Sprawne IT nie polega wyłącznie na naprawianiu komputerów. Obejmuje zapewnienie ciągłości działania, ochronę danych, zarządzanie dostępami, obsługę użytkowników, rozwój infrastruktury oraz przygotowanie firmy na awarie i cyberataki.
Po lekturze tego poradnika dowiesz się:
- czym jest zewnętrzna obsługa informatyczna firm i gdzie przebiegają granice jej odpowiedzialności,
- jakie usługi można powierzyć dostawcy IT,
- kiedy outsourcing jest korzystniejszy od zatrudnienia własnego informatyka,
- jak porównać koszty obu modeli,
- co powinny zawierać umowa, SLA i procedura bezpieczeństwa,
- jak wybrać firmę informatyczną i bezpiecznie przeprowadzić zmianę dostawcy,
- w jakich sytuacjach lepszy będzie model wewnętrzny albo hybrydowy.
Czym jest obsługa informatyczna firm?
Obsługa informatyczna firm to zorganizowany zestaw usług, których celem jest utrzymanie, zabezpieczenie i rozwijanie środowiska IT przedsiębiorstwa. Może być realizowana przez pracowników wewnętrznych, zewnętrznego usługodawcę lub zespół łączący oba modele.
Zakres obsługi obejmuje najczęściej:
- wsparcie użytkowników i helpdesk,
- administrację komputerami, serwerami oraz urządzeniami mobilnymi,
- zarządzanie siecią, dostępem do internetu i Wi-Fi,
- obsługę poczty, Microsoft 365 lub Google Workspace,
- zakładanie i usuwanie kont użytkowników,
- aktualizację systemów i aplikacji,
- wykonywanie oraz testowanie kopii zapasowych,
- monitoring infrastruktury,
- ochronę przed złośliwym oprogramowaniem,
- zarządzanie uprawnieniami,
- inwentaryzację sprzętu i licencji,
- wsparcie przy zakupach technologicznych,
- przygotowanie procedur awaryjnych,
- udział w projektach migracyjnych i rozwojowych.
Zewnętrzna obsługa IT, nazywana również outsourcingiem IT lub usługami zarządzanymi, oznacza przekazanie części albo całości tych obowiązków wyspecjalizowanemu dostawcy.
Outsourcing IT a jednorazowy serwis komputerowy
Jednorazowa naprawa komputera nie jest pełną obsługą informatyczną. Serwis reaktywny usuwa konkretną usterkę, natomiast stała opieka IT powinna również zapobiegać problemom.
W dojrzałym modelu dostawca:
- zna środowisko klienta,
- prowadzi dokumentację,
- monitoruje kluczowe systemy,
- planuje aktualizacje,
- kontroluje wykonanie kopii zapasowych,
- obsługuje zgłoszenia według ustalonych priorytetów,
- raportuje jakość usług,
- proponuje działania ograniczające ryzyko.
Różnica sprowadza się więc do podejścia. Serwis odpowiada na awarię, a stała obsługa zarządza środowiskiem IT w całym cyklu jego życia.
Outsourcing IT a zatrudnienie specjalisty
Outsourcing nie oznacza wynajęcia jednej konkretnej osoby. Firma kupuje dostęp do kompetencji zespołu oraz uzgodniony poziom usługi. Dostępność dostawcy nie powinna zależeć od urlopu lub choroby pojedynczego administratora.
Zatrudnienie informatyka oznacza natomiast zbudowanie wewnętrznego stanowiska pracy wraz z kosztami wynagrodzenia, rekrutacji, zastępstw, narzędzi, szkoleń i zarządzania.
Outsourcing IT a body leasing
Body leasing polega na udostępnieniu specjalisty, który pracuje pod kierownictwem klienta. W usługach zarządzanych dostawca odpowiada za realizację określonych procesów lub osiągnięcie uzgodnionego poziomu usług.
W uproszczeniu:
- body leasing dostarcza kompetencje i czas specjalisty,
- outsourcing zadaniowy dostarcza konkretne prace,
- managed services dostarczają ciągłą usługę mierzoną wskaźnikami,
- pełna obsługa IT może obejmować odpowiedzialność za większość środowiska.
Co może obejmować zewnętrzna obsługa IT?
Zakres współpracy powinien wynikać z potrzeb przedsiębiorstwa, a nie z gotowego pakietu oderwanego od jego infrastruktury. Innej opieki potrzebuje biuro rachunkowe, innej zakład produkcyjny, a jeszcze innej firma prowadząca sprzedaż internetową.
Helpdesk i wsparcie użytkowników
Helpdesk jest pierwszym punktem kontaktu dla pracowników zgłaszających problemy techniczne. Zgłoszenia mogą dotyczyć między innymi:
- logowania do systemów,
- poczty elektronicznej,
- komputerów i drukarek,
- połączeń VPN,
- aplikacji biznesowych,
- wideokonferencji,
- dostępu do plików,
- podejrzanych wiadomości,
- konfiguracji nowych stanowisk.
Wsparcie może być świadczone zdalnie, telefonicznie i na miejscu. Istotne jest, aby użytkownik wiedział, gdzie zgłosić problem i kiedy może oczekiwać reakcji.
Administracja infrastrukturą
Administracja obejmuje utrzymanie urządzeń oraz usług niezbędnych do codziennej pracy. Mogą to być:
- komputery i laptopy,
- serwery fizyczne oraz wirtualne,
- urządzenia sieciowe,
- zapory sieciowe,
- drukarki i skanery,
- pamięci masowe,
- systemy monitoringu,
- urządzenia mobilne,
- środowiska chmurowe.
