CityCat4

Если покупать нормальный, белый, статический IP, то только будучи юр лицом

Сменить такого прова нафиг, если есть возможность - потому что 100% это местечковое чудище (я в таком работал).

Использовать VPN + VPS. Я этот способ рассматриваю как костыль.

Большинство использует именно такой способ, даже когда у них статика на халяву. Домашний сервер хорош когда там сайт с полутора посетителями в день и не особьо нагруженная почта. Когда там идет активная работа - тебя пров может запросто забанить за перегруз сети.

Такого не бывает и быть не может. Вы очевидно один из тех, кто не понимает, как работает система безопасности в линухе? Что ж, патч Бармина решит все проблемы...

Почему никто не назвал 10-Strike? Опять же российский софт, импортозамещение и все такое. Да, он за деньги, но небольшие.

redmine. Если знаешь ruby - вообще будет швейцарский нож :) Да и без него неплохо.

Тут надо определиться - куда идем - в линух, в винду, в сети. И соответственно изучать данные темы. Что изучать? Все.
(Предполагается, что аппаратную базу ты и так знаешь, то есть подобрать комплектуху, собрать тачку, протянуть и обжать корд, установить сервер/свитч/черта лысого в стойку умеешь)
Базовые понятия сетей - уровни, адресация, протоколы. Почему нельзя иметь два dhcp, например :)
Системы виртуализации (для всех, кроме сетевиков) - hyper-v для винды, kvm для линуха, vmware ESXi для обоих
Для сетевиков - топология сети, протоколы построения топологии, петли и их избежание
Основные сервисы сети - dhcp, dns, их реалзиации в винде и линухе
Файловые сервисы - ftp, smb/cifs, их реализации в винде и линухе
LDAP. AD и альтернативные варианты
Почтовые и околопочтовые сервисы типа DKIM, SPF, DMARC, методы защиты от спама
Сервисы удаленного доступа - ssh, vnc, rdp
Для винды - специфичные виндовые сервисы типа dfs
Гипервизоры второго уровня - отличие от первого уровня, достоинства, недостатки, применяемость (VirtualBox)
Резервное копирование - на уровне оси, на уровне гипера, на уровне железа
Применение VPN по своему основному назначению - построению защищенных частных сетей, например обьединение филиалов с головным офисом или удаленный доступ сотрудников
Облака - их достоинства, недостатки, применимость
Законодательство - в основном в области авторского права, знание разных типов открытых лицензий и чем они отличаются

squid - стандартное решение для такой вещи. Ставится в локалке, прописывается политиками (для FF/WF иже с ними - руками), на микротике банится выход на 80/443 (хотя вообще говоря нормально - банить все, что не разрешено, потому что есть множество хитровыделанных юзеров).
Можно использовать бампинг, можно нет. Без бампинга статистика будет кривенькая, потому что основана будет только на первоначальном запросе (например https://mail.ru). Потом, уже находясь на mail.ru юзер перейдет на "Знакомства" (если они там есть) - и все, ты видишь, что он на почтовике, а он на самом деле деффок шшупает.
У бампинга есть правда и оборотные стороны - в бухгалтерии могут быть проблемы (сайты клиент-банков обычно защищают посильнее, чем обычные, QUIK опять же), да и сертификаты разворачивать надо, но если нужна относительно точная статистика - без него никак.

Сейчас существует тикетная система

Привязать к ней VCS, который и будет показывать, что было что стало. Поскольку вас несколько, вообще стоит завести отдельный трекер-сервис - чем меньше народу знает про внутриадминскую кухню, тем лучше.
У меня такое реализовано на redmine + svn

Что вообще должно быть Ит отделе?

Много чего и разного. Начать надо с вопроса - Вы кто? Директор, линейный руководитель, начальник отдела, просто боец? Если просто боец, то большинство вопросов - это тупо не Ваше дело, занимайтесь тем, что прописано в ДИ. Или просто сваливайте, потому что "структура по-казахски", когда кресло начальника занимает этнический казах, который нихрена ничего не понимает, но у него есть зам, не казах, который и тащит всю работу - она вряд ли поменялась...

man chroot
Но от перезагрузки и форматирования устройств это не спасет. ВМ затем и были придуманы, что необратимое повреждение происходит только с виртуальными устройствами. Или как советуют - создайте юзера без админских прав - тогда просто ничего не произойдет.

Ну русским по черному ж написано - нет связи с сервером. Проверь брандмауэр, дефендер, антивир, если есть.

man ipset

Никакую.

Юзерская машина должна быть заменяема, поэтому все рабочие данные на серверах.

ИБ - это обычно про "умение учиться", то есть быстро и самостоятельно находить ответы на вопросы. Вышка - это тоже про "умение учиться" (попутно дающая кое-какие знания). Без вышки шанс получить работу в ИБ - parvus parvissimus.
Если у вас саппорт отделен от эникеев - имеет смысл пробиваться в него. Пентестер - это такой "анти-админ", ему по большей части требуются те же знания :)

В данных условиях задача не имеет решения.

Желательно бесплатное программное обеспечение

Бесплатного решения для бэкапа в энтерпрайзе не бывает. Ошибки, приводящие к необходимости восстановить бэкап, могут привести к простою всей конторы. Бизнес, который это понимает, обычно покупает софт для бэкапа (и не только софт - бэкап обычно хранится на отдельных серверах да еще и резервируется).

К сожалению, российский Кибер Бэкап оказался совершенно неадекватен по ценам. Такое впечатление, что они рассчитывают напродавать и свалить, поэтому искать надо решение (даже не совсем честное в плане лицензирования) состоящее как правило из агентов, которые устанавливаются в машины, которые бэкапятся и сервера, который эти агенты опрашивает.
Для бэкапа виртуалок подошел бы Nakivo, но его больше не продают - разве только ключи где найдете :)

Разделить доступ - давать каждому сотруднику конкретную часть базы. Тогда при утечке будет ясно кто крыса. Можно подстраховаться установкой Стахановца, например, пор-моему там до 5 подключений бесплатно.

ЗЫ: Не надо указывать теги, не имеющие отношения к теме. Теги Базы данных и Администрирование баз данных удалены - ексель-моксель не база данных, а таблица.

Если на компе стоит стахановец и там настроен алерт на слово anydesk - админ получит оповещение и скрин о том, что Вы его запустили сразу же после запуска :) А дальше уже зависит от того, как у вас принято - может там всем как обычно, а может сразу в ИБ на поболтать позовут...

Административная задача не решается техническими методами.