Коротка відповідь: ІТ-аудит охоплює всю інфраструктуру — пристрої та ліцензії, облікові записи й доступи, резервні копії, мережу, електронну пошту, оновлення, фізичну безпеку та договори з постачальниками. Результатом є перелік знахідок, упорядкований за рівнем ризику, а не звіт на сто сторінок. Тест на проникнення, навпаки, заглиблюється в один напрям: це імітація атаки на конкретну ціль. У компанії, яка не перевіряла відновлення з резервної копії та не знає, хто має обліковий запис адміністратора, пентест лише дорого підтвердить те, що й так відомо. Спочатку аудит і виправлення базових недоліків, а вже потім — тест на проникнення.
До питання «чи варто нам провести аудит?» мала компанія зазвичай приходить за неприємних обставин: замовник надіслав анкету, банк запитує про кібербезпеку або щось сталося з кимось поруч. І першою пропозицією на столі часто виявляється тест на проникнення — адже він звучить конкретно, а його результат нібито легко виміряти.
Але це неправильна послідовність. Фреймворк CIS Controls містить вісімнадцять напрямів, причому інвентаризація активів — це Control 1, а тестування на проникнення — Control 18, тобто останній. У наборі заходів, який CIS визначає як базову гігієну для найменших організацій з обмеженими ресурсами (Implementation Group 1, 56 заходів), немає жодного заходу з тестування на проникнення; усі вони належать лише до вищих груп IG2 та IG3. Нижче описано, що перевіряють під час аудиту компанії з 5–50 працівниками без власного ІТ-відділу.
ІТ-аудит і тест на проникнення: у чому різниця
| ІТ-аудит | Тест на проникнення | |
|---|---|---|
| Що перевіряє | Усе ІТ компанії: пристрої, ліцензії, облікові записи, резервні копії, мережу, електронну пошту, постачальників, фізичний доступ | Одну ціль: зовнішній периметр, вебзастосунок, внутрішню мережу або стійкість працівників до фішингу |
| Метод | Інвентаризація, перевірка налаштувань, розмови з людьми, які користуються системою | Імітація атаки — пошук і фактичне використання вразливостей для підтвердження їхнього впливу |
| Результат | Перелік знахідок із пріоритетами та оцінкою трудомісткості виправлення | Звіт про те, чого вдалося досягти зловмиснику та як саме він це зробив |
| Коли доречний | Завжди як перший крок, а потім — після значних змін | Коли базові заходи вже впроваджено й потрібно перевірити, чи вони витримають атаку |
| Типовий обсяг | Ушир: усе, що експлуатує компанія | Углиб: чітко визначена ціль, узгоджені правила та часовий проміжок |
| Чого не виявить | Чи можна реально використати конкретну вразливість і як далеко просунеться зловмисник | Усе поза узгодженим обсягом — відсутню резервну копію, завершення підтримки, обліковий запис колишнього працівника |
Спрощено: аудит відповідає на запитання «що в нас узагалі є і де проблеми», а тест на проникнення — «чи витримає це конкретне місце справжню атаку». Друге запитання має сенс лише тоді, коли ви знаєте відповідь на перше.
Крок 1: Інвентаризація пристроїв, програмного забезпечення та ліцензій
Починають із переліку, адже неможливо захистити те, про існування чого ви не знаєте. Перевіряють, хто яким ноутбуком користується і чи належить він компанії, чи працівникові. Яка операційна система на ньому встановлена та чи підтримується вона досі — підтримка Windows 10 завершилася 14 жовтня 2025 року, і комп’ютери, які залишилися на цій системі, більше не отримують виправлень безпеки. Скільки є серверів і де вони розміщені. Які використовуються NAS, принтери, камери та маршрутизатори. Що працює у хмарі й хто оплачує це карткою.
Потім перевіряють ліцензії: скільки у вас ліцензій Microsoft 365 і скільки людей фактично працює. У малих компаніях ці цифри майже ніколи не збігаються — або компанія платить за людей, які звільнилися два роки тому, або хтось працює з особистою ліцензією, до якої компанія не має доступу. Знахідка завжди має однакову форму: кількість робочих станцій із завершеною підтримкою, співвідношення оплачених ліцензій і активних користувачів, а також системи, до адміністрування яких ніхто в компанії не має доступу.