Dostawca powinien znać zależności pomiędzy poszczególnymi elementami. Sama lista urządzeń nie wystarczy, jeżeli nie wiadomo, jakie procesy biznesowe zależą od ich dostępności.
Zarządzanie kontami i dostępami
Obsługa cyklu życia użytkownika zaczyna się przed jego pierwszym dniem pracy i kończy dopiero po skutecznym odebraniu wszystkich dostępów.
Proces powinien obejmować:
- utworzenie konta na podstawie zatwierdzonego wniosku,
- przydzielenie minimalnych potrzebnych uprawnień,
- konfigurację urządzenia i zabezpieczeń,
- zmianę uprawnień po zmianie stanowiska,
- okresowy przegląd dostępów,
- zablokowanie kont po zakończeniu współpracy,
- zabezpieczenie danych i sprzętu po odejściu pracownika.
Brak spójnego procesu zwiększa ryzyko pozostawienia aktywnych kont, nadmiarowych uprawnień lub dostępu byłych współpracowników do danych firmy.
Kopie zapasowe i odtwarzanie danych
Samo wykonywanie backupu nie daje pewności, że dane będzie można odzyskać. Potrzebne są również:
- monitoring wykonania kopii,
- szyfrowanie danych,
- kontrola retencji,
- odseparowanie części kopii od środowiska produkcyjnego,
- testy odtwarzania,
- ustalenie czasu odzyskania,
- wskazanie dopuszczalnej utraty danych.
Przy projektowaniu backupu często wykorzystuje się zasadę 3-2-1-1-0: trzy kopie danych, dwa rodzaje nośników, jedna kopia poza główną lokalizacją, jedna kopia odseparowana lub niezmienna oraz zero błędów potwierdzone testami.
Cyberbezpieczeństwo
Zewnętrzny zespół może odpowiadać za operacyjne elementy bezpieczeństwa, takie jak:
- aktualizacje i zarządzanie podatnościami,
- ochronę urządzeń końcowych,
- konfigurację uwierzytelniania wieloskładnikowego,
- filtrowanie poczty,
- zabezpieczenie sieci,
- monitoring zdarzeń,
- reagowanie na incydenty,
- przegląd uprawnień,
- szkolenia pracowników,
- zarządzanie urządzeniami mobilnymi,
- przygotowanie procedur bezpieczeństwa.
Outsourcing nie przenosi jednak całej odpowiedzialności prawnej i zarządczej na dostawcę. Kierownictwo firmy nadal powinno zatwierdzać poziom ryzyka, priorytety i zasady dostępu do informacji.
Chmura i narzędzia do współpracy
Obsługa środowisk Microsoft 365, Google Workspace i innych usług chmurowych może obejmować:
- konfigurację domen i poczty,
- zarządzanie licencjami,
- ochronę kont,
- polityki udostępniania danych,
- konfigurację urządzeń,
- migrację plików i skrzynek,
- backup danych chmurowych,
- kontrolę kosztów,
- automatyzację prostych procesów.
Przeniesienie danych do chmury nie zwalnia firmy z zarządzania dostępem, konfiguracją ani kopiami zapasowymi. Dostawca chmury zabezpiecza platformę, ale klient nadal odpowiada za sposób korzystania z niej.
Doradztwo i rozwój środowiska
Dobra obsługa IT nie ogranicza się do utrzymania obecnego stanu. Dostawca powinien pomagać w planowaniu:
- wymiany sprzętu,
- migracji systemów,
- zwiększenia bezpieczeństwa,
- skalowania infrastruktury,
- standaryzacji stanowisk,
- optymalizacji licencji,
- automatyzacji procesów,
- budżetu technologicznego.
W większych organizacjach taką funkcję może pełnić zewnętrzny dyrektor IT lub wirtualny CIO, który łączy decyzje technologiczne z celami biznesowymi.
Dlaczego warto powierzyć IT zewnętrznym specjalistom?
Dostęp do zespołu różnych kompetencji
Jedna osoba rzadko jest jednocześnie ekspertem od sieci, chmury, bezpieczeństwa, backupu, urządzeń użytkowników, licencji i aplikacji biznesowych.
Dostawca może skierować do konkretnego problemu odpowiedniego specjalistę. Firma korzysta więc z szerszego zakresu wiedzy bez konieczności budowania wielu etatów.
Większa ciągłość obsługi
W modelu zespołowym urlop, choroba lub odejście pojedynczego pracownika nie powinny zatrzymywać wsparcia. Warunkiem jest prowadzenie aktualnej dokumentacji i przekazywanie wiedzy między osobami obsługującymi klienta.
Dostawca powinien mieć:
- zastępstwa,
- system zgłoszeniowy,
- centralną dokumentację,
- procedury eskalacji,
- harmonogram dyżurów,
- zasady obsługi zdarzeń krytycznych.
Przewidywalność kosztów
Stały abonament ułatwia planowanie budżetu, zwłaszcza jeśli wiadomo, jakie działania są wliczone w cenę, a jakie rozlicza się dodatkowo.
Przewidywalność nie oznacza jednak, że każdy wydatek IT mieści się w abonamencie. Osobno mogą być rozliczane między innymi:
- zakup sprzętu,
- licencje,
- wdrożenia projektowe,
- prace poza godzinami,
- wizyty ponad ustalony limit,
- usługi producentów i operatorów,
- usuwanie skutków poważnych incydentów.
