IT pārņemšanas piemērs uzņēmuma stabilitātei

Kad iepriekšējais IT pakalpojumu sniedzējs vairs nereaģē pietiekami ātri, dokumentācija ir nepilnīga un vadība nevar droši pateikt, kur glabājas uzņēmuma dati, pāreja uz jaunu partneri kļūst par biznesa risku. Šāds IT pārņemšanas piemērs parāda, ka mērķis nav tikai nomainīt atbalsta tālruni. Mērķis ir atgūt kontroli pār infrastruktūru, piekļuvēm, drošību un uzņēmuma spēju strādāt bez pārtraukumiem.

Mazajiem un vidējiem uzņēmumiem šis process bieži notiek saspringtā brīdī: uzņēmums aug, atver jaunu biroju, ievieš jaunu sistēmu, gatavojas auditam vai ir piedzīvojis incidentu. Tādēļ kvalitatīva pārņemšana nedrīkst balstīties uz pieņēmumu, ka esošā vide ir saprotama un labi uzturēta. Tā sākas ar faktu pārbaudi.

Situācija: IT vide ir darbībā, bet vadība to nekontrolē

Apskatīsim reālistisku situāciju. Latvijā reģistrēts pakalpojumu uzņēmums ar 65 darbiniekiem izmanto Microsoft 365, failu serveri birojā, attālinātās piekļuves risinājumu, grāmatvedības sistēmu un vairākas mākoņplatformas. IT atbalstu ilgstoši nodrošināja viens ārējs speciālists. Ikdienas problēmas tika atrisinātas, taču uzņēmumam nebija aktuāla infrastruktūras apraksta, centralizētas paroļu pārvaldības vai pārbaudīta katastrofu atjaunošanas plāna.

Kad speciālists paziņoja, ka sadarbību vairs neturpinās, atklājās vairākas problēmas. Domēna administratīvais konts bija reģistrēts uz privātu e-pasta adresi. Ugunsmūra konfigurācija nebija dokumentēta. Divu kritisku sistēmu licences bija piesaistītas bijušā piegādātāja kontam. Datu rezerves kopijas tika veidotas, bet neviens nevarēja apstiprināt, vai no tām iespējams atjaunot darbu noteiktā laikā.

Šādā situācijā riskanti ir sākt ar plašu modernizācijas projektu. Vispirms jānodrošina īpašumtiesības, piekļuve un darbības nepārtrauktība. Tikai tad var pieņemt pamatotus lēmumus par mākoņpakalpojumiem, aparatūras nomaiņu vai kiberdrošības uzlabojumiem.

IT pārņemšanas piemērs: pirmajās dienās svarīgākais ir kontrole

Pārņemšanas process sākās ar ierobežota apjoma, bet ļoti disciplinētu pārejas plānu. Vadība noteica vienu atbildīgo no uzņēmuma puses - operāciju vadītāju -, kurš apstiprina prioritātes un nodrošina piekļuvi nepieciešamajai informācijai. Ja šādas atbildīgās personas nav, tehniskie jautājumi mēdz iestrēgt starp nodaļām, un risks tikai pieaug.

Pirmajās 48 stundās jaunā IT komanda neveica konfigurāciju pārveidi, izņemot gadījumus, kuros bija tiešs drošības apdraudējums. Tā apkopoja administratīvās piekļuves, pārbaudīja domēnu, e-pasta nomnieku, rezerves kopiju platformu, interneta pieslēgumu un ugunsmūra pārvaldības tiesības. Vienlaikus tika noskaidrots, kuri uzņēmuma procesi nevar apstāties pat uz dažām stundām: klientu apkalpošana, rēķinu izrakstīšana, attālināts darbs un piekļuve līgumu dokumentiem.

Šis posms ir būtisks tādēļ, ka piekļuve nav tas pats, kas kontrole. Piemēram, darbinieks var spēt pieteikties mākoņsistēmā, bet uzņēmums var nebūt tās galvenais īpašnieks. Uzņēmuma vadībai jābūt iespējai mainīt administratorus, atjaunot kontus, pārskatīt rēķinus un nepieciešamības gadījumā nomainīt piegādātāju bez iepriekšējās personas iesaistes.

Inventarizācija atklāj riskus, kurus ikdienā neredz

Nākamajā posmā tika izveidots IT aktīvu un pakalpojumu reģistrs. Tas ietvēra ne tikai datorus un serverus, bet arī lietotāju kontus, licences, interneta līgumus, tīkla iekārtas, mobilās ierīces, datu glabātuves, integrācijas un ārējo sistēmu piekļuves.

Inventarizācijas laikā atklājās, ka 14 bijušo darbinieku konti joprojām ir aktīvi. Vairākiem lietotājiem bija administratora tiesības bez darba pienākumos pamatotas vajadzības. Failu servera disks bija gandrīz pilns, un rezerves kopijas tika saglabātas tajā pašā fiziskajā vietā, kur primārie dati. Ugunsmūrim bija pieejams attālinātās administrēšanas ports no interneta, turklāt programmatūras versija vairs nebija atbalstīta.

Ne katrs atradums prasa tūlītēju, dārgu projektu. Piemēram, servera nomaiņa var būt jāplāno nākamajā budžeta periodā, ja tā darbība ir stabila un risks ir kontrolējams. Taču neizmantotu kontu slēgšana, daudzfaktoru autentifikācijas ieviešana administratīvajiem lietotājiem un rezerves kopiju atjaunošanas pārbaude ir pasākumi, kurus parasti nedrīkst atlikt.

Svarīgi ir arī atšķirt tehnisko inventāru no biznesa atkarībām. Ja konkrēts fails, lietojumprogramma vai piegādātāja portāls ir nepieciešams algu aprēķinam vai klientu līgumu izpildei, tas ir kritisks pakalpojums pat tad, ja tehniski tas izskatās pēc nelielas sistēmas.

