Sprawdź, jak określić zakres outsourcingu IT, SLA, odpowiedzialność za dane, dostęp uprzywilejowany oraz bezpieczne zakończenie współpracy.
Dariusz Kmieciński
Microcomp — praktyk IT i systemów zabezpieczeń
Opublikowano · zaktualizowano
Czym jest outsourcing IT — i czego nie rozwiązuje automatycznie?
Outsourcing IT to zlecenie zewnętrznemu dostawcy części lub całości bieżącej obsługi technologii: stanowisk pracy, sieci, serwerów, kopii zapasowych, licencji, bezpieczeństwa albo wsparcia użytkowników. Może zastąpić część zadań wewnętrznego informatyka, uzupełnić jego kompetencje lub zapewnić firmie stałą opiekę bez budowania własnego działu.
Samo podpisanie umowy z dostawcą nie zapewnia ciągłości działania. Gdy „opieka informatyczna” nie ma jasnego zakresu, strony mogą inaczej rozumieć priorytet, odpowiedzialność i moment zamknięcia zgłoszenia. Przed ustaleniem abonamentu spiszcie systemy, osoby decyzyjne i najważniejsze wymagania.
- jakie urządzenia, aplikacje i lokalizacje obejmuje umowa;
- które zadania są cykliczne, a które rozliczane osobno;
- kto po stronie firmy zatwierdza zmiany i wydatki;
- jak zgłasza się awarię oraz jak potwierdza jej rozwiązanie.
Kiedy model zewnętrzny, wewnętrzny lub hybrydowy ma sens?
Nie istnieje jeden właściwy model dla każdej organizacji. Zewnętrzna opieka jest użyteczna, gdy firma potrzebuje kilku kompetencji, ale nie w pełnym wymiarze czasu, ma więcej niż jedną lokalizację albo chce zapewnić zastępstwo. Wewnętrzny specjalista może być lepszy tam, gdzie codzienna obecność i głęboka znajomość nietypowego procesu są krytyczne.
W modelu hybrydowym pracownik firmy i zewnętrzny dostawca dzielą się zadaniami. Trzeba jasno ustalić, kto odpowiada za każdy obszar. Bez wspólnej listy zgłoszeń i zasad przekazywania trudnych spraw problem może utknąć między zespołami.
- outsourcing: szeroki dostęp do kompetencji i zastępstwo, ale wymaga dobrej umowy oraz dokumentacji;
- zespół wewnętrzny: pracownik zna firmę, ale trzeba zapewnić zastępstwo i utrzymywać potrzebne kompetencje;
- model hybrydowy: elastyczność, pod warunkiem jasnego podziału ról i wspólnego procesu.
Zakres umowy: co powinno być nazwane wprost?
Zakres powinien odróżniać utrzymanie, obsługę zgłoszeń, działania rozwojowe i projekty. Przykładowo aktualizacja systemu może być standardową czynnością utrzymaniową, ale migracja wszystkich stanowisk do nowej wersji — osobnym projektem. Podobnie instalacja programu nie oznacza automatycznie odpowiedzialności za jego dane, licencję i współpracę z producentem.
Warto dołączyć inwentaryzację lub przynajmniej zasadę jej aktualizacji. Bez wiedzy o liczbie urządzeń, wersjach systemów, licencjach i zależnościach trudno planować koszty oraz bezpieczeństwo. Dokumentacja nie powinna istnieć wyłącznie w pamięci technika; firma powinna mieć kontrolowany dostęp do informacji potrzebnych do odtworzenia środowiska.
- helpdesk i wsparcie użytkowników;
- administracja siecią, serwerami i kontami;
- aktualizacje, monitoring i kopie zapasowe;
- zakupy, licencje i kontakt z producentami;
- projekty, wizyty na miejscu oraz prace poza standardowymi godzinami.
