Firma informatyczna

Kto po naszej stronie odpowiada za Wasze środowisko?

Firmę informatyczną od pojedynczego wykonawcy odróżnia przede wszystkim to, że praca jest podzielona na role. Zgłoszenie o zablokowanym koncie i awaria macierzy w serwerze wymagają innej wiedzy, innych uprawnień i innego tempa, więc nie trafiają do tej samej osoby.

Rola	Za co odpowiada	Typowa sprawa
Pierwsza linia	przyjmuje zgłoszenia, obsługuje sprawy użytkowników, pilnuje terminów	zablokowane konto, drukarka, uprawnienia do folderu, Microsoft 365
Serwery i wirtualizacja	Windows Server, Linux, Proxmox VE, VMware, Active Directory, kopie w Veeam	zapełniony wolumen, nieudane zadanie kopii, migracja maszyny
Sieć	MikroTik, UniFi, Fortinet, dostęp zdalny, podział na sieci wydzielone	zrywające się łącze, nowa lokalizacja, tunel do oddziału
Bezpieczeństwo	ochrona stacji w Sophos lub Bitdefender, uwierzytelnianie wieloskładnikowe, przegląd uprawnień	podejrzana wiadomość, logowanie z nietypowego kraju
Opiekun umowy	zna kontekst biznesowy, prowadzi raport, planuje wymiany sprzętu	budżet na przyszły rok, decyzja o wymianie serwera

Nie chodzi o to, że jedna osoba jest gorsza. Chodzi o to, że te obszary rozjechały się na tyle, że trudno trzymać wszystkie naraz na poziomie, który wystarcza w dniu awarii. Dlatego zgłoszenie idzie do roli, a nie do znajomego numeru, a przy poważniejszym zdarzeniu nad sprawą pracuje kilka ról naraz.

Co się dzieje, gdy z zespołu odchodzi osoba, która znała Waszą firmę?

Ludzie zmieniają pracę wszędzie, u dostawcy IT również. Różnica polega na tym, co po nich zostaje.

Opis Waszego środowiska powstaje od pierwszego tygodnia: schemat sieci, wykaz serwerów i maszyn wirtualnych, konfiguracje urządzeń brzegowych, zależności między systemami oraz historia zgłoszeń. To nie jest dokument robiony raz do roku pod audyt, tylko zapis aktualizowany przy każdej zmianie, bo w pierwszej kolejności służy nam samym.

Odejście uruchamia procedurę po naszej stronie. Konta imienne gasną w dniu zakończenia pracy, hasła do Waszych systemów, które ta osoba znała, idą do zmiany, a dostęp do sejfu haseł zostaje odebrany. Wy dowiadujecie się, kto od tej pory prowadzi środowisko. Z Waszej perspektywy zmienia się nazwisko w raporcie, a nie poziom obsługi.

Jakie umowy podpisujemy przed pierwszym logowaniem?

Trzy dokumenty i wszystkie trzy przed uzyskaniem jakiegokolwiek dostępu.

1. Umowa o świadczenie usług. Zakres, gwarantowany czas reakcji liczony od poniedziałku do piątku w godzinach 8:00 do 18:00, monitoring infrastruktury pracujący całą dobę jako osobna warstwa, dyżur poza godzinami helpdesku jako osobno płatna usługa wyceniana indywidualnie, czas trwania i okres wypowiedzenia oraz lista tego, co jest poza abonamentem.
2. Umowa powierzenia przetwarzania danych osobowych. Dostęp do serwera plików, poczty i systemu kadrowego jest przetwarzaniem danych, nawet jeśli nikt tych plików nie otwiera.
3. Zobowiązanie do poufności. Obejmuje nie tylko dane osobowe, ale też cenniki, umowy, technologie i wszystko, co widać przy okazji pracy w środowisku klienta.

Umowa jest zawierana z firmą, a nie z konkretnym człowiekiem, więc zobowiązania nie znikają razem z jego wypowiedzeniem.

Kto jest administratorem danych, a kto podmiotem przetwarzającym?

Administratorem jesteście Wy, my jesteśmy podmiotem przetwarzającym i działamy na Wasze udokumentowane polecenie. To rozróżnienie ma praktyczne skutki i lepiej je znać przed audytem niż w jego trakcie.

Kwestia	Wy jako administrator	My jako podmiot przetwarzający
Cel i zakres przetwarzania	ustalacie	realizujemy w granicach umowy
Lista osób z dostępem	zatwierdzacie	prowadzimy imienne konta i rejestr
Retencja kopii zapasowych	decydujecie, jak długo	wykonujemy i testujemy odtworzenie
Nowy podwykonawca	wyrażacie zgodę	zgłaszamy z wyprzedzeniem
Naruszenie ochrony danych	zgłaszacie do UODO w ciągu 72 godzin	informujemy Was niezwłocznie i dostarczamy fakty
Koniec umowy	decydujecie, zwrot czy usunięcie	wykonujemy i potwierdzamy na piśmie

W skrócie: decyzje są po Waszej stronie, wykonanie i dowody po naszej. Firma, która wpuszcza dostawcę do systemów bez tej umowy, zostaje z problemem sama, bo obowiązek wobec urzędu ciąży na administratorze.