Szybsze wdrażanie standardów
Doświadczony dostawca może wykorzystać procedury sprawdzone w wielu środowiskach. Dotyczy to między innymi:
- konfiguracji nowych komputerów,
- zabezpieczania kont,
- obsługi odejść pracowników,
- zarządzania aktualizacjami,
- monitorowania backupu,
- klasyfikacji zgłoszeń,
- inwentaryzacji zasobów.
Standaryzacja zmniejsza liczbę przypadkowych konfiguracji i ułatwia późniejsze utrzymanie systemów.
Proaktywne ograniczanie awarii
Outsourcing daje największą wartość, kiedy usługodawca wykrywa problemy przed użytkownikami. Monitoring może ostrzegać o:
- kończącym się miejscu na dysku,
- błędach backupu,
- niedostępności usług,
- wygasających certyfikatach,
- przeciążeniu zasobów,
- nieaktualnych systemach,
- nietypowych zdarzeniach bezpieczeństwa.
Nie każdej awarii można zapobiec, ale wczesne wykrycie często ogranicza jej zasięg i czas trwania.
Lepsza skalowalność
Wzrost liczby pracowników, otwarcie oddziału lub migracja do nowego systemu może okresowo wymagać większego zespołu. Dostawca ma możliwość zwiększenia liczby specjalistów bez prowadzenia przez klienta kolejnej rekrutacji.
Trzeba jednak sprawdzić, czy zasady skalowania są zapisane w umowie i czy dostawca rzeczywiście dysponuje wolnymi zasobami.
Dostęp do dokumentacji i raportów
Profesjonalna obsługa powinna pozostawiać po sobie uporządkowaną wiedzę:
- spis urządzeń,
- listę systemów i licencji,
- diagram sieci,
- rejestr administratorów,
- procedury awaryjne,
- historię zmian,
- raporty ze zgłoszeń,
- wyniki testów odtwarzania.
Dokumentacja zmniejsza zależność od konkretnych osób i ułatwia audyty, rozwój oraz zmianę usługodawcy.
Outsourcing IT a własny dział informatyczny
Nie istnieje jeden model odpowiedni dla każdej organizacji. Wybór zależy od skali, branży, wymaganego czasu reakcji, znaczenia systemów oraz dostępnych kompetencji.
Kryterium | Zewnętrzna obsługa IT | Własny specjalista lub dział IT | Model hybrydowy |
|---|---|---|---|
Dostęp do wielu kompetencji | Zwykle wysoki | Zależny od wielkości zespołu | Wysoki przy dobrym podziale ról |
Znajomość codziennych procesów firmy | Wymaga wdrożenia dostawcy | Zwykle bardzo dobra | Bardzo dobra |
Dostępność zastępstw | Powinna wynikać z organizacji dostawcy | Ograniczona przy małym zespole | Dobra |
Kontrola operacyjna | Pośrednia, regulowana umową | Bezpośrednia | Podzielona |
Przewidywalność kosztów | Wysoka przy jasnym zakresie | Średnia | Średnia lub wysoka |
Szybkość skalowania | Zwykle dobra | Zależna od rekrutacji | Dobra |
Obsługa wiedzy specyficznej dla firmy | Wymaga dokumentacji i współpracy | Łatwiejsza do utrzymania wewnątrz | Część wiedzy pozostaje w firmie |
Ryzyko zależności od jednej osoby | Niskie przy dojrzałym dostawcy | Wysokie przy jednym informatyku | Niskie |
Sprawy strategiczne | Wymagają zaangażowania zarządu | Mogą być prowadzone wewnętrznie | Naturalny podział odpowiedzialności |
Najlepsze zastosowanie | Małe i średnie firmy, standaryzacja usług | Organizacje z dużą skalą lub systemami specjalistycznymi | Firmy o wysokich wymaganiach i złożonym środowisku |
Kiedy własny dział IT może być lepszy?
Wewnętrzny zespół może być uzasadniony, gdy:
- systemy informatyczne stanowią główny produkt firmy,
- potrzebna jest stała obecność specjalistów na miejscu,
- infrastruktura jest bardzo niestandardowa,
- organizacja działa w trybie ciągłym,
- wiedza technologiczna stanowi przewagę konkurencyjną,
- skala działalności uzasadnia zatrudnienie wielu specjalistów,
- firma musi zachować wyjątkowo ścisłą kontrolę nad określonymi procesami.
Nawet wtedy wybrane obszary, takie jak monitoring bezpieczeństwa, audyty, testy penetracyjne czy wsparcie producenta, mogą być realizowane zewnętrznie.
Na czym polega model hybrydowy?
W modelu hybrydowym firma zachowuje wewnętrzną osobę odpowiedzialną za priorytety, relacje z biznesem i systemy branżowe, a dostawca realizuje zadania wymagające większej skali lub specjalistycznych kompetencji.
Przykładowy podział:
- wewnętrzny koordynator: strategia, budżet, aplikacje biznesowe i kontakt z zarządem,
- dostawca: helpdesk, infrastruktura, monitoring, backup i bezpieczeństwo,
- dodatkowi eksperci: audyty, zgodność, testy bezpieczeństwa oraz projekty migracyjne.
Ile kosztuje zewnętrzna obsługa informatyczna?