SLA: czas reakcji to nie to samo co czas naprawy
SLA opisuje uzgodniony poziom świadczenia usług. Powinno wskazywać kanał zgłoszeń, godziny obsługi, kategorie priorytetu, czas potwierdzenia i rozpoczęcia reakcji, sposób komunikacji oraz eskalację. Obietnica „szybkiej naprawy” jest nieweryfikowalna, jeżeli nie wiadomo, od którego momentu i dla jakiego rodzaju problemu liczy się czas.
Czas pełnego rozwiązania nie zawsze da się zagwarantować, bo może zależeć od dostępności części, producenta aplikacji albo operatora łącza. Można natomiast ustalić czas diagnozy, uruchomienia obejścia, przekazania statusu i kolejnych aktualizacji. Priorytet powinien wynikać z wpływu na działalność, a nie z tego, kto zgłasza problem najgłośniej.
- awaria krytyczna: zatrzymuje kluczowy proces lub wielu użytkowników;
- awaria wysoka: poważnie ogranicza pracę, ale istnieje obejście;
- zgłoszenie standardowe: dotyczy pojedynczego stanowiska lub planowanej zmiany;
- wniosek usługowy: nowy dostęp, instalacja albo zakup wymagający akceptacji.
Bezpieczny dostęp dostawcy do systemów
Dostawca IT często otrzymuje uprawnienia, które pozwalają zobaczyć konfigurację, dane i konta użytkowników. Takiego dostępu nie powinno się realizować przez jedno współdzielone konto administratora. Każda osoba wykonująca prace powinna używać własnej tożsamości, a przyznane uprawnienia muszą być ograniczone do potrzebnego zakresu i czasu.
Należy ustalić zasady pracy zdalnej, uwierzytelniania wieloskładnikowego, rejestrowania działań, przechowywania haseł i akceptacji zmian wysokiego ryzyka. Firma powinna również wiedzieć, czy dostawca korzysta z podwykonawców i jakie podmioty mają techniczną możliwość dostępu. Brytyjskie NCSC zaleca traktowanie dostawców i ich poddostawców jako części łańcucha zależności bezpieczeństwa.
- indywidualne konta i uwierzytelnianie wieloskładnikowe;
- najmniejsze niezbędne uprawnienia oraz okresowe przeglądy;
- rejestrowanie dostępu uprzywilejowanego i zmian;
- bezpieczny kanał przekazywania haseł i sekretów;
- natychmiastowe odebranie dostępu po zmianie roli lub zakończeniu umowy.
Outsourcing IT a dane osobowe i RODO
Jeżeli dostawca przetwarza dane osobowe w imieniu klienta — na przykład ma dostęp administracyjny do systemu zawierającego dane pracowników lub klientów — trzeba prawidłowo określić role stron i ocenić konieczność zawarcia umowy powierzenia. UODO wskazuje, że administrator powinien korzystać z podmiotu zapewniającego wystarczające gwarancje techniczne i organizacyjne oraz mieć możliwość weryfikacji sposobu przetwarzania.
Umowa powierzenia nie jest jedynie załącznikiem „do RODO”. Powinna odzwierciedlać rzeczywisty zakres operacji, kategorie danych, czas trwania, zasady korzystania z dalszych podmiotów, pomoc przy naruszeniach i sposób zwrotu albo usunięcia danych. Ostateczna kwalifikacja ról zależy od faktycznego modelu współpracy; warto skonsultować ją z osobą odpowiedzialną w firmie za ochronę danych.
- jakie dane i systemy są dostępne dla dostawcy;
- czy działa on wyłącznie na polecenie firmy, czy realizuje własne cele;
- gdzie dane są przechowywane i czy występują podwykonawcy;
- jak dostawca pomaga przy incydencie, wniosku osoby i audycie;
- co dzieje się z kopiami oraz dostępami po zakończeniu usługi.
Jak bezpiecznie rozpocząć współpracę?
