Az IT-üzemeltetés négy modellje
Az „IT-kiszervezés” nagyon különböző megállapodásokat jelenthet. Elsősorban abban térnek el, ki felügyeli a rendszereket, ki avatkozik be leálláskor, és ki felel az eredményért:
| Modell | Ki felügyeli a rendszereket | Ki avatkozik be leálláskor | Jellemző felhasználás |
|---|---|---|---|
| Teljes körű IT-üzemeltetés (MSP) | A szolgáltató, folyamatosan | A szolgáltató, az SLA szerint | Saját IT-munkatárs nélküli vállalatok, amelyeknek megbízható működés kell |
| Közös üzemeltetés (co-managed IT) | A szolgáltató és az Önök IT-munkatársa | Akit a felelősségi mátrix megnevez | Egy rendszergazdával vagy kis csapattal működő vállalatok |
| Eseti támogatás (break-fix) | Senki | Egy szerelő, amikor ráér | Nagyon kicsi, nem kritikus felhős környezetek |
| Saját IT-csapat | Saját munkatársak | Saját munkatársak, ha elérhetők | Nagyobb vállalatok sok egyedi helyszíni feladattal |
Egyik modell sem a legjobb mindenkinek. A döntő különbség a megelőző és a reaktív munka között van: a managed service providert azért fizetik, hogy a rendszerek működjenek, az eseti szerelőt pedig azért, hogy megjavítsa őket, amikor leállnak. Az elsőnél a hibák megelőzése a szolgáltató érdeke, a másodiknál nem.
Mi dönti el a megfelelő modellt
- Telephelyek és országok. Egy iroda felhős környezettel egészen más feladat, mint több országban lévő raktárak és fióktelepek, ahol a hálózatot és az identitásokat egységesen kell kezelni, és valakinek a helyszínre is ki kell mennie.
- Kritikusság és támogatási idő. Ha leálláskor megáll a gyártás vagy a logisztika, folyamatos felügyeletre, garantált megoldási időkre és világos munkaidőn kívüli lefedettségre van szükség. Az eseti támogatás ezt nem biztosítja.
- Saját munkatársak. Saját IT-munkatárs nélkül általában a teljes körű üzemeltetés a jó választás. Egyetlen rendszergazdánál a legnagyobb kockázat az egy embertől való függés, ezért beválik a közös üzemeltetés: a kolléga marad, a partner pedig mélységet, biztonságot és helyettesítést ad.
- Szabályozás. A NIS2 (Magyarországon a kiberbiztonsági törvény) hatálya alá tartozó szervezeteknek, a DORA szerinti pénzügyi szektornak és mindenkinek, aki sok személyes adatot kezel, olyan szolgáltató kell, amely igazolni tudja biztonsági intézkedéseit, és szerződésben is vállalja azokat.
Az egyes modellek költségeit külön hasonlítsa össze az IT-üzemeltetési költségkalkulátorral. Ez az útmutató a modell kiválasztására és a szolgáltató minőségére összpontosít.
Mit kell nyújtania egy jó rendszergazda szolgáltatónak
A szolgáltatókat bizonyítékok, ne ígéretek alapján értékelje:
- SLA reakció- és megoldási idővel. A reakcióidő csak azt mondja meg, mikor jelentkezik valaki. Az számít, mennyi idő alatt oldják meg a problémát, prioritásonként és a nem teljesítés világos következményeivel. Mielőtt rendelkezésre állási százalékot kér, az SLA kalkulátorral nézze meg, mennyi kiesést enged meg valójában.
- Biztonsági alapok alapértelmezésként. Többfaktoros hitelesítés minden fiókra, EDR az eszközökön és szervereken, rendszeres frissítés, rendszeresen tesztelt visszaállítású mentések és folyamatos felügyelet. Kérdezze meg, mikor tesztelték utoljára a visszaállítást.
- Jelentések. A bejelentésekről, az SLA teljesítéséről, a frissítések állapotáról és a javaslatokról szóló havi áttekintés megmutatja, valóban üzemelteti-e a szolgáltató a környezetet.
- Eszkaláció és szaktudás. Megnevezett kapcsolattartó, műszaki vezető és partnerség az Önök által használt gyártókkal, például a Microsofttal és a Fortinettel.
A kiberbiztonság nem csupán műszaki kérdés, hanem a vezetés felelőssége. Egy jó partner segít megérteni a kockázatokat és dönteni róluk, nem csak eszközöket telepít. Ugyanez érvényes az új technológiákra: mielőtt mesterségesintelligencia-eszközöket vezetnek be, a partner tekintse át a hozzáférési jogokat, az adatokat és a biztonságot, mert ezek az eszközök mindent látnak, amihez a felhasználónak hozzáférése van.
