22 вопроса о бэкапах, доступах, сети и обновлениях, от критичных к мелким. Ответы займут десять минут. В итоге балл из 100 и список того, что закрыть первым, с объяснением, как это сделать.
Сначала критичные пункты: каждый из них в одиночку может стоить данных или недели простоя. Мелкие пункты подождут.
Это самооценка, а не аудит: она показывает, где вы сами видите дыры. Ответ «да» на вопрос о бэкапе ещё не значит, что бэкап восстанавливается.
Критичный вопрос весит 10, высокий 6, средний 3, низкий 1. «Да» даёт полный вес, «частично» половину, «нет» и «не знаю» ноль. Балл равен набранному весу, делённому на возможный по отвеченным вопросам, умноженному на 100.
Если нет бэкапа или база открыта всей сети, остальные пункты не спасают. Поэтому любой критичный ответ «нет» или «не знаю» ставит итог в красную зону, какой бы ни была сумма.
80 и выше и все критичные пункты закрыты: зелёная зона, база крепкая. От 50 до 79: жёлтая, есть заметные дыры, их стоит запланировать. Ниже 50 или открытый критичный пункт: красная, начинать нужно сейчас.
Часть пунктов проверяет бесплатная утилита rxdoctor: версии и сроки их поддержки, протоколы TLS, сроки и цепочки сертификатов, защитные заголовки, синхронизацию времени. Про бэкапы она задаёт те же вопросы администратору, потому что снаружи их не видно.
Чего самооценка не заменяет: проверку настроек на самих серверах и тест на проникновение. Она показывает, с чего начать, и помогает объяснить руководителю, зачем на это время.