Зачем платить за то, что «и так работает»
Большинство аварий, с которыми ко мне приходят — упавшая в сессию база, взлом, потерянные оценки, — были видны за месяцы до катастрофы. Диск, заполненный на 92%. Бэкап, который не делался с марта. Версия с известными дырами. Аудит — это способ увидеть это списком на бумаге, пока оно стоит тысячи, а не сотни тысяч.
30 точек проверки: что смотрит специалист
| Блок | Ключевые проверки |
|---|---|
| Безопасность (7) | Версия ядра и плагинов против базы уязвимостей; HTTPS и заголовки; права файлов; самостоятельная регистрация; посторонние администраторы; следы вредоносного кода; пароль-политика |
| Резервирование (4) | Есть ли бэкапы вообще; куда складываются (отдельное хранилище или тот же диск); проверялось ли восстановление; глубина хранения |
| Производительность (6) | Скорость ключевых страниц; настройки кэша; состояние базы данных; место на диске и прогноз; работа cron и очередей; запас на пиковую нагрузку сессии |
| Данные и структура (5) | Дубликаты пользователей; брошенные курсы; целостность журнала оценок; размер moodledata и мусор в нём; корректность ролей и прав |
| Соответствие требованиям (4) | 152-ФЗ: политика, согласия, где физически хранятся данные; требования к ЭИОС для аккредитации; доступность по ГОСТ Р 52872; фиксация хода обучения |
| Инфраструктура и владение (4) | На кого оформлены домен и хостинг; у кого доступы; документация; зависимость от одного человека |
По каждому пункту в отчёте — статус (норма / внимание / критично), пояснение человеческим языком и цена вопроса, если чинить.
Что аудит находит чаще всего
- Бэкапы на том же диске, что и сайт. При отказе диска пропадает и система, и «страховка». Встречается в половине проверок.
- Версия с известными уязвимостями — и следы автоматических сканеров в логах, которые её уже нащупали.
- Cron, остановившийся месяцы назад: письма не уходят, отчёты не считаются, очередь растёт. Никто не заметил, потому что «сайт же открывается».
- Диск, которому осталось жить до сессии. Рост базы и файлов предсказуем — но только если на него смотреть.
- Все доступы у одного человека, причём не в штате. Что делать, если он исчезнет, — отдельная статья.
Как проходит аудит по шагам
День 1: доступы на чтение, автоматизированный сбор данных, снятие метрик. Дни 2–3: ручной разбор, проверка бэкапов реальным восстановлением на тестовом сервере, анализ логов. День 4–5: отчёт и созвон с разбором — 40 минут, после которых у вас есть план на год вперёд с бюджетом по каждому пункту. Дальше вы решаете: чинить своими силами, у меня или у любого другого исполнителя — отчёт написан так, чтобы по нему мог работать кто угодно.
Сколько это стоит
Экспресс-оценка снаружи (версия, скорость, доступность, базовая безопасность) — бесплатно, это час моей работы и повод познакомиться. Полный аудит по 30 пунктам — от 15 000 ₽ для типового колледжа; крупные многофилиальные системы — по объёму. Сравните со стоимостью одного дня простоя в сессию или одного инцидента с персональными данными — и станет понятно, почему организации, которые обожглись, делают аудит ежегодно. Заказать можно через форму на сайте; если система в тяжёлом состоянии — начнём с самого горящего, полный порядок наведём поэтапно вместе с поддержкой.
Мини-аудит своими силами за 30 минут
Часть проверок доступна администратору без специальных знаний — вот с чего начать прямо сегодня:
- Версия: откройте страницу «Администрирование → Уведомления». Если Moodle сам пишет о доступных обновлениях безопасности — это уже не «желательно», а горит.
- Бэкапы: найдите последний файл резервной копии и посмотрите на дату. Потом честно ответьте: кто-нибудь хоть раз пробовал из него восстановиться?
- Диск: в панели хостинга посмотрите, сколько занято. Больше 80% — планируйте расширение до сессии, а не во время.
- Cron: «Администрирование → Сервер → Задачи». Если последний запуск был давно, у вас не работает половина автоматики — просто пока никто не заметил.
- Администраторы: просмотрите список. Каждый лишний админ — умноженный риск: уволившиеся сотрудники и старые подрядчики должны лишаться прав в день расставания.
Если хотя бы два пункта из пяти вызвали неприятное удивление — полный аудит окупится наверняка.
Аудит перед проверкой Рособрнадзора: отдельный жанр
Когда организация готовится к аккредитационному мониторингу или плановой проверке, фокус аудита смещается с «работает ли» на «соответствует ли»: фиксирует ли ЭИОС ход образовательного процесса, хранятся ли работы студентов и результаты промежуточной аттестации, есть ли портфолио, обеспечен ли доступ каждому обучающемуся, оформлены ли документы по 152-ФЗ. Разбор требований к ЭИОС — в отдельной статье; аудит в этом случае даёт главный документ — перечень несоответствий со сроками устранения, с которым подготовка превращается из аврала в план. Запас времени для такой подготовки — минимум два месяца до проверки.
Частые вопросы
Когда аудит Moodle обязателен, а не желателен?
Перед сессией или приёмной кампанией, при смене подрядчика или администратора, после любого инцидента, перед проверкой Рособрнадзора и перед крупными вложениями в доработки — чтобы не строить на гнилом фундаменте.
Сколько стоит аудит Moodle?
Экспресс-аудит по основным точкам с коротким заключением я делаю бесплатно при обращении. Полный аудит из 30 пунктов с письменным отчётом и планом работ — от 15 000 ₽ в зависимости от размера системы.
Нужен ли доступ к серверу для аудита?
Для полного — да, доступ на чтение к серверу и админке. Часть проверок (версия, скорость, доступность, заголовки безопасности) делается и снаружи, поэтому экспресс-оценку можно получить, не передавая никаких паролей.
Что я получу на выходе аудита?
Письменный отчёт: что в порядке, что критично, что можно отложить — с оценкой стоимости устранения по каждому пункту. С таким документом удобно защищать бюджет перед руководством.
Аудит и исправление — это одна услуга?
Нет, и это принципиально: аудит даёт независимую картину, а чинить по его итогам вы можете у кого угодно. Хотя чаще всего исправление заказывают там же, где делали аудит — уже понятен объём.
Опишите задачу — расскажу, как решить её конкретно в вашем случае. Свяжитесь — разберём вместе.