Имам ли нужда от мрежов одит?

В колко помещения работи фирмата?

Какво следваЕдин обект значи една мрежа и един рутер. От два нагоре въпросът е как са свързани помежду си. Ако между тях няма VPN, файловете пътуват по имейл, през месинджър или през чужд облак — тоест минават през Интернет и през чужди сървъри, и вие нямате представа през чии. VPN прави връзката между обектите частна: двата офиса работят като една мрежа, с едни данни. Без него всеки обект работи със свое копие, копията се разминават и идва денят, в който никой не знае кое е вярното.

Колко компютъра има в мрежата и с какво работят?

Какво следваДо пет машини всичко се помни наизуст. Над двайсет обикновено никой не знае точно колко са, коя чия е и коя система още получава обновления. Смесената среда не е проблем сама по себе си — фирми работят години наред с Windows, macOS и Linux в една мрежа. Проблем е, когато няма списък и никой не следи коя машина е останала на версия, спряна от поддръжка. Такава машина е отворена врата към всички останали в мрежата и се открива именно при одит, не преди това.

Кой определя как се работи с документите, пощата, сайта и складовия софтуер?

Какво следваОтговорник трябва да има и при пет души. Не за да е специалист, а за да има единна политика: как е подредена структурата на папките, къде се пази кой документ, кой прави справките и архивите в складовата програма, кой открива и кой закрива пощенски кутии, кой следи и обновява информацията в сайта. Над десет души този човек вече трябва да е с добра обща култура в технологиите, за да може да преценява, а не само да предава заявки нататък. Над петдесет работата е достатъчно, за да оправдае системен администратор на място. Външната фирма поддържа техниката — политиката се определя вътре.

Всеки служител има ли своя парола — на компютъра, на пощата, в програмата?

Какво следваВсеки човек трябва да влиза със собствено име и своя парола навсякъде, където работи: на самата операционна система, в пощата, в складовата и счетоводната програма. Не защото не си вярвате, а защото само така се вижда кой какво е направил и само така достъпът на един човек се спира, без да се пипа на всички останали. Компютър, който се пуска без парола, и програма, в която целият офис влиза като „оператор“, са едно и също нещо — работа без автор. Общата парола, която знаят всички, на практика не може да се смени при напускане: трябва да се смени навсякъде наведнъж и точно затова не се сменя никога. Одитът проверява и кои сметки още работят за хора, които отдавна не са във фирмата.

Къде живеят договорите, офертите и снимките на фирмата?

Какво следваФайлове, разхвърляни по лични компютри и флашки, означават, че при напускане на човек или счупен диск част от фирмата си тръгва с него. Най-честият въпрос в един офис е „къде е този договор“ — и когато няма общо място, отговорът е „на компютъра на Мария, а Мария е в отпуск“. Файловият сървър не е лукс: той е мястото, на което изобщо може да се направи резервно копие и да се каже кой какво вижда.

С каква програма работят продажбите, складът и счетоводството — и на каква машина върви тя?

Какво следваАко програмата върви на компютър под нечие бюро, този компютър е сървър — само че не е признат за такъв. Няма нищо нередно в това фирмата да държи сървъра си при себе си, а не в чужд център за данни; много фирми предпочитат данните да са физически на тяхна територия и това е разбираемо. Но щом е при вас, трябва да е сложен като сървър: в отделно климатизирано помещение, с пожарогасител, в метален комуникационен шкаф и с ток от UPS. Машина в килер без вентилация спира сама през лятото, а рязкото изключване при трепване на тока при база данни понякога значи повредена база и загубен ден. Гледа се и кой има физически достъп: заключено ли е помещението и у кого са ключовете.

Имате ли бекъп и кога за последно сте възстановявали файл от него?

Какво следваРъчният бекъп се прави, докато има кой да го прави — после спира тихо. Автоматичният върви, докато не се счупи тихо. И в двата случая единственото доказателство, че бекъп има, е да се извади файл от него и да се отвори. Ако това никога не е правено, засега имате надежда, а не резервно копие.

Второто важно е къде стои копието. Диск, който лежи до сървъра, изгаря заедно с него при пожар и си отива заедно с него при кражба. А ако мрежата бъде ударена от вирус, който заключва файловете и иска пари за отключването им, той стига и до всеки диск, който е закачен и видим в момента — включително до бекъпа. От такъв вирус няма връщане назад с плащане и няма програма, която да отключи файловете. Единственото, което връща фирмата на крака, е копие, до което вирусът не е могъл да стигне: изключено устройство, друга сграда или услуга, от която копията не се трият.

