Większość firm zamawia audyt IT w jednej z dwóch sytuacji: ktoś z zewnątrz żąda dokumentu albo trzeba podjąć decyzję na kilkaset tysięcy złotych i nikt nie potrafi powiedzieć, co dokładnie w firmie stoi. Sam audyt niczego nie naprawia, ale bez niego naprawia się to, co najbardziej widać, a nie to, co najbardziej boli.
Zanim przejdziecie dalej: nasz bezpłatny przegląd wstępny to nie jest to samo co audyt i zwykle wystarcza. Poniżej rozpisujemy, czym się różnią i kiedy naprawdę warto dopłacić, bo to pierwsze pytanie, jakie dostajemy. Naprawa znalezionych rzeczy to osobne strony: bezpieczeństwo, kopie, sieć i stała obsługa IT. Gdy branży nie ma wśród opisanych u nas, zaczynamy od czterech pytań różnicujących i dopiero potem od sprzętu.
To pytanie zadaje prawie każdy, kto tu trafia, bo bezpłatny przegląd proponujemy w całym serwisie. Różnica nie polega na jakości, tylko na głębokości i na tym, czy powstaje dokument, który da się komuś pokazać.
Trzydzieści minut o tym, co macie i co przeszkadza w pracy, plus sprawdzenie rzeczy widocznych z zewnątrz. W ciągu jednego dnia roboczego dostajecie jedną stronę: listę ryzyk od najpilniejszego, każde z opisem skutku i widełkami kosztu naprawy. Bez NDA, bez zobowiązań, zostaje u Was także wtedy, gdy nie pójdziemy dalej.
Wchodzimy do systemów, przeglądamy konfiguracje, zbieramy dane z urządzeń i rozmawiamy z ludźmi, którzy na tym pracują. Efektem jest raport z podpisem, do którego można się odwołać w umowie, w ankiecie bezpieczeństwa albo przed zarządem. Jest płatny i wyceniony z góry, bo zajmuje od kilku dni do kilku tygodni.
Jeżeli po audycie zamówicie u nas projekt naprawczy w ciągu sześćdziesięciu dni, jego cenę odliczamy od wartości tego projektu. Chodzi o to, żeby audyt nie był osobnym kosztem do uzasadnienia, a jednocześnie żeby dało się go kupić samodzielnie i wdrożyć z kimkolwiek.
Dla większości firm do dwudziestu, trzydziestu stanowisk bezpłatny przegląd wystarcza i mówimy to wprost, zamiast sprzedawać audyt każdemu, kto zapyta. Pełny audyt ma sens wtedy, gdy potrzebny jest dokument dla kogoś z zewnątrz albo gdy środowisko jest na tyle rozbudowane, że rozmowa i rzut oka nie wystarczą, żeby cokolwiek odpowiedzialnie stwierdzić. Przy takim przeglądzie interesują nas głównie cztery pytania: który program jest nie do zastąpienia, kiedy nie wolno go ruszać, jakie przepisy Was dotykają i które dane nie mogą wyjść na zewnątrz.
Cztery powody, z jakimi przychodzą firmy. Łączy je jedno: decyzja albo termin, przy którym trzeba wiedzieć, a nie przypuszczać.
Zmiana firmy od IT bez spisania stanu na wejściu kończy się tym, że po pół roku każda awaria jest sporem o to, czy zastaliśmy to zepsute. Audyt na starcie jest tu zabezpieczeniem obu stron, a przy okazji wychodzą hasła, do których nikt nie ma dostępu, i usługi opłacane kartą byłego pracownika.
Większy kontrahent przysyła kwestionariusz, ubezpieczyciel pyta o zabezpieczenia przed polisą, a nowe przepisy o cyberbezpieczeństwie każą pokazać, że ktoś nad tym panuje. W każdym z tych przypadków potrzebny jest dokument z datą, a nie zapewnienie, że wszystko działa.
Przed wymianą serwerów, przejściem do chmury albo wdrożeniem nowego systemu warto wiedzieć, co jest naprawdę wąskim gardłem. Najczęstszy scenariusz, jaki widzimy, to firma gotowa kupić mocniejszy serwer, podczas gdy problemem jest dysk w macierzy albo jedno źle ustawione zapytanie do bazy.
Jeden informatyk albo jeden zaprzyjaźniony wykonawca trzymał całość w głowie i przestał odbierać telefon. Wtedy audyt jest po prostu odtworzeniem wiedzy: co gdzie stoi, czym jest podpięte, kto ma dostęp i za co firma co miesiąc płaci.