Piekļuvju pārņemšana bez nevajadzīga darba pārtraukuma

Piekļuvju sakārtošana ir viens no jutīgākajiem pārejas posmiem. Pārāk strauji atslēdzot vecos kontus vai mainot paroles bez secības, iespējams apturēt automatizētus procesus, integrācijas un rezerves kopijas. Savukārt pārāk ilgi saglabājot neskaidras piekļuves, uzņēmums paliek ievainojams.

Šajā piemērā pārņemšana tika veikta pakāpeniski. Vispirms uzņēmuma kontrolē nonāca galvenie administratora konti un tika izveidoti atsevišķi administratīvie lietotāji ar daudzfaktoru autentifikāciju. Pēc tam tika pārskatīti koplietojamie konti, servisa konti un sistēmu integrācijas. Tikai pēc darbības pārbaudes tika deaktivizētas iepriekšējā piegādātāja piekļuves.

Paroļu maiņa pati par sevi nav pilnvērtīga drošības stratēģija. Jāzina, kam katrs konts pieder, kādēļ tas nepieciešams, kādas tiesības tam ir un kurš ir atbildīgs par tā uzturēšanu. Šāds pārskats samazina arī operacionālo risku, ja atslēgas darbinieks aiziet no uzņēmuma vai ja notiek drošības incidents.

Rezerves kopijas jāvērtē pēc atjaunošanas spējas

Pārņemšanas laikā uzņēmums konstatēja, ka rezerves kopijas ir veidotas regulāri, taču pilna atjaunošana nekad nebija testēta. Tas ir bieži sastopams maldīgs drošības priekšstats: zaļš statusa paziņojums nenozīmē, ka uzņēmums spēs atsākt darbu pēc dzēšanas, šifrēšanas uzbrukuma vai aparatūras bojājuma.

IT komanda kopā ar vadību definēja atjaunošanas prioritātes. E-pasts un identitātes pakalpojumi bija jāatjauno dažu stundu laikā. Grāmatvedības sistēmai tika noteikts atjaunošanas mērķis vienas darba dienas laikā. Dokumentu arhīvam pieļaujamais pārtraukums bija ilgāks, bet datu zuduma periods tika ierobežots līdz vienai dienai.

Pēc tam tika veikts kontrolēts atjaunošanas tests atsevišķā vidē. Testā tika atklāts, ka viena datubāzes rezerves kopija ir nepilnīga, jo pēc sistēmas atjauninājuma bija mainīts saglabāšanas uzdevums. Problēma tika novērsta pirms tā kļuva par krīzi. Tieši šī ir pārņemšanas praktiskā vērtība: nepilnības tiek atrastas plānotā darba laikā, nevis tad, kad uzņēmums jau nespēj apkalpot klientus.

No tehniska pārskata līdz vadības lēmumiem

Pēc sākotnējās stabilizācijas vadība saņēma nevis garu tehnisku žurnālu, bet skaidru risku un prioritāšu plānu. Tajā tika norādīts, kas jāizdara nekavējoties, kas jāieplāno tuvāko trīs mēnešu laikā un kuri ieguldījumi ir vērtējami nākamā gada budžetā.

Pirmajā prioritātē bija kontu drošība, ugunsmūra atjaunināšana, rezerves kopiju pārveide un dokumentācijas izveide. Otrajā prioritātē bija failu servera aizstāšana ar piemērotāku hibrīda risinājumu, jo daļa darbinieku regulāri strādāja ārpus biroja. Trešajā prioritātē tika iekļauta ierīču nomaiņas politika un regulārs IT darbības pārskats vadībai.

Šāda pieeja ļauj izvairīties no divām galējībām. Viena ir atlikt visu, līdz notiek incidents. Otra ir iegādāties vairāk tehnoloģiju, nekā uzņēmumam nepieciešams. Pareizais risinājums ir atkarīgs no uzņēmuma datu jutīguma, regulējuma, darba organizācijas, pieauguma plāniem un pieļaujamā dīkstāves līmeņa.

KSK IT šādās situācijās pārņemšanu sasaista ar turpmāku pārvaldību: skaidru atbildību, regulāru uzraudzību un vadībai saprotamiem lēmumiem. Tas ir būtiski, jo vienreiz sakārtota vide bez uzturēšanas laika gaitā atkal kļūst nepārskatāma.

Ko vadībai prasīt pirms IT pārņemšanas sākuma

Lai pāreja būtu kontrolējama, vadībai jau sākumā jāvienojas par darbības robežām. Jānosaka, kurš drīkst apstiprināt izmaiņas, kā tiek paziņots par riskiem, kāda informācija ir konfidenciāla un kā tiks novērtēts pirmais pārņemšanas posms. Īpaši svarīgi ir vienoties, ka uzņēmums saglabā administratīvās tiesības uz saviem domēniem, mākoņkontiem, licencēm un datiem.

Noderīgs jautājums nav tikai vai IT pakalpojumu sniedzējs var pārņemt vidi. Jautājums ir, vai tas spēj pamatot prioritātes biznesa valodā, pārbaudīt atjaunošanas spēju un izveidot pārskatāmu atbildības modeli. Ja atbilde ir skaidra, IT pārņemšana var kļūt par brīdi, kad uzņēmums nevis vienkārši nomaina piegādātāju, bet iegūst paredzamu pamatu turpmākai izaugsmei.

Labākais laiks sakārtot īpašumtiesības, piekļuves un atjaunošanas plānu nav pēc incidenta. Tas ir brīdis, kad uzņēmums vēl var pieņemt lēmumus mierīgi, balstoties uz faktiem un savu darbības prioritāšu izpratni.