Pierwsze tygodnie powinny służyć uporządkowaniu wiedzy, a nie wykonywaniu przypadkowych zmian. Dostawca potrzebuje listy kontaktów, systemów krytycznych, obowiązujących umów, dostawców internetu i oprogramowania, lokalizacji kopii oraz znanych problemów. Równolegle należy ustalić osoby uprawnione do akceptacji dostępu, zakupu i przerwy serwisowej.
Zmiany haseł i porządkowanie kont warto wykonywać planowo, z zabezpieczeniem możliwości powrotu. Przed modernizacją krytycznego systemu powinna istnieć aktualna kopia oraz sprawdzony sposób odtworzenia. Dobrą praktyką jest uzgodnienie krótkiej listy priorytetów na pierwszy miesiąc i raportu, który rozdziela pilne ryzyka od usprawnień możliwych do zaplanowania.
- lista urządzeń, programów i połączeń między nimi;
- przekazanie dokumentacji przez dotychczasową obsługę;
- utworzenie indywidualnych kont i bezpiecznego magazynu haseł;
- weryfikacja kopii zapasowych oraz kanałów zgłoszeń;
- plan pierwszych zmian z osobą decyzyjną i terminem.
Jak ocenić ofertę obsługi IT?
Porównując oferty, sprawdź zakres i sposób pracy, a nie tylko abonament. Zapytaj, które zadania są w cenie, jak liczone są wizyty oraz projekty, kto odbiera zgłoszenie podczas nieobecności głównego opiekuna i w jaki sposób dokumentowane są zmiany. Dostawca powinien umieć wyjaśnić, gdzie kończy się jego odpowiedzialność i jakie obowiązki pozostają po stronie klienta.
Sygnałem ostrzegawczym jest brak procesu odebrania dostępu, niechęć do przekazania dokumentacji, używanie jednego wspólnego hasła, brak informacji o podwykonawcach albo nierealistyczna obietnica naprawy każdego problemu w tym samym czasie. Dojrzały dostawca potrafi nazwać zależności i zaproponować obejście, gdy rozwiązanie zależy od strony trzeciej.
- konkretny katalog usług i wyłączeń;
- SLA uwzględniające godziny pracy oraz skutki przestoju;
- zasady bezpieczeństwa, raportowania i pracy zdalnej;
- zastępstwo i zasady przekazywania trudnych spraw;
- procedura zakończenia umowy i przekazania wiedzy.
Jak Microcomp podchodzi do obsługi firm?
Najpierw sprawdźcie, jak firma pracuje, z jakich miejsc i systemów korzysta oraz co musi działać bez przerwy. Potem ustalicie zakres stałej opieki, sposób zgłaszania problemów, priorytety i planowane zadania. Firma wie wtedy, co obejmuje usługa i za co odpowiada każda strona.
Jeżeli rozważasz zewnętrzną obsługę IT w Gardnie, Szczecinie lub w obsługiwanym regionie, zacznij od listy systemów i trzech najczęstszych problemów. To wystarczy do pierwszej rozmowy o zakresie. Ostateczny model dobierzecie po poznaniu potrzeb firmy.
- obsługa bieżących zgłoszeń i stanowisk;
- sieć, kopie zapasowe i podstawy bezpieczeństwa;
- planowanie modernizacji i współpraca z dostawcami programów;
- wizyty na miejscu oraz pomoc zdalna zależnie od zadania.
Źródła i materiały
Dokumentacja i materiały związane z tematem poradnika:
- Obowiązki administratora przy wyborze podmiotu przetwarzającego — Urząd Ochrony Danych Osobowych
- Wytyczne 07/2020 dotyczące pojęć administratora i podmiotu przetwarzającego — Europejska Rada Ochrony Danych
- Zasady bezpieczeństwa łańcucha dostaw — National Cyber Security Centre
Obsługa IT dla firm — wycena
Zadzwoń i powiedz, czego potrzebujesz. Zapytamy o szczegóły potrzebne do przygotowania oferty.
