Większość audytów infrastruktury IT zaczyna się od tego samego pytania: „czy macie aktualną dokumentację?". I większość kończy się tym samym wnioskiem: dokumentacja istnieje, ale ostatni raz ktoś ją widział przy poprzedniej przeprowadzce serwerowni.

Czym audyt jest, a czym nie jest

Audyt infrastruktury to inwentaryzacja i ocena stanu faktycznego: co działa, w jakim stanie, kto za to odpowiada i co się stanie, gdy przestanie działać. Nie jest kontrolą pracowników ani szukaniem winnych. Dobrze przeprowadzony audyt daje zarządowi jedną rzecz, której zwykle brakuje: kompletny obraz ryzyka operacyjnego w jednym dokumencie.

Co audytor sprawdza w pierwszej kolejności

Zaczyna się od warstwy fizycznej, bo tam najszybciej widać zaniedbania. Szafy dystrybucyjne i ich stan (opisane patchcordy to rzadkość, a powinny być normą), zasilanie gwarantowane i wiek baterii w UPS-ach, chłodzenie serwerowni, kontrola dostępu do pomieszczeń technicznych. Potem sieć: topologia, wiek przełączników, konfiguracje (czy ktoś je archiwizuje?), segmentacja, punkty pojedynczej awarii. Dalej serwery i usługi: co jest objęte wsparciem producenta, co działa na sprzęcie po gwarancji, jak wyglądają kopie zapasowe i — ważniejsze — czy ktoś kiedykolwiek testował odtwarzanie.

Osobny rozdział to licencje i umowy: wsparcie wygasłe albo przypisane do nieistniejącego dostawcy potrafi wyjść na jaw dopiero przy awarii.

Typowe znaleziska

Po kilkuset projektach lista powtarza się z dużą regularnością: pojedynczy przełącznik, przez który przechodzi cała firma; UPS z bateriami pamiętającymi poprzednią dekadę; backup, który „się robi", ale nikt nie wie dokąd; dostępy administracyjne byłych pracowników; klimatyzacja serwerowni bez redundancji i bez umowy serwisowej. Żadne z tych znalezisk nie jest egzotyczne — to codzienność średnich i dużych organizacji, w których infrastruktura rosła latami bez jednego gospodarza.

Jak się przygotować

Przed audytem warto zebrać w jedno miejsce: schemat sieci (nawet nieaktualny — będzie punktem wyjścia), listę umów serwisowych i licencji, wykaz sprzętu z datami zakupu, procedury backupu i listę osób z dostępami administracyjnymi. Braki w tych materiałach są same w sobie wynikiem audytu — pokazują, gdzie organizacja polega na wiedzy plemiennej zamiast na dokumentacji.

Co dostajesz na końcu

Raport z audytu powinien zawierać trzy rzeczy: opis stanu faktycznego, listę ryzyk uszeregowaną według wpływu na działanie firmy oraz rekomendacje z szacunkiem kosztów — od zmian bezkosztowych (konfiguracja, procedury) po inwestycje. Jeżeli raport kończy się ogólnikami w stylu „zaleca się modernizację", to nie był audyt, tylko ankieta.

Audyt to naturalny pierwszy krok przed przejęciem utrzymania infrastruktury przez zewnętrznego partnera — obie strony wiedzą wtedy dokładnie, za co biorą odpowiedzialność.