Quase nunca nos ligam porque algo está a arder. Ligam-nos porque alguém da direção anda há meses com a sensação de que a informática «vai mais ou menos» e não sabe pôr-lhe nome: coisas que caem sem motivo aparente, um fornecedor a quem é preciso perguntar tudo, faturas de licenças que ninguém entende. Esse mal-estar difuso significa quase sempre o mesmo: ninguém tem uma imagem completa do que existe, e sem essa imagem tomam-se decisões caras às cegas.
É para isso que serve uma auditoria de infraestrutura IT: para pôr nome a esse «vai mais ou menos» com dados, não com opiniões. Neste artigo explicamos-lhe o que é de facto uma auditoria (e o que não é), os sete sinais que indicam que a sua empresa precisa de uma já, o que revê uma auditoria séria e o que deve receber no final. Se reconhecer três ou mais desses sinais, não tem um problema de sorte: tem um problema de controlo.
O que é uma auditoria de infraestrutura IT (e o que não é)
Uma auditoria de infraestrutura IT é uma revisão ordenada e completa de tudo o que sustenta o seu negócio por dentro: rede, servidores, postos de trabalho, cópias de segurança, segurança, licenças e documentação. O objetivo não é fazer um exame para chumbar ninguém, mas levantar um mapa fiel do estado real, detetar os riscos que hoje ninguém está a olhar e ordená-los por prioridade. No final sabe o que tem, o que falha, o que lhe vai custar caro se não o mexer e por onde começar.
E agora o que não é, porque é aqui que está a armadilha habitual. Uma auditoria séria não é uma desculpa para lhe vender hardware. Não é um comercial a percorrer o seu escritório a apontar tudo o que «seria preciso renovar» para lhe passar um orçamento de cinco dígitos. Uma auditoria honesta pode perfeitamente concluir que o seu servidor aguenta mais três anos e que o seu verdadeiro problema são as cópias de segurança, que custam quase nada a arranjar. Quem o audita e quem lhe vende deviam poder olhar-se cara a cara: o valor está no critério, não na fatura do material.
Uma auditoria que só acaba em «compre isto» não era uma auditoria. Era uma visita comercial de bata de técnico.
Os 7 sinais de que precisa de uma auditoria já
Nenhum destes sinais é uma catástrofe por si só. O problema é quando aparecem vários ao mesmo tempo: aí não é azar, é uma infraestrutura que vai dar um desgosto. Se reconhecer a sua empresa em três ou mais, é altura de olhar debaixo do capô.
- Lentidão generalizada. Tudo vai lento e ninguém sabe porquê: abrir um ficheiro partilhado, gravar no ERP, carregar o correio. Quando a resposta é «a informática é assim», já anda há meses a perder horas de trabalho de toda a equipa sem as medir.
- Falhas repetidas. O mesmo serviço que cai a cada dois por três, o equipamento que bloqueia todas as semanas, a ligação que se vai sem padrão. Se um incidente se repete, não está a ser resolvido: está a ser tapado. Alguém tem de ir à causa.
- Ninguém sabe o que há. Pergunta quantos servidores têm, que versão de sistema operativo levam ou onde está alojado o correio, e a resposta demora dias ou pura e simplesmente não chega. Não é um descuido: é que a informação não existe.
- Sem inventário. Ninguém tem uma lista fiável de equipamentos, licenças e serviços contratados. Paga subscrições que talvez já não use e faltam-lhe outras que julga ter. A fatura de IT é uma caixa negra.
- Segurança ao acaso. O antivírus foi instalado por alguém há anos, há ambientes de trabalho remotos abertos à internet «porque era cómodo» e continuam ativas contas de gente que saiu há dois anos. Ninguém olhou para a segurança de fora com critério.
- Backups por testar. Há cópias de segurança, sim. Mas ninguém alguma vez tentou restaurar uma. Uma cópia que não foi testada não é uma cópia: é uma suposição. E descobre-se no pior dia.