Jest też sytuacja, w której odradzamy audyt: gdy już wiadomo, co jest zepsute, a pieniędzy starczy albo na diagnozę, albo na naprawę. Wtedy lepiej naprawić. Zdarza nam się kończyć rozmowę zdaniem, że audyt byłby u Was wydatkiem nie w porę, i traktujemy to jako normalną część tej usługi. Osobnym powodem bywa ankieta bezpieczeństwa od klienta, z czym najczęściej przychodzą do nas software house'y sprzedające do korporacji.
Najgorszy możliwy wynik audytu to opasły dokument, którego nikt nie czyta i z którego nic nie wynika. Dlatego raport ma trzy części i każda odpowiada na inne pytanie.
Znalezione rzeczy uszeregowane według tego, co może zaboleć najszybciej, a nie według obszarów technicznych. Przy każdej pozycji krótki opis skutku i widełki kosztu naprawy, żeby dało się z tego zrobić budżet, a nie tylko listę zastrzeżeń.
Co gdzie stoi, jak jest połączone, kto ma jakie dostępy, jakie umowy i subskrypcje biegną oraz kiedy kończy się wsparcie producenta. Ta część bywa dla firmy cenniejsza od samych zaleceń, bo zwykle nie istnieje nigdzie indziej niż w czyjejś pamięci.
Rozpisanie napraw w czasie, z rozdzieleniem tego, co trzeba zrobić teraz, od tego, co spokojnie poczeka do wymiany sprzętu. Bez tego audyt zmienia się w listę życzeń, na którą nigdy nie ma jednoczesnego budżetu.
Uczciwie o konflikcie interesów: audyt robi firma, która potem może chcieć sprzedać wdrożenie, i to jest realne ryzyko, o którym warto pamiętać przy każdym dostawcy. Radzimy sobie z tym tak, że raport opisuje problem i możliwe drogi, a nie konkretną ofertę, oraz zostaje u Was w całości, więc możecie go wycenić u kogokolwiek. Jeśli coś działa dobrze, piszemy, że działa dobrze. Lista, na której wszystko jest czerwone, mówi zwykle więcej o sprzedawcy niż o firmie.
Sześć obszarów, które przechodzimy za każdym razem. Pod każdym opisem jest odnośnik do strony o naprawie tego obszaru, bo audyt kończy się tam, gdzie zaczyna się robota.
Wiek i obciążenie maszyn, stan dysków, wersje systemów i daty końca wsparcia producenta. Tutaj najczęściej wychodzi sprzęt, który pracuje bez gwarancji od dwóch lat i o którym wszyscy zapomnieli.
Przepustowość, jakość okablowania, zasięg sieci bezprzewodowej i to, co wystawione jest na zewnątrz. Skargi na wolny internet zaskakująco często okazują się problemem z przełącznikiem albo z jednym kablem.
Konta, uprawnienia, drugi składnik logowania, stan ochrony stacji i dostępy firm zewnętrznych. Prawie zawsze znajdujemy aktywne konta osób, które odeszły z firmy dawno temu.
Nie to, czy backup jest włączony, tylko czy ktokolwiek kiedykolwiek z niego wrócił i po ilu godzinach. Jeśli nikt nie próbował, zapisujemy to jako pierwszy wniosek raportu.
Czym firma faktycznie dysponuje wobec tego, z czego korzysta, i za co płaci bez powodu. To jedyny obszar, w którym audyt potrafi zwrócić się jeszcze przed naprawą czegokolwiek.
Wszystkie stałe opłaty w jednym miejscu: łącza, hosting, subskrypcje, serwis i sprzęt w ratach, razem z datami wypowiedzenia, o których zwykle nikt nie pamięta.
Czego nie robimy: testów penetracyjnych z raportem dla audytora zewnętrznego ani audytu zgodności z RODO od strony prawnej. Pierwsze zamawiamy u wyspecjalizowanego zespołu, gdy okaże się potrzebne, drugie należy do kancelarii. Sprawdzamy natomiast techniczną stronę tego, o co pyta ustawa o krajowym systemie cyberbezpieczeństwa i typowa ankieta od kontrahenta.
Cztery etapy. Pracę wykonujemy zdalnie tam, gdzie się da, i na miejscu tam, gdzie trzeba zajrzeć do szafy.
Rozmowa o tym, po co Wam audyt i komu ma służyć, bo audyt dla ubezpieczyciela wygląda inaczej niż audyt przed wymianą serwerowni. Z tego powstaje zakres i cena, obie z góry, zanim cokolwiek zaczniemy.