Крок 2: Облікові записи та доступи — хто й куди може увійти
Саме тут зазвичай виявляють найбільше проблем, а їх усунення коштує найдешевше — здебільшого йдеться про налаштування, а не про закупівлі.
Перевіряють, хто має права адміністратора та чи потрібні вони для щоденної роботи, чи залишилися лише тому, що «так налаштував попередній айтішник». Далі перевіряють облікові записи людей, які вже не працюють у компанії: в електронній пошті, бухгалтерській системі, системі виставлення рахунків, інтернет-магазині, хмарі та VPN. Звільнення зазвичай оформлюють лише в кадровому й зарплатному обліку, але не в ІТ.
Перевіряють багатофакторну автентифікацію (MFA — крім пароля потрібне ще одне підтвердження, зазвичай код у мобільному застосунку) скрізь, де вона доступна безплатно: в електронній пошті, хмарі, віддаленому доступі та адмініструванні сайту. Також перевіряють, чи не використовуються спільні паролі — один «корпоративний» пароль для п’ятьох людей неможливо змінити так, щоб це не торкнулося всіх.
Окрема тема — облікові записи в постачальників: домен, хостинг, DNS. Якщо домен зареєстровано на особисту електронну адресу колишнього підрядника, це вже не технічна, а юридична проблема. Як повернути доступи, описано у статті про те, що робити, коли звільнився айтішник.
Крок 3: Резервні копії — чи існують вони та чи пробував хтось їх відновити?
Запитання звучить не «чи робите ви резервні копії?» — відповідь майже завжди буде ствердною. Правильне запитання: коли востаннє хтось фактично відновлював дані з резервної копії та перевіряв, що ними можна скористатися?
Рекомендації NÚKIB щодо програм-вимагачів визначають мінімум так: правило 3–2–1 (щонайменше три копії на двох різних пристроях, одна з них — поза організацією), принаймні одна резервна копія в кожний момент має бути офлайн, повинен існувати план відновлення, а можливість фактичного відновлення з копій потрібно регулярно перевіряти.
Тому під час аудиту ставлять конкретні запитання. Чи копіюються лише файли, чи також бази даних бухгалтерської системи та налаштування сервера? Чи доступне цільове сховище з тієї самої мережі та через той самий обліковий запис, який використовується для звичайної роботи? Якщо так, програма-вимагач зашифрує його разом з усім іншим. Як довго зберігаються резервні копії? Зловмисник може перебувати в мережі протягом днів або тижнів, тому короткий термін зберігання означає, що компанію буде відновлено до стану, коли він уже був усередині. І як довго компанія здатна працювати без систем? Лише з цієї відповіді можна визначити, чи достатньо наявної схеми. Що відбувається в перші години після інциденту, описано у статті програма-вимагач у компанії: перші 24 години.
Крок 4: Мережа, маршрутизатор і Wi-Fi
Маршрутизатор або міжмережевий екран від провайдера часто роками залишається без уваги. Перевіряють, чи виробник досі випускає прошивку для цієї моделі, чи не доступне адміністрування з інтернету та чи не залишився пароль за замовчуванням.
Далі перевіряють сегментацію, тобто поділ мережі на частини, яким не потрібно взаємодіяти між собою. NÚKIB відносить її до базових заходів: у «плоскій» мережі, де робочі станції, сервери, принтери та особисті телефони перебувають в одному просторі й бачать одне одного, шкідливе програмне забезпечення поширюється без перешкод. Реалістичний мінімум — окрема гостьова мережа Wi-Fi та окремий сегмент для камер, принтерів й інших пристроїв, які ніхто не оновлює.
Пароль Wi-Fi — окремий пункт: якщо його не змінювали відтоді, як компанія переїхала до нинішнього приміщення, його знає кожен колишній працівник і тимчасовий співробітник.
