Wyobraź sobie sytuację: jednemu z pracowników zrobiło się nagle słabo, skarży się na duszności i ból w klatce piersiowej. Nikomu nie przyjdzie do głowy, żeby poprosić kolega z sekretariatu o pomoc - dzwonimy po lekarza albo na pogotowie, bo chodzi o zdrowie, może o życie człowieka.
A gdy coś nieoczekiwanego dzieje się z komputerem? Gdy sieć przestaje działać albo serwer nie odpowiada? Tu kolega z sekretariatu, który "trochę zna się na komputerach", nagle wydaje się odpowiednią osobą. Różnica jest oczywiście zasadnicza - w pierwszym przypadku chodzi o zdrowie i życie człowieka. Ale w drugim przypadku chodzi o zdrowie i czasem życie Twojej firmy. I to zagrożenie jest równie realne.
Przekonanie, że IT można ogarnąć samemu albo bez profesjonalisty, to jeden z najczęstszych i najkosztowniejszych błędów, jakie popełniają firmy. Na szczęście świadomość powoli rośnie - coraz więcej przedsiębiorstw sięga po profesjonalne wsparcie informatyczne, rozumiejąc że to nie koszt, lecz inwestycja w bezpieczeństwo i ciągłość działania.
IT to nie jest jedna dziedzina. To dziesiątki dziedzin.
Informatyka - rozumiana jako codzienna obsługa IT w firmie - to nie jeden spójny obszar wiedzy. To zbiór dziesiątek osobnych specjalizacji: administrator sieci, specjalista od bezpieczeństwa, administrator serwerów, inżynier chmurowy, helpdesk, specjalista od Microsoft 365. Każda z tych dziedzin to lata nauki i doświadczenia. Dobry specjalista od bezpieczeństwa IT może nie wiedzieć prawie nic o konfiguracji środowisk chmurowych. Świetny administrator sieci może nie radzić sobie z diagnozowaniem problemów z oprogramowaniem księgowym. To nie kwestia niekompetencji - to kwestia specjalizacji.
Nawet firmy, które specjalizują się w IT zawodowo - takie jak Helpwise - dzielą kompetencje między wielu specjalistów. Jeśli firma IT, która na tym zarabia i ciągle się szkoli, potrzebuje zespołu - to co oznacza próba "ogarnięcia IT" przez osobę, dla której informatyka jest zajęciem dodatkowym?
Można się nauczyć. Ale nie wszystkiego.
Ktoś powie: "Przecież sam prowadzę księgowość i daję radę." To prawda - i jest to dobre porównanie. Prosta księgowość jest dobrze zdefiniowana, ma jasne przepisy i formularze. Gdy sprawy się komplikują, właściciele firm sięgają po biuro rachunkowe. Bo ryzyko błędu jest zbyt duże.
IT wygląda podobnie, ale z dużo mniejszą liczbą rzeczy, które można bezpiecznie zrobić samodzielnie. Ktoś zdeterminowany może nauczyć się skonfigurować router, zainstalować system operacyjny, obsłużyć pocztę e-mail. To absolutna podstawa. Dalej zaczyna się terytorium wymagające specjalistycznej wiedzy: segmentowanie sieci, konfiguracja firewall, zarządzanie certyfikatami, projektowanie backupu który rzeczywiście zadziała, reagowanie na incydenty bezpieczeństwa.
I jest jeszcze jeden wymiar - technologia zmienia się w tempie, które nie ma odpowiednika w innych dziedzinach. Nowe podatności są odkrywane codziennie. Osoba, która "jakoś ogarnia IT" w wolnym czasie, nie ma szans nadążyć.
Można zatrudnić własnego informatyka - ale to nie rozwiązuje wszystkiego
Jeśli firma zdaje sobie sprawę z tego, że IT jest ważne, naturalnym wydaje się pytanie własny pracownik czy outsourcing IT?
Ale własny informatyk to nadal jedna osoba z jej lukami kompetencyjnymi. Idzie na urlop, choruje, odchodzi z pracy - czasem nagle, bez przekazania wiedzy. Kluczowe informacje o firmowych systemach zostają wyłącznie w jego głowie. Gdy odchodzi, firma zostaje z infrastrukturą, której nikt inny nie rozumie.
Do tego dochodzi koszt: etatowy informatyk w Warszawie to dziś 6000-10 000 zł brutto miesięcznie plus ZUS, urlopy i sprzęt. Dla firm, w których IT pełni rolę wspierającą, model outsourcingowy jest zwykle lepszym i tańszym rozwiązaniem.