- Depende de uma só pessoa. Há alguém — interno ou externo — que é o único que sabe como está tudo montado. Funciona até ir de férias, mudar de empresa ou zangar-se. O conhecimento não está na empresa: está na cabeça dele.
A maioria das empresas que ajudamos marcava quatro ou cinco destas casas sem o saber, até que lhas pusemos à frente. Vê-las ordenadas já é meio diagnóstico.
O que revê uma auditoria séria
Uma auditoria de infraestrutura IT que mereça esse nome não fica pela superfície nem por uma conversa de meia hora. Toca em todas as camadas que sustentam o negócio, com ferramentas e com as mãos, e deixa registo de cada achado. Estas são as frentes que revemos:
- Rede. Como está tudo cablado e segmentado, que equipamentos estão ligados, que portos estão abertos para a internet, o estado do wifi e do router, e que superfície está a expor sem saber.
- Servidores e postos. Estado do hardware, sistemas operativos e a sua antiguidade, atualizações pendentes, capacidade e desempenho, e que equipamentos são um estrangulamento ou um ponto único de falha.
- Segurança. Antivírus e proteção real do posto, gestão de palavras-passe e acessos, contas ativas que já não deviam existir, permissões, cifragem e exposição à internet. A segurança vista de fora, como a veria um atacante.
- Licenças. O que paga, o que usa e o que lhe falta. Aqui costumam aparecer poupanças imediatas: subscrições duplicadas, licenças a mais e software sem suporte que é um risco legal e técnico.
- Cópias de segurança. Não só que existam, mas o que cobrem, de quanto em quanto tempo se fazem, onde se guardam e — o importante — se alguma vez se testou restaurá-las. Uma cópia sem prova de restauro não conta.
- Documentação. Se existe um mapa da infraestrutura, credenciais bem guardadas e procedimentos escritos, ou se tudo vive na memória de uma pessoa. A documentação é o que faz com que o conhecimento não saia pela porta.
Boa parte destas frentes sobrepõe-se ao que depois cobre uma monitorização 24/7: a auditoria é a fotografia fixa de hoje, e a monitorização é o filme que evita que volte a estar às cegas amanhã.
O que obtém no final
Aqui separa-se uma auditoria útil de um mero trâmite. O resultado não é um PDF genérico de quarenta páginas cheio de tecnicismos que ninguém da direção vai ler, com recomendações de manual que serviriam para qualquer empresa do mundo. Isso não protege ninguém nem ajuda a decidir nada.
O que recebe é um relatório compreensível pela direção, com os riscos priorizados e com números. Cada achado leva o seu nível de gravidade, a sua probabilidade e uma estimativa do que custa arranjá-lo face ao que custa ignorá-lo. Sabe o que há que fazer esta semana, o que pode esperar pelo trimestre e o que é simplesmente desejável. Um plano de ação ordenado do qual pode dispor, você, o seu informático interno ou quem lho executar.
Porque o importante não é o relatório: é que depois alguém execute o plano. Um relatório guardado numa gaveta nunca protegeu ninguém. Uma auditoria bem feita deixa-o com decisões claras e com o controlo da sua própria infraestrutura, não com mais dúvidas.
Como a MagicBoxDesk o ajuda
Na MagicBoxDesk fazemos auditorias de infraestrutura IT com plano de ação priorizado, não visitas comerciais disfarçadas. Revemos rede, servidores, segurança, licenças, cópias e documentação, e entregamos-lhe um relatório que a direção entende: riscos ordenados por gravidade, com números e com um «comece por aqui» claro. Dizemos-lhe também o que não é preciso mexer, mesmo que isso nos deixe sem lhe vender nada. E se quiser, ficamos a executar o plano e a externalizar o seu departamento IT, em remoto ou deslocando-nos ao seu escritório em qualquer ponto de Espanha.
Se reconheceu a sua empresa em três ou mais dos sete sinais, não espere que um deles lhe dê o desgosto. Conte-nos o que tem e o que é que não o deixa dormir, e dizemos-lhe do que precisa de verdade. Peça um orçamento sem compromisso e pomos números ao «vai mais ou menos».
