Информационная безопасность бухгалтерского аутсорсинга: отраслевой кейс

Обращение произошло в период подготовки годовой отчётности.

В момент, когда сроки были жёстко зафиксированы, возник сбой в серверной инфраструктуре, а системный администратор, сопровождавший ИТ «по знакомству», не вышел на связь.

Для руководства стало очевидно: проблема не в конкретном инциденте, а в модели управления ИТ.

Компания оказывала услуги бухгалтерского аутсорсинга для клиентов.

Критичными факторами для бизнеса были:

• соблюдение сроков сдачи отчётности;
• непрерывный доступ к 1С;
• сохранность данных клиентов;
• репутационная ответственность перед заказчиками.

В этой отрасли информационная безопасность бухгалтерского аутсорсинга — не техническая опция, а основа доверия клиентов.

6 рабочих мест, 1 сервер.

ИТ-сопровождение строилось неформально:

• системный администратор был привлечён «по знакомству»;
• формальные регламенты отсутствовали;
• резервные копии настраивались «один раз» и никогда не проверялись;
• доступы к ключевым системам находились у одного человека;
• администратор появлялся и реагировал в зависимости от личной загрузки и настроения.

Сетевой безопасностью и защитой данных клиентов никто специально не занимался.

Инфраструктура постепенно устаревала, а контроль рисков отсутствовал.

Триггером стал инцидент в самый ответственный период.

Когда системный администратор не вышел на связь, руководство впервые столкнулось с полной потерей управляемости ИТ.

Рассматривались варианты:

• частично отдать ИТ на аутсорсинг;
• полностью сменить модель сопровождения.

Выбор был сделан в пользу полного перехода на ИТ-аутсорсинг, так как текущая ИТ-поддержка бухгалтерии уже не соответствовала уровню ответственности бизнеса перед клиентами.

Решение реализовывалось укрупнённо, без точечной «латки» проблем:

• устранены выявленные аппаратные риски серверной инфраструктуры; сервер существенно модернизирован;
• выстроено резервное копирование по стандарту 3-2-1 с регулярной проверкой;
• введены понятные правила доступа к серверу и ответственности;
• настроена многоуровневая сетевая безопасность на уровне шлюза, сервера и рабочих мест;
• организована регулярная, бесперебойная техническая поддержка;
• внедрён мониторинг инфраструктуры 24/7 с предупреждением потенциальных сбоев;
• ИТ-сопровождение переведено в режим предсказуемой и контролируемой услуги.

Для бизнеса это дало качественные изменения:

• риски срыва сроков отчётности были устранены;
• доступ к 1С стал предсказуемым и стабильным;
• данные клиентов оказались под системной защитой с понятной ответственностью за безопасность;
• руководство получило контроль над ИТ без необходимости разбираться в технических деталях;
• зависимость от одного человека исчезла, при этом финансовые затраты выросли лишь незначительно.

Если на ИТ завязаны обязательства перед клиентами, нельзя полагаться на случай.

• «Администратор по знакомству» не масштабируется вместе с ответственностью бизнеса.
• Отсутствие проверки резервных копий — это скрытый риск, а не экономия.
• Для бухгалтерского аутсорсинга ИТ — это часть услуги, а не внутренняя поддержка.
• Предотвращение инцидентов всегда дешевле, чем работа в режиме кризиса.
• Управляемая ИТ-модель повышает доверие клиентов и устойчивость компании.

Если критичные сервисы компании завязаны на сервер, важно оценивать не только отдельный инцидент, но и модель сопровождения серверной инфраструктуры. Подробнее об этом — Администрирование серверов для бизнеса.

Чтобы сравнить этот сценарий с другими ситуациями, где ИТ-решение стало управленческим фактором, можно перейти в раздел Отраслевые и проблемные кейсы.

• Проверяются ли резервные копии на восстановление?
• Есть ли единые правила доступа к 1С и данным клиентов?
• Оценены ли риски 1С в бухгалтерии при сбое сервера, потере доступа или ошибке резервного копирования?
• Понятно ли руководству, кто и за что отвечает в ИТ?
• Есть ли регламенты реагирования на инциденты?
• Ведётся ли мониторинг инфраструктуры?
• Зависит ли ИТ от одного конкретного человека?
• Можно ли восстановить работу без аврала и ручного вмешательства?

Проверить — есть ли у меня такой риск

Если после проверки нужен разбор модели сопровождения, можно обсудить порядок работы и формат ответственности через Получить консультацию.