Co się dzieje, gdy IT jest całkowicie zaniedbane
Wiele firm przez lata ignoruje IT. Komputery się uruchamiają, poczta działa, pliki są gdzieś zapisane. Z zewnątrz wygląda normalnie. Pod powierzchnią narasta jednak szereg problemów.
Systemy przestają być aktualizowane i pojawiają się znane luki bezpieczeństwa, które cyberprzestępcy aktywnie wykorzystują - niekoniecznie dlatego, że ktoś wybrał akurat tę firmę, ale dlatego, że automatyczne skany wykrywają niezabezpieczone systemy i atakują je masowo. Backup albo nie istnieje, albo istnieje tylko pozornie - dysk zewnętrzny, na który ktoś coś kiedyś skopiował. Gdy dochodzi do awarii lub ataku ransomware, firma odkrywa, że jej danych nie da się odzyskać. Tak firmy tracą dane.
Bez kontroli nad hasłami i dostępami firma nie wie, kto ma dostęp do jakich systemów. Były pracownicy mogą nadal mieć aktywne konta. Awarie bez wsparcia IT oznaczają długie przestoje - zamiast kilku godzin potrzebnych specjaliście, firma czeka dni szukając pomocy gdzieś u przypadkowych znajomych. A środowisko IT rośnie chaotycznie, bez spójnej wizji, co z czasem staje się tak głęboko zakorzenione, że jego uporządkowanie wymaga ogromnego wysiłku.
Co się dzieje, gdy IT oddelegujemy pracownikowi bez kompetencji
Wiele firm wybiera drogę pośrednią: wyznacza osobę, która "lepiej zna się na komputerach" i zleca jej opiekę nad infrastrukturą. Taka osoba działa w dobrej wierze i radzi sobie z prostymi problemami. Ale jej wiedza ma granice, których sama często nie zna - a w IT brak wiedzy o zagrożeniu nie oznacza, że zagrożenie nie istnieje.
Konfiguracja sieci wykonana bez odpowiednich kompetencji może wyglądać na działającą latami - i mieć w sobie luki umożliwiające nieautoryzowany dostęp. Backup skonfigurowany przez kogoś, kto nigdy nie testował procesu odtwarzania, może sprawiać pozory bezpieczeństwa aż do momentu, gdy okaże się, że danych nie można przywrócić.
Wokół takiej osoby bardzo często rodzi się shadow IT - nieformalna infrastruktura funkcjonująca poza wiedzą i kontrolą. Gdy ten nieformalny informatyk odchodzi z firmy, zostawia środowisko, którego nikt inny nie rozumie, bez dokumentacji i procedur.
IT to też prawo
RODO obowiązuje każdą firmę, która przetwarza dane osobowe. A przetwarza je praktycznie każda firma, która ma klientów, pracowników lub partnerów. Małe firmy, jednoosobowe działalności, kilkuosobowe spółki - wszystkie mają te same obowiązki i ponoszą taką samą odpowiedzialność za ich naruszenie.
Dane osobowe muszą być przechowywane bezpiecznie, dostęp do nich ograniczony do osób, które go potrzebują, a firma powinna być w stanie wykazać co przetwarza i jak chroni. W przypadku naruszenia bezpieczeństwa jest obowiązek zgłoszenia incydentu do UODO w ciągu 72 godzin. Kary mogą sięgać 20 milionów euro lub 4% rocznego obrotu.
Profesjonalne wsparcie IT pomaga spełniać wymagania RODO na poziomie technicznym: właściwe zarządzanie dostępami, szyfrowanie danych, monitoring środowiska, procedury reagowania na incydenty. Firma bez wsparcia IT bardzo często nie jest w stanie wykazać zgodności z tymi wymaganiami - nawet jeśli w dobrej wierze stara się postępować właściwie.
Jak wygląda to w Helpwise
Obsługujemy firmy z Warszawy i okolic od wielu lat. Widzieliśmy bardzo różne podejścia do IT - od firm z dobrze zorganizowanym środowiskiem, przez te z nieformalnym "firmowym informatykiem", po firmy, które przez lata nie miały żadnego wsparcia i trafiały do nas po poważnym incydencie.
Wnioski są za każdym razem podobne. Firmy, które traktują IT poważnie, działają sprawniej, mają mniej przestojów i są lepiej przygotowane na nieoczekiwane sytuacje. Firmy, które odkładają decyzję "na kiedy będzie więcej czasu", bardzo często trafiają do nas w momencie kryzysu - gdy coś poważnego już się stało.