Tulajdonjog, szerződés és szabályozás
A kiszervezett IT-üzemeltetés leggyakoribb hibája, hogy a vállalat elveszíti az irányítást saját környezete felett. A rendszergazdai fiókoknak, jelszavaknak, domaineknek, licenceknek és felhőbérlőknek a vállalat nevén kell lenniük, a vészhelyzeti hozzáférést pedig Önöknek kell őrizniük. A környezet dokumentációjának (eszközleltár, hálózati rajzok, konfigurációk) mindig elérhetőnek kell lennie, nem csak az együttműködés végén.
Az MSP hozzáfér az e-mailekhez, fájlokhoz és személyes adatokat tartalmazó rendszerekhez, ezért a GDPR szerint adatfeldolgozó. A GDPR 28. cikke szerinti adatfeldolgozási szerződésnek többek között rögzítenie kell, hogy a szolgáltató további adatfeldolgozót csak az Önök írásos engedélyével vehet igénybe, és a szolgáltatás végén az Önök választása szerint visszaadja vagy törli az adatokat.
A (EU) 2022/2555 NIS2-irányelv a kötelező kockázatkezelési intézkedések között szerepelteti az ellátási lánc biztonságát, beleértve a közvetlen beszállítókkal és szolgáltatókkal fennálló kapcsolatokat, és előírja, hogy figyelembe kell venni kiberbiztonsági gyakorlatuk minőségét. Az irányelv rögzíti, hogy a menedzselt biztonsági szolgáltatók maguk is kibertámadások célpontjai voltak, és az ügyfeleik működésébe való szoros beágyazottságuk miatt különös kockázatot jelentenek, ezért kiválasztásuknál fokozott gondosságot vár el. A menedzselt szolgáltatókat a kiemelten kritikus ágazatok közé is sorolja (I. melléklet), így a közepes és nagy szolgáltatók általában maguk is a hatálya alá tartoznak.
A szerződés rögzítse továbbá a terjedelmet és a külön számlázott tételeket, a felmondási időt, a kilépési tervet és a szolgáltató kötelezettségét a másik szolgáltatóhoz való átállás támogatására.
Telephelyek több országban
A Szlovéniában, Horvátországban, Szerbiában vagy máshol a Balkánon telephellyel rendelkező vállalatoknál a kulcskérdés az, hogy ki megy ki, ha a raktárban meghibásodik egy switch. Kérjen megnevezett kivitelezőket minden országban, helyi nyelvű támogatást, valamint a hálózat és az identitások egységes, egy pontból történő kezelését.
A Humanfrog például egy olyan vállalat hálózatát tartja karban, amelynek minden balkáni országban van telephelye: a Fortinet-hálózat SD-WAN-nal egy általunk üzemeltetett központi ponthoz csatlakozik, így a felügyelet, a biztonsági szabályok és a módosítások minden telephelyen egységesek. A Szlovéniában, Horvátországban és Szerbiában működő Alfa SP logisztikai vállalat IT-környezetét öt éve üzemeltetjük, 40 aktív felhasználóval hat telephelyen: az e-mailt és a dokumentumokat Microsoft 365-be költöztettük, kialakítottuk a hozzáférés-kezelést, az automatikus mentéseket és a központi felügyeletet, a szervereket pedig felhőbe helyeztük.
Ha fióktelepet nyit egy balkáni országban, olvassa el a balkáni fióktelepek IT-útmutatóját is.
Szolgáltatóváltás leállás nélkül
Ha nem elégedett a jelenlegi szolgáltatóval, ne mondja fel a szerződést, amíg nincs leltára a környezetről, minden rendszergazdai jelszóról és a dokumentációról. Az átállást a felmondási időn belül, átfedéssel tervezze:
- 1–30. nap: leltár, a hozzáférések átvétele a vállalat nevére, a felügyeleti eszközök telepítése és próba-visszaállítás a mentésből.
- 31–60. nap: az új szolgáltató átveszi a felhasználói támogatást és a felügyeletet, és megszünteti a legsürgősebb biztonsági hiányosságokat.
- 61–90. nap: a régi hozzáférések megszüntetése, a helyreállítási terv tesztelése, a felelősségi mátrix megerősítése. Csak ezután ér véget az együttműködés a korábbi szolgáltatóval.
Figyelmeztető jelek a kiválasztásnál: a szolgáltató a saját nevére akarja regisztrálni a fiókokat, az SLA hallgat a megoldási időről, nincs dokumentáció, a más országokban végzett helyszíni munka „megállapodás szerint” történik, vagy alacsony árat ajánlanak, mielőtt bárki ismerné a környezetet.
A fenti eszköz javaslatot, súlyozott ellenőrzőlistát és átállási tervet készít az Ön esetére. Ha IT-környezetüket és a megfelelő üzemeltetési modellt szakértővel szeretné áttekinteni, beszéljen velünk.
