Кейс: IT-аудит музейно-выставочного центра

Слово «музей» обычно ассоциируется со стариной и консерватизмом. Однако существуют музеи, которые подобных ассоциаций не вызывают. Именно таким оказался музейно-выставочный центр (МВЦ), руководство которого обратилось к нам по поводу IT-аудита.

Это был не архаичный музей из прошлого века, а современный, прекрасно оснащенный и цифровизированный музейный комплекс, активно развивающийся сразу в нескольких направлениях. Помимо организации выставок, в том числе «путешествующих», МВЦ ведет мультимедийную онлайн-экспозицию, занимается научной деятельностью, имеет собственный дизайнерский центр, фотостудию, интернет-магазин. Все это требует поддержания, регулярной модернизации, а главное – серьезного подхода к вопросам физической и информационной безопасности.

Устроители МВЦ старались использовать лучшие технические и технологические инновации, появляющиеся на рынке: обновляли оборудование, внедряли передовые системы охраны и видеонаблюдения, системы управления, digital-технологии, другие новинки. Но предприятие развивалось, возникали новые потребности, приходили молодые IT-специалисты – в музее расти некуда, они меняются часто, и каждый привносит что-то свое. Со временем стремление к прогрессу обернулось для МВЦ обратной стороной.

Музей оказался в ситуации, в которую рано или поздно попадает любая компания, старающаяся адаптироваться к меняющимся условиям, но не уделяющая достаточно внимания IT-менеджменту. За 20 лет существования в информационной инфраструктуре МВЦ накопились столько багов и «плохих» решений, что она превратилась в неоднородную, плохо организованную систему, которая начала создавать проблемы и грозила нарушить нормальное функционирование всего музейного комплекса.

Когда клиент обратился к нам, IT-среда музея представляла собой ядерную смесь из разных операционных системы (ОС) и их версий, множества не связанных друг с другом сервисов, массы программных продуктов с разной логикой работы. Часть имеющихся ресурсов использовалась нерационально, приводя к финансовым потерям и подвергая риску все подсистемы. Многое устарело и требовало модификации.

Клиенту важно было выявить все существующие проблемы в hard и soft и получить четкий план, позволяющий быстро и с минимальным бюджетом устранить недостатки.

Перед нами стояла сложная задача. Необходимо было:

Работа шла в два этапа. Сначала мы приехали на объект и провели осмотр физического оборудования (серверы, как они подключены, за что отвечают, сетевые устройства, ИБП и т. д.). Потом получили удаленный доступ, согласования и перешли к анализу программного обеспечения (ПО). Каждый обследуемый объект мы тщательно изучали, смотрели настройки, нагрузку процессоров, бэкапы, узкие места, критические уязвимости, необходимость обновлений и т. д. Таким образом, нам удалось диагностировать все проблемные точки как в аппаратной (железо), так и в программной (софт) частях.

Вместе с исследованием программно-аппаратного комплекса в аудитах мы дополнительно проверяем каждую из подсистем на соответствие стратегическим планам предприятия на ближайшие 3–5 лет. МВЦ не стал исключением: мы выяснили, что клиент планирует по серверам, видеонаблюдению, системе контроля и управления доступом (СКУД), какие внедрения/апдейты предполагает реализовать.

Результаты оценки для наглядности оформили doc-файлом, который включал подробные рекомендации по каждому пункту, с таблицами, протоколами, схемами, скринами и пояснительными записками.

Условно работы по аудиту информационных технологий можно разделить на 11 блоков, каждый из которых затрагивает отдельный аспект IT-среды или подсистему. Следуя заданному алгоритму, мы поочередно проанализировали все составляющие.

Создали общую спецификацию серверов с набором параметров, ролей, ОС, данными по загруженности процессора и оперативной памяти, объему и заполненности дискового пространства, сетевым параметрам, установленному ПО, инструментам резервного копирования, антивирусной защите.

Исследовали существующую ИТ-инфраструктуру. Детально рассматривали каждый сервер на предмет потенциально проблемных точек, которые мешают решать текущие и планируемые задачи.

В результате анализа установлено:

Обследовали компьютерную сеть. Всего по сетевому оборудованию было обнаружено 12 проблемных точек, 8 из которых – критические уязвимости, требующие немедленного решения. Например, отсутствует гостевая сеть: и пользователи, и сервера находятся в общей иерархии. В виртуальных локальных сетях серверов (VLAN) не должно быть рабочих станций, доступ к таким VLAN должен быть только у администраторов.

Таблица 1. Обследования компьютерной сети

Выполнили анализ схемы резервного копирования и архивирования, дали рекомендации для более надежного хранения копий.

Выявлено 2 главных проблемы:

Проанализировали IT-систему на риски сбоев, выхода из строя отдельных элементов, вероятность потери информации. Анализ рисков показал еще 9 проблем, которые могли повлечь выход из строя виртуальных машин, поломку физического оборудования, а также разрушение файлов, содержащих важную информацию.

Вот некоторые из обнаруженных ошибок:

«Разношерстность» инфраструктуры осложняет процесс управления информационными ресурсами. С развитием компании обслуживание системы будет требовать все больше времени и вложений. Такой подход не оптимален как с точки зрения IT-менеджмента, так и с финансовой точки зрения.