Cena zależy nie tylko od liczby pracowników. Dwie firmy zatrudniające po 50 osób mogą mieć zupełnie inne potrzeby, jeżeli jedna korzysta wyłącznie z aplikacji chmurowych, a druga utrzymuje produkcję, serwery lokalne i kilka oddziałów.
Na koszt wpływają między innymi:
- liczba użytkowników i urządzeń,
- liczba lokalizacji,
- godziny dostępności pomocy,
- oczekiwany czas reakcji,
- zakres wizyt na miejscu,
- liczba serwerów i usług chmurowych,
- poziom standaryzacji środowiska,
- wymagania bezpieczeństwa,
- zakres monitoringu,
- obowiązki dokumentacyjne,
- obsługa systemów branżowych,
- prace projektowe,
- odpowiedzialność za kontakt z innymi dostawcami.
Najczęstsze modele rozliczeń
Abonament za użytkownika
Cena jest uzależniona od liczby obsługiwanych osób. Model jest czytelny, ale trzeba sprawdzić, ile urządzeń i usług przypada na użytkownika.
Abonament za urządzenie
Osobno rozliczane są komputery, serwery, urządzenia sieciowe lub telefony. Model sprawdza się tam, gdzie liczba urządzeń dobrze odzwierciedla nakład pracy.
Pakiet godzin
Firma kupuje określoną liczbę godzin miesięcznie. Niewykorzystane godziny mogą przepadać albo przechodzić na kolejny okres. Jest to rozwiązanie łatwe do wdrożenia, lecz słabiej wspiera odpowiedzialność za wynik.
Stały abonament za zakres usług
Dostawca wycenia całą usługę na podstawie inwentaryzacji i oczekiwanego poziomu SLA. Ten model może być najbardziej przewidywalny, pod warunkiem precyzyjnego zdefiniowania wyłączeń.
Rozliczenie mieszane
Stały abonament obejmuje utrzymanie i helpdesk, natomiast projekty oraz większe zmiany są rozliczane oddzielnie.
Jak policzyć całkowity koszt IT?
Porównując outsourcing z etatem, nie należy zestawiać faktury wyłącznie z wynagrodzeniem pracownika.
Całkowity koszt wewnętrznej obsługi może obejmować:
- wynagrodzenie i koszty pracodawcy,
- rekrutację,
- urlopy i zastępstwa,
- szkolenia i certyfikacje,
- narzędzia administracyjne,
- system zgłoszeniowy,
- monitoring,
- sprzęt służbowy,
- dyżury i nadgodziny,
- dodatkowych ekspertów,
- koszt przestojów,
- ryzyko utraty wiedzy po odejściu pracownika.
Całkowity koszt outsourcingu to z kolei:
- abonament,
- opłaty za licencje i narzędzia,
- prace poza zakresem,
- projekty,
- wizyty dodatkowe,
- koszty wdrożenia,
- wydatki związane z zakończeniem współpracy lub migracją.
Najtańsza oferta nie zawsze oznacza najniższy koszt. Niska cena może wynikać z ograniczonego zakresu, braku monitoringu, dużej liczby wyłączeń albo reaktywnego sposobu pracy.
SLA – co powinno określać?
SLA, czyli umowa o poziomie świadczenia usług, określa mierzalne parametry obsługi. Powinno być dopasowane do znaczenia poszczególnych systemów dla działalności firmy.
Czas reakcji a czas rozwiązania
Czas reakcji oznacza, po jakim czasie dostawca rozpocznie obsługę zgłoszenia. Nie jest równoznaczny z terminem usunięcia problemu.
Czas rozwiązania może zależeć od:
- dostępności części,
- odpowiedzi producenta,
- operatora internetu,
- dostępu do lokalizacji,
- skali incydentu,
- decyzji klienta,
- konieczności odtworzenia danych.
Umowa powinna osobno regulować czas reakcji, podjęcia diagnostyki, obejścia problemu i docelowego rozwiązania.
Priorytety zgłoszeń
Przykładowa klasyfikacja:
- P1 – krytyczne: niedostępność kluczowego systemu, zatrzymanie działalności lub poważny incydent bezpieczeństwa,
- P2 – wysokie: istotne utrudnienie pracy wielu osób bez skutecznego obejścia,
- P3 – standardowe: problem pojedynczego użytkownika lub usługi z dostępnym obejściem,
- P4 – niskie: pytanie, drobna zmiana lub zadanie planowe.
Priorytet powinien wynikać z wpływu na biznes i pilności, a nie wyłącznie z subiektywnej oceny osoby zgłaszającej.
Elementy dobrego SLA
SLA powinno określać:
- godziny dostępności,
- kanały przyjmowania zgłoszeń,
- czasy reakcji,
- klasy priorytetów,
- zasady eskalacji,
- dostępność pomocy poza godzinami,
- planowane okna serwisowe,
- sposób raportowania,
- odpowiedzialność obu stron,
- wyłączenia,
- zasady obsługi podwykonawców,
- konsekwencje niedotrzymania parametrów.
Bezpieczeństwo danych przy outsourcingu IT
Powierzenie obsługi zewnętrznemu zespołowi daje mu szeroki dostęp administracyjny. Dlatego wybór dostawcy powinien być traktowany jako decyzja dotycząca bezpieczeństwa, a nie tylko zakupu pomocy technicznej.
Podział odpowiedzialności
Firma powinna wiedzieć, kto odpowiada za:
- zatwierdzanie nowych kont,
- przyznawanie uprawnień,
- backup i testy odtworzeniowe,
- aktualizacje,
- monitoring alertów,
- reakcję na incydenty,
- kontakt z ubezpieczycielem lub organami,
- komunikację z pracownikami i klientami,
- decyzję o wyłączeniu systemu,
- dokumentowanie naruszeń.
