Četiri modela vanjskog održavanja IT-a
„IT outsourcing“ može značiti vrlo različite dogovore. Razlikuju se prije svega po tome tko nadzire sustave, tko intervenira pri zastoju i tko odgovara za rezultat:
| Model | Tko nadzire sustave | Tko intervenira pri zastoju | Tipična primjena |
|---|---|---|---|
| Potpuno upravljani IT (MSP) | Pružatelj, stalno | Pružatelj, prema SLA-u | Tvrtke bez vlastitog IT kadra kojima treba pouzdan rad |
| Suupravljanje (co-managed IT) | Pružatelj i vaš IT djelatnik | Onaj tko je određen podjelom odgovornosti | Tvrtke s jednim sistemskim administratorom ili manjim timom |
| Podrška po potrebi (break-fix) | Nitko | Serviser, kad stigne | Vrlo mala, nekritična okruženja u oblaku |
| Vlastiti IT tim | Vaši zaposlenici | Vaši zaposlenici, kad su dostupni | Veće tvrtke s mnogo specifičnog rada na lokaciji |
Nijedan model nije najbolji za sve. Ključna je razlika između preventivnog i reaktivnog rada: pružatelj upravljanih IT usluga (MSP, managed service provider) plaćen je da sustavi rade, a serviser po potrebi da ih popravi kad ne rade. Kod prvog je sprječavanje problema u interesu pružatelja, kod drugog nije.
Što odlučuje o pravom modelu
- Lokacije i države. Jedan ured s okruženjem u oblaku sasvim je drugačiji zadatak od skladišta i podružnica u više država, gdje se mrežom i identitetima mora upravljati jedinstveno, a netko mora doći i na lokaciju.
- Kritičnost i vrijeme podrške. Ako pri zastoju staje proizvodnja ili logistika, potrebni su vam stalni nadzor, zajamčena vremena rješavanja i jasna pokrivenost izvan radnog vremena. Informatička podrška po potrebi to ne osigurava.
- Vlastiti ljudi. Bez vlastitog IT kadra najčešće je pravi izbor potpuno upravljani IT. S jednim sistemskim administratorom najveći je rizik ovisnost o jednoj osobi, pa se dobro pokazuje suupravljanje: djelatnik ostaje, a partner donosi dubinu, sigurnost i zamjene.
- Regulativa. Obveznici Zakona o kibernetičkoj sigurnosti (NIS2), financijski sektor prema uredbi DORA i svi koji obrađuju mnogo osobnih podataka trebaju pružatelja koji može dokazati sigurnosne mjere i upisati ih u ugovor.
Troškove pojedinih modela usporedite zasebno kalkulatorom troškova upravljanja IT-jem. Ovaj vodič usmjeren je na izbor modela i kvalitetu pružatelja.
Što mora osigurati dobar pružatelj upravljanih IT usluga
Pružatelje procjenjujte prema dokazima, a ne obećanjima:
- SLA s vremenom odziva i vremenom rješavanja. Vrijeme odziva govori samo kada će se netko javiti. Za vas je važno za koliko je problem riješen, po prioritetima i s jasnim posljedicama neispunjavanja. Prije nego što zatražite postotak dostupnosti, SLA kalkulatorom provjerite koliko zastoja on zapravo dopušta.
- Sigurnosna osnova kao standard. Višefaktorska autentifikacija za sve račune, EDR zaštita na uređajima i poslužiteljima, redovito održavanje računala i servera zakrpama, sigurnosne kopije s redovitim testovima povrata i stalni nadzor. Pitajte kada je povrat posljednji put testiran.
- Izvještavanje. Mjesečni pregled zahtjeva, ispunjavanja SLA-a, stanja zakrpa i preporuka pokazuje upravlja li pružatelj okruženjem zaista.
- Eskalacija i znanje. Imenovana kontakt-osoba, tehnički voditelj i partnerstva s proizvođačima koje koristite, primjerice Microsoft i Fortinet.
Kibernetička sigurnost nije samo tehnička tema, nego odgovornost uprave. Dobar partner pomaže vam razumjeti rizike i odlučivati o njima, a ne samo instalirati alate. Isto vrijedi za nove tehnologije: prije uvođenja alata umjetne inteligencije neka partner pregleda prava pristupa, podatke i sigurnost, jer takvi alati vide sve čemu korisnik ima pristup.
