Zmiana firmy informatycznej bez utraty dostępów i danych

Skąd bierze się strach przed zmianą dostawcy

Zacznijmy od zdania, które pada w prawie każdej takiej rozmowie. Poprzednik ma wszystkie hasła, zna całą sieć i jeżeli się obrazi, zostaniemy z infrastrukturą, o której nikt nic nie wie.

Ta obawa nie jest głupia. Jest tylko źle skierowana. Problemem nie jest technologia, bo sprzęt i systemy zostają dokładnie tam, gdzie są. Problemem jest informacja. Kto ma listę kont? Kto wie, dlaczego dana reguła na firewallu w ogóle powstała? Gdzie leży najnowsza kopia danych? Kto ma tę wiedzę, ten kontroluje sytuację.

Dobra wiadomość jest taka, że informację da się przenieść w kolejności i pod kontrolą. Zmiana firmy informatycznej to projekt z listą kontrolną, a nie skok na głęboką wodę. Poniżej jest ta lista, w kolejności, w jakiej warto ją przechodzić.

Inwentaryzacja dostępów, czyli pierwsza rzecz do zrobienia

Zanim ktokolwiek cokolwiek przełącza, powstaje spis kont administracyjnych do wszystkiego, co firma ma. Nie chodzi jeszcze o hasła. Chodzi o listę miejsc, w których hasło otwiera drzwi.

• domena i DNS, razem z dostępem do panelu rejestratora,
• poczta i pakiet biurowy, czyli administrator globalny w Microsoft 365 albo Google Workspace,
• serwery i wirtualizacja, czyli konta administratora domeny, konta lokalne oraz konsola vSphere albo Hyper-V,
• sieć, czyli przełączniki, punkty dostępowe, firewall, VPN i konta na portalach operatorów,
• dane, czyli konsola backupu, macierz, NAS i subskrypcje chmurowe wraz z informacją, na kogo są wystawione,
• rzeczy, o których się zapomina, czyli monitoring, kamery, kontrola dostępu do drzwi, centrala telefoniczna i portale licencyjne producentów.

Do każdej pozycji dopisz drugie pytanie, ważniejsze od pierwszego. Kto jeszcze ma ten dostęp? Odpowiedź bardzo często obejmuje byłego pracownika, podwykonawcę z 2019 roku i jedno konto nazwane admin, którego hasło zna pół firmy i cały poprzedni zespół. Takiego dostępu nie da się odebrać. Da się go tylko zmienić.

Osobna pułapka zasługuje na własne zdanie. Jeżeli drugi składnik logowania do konta administracyjnego przychodzi na prywatny telefon człowieka z poprzedniej firmy albo na jego adres e-mail ustawiony jako adres odzyskiwania, samo hasło nic nie daje. To trzeba sprawdzić pozycja po pozycji.

Dokumentacja, której zwykle nie ma

Drugi krok to przejęcie dokumentacji sieci i serwerów. W praktyce wychodzi jeden z trzech wariantów: dokumentacja jest i jest aktualna, dokumentacja jest, ale opisuje sieć sprzed czterech lat, albo dokumentacji nie ma wcale i wszystko siedzi w jednej głowie.

O co poprosić:

• plan adresacji i podział na VLAN-y, z opisem, co gdzie należy,
• opis reguł na firewallu wraz z powodem, dla którego każda z nich powstała,
• konfiguracje połączeń VPN i listę osób, które ich używają,
• spis serwerów z rolami i zależnościami, żeby było jasne, co przestanie działać po wyłączeniu jednej maszyny,
• opis kopii zapasowych, czyli co jest kopiowane, gdzie leży i jak długo jest trzymane,
• klucze licencyjne i umowy wsparcia wraz z datami odnowienia.

Jeżeli dokumentacji nie ma, to nie jest powód, żeby rezygnować ze zmiany. To po prostu pierwsze zadanie nowego zespołu, wykonywane na urządzeniach, a nie na podstawie opowieści. Warto tylko wiedzieć, że zajmuje czas, i zapytać nowego dostawcę, czy inwentaryzacja wchodzi w zakres przejęcia i co z niej dostaniesz na piśmie.

Umowy z operatorami i producentami

Ta część najczęściej wychodzi za późno, bo nie jest widoczna w żadnej konsoli. Chodzi o to, czyja nazwa i czyj NIP widnieją na papierach.

• łącza internetowe i MPLS, a przy nich pytanie, czy umowę podpisała firma, czy dostawca IT w jej imieniu,
• wsparcie producenta na sprzęt, czyli kto zgłasza awarię i na kogo zarejestrowany jest kontrakt,
• licencje kupione przez pośrednika, które mogą siedzieć w tenancie dostawcy zamiast w tenancie firmy,
• subskrypcje chmurowe, a przy nich pytanie, kto jest właścicielem subskrypcji i katalogu użytkowników,
• domena i certyfikaty, czyli kto je odnawia i z jakiej karty.

Jeżeli cokolwiek z tej listy jest zapisane na poprzedniego dostawcę, przeniesienie tego jest osobnym zadaniem z własnym terminem, czasem liczonym w tygodniach. To się nie zmieści w ostatnim tygodniu umowy. Najgorszy scenariusz nie polega na utracie hasła. Najgorszy scenariusz to wygasająca licencja na firewall, o której firma dowiaduje się w chwili, gdy urządzenie przestaje aktualizować sygnatury.