Какво стои между мрежата ви и Интернет — и какво от вътре се вижда отвън?

Какво следваПървата половина от въпроса е проста: има ли втора линия, когато първата падне. Втората е по-важната.

Щом отвън се стига до нещо вътре във фирмата — видеонаблюдението, документооборотът, счетоводната програма, „сървърът“ под бюрото — това е направено с пренасочване на порт (destination NAT) и всеки такъв ред е врата към целия Интернет. Веднъж отворена, тя се намира от чужди машини за часове, не за месеци, защото целият Интернет се обхожда постоянно.

Отворен порт обаче не значи, че трябва да е отворен за всички. На защитната стена се описва и източникът — кой адрес има право да влиза. Отвън никой не бива да може да гадае какво стои зад стената: порт 8000 или 37777 казва на всеки сканиращ, че зад него има видеонаблюдение, и остава само да се пробват фабричните пароли. Затова камерите се отварят за адресите на хората, които наистина ги гледат — и за никого другиго. Ако тези хора нямат постоянен адрес и източникът не може да се опише, портът се затваря и достъпът минава през VPN. Тук се проверява и дали „отдалеченият достъп“ не е програма за споделяне на екран, оставена да работи постоянно с една и съща парола.

Гостите, камерите и работните компютри в една мрежа ли са?

Какво следваТова е може би най-честият пропуск. Когато гостите, личните телефони, камерите и работните места са в една обща мрежа, всеки телефон в чакалнята вижда файловия сървър, а всяка камера — счетоводния компютър. Паролата за Wi-Fi по правило е известна на повече хора, отколкото фирмата предполага: на бивши служители, на клиенти, на съседния офис.

Решението не е само отделна мрежа за гости. Мрежата се сегментира — гости, работни места, камери, сървъри и телефони се разделят на отделни части, така че рутерът и защитната стена да стоят между тях и да решават кой какво вижда. Без сегментация правилата нямат къде да се приложат: всичко е от едната страна на стената и се вижда взаимно.

Има ли фирмата сайт, кой го обновява и излиза ли в Google?

Какво следваСайтът е най-често пренебрегваната част и удря право в репутацията. Стар сайт с телефони отпреди пет години и цени в друга валута казва на клиента, че фирмата е замряла. Сайт, който не излиза в Google по думите, с които клиентите ви търсят, за тези клиенти просто не съществува — работата отива при конкурента, който излиза. А сайт, необновяван две години, обикновено вече работи и за някой друг: праща спам или крие в себе си чужди страници. Собственикът научава последен — от предупреждение в Google или от доставчика на хостинг.

На какъв адрес ви пишат клиентите?

Какво следваАдресът на безплатна поща казва на клиента същото, което казва и старият сайт. Освен това не е ваш: не се предава на нов служител, не се взема обратно от напуснал и получателят няма как да провери, че писмото идва наистина от фирмата — точно с това работят фалшивите фактури с подменена банкова сметка. През пощата минават оферти, договори, данни на клиенти и не рядко пароли; когато кутията е лична, фирмените тайни излизат от фирмата заедно с човека и остават достъпни за него. Адрес от вида име.фамилия@фирма.bg прави и служителя разпознаваем — клиентът вижда с кого говори, а не „ivancho1978“.

На чие име са домейнът, хостингът, пощата и профилите в социалните мрежи?

Какво следваТова е частта, която фирмите подценяват най-силно. Домейнът, хостингът, пощенските кутии, страницата във Facebook, профилът в Google — всяко от тях е актив на фирмата и на всяко от тях някой е записан за собственик. Ако този някой е лична поща на човек, който вече не работи с вас, фирмата ви е в чужди ръце: в деня, в който регистрацията изтече, спират сайтът и цялата поща наведнъж, а страницата в социалната мрежа остава заключена завинаги — няма към кого да се обърнете. Същото важи за лицензи, купени на лично име.

Тук се иска и хигиена, която се поддържа постоянно: собственик е фирмата, не човек; за администраторска връзка се записва служебна кутия, а не нечия лична; достъпите на напуснали се отнемат в деня на напускането; и някой във фирмата знае кое кога изтича.