Firma bez vlastního IT správce: co musí zajistit

Kdo u vás dnes dělá IT?

V menších firmách obvykle „ten, kdo se vyzná“. Účetní, která umí do tiskárny, provozní, co kdysi dělal helpdesk, nebo syn majitele. Funguje to do chvíle, kdy se stane něco, co nikdo nedělá každý den: vyhořelý server, zašifrovaná data, odchod zaměstnance, kterému nikdo neodebral přístupy.

Problém není v šikovnosti těch lidí. Je v tom, že odpovědnost není nikde napsaná, takže se v krizi hledá, a že se o IT rozhoduje nárazově, když už něco nejde.

Které oblasti musí někdo držet?

Čtyři, a chyba bývá v tom, že se řeší jen jedna. Infrastruktura, tedy servery, sítě a jejich dohled. Koncová zařízení a software na nich. Kybernetická bezpečnost, tedy ochrana a postup pro případ, že se něco stane. A nákup techniky, aby se nekupovalo pokaždé jinde a jinak.

Když je má na starosti víc dodavatelů, hlavní náklad nejsou jejich faktury, ale čas strávený zjišťováním, čí to je úkol. Při výpadku se to projeví naplno: každý potvrdí, že jeho část funguje.

Co ukáže IT kontrola?

Kde firma skutečně stojí, a obvykle se to liší od představy vedení. Kontrola projde víc než padesát technologických oblastí a jejím smyslem není seznam nálezů, ale odpověď na otázku, jestli je firma připravená čelit útoku a co udělat nejdřív.

Výstupem je proto plán nápravy seřazený podle priorit a doporučení, kam směřovat investice do IT. To druhé bývá pro majitele cennější než to první: rozpočet na IT se běžně utrácí za to, co je vidět, zatímco chybí zálohy, o kterých nikdo neví, že se roky neověřily.

Co si nechat u sebe, i když IT předáte?

Přístupy, kterými se vlastní firma. Správcovský účet k doméně a k DNS, účet u registrátora, fakturační a administrátorský účet ke cloudovým službám, licence a jejich smlouvy. Tyhle věci má dodavatel obsluhovat, ne vlastnit.

Není to nedůvěra, je to provozní opatrnost: ve chvíli, kdy se mění dodavatel nebo kdy ten současný nereaguje, rozhoduje o rychlosti přesně tohle. Firmy, které to podcenily, obvykle nezjistí problém při podpisu smlouvy, ale až při rozchodu, kdy se ukáže, že doména je vedená na cizí e-mail.

Stejně tak zůstává u vás rozhodnutí o zálohách: co se zálohuje, jak dlouho se to drží a kdy se naposledy zkusilo obnovení. Zálohovací úlohu umí nastavit každý; hodnotu má až doklad, že se z ní někdy něco skutečně obnovilo.

Proč paušál mění rozpočet?

Protože převrací logiku placení. Při placení za zásah platíte tehdy, když se něco rozbilo, takže se dohled i prevence vyplácí dodavateli nejméně ze všeho. Při pravidelné měsíční částce za dohodnutý rozsah platíte za to, že věci běží, a rozpočet přestává záviset na tom, co se kdy rozbije.

Druhý rozdíl je v zastupitelnosti. Externí tým pokrývá infrastrukturu, virtuální prostředí, sítě, kancelářské programy i bezpečnost naráz. Menší firma si tenhle rozsah vlastními silami nepostaví, protože by musela zaměstnat specialistu na každou z těch oblastí.

Co se stane, když ten, kdo se vyznal, odejde?

Většinou se teprve tehdy zjistí, kolik toho bylo jen v jeho hlavě. Kde běží server s účetnictvím, proč se ta jedna tiskárna restartuje, kdo má klíč k rozvaděči a na jaký e-mail chodí upomínky k doménám. Předání trvá déle než výpověď a část informací se nepředá vůbec, protože nikdo nevěděl, že se má zeptat.

Proti tomu pomáhá jediná věc, a není to nástroj: psaný soupis toho, co firma provozuje, kdo to spravuje a jak se k tomu přistupuje. Stejný soupis mimochodem potřebuje firma i k řízení rizik, takže se ta práce nedělá dvakrát.

Kdy si firma vystačí sama?

Častěji, než se v reklamách připouští. Firma, která má pár notebooků, žádný vlastní server, poštu i dokumenty v cloudu a nic, co by musela provozovat nepřetržitě, si obvykle poradí s jedním člověkem na telefonu. Smysl externího dohledu začíná růst tam, kde by výpadek zastavil provoz: ve skladu, ve výrobě, na prodejně nebo v ordinaci.

Druhý spouštěč je regulace. Jakmile firma poskytuje regulovanou službu podle zákona o kybernetické bezpečnosti, přestává být bezpečnost otázkou úvahy a stává se otázkou doložení.

Jestli se vás zákon týká a v jakém režimu, rozebírá samostatný článek. Správu infrastruktury, sítí a koncových zařízení i IT kontrolu dodávají ICT služby, bezpečnostní role, dokumentaci a testy Securent; obojí najdete v kategorii Kyberbezpečnost.