Kopie zapasowe i data ostatniego testu odtworzenia

Jeżeli miałbyś zadać poprzedniemu dostawcy tylko jedno pytanie, zapytaj o kopie. Nie o to, czy backup się wykonuje, bo prawie zawsze się wykonuje. Zapytaj, kiedy ostatnio odtworzono z niego dane i co konkretnie zostało odtworzone.

Warto dopytać o pięć rzeczy: co jest kopiowane, gdzie fizycznie leżą kopie, kto ma dostęp do konsoli, jak długo kopie są trzymane oraz jaka jest data i zakres ostatniego udanego odtworzenia.

Branżowa zasada 3-2-1 mówi o trzech kopiach danych na dwóch rodzajach nośnika, z jedną kopią poza siedzibą. Jej nowsza wersja, 3-2-1-1-0, dokłada kopię odciętą od sieci oraz zero błędów, gdzie to zero oznacza kopie sprawdzane regularnym odtwarzaniem. Test przestał być dodatkiem do backupu. Jest jego częścią.

Praktyczna uwaga na koniec tego punktu. Jeżeli kopie leżą w infrastrukturze albo na koncie chmurowym poprzedniego dostawcy, trzeba je przenieść przed końcem umowy, a nie po. Po wypowiedzeniu nikt nie ma obowiązku trzymać ich dłużej.

Okres równoległy, czyli nie palimy mostów

Najspokojniejsze przejęcia mają wspólną cechę. Przez ustalony czas dostęp mają obie firmy, obie o tym wiedzą, i jest to zapisane w wypowiedzeniu albo w aneksie. Nowy zespół już pracuje, stary jest jeszcze osiągalny w sprawach, które nigdy nie trafiły do dokumentacji.

Okres równoległy nie musi być długi. Musi objąć jeden pełny cykl pracy firmy, czyli zamknięcie miesiąca, wypłaty, inwentaryzację albo sezonowy szczyt. Rzeczy, które dzieją się raz w miesiącu, wychodzą właśnie raz w miesiącu.

Ustal też jedną rzecz, o której łatwo zapomnieć w emocjach. Rozstanie ma być formalne i uprzejme. Człowiek, który wciąż ma hasła i pamięta, dlaczego coś zrobiono właśnie tak, jest w tym momencie wart więcej niż satysfakcja z ostrego maila.

Kolejność wyłączania starych dostępów

Tu obowiązuje jedna zasada, od której nie ma odstępstw. Starego dostępu nie wyłącza się, dopóki nowy nie zostanie sprawdzony w praktyce. Sprawdzony znaczy tyle, że ktoś się zalogował, wykonał realną zmianę i ją cofnął, a nie że zobaczył ekran powitalny.

Rozsądna kolejność wygląda tak:

• powstają nowe konta administracyjne i każde z nich jest testowane osobno,
• zmieniane są hasła kont wspólnych, bo tych nie da się odebrać,
• znikają dostępy najbardziej wrażliwe, czyli administrator domeny, firewall, konsola backupu, administrator globalny w chmurze i portale operatorów,
• poprawiane są drugie składniki logowania i adresy odzyskiwania, tak żeby prowadziły do firmy,
• wyłączane są konta VPN i zwykłe konta administracyjne poprzedniego zespołu,
• na końcu z komputerów i serwerów schodzą narzędzia zdalnego dostępu i agenci zdalnego zarządzania.

Ostatni punkt jest ważniejszy, niż wygląda. Agent zdalnego zarządzania to działający kanał do każdej maszyny w firmie. Jeżeli zostanie po zakończeniu umowy, wszystkie wcześniejsze punkty tracą sens.

Co zabrać na piśmie i o co zapytać nowego dostawcę

Przejęcie kończy się dokumentem, a nie rozmową telefoniczną. Minimum, które warto mieć:

• protokół przekazania z listą systemów, kont i tego, co faktycznie zostało przekazane,
• hasła w menedżerze haseł należącym do firmy, nie do dostawcy,
• wykaz umów z operatorami i producentami wraz z datami odnowienia,
• opis kopii zapasowych z retencją i datą ostatniego odtworzenia,
• listę wyłączonych dostępów z datami wyłączenia,
• oświadczenie o usunięciu albo zwrocie danych i usunięciu ich kopii.

Ostatni punkt to nie kaprys. Jeżeli dostawca IT przetwarzał dane osobowe firmy, wiązała go umowa powierzenia przetwarzania z art. 28 RODO. Ten sam artykuł mówi, że po zakończeniu świadczenia usług podmiot przetwarzający usuwa albo zwraca dane i usuwa wszelkie istniejące kopie. Taka sama umowa jest potrzebna z nowym dostawcą, od pierwszego dnia.

Nowemu dostawcy warto zadać kilka pytań, zanim cokolwiek podpiszesz. Jak wygląda przejęcie i ile trwa? Co dostanę na piśmie? Kto po Waszej stronie je prowadzi? Co sprawdzacie w pierwszym tygodniu, zanim zaczniecie cokolwiek zmieniać? Jaki jest czas reakcji i czy dyżur całodobowy jest zapisany w umowie, czy tylko w ulotce?

Zmiana firmy informatycznej jest wykonalna i wykonuje się ją w kolejności. Jeżeli chcesz przejść tę listę na swojej infrastrukturze i zobaczyć, gdzie są luki, zadzwoń pod +48 662 036 615 albo napisz na [email protected].

Zobacz usługę