Vlasništvo, ugovor i regulativa
Najčešća pogreška kod vanjskog održavanja IT-a jest gubitak kontrole nad vlastitim okruženjem. Administratorski računi, lozinke, domene, licence i zakupci u oblaku moraju glasiti na tvrtku, a pristup za hitne slučajeve morate čuvati sami. Dokumentacija okruženja (popis opreme, mrežne sheme, konfiguracije) mora vam biti dostupna uvijek, a ne tek na kraju suradnje.
MSP ima pristup e-pošti, datotekama i sustavima s osobnim podacima pa je prema GDPR-u izvršitelj obrade. Ugovor o obradi prema članku 28. GDPR-a mora, među ostalim, odrediti da pružatelj angažira druge izvršitelje samo uz vaše pisano odobrenje te da po završetku usluga, prema vašem izboru, podatke vrati ili izbriše.
Direktiva NIS2 (EU) 2022/2555, koju u Hrvatskoj prenosi Zakon o kibernetičkoj sigurnosti, među obveznim mjerama navodi sigurnost lanca opskrbe, uključujući odnose s izravnim dobavljačima i pružateljima usluga, te traži da se uzme u obzir kvaliteta njihovih kibernetičkih sigurnosnih praksi. Direktiva navodi da su pružatelji upravljanih sigurnosnih usluga i sami bili meta kibernetičkih napada i da zbog bliske povezanosti s poslovanjem klijenata predstavljaju poseban rizik, pa pri njihovu odabiru traži povećanu pažnju. Pružatelje upravljanih usluga svrstava i među sektore visoke kritičnosti (Prilog I), pa su srednji i veliki pružatelji u pravilu i sami obveznici.
Ugovor treba obuhvatiti i opseg usluga te što se naplaćuje posebno, otkazni rok, izlazni plan i obvezu pružatelja da podrži prijelaz drugom pružatelju.
Lokacije u više država
Za tvrtke s lokacijama u Hrvatskoj, Sloveniji, Srbiji i drugdje na Balkanu ključno je pitanje tko će doći kad u skladištu otkaže preklopnik. Tražite imenovane izvođače u svakoj državi, podršku na lokalnom jeziku i jedinstveno upravljanje mrežom i identitetima s jednog mjesta.
Humanfrog, primjerice, održava mrežu tvrtke s lokacijama u svim balkanskim državama: Fortinet mreža sa SD-WAN-om povezana je sa središnjom točkom kojom upravljamo mi, pa su nadzor, sigurnosna pravila i promjene jedinstveni za sve lokacije. Za logističku tvrtku Alfa SP, koja posluje u Sloveniji, Hrvatskoj i Srbiji, već pet godina upravljamo IT okruženjem s 40 aktivnih korisnika na šest lokacija: e-poštu i dokumente preselili smo u Microsoft 365, uredili upravljanje pristupima, automatske sigurnosne kopije i središnji nadzor te poslužitelje preselili u oblak.
Ako otvarate podružnicu u drugoj balkanskoj državi, pogledajte i vodič za IT podružnica na Balkanu.
Promjena pružatelja bez zastoja
Ako niste zadovoljni trenutnim pružateljem, ne otkazujte ugovor dok nemate popis okruženja, sve administratorske lozinke i dokumentaciju. Prijelaz planirajte unutar otkaznog roka, s preklapanjem:
- Dani 1–30: popis, preuzimanje pristupa na ime tvrtke, uvođenje alata za nadzor i probni povrat iz sigurnosne kopije.
- Dani 31–60: novi pružatelj preuzima podršku korisnicima i nadzor te uklanja najhitnije sigurnosne nedostatke.
- Dani 61–90: ukidanje starih pristupa, test plana oporavka, potvrda podjele odgovornosti. Tek tada završava suradnja s prethodnim pružateljem.
Znakovi upozorenja pri odabiru: pružatelj želi račune registrirati na svoje ime, SLA šuti o vremenu rješavanja, dokumentacije nema, rad na lokaciji u drugim državama je „po dogovoru“, a niska cijena ponuđena je prije nego što itko poznaje vaše okruženje.
Alat iznad priprema preporuku, ponderirani kontrolni popis i plan prijelaza za vaš slučaj. Ako želite svoje IT okruženje i odgovarajući model upravljanja pregledati sa stručnjakom, razgovarajte s nama.
