Firma bez własnego administratora IT: co musi zapewnić

Kto zajmuje się u Państwa IT?

W mniejszych firmach zwykle „ten, kto się zna”. Księgowa, która radzi sobie z drukarką, kierownik, który kiedyś pracował w helpdesku, albo syn właściciela. Działa to do chwili, gdy wydarzy się coś, czym nikt nie zajmuje się na co dzień: spalony serwer, zaszyfrowane dane, odejście pracownika, któremu nikt nie odebrał dostępów.

Problem nie leży w umiejętnościach tych ludzi. Leży w tym, że odpowiedzialność nigdzie nie jest zapisana, więc w kryzysie się jej szuka, a o IT decyduje się doraźnie, gdy coś już nie działa.

Którymi obszarami ktoś musi się zajmować?

Czterema, a błąd polega zwykle na tym, że zajmuje się tylko jednym. Infrastruktura, czyli serwery, sieci i ich monitoring. Urządzenia końcowe i oprogramowanie na nich. Cyberbezpieczeństwo, czyli ochrona i procedura na wypadek, gdyby coś się stało. I zakup sprzętu, aby nie kupować za każdym razem gdzie indziej i inaczej.

Gdy odpowiada za nie kilku dostawców, głównym kosztem nie są ich faktury, lecz czas poświęcony na ustalanie, czyje to zadanie. Podczas awarii widać to w pełni: każdy potwierdza, że jego część działa.

Co pokaże kontrola IT?

Gdzie firma rzeczywiście się znajduje, a zwykle różni się to od wyobrażeń zarządu. Kontrola obejmuje ponad pięćdziesiąt obszarów technologicznych, a jej celem nie jest lista ustaleń, lecz odpowiedź na pytanie, czy firma jest przygotowana na atak i co zrobić najpierw.

Wynikiem jest więc plan naprawczy uporządkowany według priorytetów oraz zalecenia, w co inwestować w IT. To drugie bywa dla właściciela cenniejsze niż pierwsze: budżet na IT wydaje się zwykle na to, co widać, a brakuje kopii zapasowych, o których nikt nie wie, że od lat nie zostały sprawdzone.

Co zachować u siebie, nawet gdy przekazują Państwo IT?

Dostępy, które stanowią o własności firmy. Konto administratora domeny i DNS, konto u rejestratora, konto rozliczeniowe i administracyjne usług chmurowych, licencje i ich umowy. Dostawca ma tymi rzeczami zarządzać, a nie je posiadać.

To nie brak zaufania, lecz ostrożność operacyjna: w chwili, gdy zmienia się dostawca albo obecny nie reaguje, właśnie to decyduje o szybkości. Firmy, które to zlekceważyły, zwykle nie odkrywają problemu przy podpisaniu umowy, lecz dopiero przy rozstaniu, gdy okazuje się, że domena jest zarejestrowana na cudzy adres e-mail.

Tak samo po Państwa stronie pozostaje decyzja o kopiach zapasowych: co się archiwizuje, jak długo się to przechowuje i kiedy ostatnio sprawdzono odtwarzanie. Zadanie kopii zapasowej potrafi skonfigurować każdy; wartość ma dopiero dowód, że kiedyś faktycznie coś z niej odtworzono.

Dlaczego ryczałt zmienia budżet?

Ponieważ odwraca logikę płacenia. Przy płaceniu za interwencję płacą Państwo wtedy, gdy coś się zepsuło, więc monitoring i prewencja opłacają się dostawcy najmniej ze wszystkiego. Przy stałej miesięcznej kwocie za uzgodniony zakres płacą Państwo za to, że wszystko działa, a budżet przestaje zależeć od tego, co i kiedy się zepsuje.

Druga różnica dotyczy zastępowalności. Zewnętrzny zespół obejmuje jednocześnie infrastrukturę, środowisko wirtualne, sieci, oprogramowanie biurowe i bezpieczeństwo. Mniejsza firma nie zbuduje takiego zakresu własnymi siłami, bo musiałaby zatrudnić specjalistę w każdym z tych obszarów.

Co się stanie, gdy osoba, która się znała, odejdzie?

Zwykle dopiero wtedy okazuje się, ile rzeczy było tylko w jej głowie. Gdzie działa serwer z księgowością, dlaczego ta jedna drukarka się restartuje, kto ma klucz do szafy rack i na jaki adres e-mail przychodzą przypomnienia o domenach. Przekazanie trwa dłużej niż okres wypowiedzenia, a część informacji nie zostaje przekazana wcale, bo nikt nie wiedział, że trzeba o nie zapytać.

Pomaga na to tylko jedna rzecz i nie jest to narzędzie: spisany wykaz tego, co firma eksploatuje, kto tym zarządza i jak uzyskuje się do tego dostęp. Ten sam wykaz jest zresztą firmie potrzebny do zarządzania ryzykiem, więc tej pracy nie wykonuje się dwa razy.

Kiedy firma poradzi sobie sama?

Częściej, niż przyznają reklamy. Firma, która ma kilka laptopów, żadnego własnego serwera, pocztę i dokumenty w chmurze i nic, co musiałaby utrzymywać w trybie ciągłym, zwykle poradzi sobie z jedną osobą pod telefonem. Sens zewnętrznego nadzoru zaczyna rosnąć tam, gdzie awaria zatrzymałaby pracę: w magazynie, w produkcji, w sklepie lub w gabinecie lekarskim.

Drugim czynnikiem jest regulacja. Gdy firma świadczy usługę regulowaną na podstawie czeskiej ustawy o cyberbezpieczeństwie, bezpieczeństwo przestaje być kwestią uznania, a staje się kwestią udokumentowania.

Czy ustawa Państwa dotyczy i w jakim reżimie, omawia osobny artykuł. Zarządzanie infrastrukturą, sieciami i urządzeniami końcowymi oraz kontrolę IT zapewniają usługi ICT, role bezpieczeństwa, dokumentację i testy Securent; jedno i drugie znajdą Państwo w kategorii Cyberbezpieczeństwo.