Dostawca może realizować działania techniczne, ale decyzje biznesowe powinny pozostawać po stronie upoważnionych osób w organizacji.
RODO i powierzenie danych
Jeżeli usługodawca ma dostęp do danych osobowych, może być konieczne zawarcie umowy powierzenia przetwarzania danych. Należy określić między innymi:
- przedmiot i czas przetwarzania,
- rodzaje danych,
- kategorie osób,
- stosowane zabezpieczenia,
- zasady korzystania z podwykonawców,
- obowiązki po zakończeniu współpracy,
- wsparcie przy realizacji praw osób,
- sposób zgłaszania incydentów.
W przypadku naruszenia ochrony danych administrator może mieć zaledwie 72 godziny na zgłoszenie go organowi nadzorczemu. Procedura współpracy z dostawcą musi więc działać szybciej niż formalny termin.
Konta uprzywilejowane
Dostęp administratorów powinien być:
- nadawany imiennie,
- chroniony uwierzytelnianiem wieloskładnikowym,
- ograniczony do niezbędnego zakresu,
- rejestrowany,
- okresowo przeglądany,
- odbierany natychmiast po zmianie roli,
- oddzielony od kont używanych do poczty i codziennej pracy.
Nie należy opierać administracji na jednym współdzielonym haśle znanym wielu osobom.
Prawo do audytu i zakończenie współpracy
Umowa powinna umożliwiać ocenę sposobu zabezpieczenia danych. Musi również określać procedurę wyjścia, w tym:
- przekazanie dokumentacji,
- zwrot danych,
- usunięcie kopii pozostających u dostawcy,
- odebranie dostępów,
- przekazanie kont administracyjnych,
- eksport konfiguracji,
- współpracę z nowym usługodawcą.
Dobra procedura wyjścia chroni firmę przed uzależnieniem od jednego dostawcy.
Jak wybrać firmę świadczącą obsługę IT?
Zacznij od audytu potrzeb
Przed wysłaniem zapytania ofertowego warto określić:
- liczbę użytkowników i urządzeń,
- lokalizacje,
- używane systemy,
- krytyczne procesy,
- wymagane godziny wsparcia,
- obecne problemy,
- poziom bezpieczeństwa,
- planowane zmiany,
- oczekiwany budżet.
Bez tych informacji oferty mogą obejmować różne zakresy i być trudne do porównania.
Pytania, które warto zadać dostawcy
- Kto będzie obsługiwać zgłoszenia i jakie ma kompetencje?
- Jak organizowane są zastępstwa?
- Czy dostawca prowadzi system zgłoszeniowy?
- Jak mierzy czas reakcji i rozwiązania?
- Jak wygląda eskalacja problemów krytycznych?
- Czy prowadzi dokumentację klienta?
- Jak zabezpiecza konta administracyjne?
- Czy stosuje uwierzytelnianie wieloskładnikowe?
- Jak kontroluje swoich pracowników i podwykonawców?
- Jak wygląda obsługa poza godzinami pracy?
- Które działania nie są objęte abonamentem?
- Jak przebiega zakończenie współpracy?
- Czy dokumentacja i konta pozostają własnością klienta?
- W jaki sposób raportowane są wyniki?
- Jak przeprowadzane są testy odtwarzania danych?
Sygnały ostrzegawcze
Ostrożność powinny wzbudzić:
- brak inwentaryzacji przed wyceną,
- nieprecyzyjny zakres usługi,
- deklaracja „wszystko bez limitu” bez wyłączeń,
- brak systemu zgłoszeniowego,
- brak uwierzytelniania wieloskładnikowego,
- używanie wspólnych kont administratorów,
- brak procedury przekazania dokumentacji,
- niejasne zasady korzystania z podwykonawców,
- brak raportów,
- uzależnienie całej obsługi od jednej osoby,
- niechęć do opisania procedury awaryjnej,
- przechowywanie haseł w niezabezpieczonych plikach.
Pilotaż zamiast natychmiastowego pełnego wdrożenia
Jeżeli skala lub ryzyko są duże, współpracę można rozpocząć od ograniczonego zakresu, na przykład:
- helpdesku dla jednej lokalizacji,
- monitoringu serwerów,
- obsługi Microsoft 365,
- backupu,
- administracji wybraną grupą urządzeń.
Pilotaż pozwala ocenić komunikację, jakość dokumentacji i sposób reagowania bez przekazywania całego środowiska od pierwszego dnia.
Jak przebiega wdrożenie zewnętrznej obsługi IT?
1. Inwentaryzacja
Dostawca identyfikuje urządzenia, systemy, konta, licencje, umowy, operatorów i zależności biznesowe.
2. Ocena ryzyka
Sprawdzane są między innymi aktualizacje, backup, dostęp administratorów, zabezpieczenia poczty i urządzeń, ciągłość działania oraz braki dokumentacyjne.
3. Ustalenie zakresu i odpowiedzialności
Powstaje macierz wskazująca, kto wykonuje zadanie, kto je zatwierdza, z kim należy się konsultować i kogo informować.
4. Przejęcie dostępów
Konta powinny być przekazywane w kontrolowany sposób. Wspólne hasła należy zmienić, a dostęp byłego dostawcy odebrać po zakończeniu migracji.