Составили экспертные рекомендации по целесообразности используемых решений в разрезе задач бизнеса. Среди выявленных проблем оказалось несколько критичных:

В IT-аудит обязательно входит анализ используемых приложений, решений, сервисов и оценка эффективности их применения. Для чего это необходимо? Чтобы не получалось таких ситуаций, как у одного из наших клиентов, когда на купленном за 1 млн рублей сервере работало всего 3 пользователя. Это бессмысленное расточительство ресурсов – такое оборудование нужно использовать под совершенно другие задачи.

В этом кейсе мы столкнулись с тем, что заказчик тратил на интернет внушительные суммы. При том что канал был избыточен – графики оператора демонстрировали неполную загрузку. Перейдя на подходящий тарифный план, компания могла ежемесячно экономить в среднем 15 000–20 000 руб.

Это очень важный этап аудита. Дело в том, что отсутствие лицензий является уголовно наказуемым деянием. Статья 146 УК РФ «Нарушение авторских и смежных прав» предусматривает для нарушителей серьезные наказания:

Ответственность несет не только директор компании, который санкционировал установку и пользование нелицензионным ПО, но и системный администратор, установивший софт. При обнаружении подобных проблем к предприятию могут быть применены и другие меры, в частности конфискация компьютеров и серверов.

Мы проанализировали существующую систему защиты информации, инсталлированных программных продуктов, выгрузили все лицензионные ключи. Выяснилось, что стоимость набора ПО, не имеющего или требующего подтверждения лицензий, превышает 1 млн рублей. Компания сильно рискует, и лицензирование должно стать первоочередной задачей.

При анализе схемы развертывания виртуальных серверов обнаружилась одна из самых серьезных уязвимостей, подвергающих риску всю IT-инфраструктуру МВЦ.

У заказчика была установлена крутая кластерная система ESXI High Availability, которая позволяет запускать виртуальные машины с вышедшего из строя хоста на другом хосте группы. Вместе с дисковой полкой (она обычно дублируется двумя контроллерами), кластер решает очень серьезную задачу. Если один сервер вышел из строя, остающиеся в оперативной памяти данные автоматически перемещаются на второй, после чего виртуальные машины перезапускаются или переходят бесшовно на другой физический сервер. В данном случае все располагалось на одной машине, вторая была выключена и больше месяца находилась на обслуживании. Чем это опасно? При поломке физического сервера все компьютерные системы музейного комплекса оказались бы недоступны – до того момента, пока оборудование не починят или не купят новое. А это значит остановка бизнес-процессов, простой и убытки.

Выполнили анализ развертывания сервисов. Обнаружили возможность удалить избыточные серверы и сэкономить на лицензировании более 150 000 руб.

С помощью нашей системы мониторинга Zabbix проверили аппаратные ресурсы: настройки, нагрузку, правильность распределения. Здесь проблем у заказчика не было.

Выполнив работы, составили документ с техническими параметрами аудита и списком развернутых рекомендаций (в общей сложности – более 50) по улучшению IT-инфраструктуры. Также указали самые критичные места, требующие решения в срочном порядке, примерный бюджет и трудозатраты, которые необходимы для устранения проблем.

По просьбе заказчика мы дополнили аудит еще двумя блоками: сделали расчет по видеорегистраторам и дали рекомендации по расширению дискового пространства.

В музее много ценных экспонатов, и технические средства охраны – это mission critical, то есть критически важная составляющая IT-комплекса, которая должна работать в режиме «боевого дежурства». За безопасность единиц хранения в первую очередь отвечают СКУД и система видеонаблюдения (СВН). Поэтому мы изучили состояние охранной системы, выслушали требования заказчика и полностью рассчитали новый комплекс СВН на 85 камер для всех помещений музейно-выставочного центра. В расчет включили:

Аналогичные расчеты сделали для СКУД.

Еще один большой блок был посвящен созданию решения для хранения данных. Мы проанализировали ресурсы, в которых нуждается дисковая подсистема, подобрали модель NAS-сервера, диски, составили таблицу сравнения производительности, план поэтапной миграции.

Заказчик получил продуманную стратегию с конкретными действиями и порядком их выполнения по приоритету.

После IT-аудита у руководства МВЦ есть четкое понимание:

Наша команда провела колоссальную работу, чтобы дать клиенту комплексное решение, которое позволяет усилить безопасность, упростить IT-менеджмент и сократить затраты на содержание информационных ресурсов.

Такой аудит занимает 160–240 часов. В зависимости от сложности к работе привлекаются от 4 до 6 специалистов.

Таблица 2. Рекомендации по улучшению IT инфраструктуры и устранению проблем (пример отчета по ИТ аудиту)

Самые распространенные случаи, в которых желательно провести IT-аудит:

Экспертиза помогает провести глубокую диагностику состояния IT-системы, выявить слабые места, целесообразность применения тех или иных решений, предоставляет способы оптимизации информационной инфраструктуры.

Если вам нужна экспертная оценка общего состояния IT-структуры предприятия или отдельных подразделений, оставьте заявку на сайте.

#кейсы #it #айти #itинфраструктура