Jak ograniczamy dostęp do Waszych danych?

Zasada jest jedna: dostęp dostaje imiennie wskazana osoba, w zakresie wynikającym z jej roli i na czas, w którym jest potrzebny.

• Żadnych kont współdzielonych, także przy zgłoszeniach nocnych.
• Uwierzytelnianie wieloskładnikowe do narzędzi zdalnych i do kont administracyjnych w Waszym środowisku.
• Sesje zdalne rejestrowane, a przy pracy na stanowisku pracownik widzi, co się dzieje na jego pulpicie.
• Hasła w sejfie z historią odczytów, nigdy w arkuszu, mailu ani na kartce w szufladzie.
• Do codziennej pracy konta z ograniczonymi uprawnieniami, konto administratora domeny wyłącznie do zadań, które go wymagają.
• Szyfrowane dyski na stacjach inżynierów i zakaz kopiowania danych klienta na nośniki prywatne.

Jeżeli podlegacie NIS 2, utrzymujecie ISO/IEC 27001 albo planujecie ciągłość działania według ISO 22301, audytor zapyta dokładnie o te punkty i o to, czym są udokumentowane. Stan wyjściowy najłatwiej sprawdzić przez audyt IT.

Kto jest właścicielem dokumentacji, haseł i konfiguracji?

Wy, od pierwszego dnia i bez konieczności tłumaczenia, po co Wam to potrzebne. Wydanie kompletu nie jest procedurą rozstaniową, tylko zwykłą prośbą do realizacji w trakcie trwania umowy.

Test działa u dowolnego dostawcy i zajmuje jedno zdanie w mailu: poproście o aktualny eksport dokumentacji i zobaczcie, ile trwa odpowiedź. Wiedza zatrzymana po stronie wykonawcy to najtańszy sposób na utrzymanie klienta, który przestał być zadowolony, i najdroższy problem w dniu, w którym trzeba coś zmienić.

Komplet obejmuje wykaz sprzętu z numerami seryjnymi i gwarancjami, wykaz licencji, schemat sieci z adresacją, konfiguracje urządzeń brzegowych, opis zadań kopii zapasowych razem z retencją oraz hasła w formie nadającej się do zaimportowania do innego narzędzia.

Za co wystawiamy fakturę i czym ją potwierdzamy?

Na fakturze jest jedna pozycja abonamentu, ta sama co miesiąc, wynikająca z progu liczby komputerów i wybranego czasu reakcji. Kwotę dla własnego środowiska policzycie w kalkulatorze, który liczy na tych samych stawkach co umowa, a szczegóły progów opisuje obsługa informatyczna firm.

Potwierdzeniem jest raport miesięczny. Widać w nim, ile zgłoszeń wpłynęło i w jakich kategoriach, czy czasy reakcji zostały dotrzymane, jakie prace planowe wykonaliśmy, jak zakończył się test odtworzenia kopii i co proponujemy zaplanować na najbliższe miesiące. Samą ścieżkę zgłoszenia opisuje helpdesk IT.

Prace spoza abonamentu, czyli projekty, zakupy sprzętu, licencje i okablowanie, mają własną wycenę przed rozpoczęciem i osobny dokument. Faktura, której nie da się przypisać do konkretnej zgody, jest błędem po naszej stronie.

Co zostaje u Was, gdy współpraca się kończy?

Rozstanie jest częścią umowy, a nie sytuacją awaryjną, więc ma opisaną kolejność.

1. W ciągu tygodnia od wypowiedzenia dostajecie zestawienie wszystkiego, co podlega przekazaniu, razem z terminami.
2. Umawiamy spotkanie z nowym dostawcą i przekazujemy środowisko przy Was, żeby nikt nie odtwarzał wiedzy z plików tekstowych.
3. Monitoring i obsługa zgłoszeń działają do dnia przejęcia, bo luka między dostawcami to najgorszy możliwy moment na awarię.
4. Po potwierdzeniu odbioru usuwamy Wasze dane z naszych narzędzi i kasujemy dostępy, zostawiając wyłącznie dokumenty, które musimy przechowywać dla rozliczeń.

Nic z tego nie jest uprzejmością. Dostawca, który nie potrafi opisać końca współpracy, zwykle nie ma czego opisać, bo cała wiedza siedzi w głowie jednej osoby i to ona jest właściwym przedmiotem umowy. My wolimy, żebyście zostali dlatego, że usługa działa, i mówimy o tym na spotkaniu, do którego zapraszamy przez kontakt.

Treść sprawdzona i zaktualizowana: 2 sierpnia 2026