5. Uruchomienie narzędzi
Wdrażane mogą być systemy do obsługi zgłoszeń, monitoringu, zarządzania urządzeniami, ochrony stacji roboczych i dokumentacji.
6. Usunięcie problemów krytycznych
Najpierw należy zająć się ryzykami mogącymi doprowadzić do utraty danych, przejęcia kont lub zatrzymania działalności. Nie wszystkie zaległości powinny być naprawiane jednocześnie.
7. Standaryzacja
Dostawca porządkuje konfiguracje, nazewnictwo, polityki bezpieczeństwa, procedury i cykl życia urządzeń.
8. Raportowanie i doskonalenie
Po okresie stabilizacji analizowane są wskaźniki, powtarzające się problemy i plan rozwoju środowiska.
Jak mierzyć jakość obsługi IT?
Liczba zamkniętych zgłoszeń nie daje pełnego obrazu. Dostawca może szybko zamykać proste sprawy, a jednocześnie nie rozwiązywać problemów źródłowych.
Przydatne wskaźniki to:
- średni czas pierwszej reakcji,
- średni czas rozwiązania,
- odsetek spraw rozwiązanych przy pierwszym kontakcie,
- liczba zgłoszeń ponownie otwartych,
- liczba powtarzających się incydentów,
- dostępność kluczowych usług,
- skuteczność wykonywania kopii zapasowych,
- wyniki testów odtwarzania,
- poziom aktualności urządzeń,
- liczba urządzeń objętych monitoringiem,
- satysfakcja użytkowników,
- liczba incydentów według kategorii,
- realizacja działań zapobiegawczych.
Wskaźniki należy interpretować w kontekście. Wzrost liczby zgłoszeń może oznaczać pogorszenie jakości, ale może też wynikać z tego, że pracownicy zaczęli korzystać z uporządkowanego kanału pomocy.
Najczęstsze błędy przy outsourcingu IT
Wybór wyłącznie na podstawie ceny
Oferta może być tańsza, ponieważ nie obejmuje monitoringu, bezpieczeństwa, dokumentacji, wizyt lub prac poza godzinami. Należy porównywać zakresy, a nie tylko kwoty.
Brak właściciela IT po stronie firmy
Outsourcing nie oznacza braku odpowiedzialności klienta. Ktoś w organizacji powinien ustalać priorytety, zatwierdzać wydatki i podejmować decyzje dotyczące ryzyka.
Nieprecyzyjna umowa
Sformułowanie „kompleksowa obsługa informatyczna” nie wyjaśnia, jakie usługi są objęte abonamentem. Potrzebne są katalog usług, SLA, wyłączenia i macierz odpowiedzialności.
Brak dokumentacji
Jeżeli cała wiedza znajduje się w głowie opiekuna, firma nadal jest zależna od jednej osoby. Dokumentacja powinna być aktualizowana i dostępna dla klienta.
Mylenie reakcji z rozwiązaniem
Deklaracja reakcji w 15 minut nie oznacza usunięcia awarii w tym czasie. Oba parametry należy analizować oddzielnie.
Brak testów backupu
Zielony status zadania backupowego nie potwierdza możliwości odtworzenia kompletnego systemu. Potrzebne są regularne testy i raporty.
Nadawanie zbyt szerokich dostępów
Dostawca nie zawsze potrzebuje stałego dostępu do wszystkich systemów. Uprawnienia powinny wynikać z roli i być okresowo weryfikowane.
Brak planu wyjścia
Firma powinna od początku wiedzieć, jak odzyska dokumentację, dane i kontrolę nad kontami po zakończeniu współpracy.
Mity dotyczące zewnętrznej obsługi informatycznej
Mit: zewnętrzna firma zawsze jest tańsza
Outsourcing często poprawia relację kosztu do zakresu kompetencji, ale nie musi być nominalnie najtańszym rozwiązaniem. Usługa z wysokim poziomem dostępności i bezpieczeństwa może kosztować więcej niż podstawowa pomoc jednego informatyka.
Mit: dostawca przejmuje całą odpowiedzialność
Dostawca odpowiada za zakres określony w umowie. Zarząd nadal odpowiada za decyzje, zgodność, akceptację ryzyka i zapewnienie odpowiednich zasobów.
Mit: chmura nie wymaga administracji
Usługi chmurowe wymagają zarządzania kontami, licencjami, zabezpieczeniami, konfiguracją udostępniania, urządzeniami i kopiami danych.
Mit: mała firma nie jest celem cyberataków
Ataki są często zautomatyzowane i nie zależą od rozpoznawalności marki. Małe firmy mogą być atrakcyjne ze względu na słabsze zabezpieczenia oraz dostęp do danych klientów i partnerów.
Mit: szybki informatyk nie potrzebuje procedur
Bez procedur rośnie ryzyko przypadkowych zmian, niepełnej dokumentacji i niekontrolowanych dostępów. Szybkość powinna wynikać ze standardów, a nie z omijania kontroli.
Mit: umowa „bez limitu” rozwiązuje problem kosztów
Każda usługa ma granice. Należy sprawdzić limity uczciwego wykorzystania, wyłączenia, godziny pracy oraz zasady rozliczania projektów.
Liczby i statystyki ważne dla firm
Poniższe dane pokazują skalę ryzyka, ale nie powinny być bezpośrednio używane do wyliczania prawdopodobieństwa incydentu w konkretnej firmie. Wyniki zależą od branży, kraju, wielkości organizacji oraz metodologii badania.
