Varovné signály pri IT dodávateľovi

IT dodávateľ zvyčajne ukáže problémy ešte pred prvým výpadkom. Obzvlášť výpovedných je päť varovných signálov: dokumentácia sa nevydáva, heslá a prístupy sú výlučne u dodávateľa, ponuka vzniká bez obhliadky na mieste, každý drobný zásah sa účtuje samostatne ako réžijná hodina a sľúbený monitoring sa nikdy neukáže. Žiadny z týchto signálov sám osebe problém nedokazuje, viacero naraz však odôvodňuje bližší pohľad na vašu správu IT.

Vydáva sa dokumentácia vôbec?

Plán siete, konfigurácie, zoznam nasadených systémov – to sú podklady, ktoré by v bežnej prevádzke mali existovať bez ohľadu na to, či sa práve o ne niekto pýta. Jasným varovným signálom je, keď konkrétna žiadosť o túto dokumentáciu dostane vyhýbavú odpoveď, napríklad odkaz na nedostatok času, „všetko mám v hlave” alebo prísľub, ktorý sa mesiace nenapĺňa. Vecne sa to dá overiť: jednoduchá žiadosť o aktuálny plán siete a zoznam systémov nie je neprimeraná požiadavka, ale taká, ktorú by mal každý seriózny dodávateľ zvládnuť bez väčšej námahy, keďže tieto podklady beztak potrebuje pre vlastnú prácu.

• Konkrétne si vyžiadať aktuálny plán siete a zoznam systémov a sledovať, či a ako úplne ich dostanete
• Overiť, či dokumentácia skutočne zodpovedá aktuálnemu stavu, alebo je viditeľne zastaraná
• Pri vyhýbavej odpovedi sa cielene spýtať, aký presne je dôvod nevydania

Zostávajú heslá a prístupy výlučne u dodávateľa?

Kto vlastní administratívne prístupy k firewallu, serverom, Wi-Fi kontrolérom alebo kamerovým systémom výlučne sám a nevydáva ich, robí klienta štrukturálne závislým – bez ohľadu na to, či ide o zámer, alebo o tému, ktorá sa jednoducho nikdy neriešila. V bežnej prevádzke si to takmer nikto nevšimne, no stáva sa to skutočným problémom, akonáhle je dodávateľ nedostupný, zmluvný vzťah sa skončí, alebo niekto vo firme potrebuje krátkodobo prístup. Overiť sa to dá jednoduchou otázkou: ak by dodávateľ zajtra nebol dostupný, mala by firma prístup k vlastnej infraštruktúre?

• Konkrétne sa opýtať, kto okrem dodávateľa má prístup k centrálnym prístupovým údajom
• Prístupy k vlastným firemným účtom (doména, centrálne cloudové služby) spravovať nezávisle od dodávateľa
• Pri uzatváraní zmluvy stanoviť, že administratívne prístupy pozná aj firma, nielen dodávateľ

Vzniká ponuka bez inventarizácie?

Ponuka, ktorá vzniká bez obhliadky na mieste alebo aspoň bez podrobného technického dopytníka, nutne stojí na predpokladoch namiesto skutočnej situácie. To sa neskôr často prejaví v dodatkoch, ktoré sa prezentujú ako nepredvídateľné, hoci by pri skutočnej inventarizácii vopred boli rozpoznateľné. Overiť sa to dá priamo na ponuke: stojí kalkulácia viditeľne na konkrétnych, na mieste zistených číslach – počet zariadení, dĺžka káblových trás, existujúca štruktúra – alebo na paušálnych predpokladoch, ktoré by rovnako zneli pre akúkoľvek firmu?

• Pred prijatím ponuky sa opýtať, na čom presne kalkulácia stojí
• Overiť, či vôbec prebehla obhliadka alebo podrobný dopytník na mieste
• Pri veľmi všeobecne formulovaných ponukách sa cielene spýtať na predpoklady, z ktorých vychádzajú

Účtuje sa každý zásah samostatne ako režijná hodina?

Model starostlivosti, v ktorom sa každá drobná úprava – dodatočný port forward, nová používateľka vo Wi-Fi, krátky pohľad na chybové hlásenie – účtuje samostatne ako režijná hodina, posúva motiváciu nesprávnym smerom: časté drobné požiadavky vychádzajú pre klienta draho, hoci sa technicky často vybavia za pár minút. Samo osebe to model nerobí neserióznym, no oplatí sa overiť, aká transparentná je fakturácia a či existujú alternatívy k čisto hodinovému účtovaniu. Overiť sa to dá na poslednej faktúre: je zrejmé, za čo bol aký čas účtovaný, alebo zostávajú položky paušálne a nejasné?

• Skontrolovať staršie faktúry z hľadiska zrozumiteľnosti: je vidieť, za čo bol aký čas účtovaný
• Opýtať sa, či pre opakujúce sa drobné požiadavky existuje paušálny model namiesto individuálneho účtovania
• Pred uzatvorením zmluvy vyjasniť, čo je zahrnuté v dohodnutom modeli a čo sa účtuje navyše

Ukazuje sa sľúbený monitoring skutočne?

Monitoring dnes patrí medzi štandardné prísľuby mnohých ponúk – skutočnou otázkou je, či sa dá aj naozaj ukázať. Dodávateľ, ktorý monitoring predáva ako službu, by mal byť schopný bez väčšej námahy predviesť, čo konkrétne sleduje a ako vyzerá alarm v kritickej chvíli. Varovným signálom je, keď táto otázka dostane vyhýbavú odpoveď, alebo sa ukáže, že výpadok si ako prvá všimla firma sama a nie dodávateľ, hoci monitoring bol zmluvne prisľúbený.

• Konkrétne sa opýtať, čo sa sleduje a ako v kritickej chvíli skutočne vyzerá upozornenie
• Nechať si raz ukázať príklad alebo živý náhľad monitoringu
• Sledovať, či si predchádzajúci výpadok všimol prvý dodávateľ, alebo najprv niekto vo firme

Čo robiť, ak platí viacero z týchto signálov

Jeden jediný signál je zriedka dôvodom na okamžitú výmenu – viacero naraz už skôr áno. Prvý krok je v každom prípade rovnaký: konkrétne si vyžiadať chýbajúce podklady a prístupy, písomne a s primeranou lehotou, a túto lehotu si aj poznamenať, aby bolo neskôr jasné, či a ako na ňu dodávateľ reagoval. Ak existujúci dodávateľ nereaguje, alebo len vyhýbavo, je to samo osebe ďalší signál, ktorý stojí za zaznamenanie. Kto sa potom rozhodne pre výmenu, mal by si vopred pozrieť, ako prebieha výmena bez výpadku prevádzky – to sa dá pripraviť štruktúrovane a s dostatočným predstihom, nezávisle od tu popísaných varovných signálov.

Ako NDVDL nastavuje správu IT

Skôr než niečo ponúkneme, prídeme na miesto a zmapujeme sieť, servery, firewall, zálohovanie a prístupy. Z toho vznikne písomný návrh s jasným rozsahom a jasnými výnimkami. Po realizácii alebo prevzatí sa o infraštruktúru staráme priebežne: údržba, monitoring, dokumentácia, ktorá patrí vám, a prístupy, ku ktorým má vaša firma prístup sama. Máte jednu stálu kontaktnú osobu, ktorá vaše prostredie pozná.

Za viacerými varovnými signálmi často stojí zásadnejšia otázka: má IT naďalej fungovať na jednotlivých zásahoch, alebo má bežnú prevádzku prevziať managed service s písomne upravenou zodpovednosťou?