Кабельну інфраструктуру, комутаційну шафу та маркування портів у межах цього аудиту лише фіксують; докладний порядок наведено у статті про аудит комп’ютерної мережі та кабельної інфраструктури.
Крок 5: Електронна пошта та домен — SPF, DKIM, DMARC
Три записи в DNS, від яких залежить, чи зможе будь-хто надсилати пошту від вашого імені:
- SPF визначає, яким серверам дозволено надсилати електронні листи від імені вашого домену. Якщо запису немає, відправником може бути хто завгодно.
- DKIM додає до вихідних повідомлень цифровий підпис; одержувач перевіряє його за відкритим ключем у вашому DNS і бачить, що повідомлення не змінилося під час передавання.
- DMARC повідомляє одержувачу, що робити, якщо повідомлення не пройшло жодної з попередніх перевірок: нічого не робити, помістити в карантин або відхилити. Він також дає змогу отримувати звіти про відправників.
Шахрайський рахунок «від директора» або прохання змінити номер банківського рахунку не потребують проникнення в мережу. Достатньо домену, за яким ніхто не стежить. Аудит перевірить ці записи та запропонує порядок їх упровадження, щоб легітимна пошта з інтернет-магазину або системи виставлення рахунків не перестала надходити.
Крок 6: Оновлення, захист робочих станцій і фізичний доступ
З’ясовують, чи взагалі встановлюються оновлення та хто за цим стежить. Йдеться не лише про операційну систему — відстають також браузери, програми для читання PDF, бухгалтерське програмне забезпечення, прошивки мережевого обладнання та плагіни сайту.
У захисті робочих станцій розрізняють звичайний антивірус, який порівнює файли з відомими зразками, та EDR (Endpoint Detection and Response — виявлення загроз і реагування на кінцевих пристроях), який також стежить за поведінкою та дає змогу згодом з’ясувати, що відбувалося на робочій станції. Для малої компанії EDR не є обов’язковим, але між «у нас є антивірус» і «хтось переглядає його сповіщення» є суттєва різниця.
Фізичну безпеку часто ігнорують: сервер стоїть у незамкненій кімнаті або під сходами, джерело безперебійного живлення (UPS) не тестується, списані диски й ноутбуки передаються без видалення даних, а диски комп’ютерів, які використовуються поза офісом, не зашифровані.
Крок 7: Постачальники та договори
Останній напрям стосується не техніки, а залежностей. Перевіряють: чи існує письмовий договір, чи все узгоджується телефоном? Який час реагування погоджено на випадок збою та чи зафіксовано це письмово? Хто зазначений власником домену, хостингу та хмарних тенантів? І чи знайде керівник перелік доступів, коли він знадобиться?
Якщо ІТ забезпечує один зовнішній підрядник, який працює як приватний підприємець, це саме по собі не проблема. Проблема виникає тоді, коли він є єдиною точкою, у якій зосереджено все знання про ІТ компанії, — а ця людина захворіє, змінить сферу діяльності або посвариться через рахунок.
Для деяких компаній до цього додається законодавчий рівень. Чи поширюється на вас нове чеське регулювання кібербезпеки, пояснює матеріал про zákon č. 264/2025 Sb. та NIS2; він також актуальний для постачальників компаній, на яких поширюється цей закон.
Що фактично отримує власник після аудиту
Хороший результат аудиту малої компанії — не переплетений звіт на сто сторінок, а матеріал, з яким можна почати працювати вже в понеділок уранці:
- Перелік знахідок, для кожної з яких одним реченням пояснено, що не так і чим це загрожує, — без жаргону.
- Пріоритет: що потрібно виправити негайно, що — протягом кількох тижнів, а що є приміткою на майбутнє.
- Оцінку трудомісткості, щоб можна було вирішити, що зробити зараз, а що відкласти до наступного бюджету.
- Інвентаризацію пристроїв, ліцензій та облікових записів — таблицю, яку можна надалі підтримувати в актуальному стані.
