудитора

Обіцяють сертифікацію. Консультант не може вас сертифікувати. Сертифікати ISO/IEC 27001 видає незалежний орган із сертифікації. Консультант готує вас до цього аудиту.
Називають фіксовану ціну без дзвінка щодо обсягу. Або обсяг мізерний, або в ціну закладено великий запас.
Не можуть показати приклад звіту. Попросіть знеособлений. Якщо його немає, ви не знаєте, що купуєте.
Працюють лише за чеклистом. Опитувальник без інтерв’ю та технічних перевірок фіксує те, що кажуть люди, а не те, що є насправді.
Досі посилаються на редакцію 2013 року ISO/IEC 27001. Чинна редакція вийшла у 2022 році.
У звіті немає ранжування та витрат. Перелік із 200 зауважень однакової ваги не допомагає ухвалювати рішення.
Аудит слугує воронкою продажів. Багато аудиторів, зокрема й ми, також впроваджують виправлення. Це нормально, якщо звіт самодостатній і ви вільні впроваджувати його з ким завгодно.

Приклад: що змінив аудит у Stork Investment

Stork Investment є українською групою в агросекторі, трейдингу та виробництві соусів. Коли бізнес масштабувався, ІТ почало відставати: безпека була фрагментованою, плану аварійного відновлення не було, а цілі ІТ не узгоджувалися з цілями бізнесу.

Ми почали з ІТ-аудиту й описали кожен бізнес-процес. Перше рішення було не технічним: група скоротила портфель ІТ-проєктів до тих, що справді приносили цінність. Далі настала черга виправлень із дорожньої карти. Ми інтегрували ключові інструменти безпеки, перенесли локальну інфраструктуру в хмару і побудували план безперервності бізнесу та аварійного відновлення. Тепер усі ІТ-проєкти координує центральний офіс управління змінами.

Результати: після міграції в хмару операційні витрати знизилися на 20%, а проєкти почали реалізовуватися на 35% швидше. Group CFO Олександр Березюк зазначив, що роботу над аудитом і стратегією «вирізняли глибокі знання та системний підхід Івана». Читати кейс Stork повністю.

Наступний крок

Tymko Tech проводить аудити інфраструктури, безпеки, процесів і відповідності для середніх компаній, віддалено й будь-де у світі. Наш засновник Іван Тимко пройшов навчання та іспит як менеджер і внутрішній аудитор ISO/IEC 27001:2022 (Quay Audit Ukraine, сертифікат QAUA/02/235/23).

Хочете знати, що охопить аудит і скільки він коштуватиме для вашої компанії? Запишіться на 30-хвилинний дзвінок.