Dostępy, konfiguracje, odczyty z urządzeń i wizyta na miejscu przy serwerowni oraz punktach sieci. Pracujemy tak, żeby nie zatrzymywać ludzi, a rozmowy z zespołem ograniczamy do kilkunastu minut na osobę.
Przed napisaniem raportu wracamy z wnioskami do osoby odpowiedzialnej za IT, żeby sprawdzić, czy czegoś nie zrozumieliśmy opacznie. Kilka rzeczy zwykle ma wytłumaczenie, którego nie widać w konfiguracji.
Przekazujemy dokument i przechodzimy go z Wami punkt po punkcie, zwykle w godzinę. Zależy nam, żeby decyzje podejmowała osoba, która rozumie, co jest na liście, a nie żeby raport trafił do szuflady po pierwszym akapicie.
Strony, na które najczęściej przechodzi się po audycie.
Zależy od wielkości środowiska i od tego, komu raport ma służyć, więc cenę podajemy z góry po ustaleniu zakresu, a nie widełkami na stronie. Punkt odniesienia jest taki: przegląd wstępny jest bezpłatny, a cenę pełnego audytu odliczamy od projektu naprawczego zamówionego u nas w ciągu sześćdziesięciu dni.
Od kilku dni przy małym środowisku do kilku tygodni przy rozbudowanym. Pracy nie zatrzymuje, bo większość robimy przez odczyt konfiguracji i dostęp zdalny, poza wizytą przy serwerowni i punktach sieci. Od zespołu potrzebujemy zwykle kilkunastu minut rozmowy na osobę, i to jest cały koszt po Waszej stronie.
Nie do wszystkiego, ale bez dostępu do konfiguracji audyt zmienia się w wywiad, a wtedy równie dobrze może zostać bezpłatnym przeglądem. Pracujemy na kontach z uprawnieniami do odczytu tam, gdzie to wystarcza, podpisujemy umowę o poufności i spisujemy, co dostaliśmy, a po zakończeniu dostępy są odbierane.
Nie taki jest cel i mówimy o tym na starcie, bo od tego zależy, czy ktokolwiek będzie z nami szczerze rozmawiał. Większość rzeczy, które znajdujemy, wynika z braku czasu i budżetu, a nie z czyjejś niekompetencji. Raport opisuje stan środowiska, nie ocenia ludzi, a najlepsze audyty przechodzą te firmy, w których wewnętrzny informatyk traktuje nas jak wsparcie argumentów, o które sam prosił od dwóch lat.
Nie. Raport zostaje u Was w całości, z opisem problemów i możliwych dróg, więc da się go wycenić u dowolnego wykonawcy albo wdrożyć własnymi siłami. Odliczenie ceny audytu od projektu naprawczego jest zachętą, nie warunkiem, a część klientów zamawia u nas wyłącznie audyt i tak to zostaje.
Robimy jego techniczną część: kto ma dostęp do danych, jak są zabezpieczone, czy da się je odtworzyć i czy widać, kto co zrobił. Ocena prawna, czyli podstawy przetwarzania, rejestry czynności i umowy powierzenia, należy do kancelarii albo inspektora ochrony danych i nie udajemy, że to nasze pole.
Przy takiej wielkości zwykle wystarcza bezpłatny przegląd i tak zwykle doradzamy. Pełny audyt zaczyna mieć sens, gdy dochodzi własna serwerownia, kilka lokalizacji, praca zmianowa albo wymóg od kontrahenta. Jeśli po rozmowie uznamy, że u Was audyt byłby przerostem formy, powiemy to zamiast przyjmować zlecenie.
To też jest wynik i zdarza się częściej, niż sugeruje branża. Wtedy raport mówi, że środowisko jest w porządku, wskazuje daty końca wsparcia sprzętu i systemów oraz podaje, co obserwować przez najbliższy rok. Dla firmy, która musi pokazać coś kontrahentowi albo ubezpieczycielowi, taki dokument jest wart dokładnie tyle samo.
30 minut rozmowy o tym, co masz i co przeszkadza w pracy. W ciągu 1 dnia roboczego dostajesz listę ryzyk na jednej stronie i zostaje ona u Ciebie, także jeśli nie pójdziemy dalej razem. Jeśli Twoja sprawa nie jest dla nas, powiemy to od razu i wskażemy kogoś innego.
2019-2026 Interactive Workspace Sp. z o.o. Wszelkie prawa zastrzeżone.