- Відповідь на два запитання: скільки часу займає відновлення роботи з резервної копії та скільки даних може бути втрачено в найгіршому разі.
Отримавши це, власник може сам вирішити, що купувати. Аудит, який завершується фразою «рекомендуємо комплексне рішення», своєї роботи не виконав.
Коли тест на проникнення має сенс, а коли це марнування бюджету
Пентест — корисний інструмент, якщо застосовувати його в потрібний момент. Якщо провести його невчасно, це буде дорогий спосіб дізнатися те, що ви вже знали.
Це марнування бюджету, якщо:
- у вас немає інвентаризації пристроїв та облікових записів — тестувальникові нема з чим зіставляти результат;
- ви ніколи не перевіряли відновлення з резервної копії — це більший ризик, ніж будь-що, що знайде пентест;
- ви знаєте про системи без виправлень і комп’ютери з завершеною підтримкою — у звіті буде саме ця знахідка;
- немає кому виправляти знайдені проблеми — звіт опиниться в шухляді;
- ви купуєте тест лише через анкету від замовника, не маючи наміру щось змінювати.
Він має сенс, якщо:
- базову кібергігієну вже забезпечено й ви хочете незалежно перевірити, чи працює захист;
- ви використовуєте індивідуальне рішення — вебзастосунок, портал або інтернет-магазин із платежами, — де перевірки налаштувань недостатньо й потрібно спробувати обійти захист;
- у вас є сервіси, доступні з інтернету (VPN, віддалений робочий стіл), і ви хочете знати, куди зловмисник зможе просунутися далі;
- замовник або страхова компанія вимагає тесту, а у вас є можливість виправити знайдені недоліки.
Перед замовленням потрібно чітко визначити три речі: що саме тестується (адреси, застосунки, обсяг), звідки (ззовні або зсередини, ніби зловмисник вже перебуває в мережі) та що дозволено — лише шукати вразливості чи також фактично їх використовувати. Методологію технічного тестування описує NIST у посібнику SP 800-115.
Контрольне запитання перед замовленням: Якби завтра мені повідомили, що хтось проник усередину, чи знав би я, через що саме, і чи мав би резервну копію, з якої можна відновити роботу компанії? Той, хто відповість «так», готовий до пентесту. Той, хто відповість «ні», заощадить, якщо почне з аудиту, а потім повторюватиме його раз на рік.
ITHOPE проводить у Брно та околицях первинний ІТ-аудит для малих компаній саме в такому обсязі — перевіряє наведені вище пункти 1–7, оцінює стан резервних копій, зокрема проводить пробне відновлення, і передає перелік знахідок, упорядкований за пріоритетом. Про подальше управління ІТ та резервне копіювання й інші послуги можна дізнатися в розділі ІТ для компаній. Якщо після аудиту з’ясується, що тест на проникнення доречний, ми про це скажемо — так само як чесно скажемо, якщо він не потрібен.
Джерела
- The 18 CIS Critical Security Controls — порядок напрямів фреймворку v8.1.
- CIS Controls Implementation Group 1 — 56 заходів базової кібергігієни для організацій з обмеженими ресурсами.
- CIS Control 18: Penetration Testing (v8.1) — віднесення заходів до груп IG2 та IG3.
- NÚKIB: Ransomware — doporučení pro mitigaci, prevenci a reakci (v1.2, 22. 5. 2023) — правило 3–2–1, офлайн-копія, тестування відновлення, сегментація.
- Microsoft Lifecycle: Windows 10 Home and Pro — завершення підтримки 14 жовтня 2025 року.
- NIST SP 800-115: Technical Guide to Information Security Testing and Assessment — методологія тестування.
Де нас знайти
ITHOPE — компанія з Брно, Чехія: ми робимо відновлення даних з дисків, RAID і NAS, сервіс ПК та ноутбуків та IT для бізнесу, усе у власній лабораторії за адресою Viniční 3587/216, 615 00 Brno.
Телефон +420 775 556 063 (цілодобово). Пристрій можна привезти особисто або надіслати курʼєром (Zásilkovna, PPL).