- W 2024 roku średni globalny koszt naruszenia danych oszacowano na około 4,88 mln USD, co oznaczało wzrost o około 10% rok do roku.
- W analizach naruszeń opublikowanych w 2024 roku czynnik ludzki był obecny w około 68% przypadków. Obejmował między innymi błędy, wykorzystanie danych logowania i działania socjotechniczne.
- W międzynarodowym badaniu z 2024 roku około 59% ankietowanych organizacji deklarowało, że w poprzednich dwunastu miesiącach zostało dotkniętych ransomware.
- W tym samym badaniu około 56% organizacji, których dane zaszyfrowano, zdecydowało się zapłacić okup. Zapłata nie gwarantowała jednak pełnego i szybkiego odzyskania zasobów.
- Administrator danych osobowych może mieć tylko 72 godziny od stwierdzenia naruszenia na zgłoszenie go organowi nadzorczemu, jeżeli spełnione są ustawowe przesłanki.
- Maksymalna administracyjna kara pieniężna za najpoważniejsze naruszenia RODO może wynieść do 20 mln euro albo do 4% całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego – stosuje się wyższą wartość.
- Dobra praktyka backupu 3-2-1-1-0 zakłada trzy kopie danych, dwa rodzaje nośników, jedną kopię poza główną lokalizacją, jedną odseparowaną lub niezmienną oraz brak błędów potwierdzony testami.
W praktyce ważniejsze od średnich rynkowych jest ustalenie, ile kosztowałaby firmę godzina lub dzień niedostępności konkretnego systemu. Taka kalkulacja pozwala dobrać adekwatny poziom SLA, backupu i zabezpieczeń.
Tabela decyzyjna: jaki model obsługi IT wybrać?
Sytuacja firmy | Rekomendowany model | Dlaczego |
|---|---|---|
Do 20–30 użytkowników, standardowe narzędzia biurowe | Zewnętrzna obsługa IT | Dostęp do wielu kompetencji bez budowania kilku etatów |
Firma rośnie i regularnie zatrudnia pracowników | Outsourcing lub model hybrydowy | Łatwiejsze skalowanie i standaryzacja stanowisk |
Organizacja ma jednego przeciążonego informatyka | Model hybrydowy | Zachowanie wiedzy wewnętrznej i zapewnienie zastępstw |
Firma działa w kilku lokalizacjach | Dostawca z obsługą zdalną i lokalną | Jeden punkt kontaktu i wspólne standardy |
IT jest podstawowym produktem przedsiębiorstwa | Własny dział wspierany przez ekspertów zewnętrznych | Kluczowe kompetencje pozostają wewnątrz |
Środowisko jest mocno niestandardowe | Model hybrydowy | Wiedza branżowa pozostaje w firmie, a utrzymanie może być delegowane |
Firma wymaga wsparcia całodobowego | Dostawca z potwierdzonym trybem 24/7 lub własne dyżury | Konieczne są formalne zastępstwa i eskalacja |
Głównym problemem są powtarzające się awarie | Usługa zarządzana z monitoringiem | Potrzebne jest usuwanie przyczyn, nie tylko skutków |
Firma ma wysokie wymagania regulacyjne | Model hybrydowy i wyspecjalizowani dostawcy | Potrzebna jest kontrola wewnętrzna oraz eksperckie wsparcie |
Firma potrzebuje pomocy kilka razy w roku | Serwis na żądanie lub mały pakiet godzin | Pełny abonament może być nieuzasadniony |
Brakuje dokumentacji i kontroli nad dostępami | Audyt i uporządkowanie środowiska przed stałą obsługą | Najpierw trzeba odzyskać wiedzę i kontrolę |
Planowana jest duża migracja lub wdrożenie | Projekt IT, a następnie stałe utrzymanie | Projekt i bieżąca obsługa wymagają innego sposobu zarządzania |
Jak przygotować firmę do rozmowy z dostawcą?
Przed wyborem partnera warto zgromadzić podstawowe informacje:
- liczbę użytkowników,
- listę lokalizacji,
- wykaz urządzeń,
- listę systemów i dostawców,
- licencje,
- opis najczęstszych problemów,
- informacje o backupie,
- wymagane godziny wsparcia,
- krytyczne terminy i okresy działalności,
- plan zatrudnienia i rozwoju,
- obowiązujące wymagania prawne oraz umowne.
Nie trzeba mieć kompletnej dokumentacji. Jeżeli jej brakuje, pierwszym etapem współpracy może być audyt zerowy i inwentaryzacja.
Proponowane klastry treści do dalszego linkowania
Pillar page może kierować użytkowników do bardziej szczegółowych poradników, takich jak:
- Outsourcing IT – modele, zalety i ryzyka
- Ile kosztuje obsługa informatyczna firmy?
- Co powinno zawierać SLA dla usług IT?
- Jak wybrać firmę informatyczną?
- Audyt IT – zakres i przebieg
- Backup firmowy – jak zaprojektować kopie zapasowe?
- Helpdesk IT – organizacja i najważniejsze wskaźniki
- Cyberbezpieczeństwo małej i średniej firmy
- Microsoft 365 dla firm – bezpieczeństwo i administracja
- Jak bezpiecznie zmienić dostawcę IT?
- Onboarding i offboarding pracownika w systemach IT
- Dokumentacja infrastruktury informatycznej
- Plan ciągłości działania i odtwarzania po awarii
- Własny informatyk czy outsourcing IT?
FAQ – najczęstsze pytania o obsługę informatyczną firm
Czy outsourcing IT opłaca się małej firmie?
Tak, jeżeli firma potrzebuje regularnej pomocy, bezpieczeństwa, backupu i administracji, ale nie ma uzasadnienia dla budowania kilkuosobowego zespołu. Przy sporadycznych problemach wystarczający może być serwis na żądanie.
Czy zewnętrzna firma może obsługiwać pracowników zdalnie?
Tak. Większość typowych zgłoszeń można rozwiązać zdalnie. Wizyty są potrzebne przy awariach sprzętowych, pracach instalacyjnych, problemach z siecią lub zadaniach wymagających fizycznego dostępu.
Czy outsourcing oznacza rezygnację z własnego informatyka?
Nie. Często najlepszym rozwiązaniem jest model hybrydowy, w którym pracownik wewnętrzny zna procesy biznesowe, a zewnętrzny zespół zapewnia helpdesk, monitoring i kompetencje specjalistyczne.
Jak szybko dostawca powinien reagować na awarie?
Zależy to od wpływu problemu na działalność. Awaria zatrzymująca pracę całej firmy wymaga innego czasu reakcji niż problem pojedynczego użytkownika. Parametry powinny być zapisane w SLA.
Czy abonament obejmuje wszystkie prace?
Nie zawsze. Trzeba sprawdzić katalog usług i wyłączenia. Projekty, zakupy sprzętu, prace nocne, dodatkowe wizyty oraz obsługa skutków poważnych incydentów mogą być rozliczane oddzielnie.
Kto odpowiada za dane po przekazaniu IT zewnętrznej firmie?
Zakres odpowiedzialności operacyjnej określa umowa, ale klient nadal odpowiada za decyzje biznesowe i obowiązki wynikające z przepisów. W przypadku danych osobowych może być potrzebna umowa powierzenia przetwarzania.
Czy dostawca powinien mieć dostęp do wszystkich systemów?
Nie. Powinien otrzymać wyłącznie dostęp potrzebny do realizacji zadań. Uprawnienia administratorów muszą być kontrolowane, rejestrowane i okresowo przeglądane.
Jak sprawdzić, czy backup działa?
Należy analizować raporty z wykonania kopii i przeprowadzać testy odtwarzania. Sam komunikat o poprawnym zakończeniu backupu nie gwarantuje możliwości odzyskania systemu.
Do kogo należy dokumentacja infrastruktury?
Najbezpieczniej, gdy umowa jasno wskazuje, że dokumentacja dotycząca środowiska klienta jest mu na bieżąco udostępniana i zostanie przekazana po zakończeniu współpracy.
Jak długo trwa przejęcie obsługi IT?
Proste środowisko można przejąć w ciągu kilku dni lub tygodni. Złożona infrastruktura, wiele oddziałów, braki dokumentacyjne i systemy branżowe mogą wydłużyć proces do kilku miesięcy.
Czy można zmienić dostawcę bez przestoju?
Tak, jeżeli istnieją aktualna dokumentacja, kontrola nad kontami, procedura wyjścia i okres przekazania wiedzy. Największe ryzyko pojawia się wtedy, gdy były dostawca jest jedynym posiadaczem haseł lub konfiguracji.
Jak często dostawca powinien raportować?
Najczęściej raporty przygotowuje się co miesiąc lub co kwartał. Zdarzenia krytyczne i incydenty bezpieczeństwa powinny być komunikowane niezwłocznie, zgodnie z procedurą eskalacji.
Co powinno znaleźć się w miesięcznym raporcie?
Raport może obejmować liczbę zgłoszeń, czasy reakcji, dostępność systemów, stan backupu, aktualizacje, incydenty, wykorzystanie licencji, wykonane zmiany oraz rekomendacje.
Czy zewnętrzna obsługa IT poprawia bezpieczeństwo?
Może je poprawić, jeśli dostawca wdraża monitoring, aktualizacje, kontrolę dostępów, backup i procedury reagowania. Samo podpisanie umowy nie zwiększa bezpieczeństwa. Decydują faktycznie realizowane działania.
Od czego zacząć outsourcing IT?
Od inwentaryzacji, określenia krytycznych procesów i ustalenia oczekiwań. Następnie należy porównać zakresy usług, SLA, zabezpieczenia dostawców oraz procedury zakończenia współpracy.
Podsumowanie
Zewnętrzna obsługa informatyczna pozwala firmie korzystać z kompetencji całego zespołu, zwiększyć ciągłość wsparcia i uporządkować koszty IT. Największą wartość przynosi wtedy, gdy obejmuje nie tylko naprawianie awarii, lecz także monitoring, dokumentację, bezpieczeństwo, backup i planowanie rozwoju.
Outsourcing nie powinien oznaczać utraty kontroli. Skuteczna współpraca wymaga jasno określonego zakresu, mierzalnego SLA, bezpiecznego zarządzania dostępami, raportowania oraz procedury zakończenia usługi.
Dla wielu małych i średnich firm najlepszym rozwiązaniem będzie stała opieka zewnętrzna. Organizacje posiadające specjalistyczne systemy lub rozbudowane procesy mogą więcej zyskać na modelu hybrydowym. Decyzję warto podejmować na podstawie znaczenia IT dla działalności, kosztu przestojów, wymaganego poziomu bezpieczeństwa i realnego całkowitego kosztu każdego wariantu.
2 comments