Tekenen dat uw IT-infrastructuur uw bedrijf tegenhoudt

1. Je lost herhaaldelijk dezelfde problemen op

Wanneer hetzelfde ticket maand na maand wordt opgehaald, is het verleidelijk om het als routineonderhoud te beschouwen. Een server die wekelijks opnieuw opgestart moet worden, een VPN die tijdens piekuren wegvalt, een printer die vastloopt bij specifieke gebruikers. Alles bij elkaar genomen wijzen deze op een structureel tekort dat reactieve steunpapieren overneemt zonder te repareren.

Herhaling van incidenten is een van de meest betrouwbare diagnostische signalen die een bedrijfseigenaar ter beschikking heeft. Als u uw IT-leverancier of het interne team vraagt ​​hoe vaak een bepaald probleem in de afgelopen 90 dagen is geregistreerd en niemand een pasklaar antwoord heeft, is dat op zichzelf een probleem. Zonder het bijhouden van incidenten zijn terugkerende problemen onzichtbaar op organisatieniveau, ook al zijn ze pijnlijk zichtbaar voor de mensen die ze ervaren.

Bij de analyse van de hoofdoorzaak wordt gevraagd wat de herhaling feitelijk veroorzaakt. In de meeste gevallen betreft het antwoord verouderde hardware, niet-ondersteunde software, een configuratie die is opgezet als tijdelijke oplossing en nooit meer is herzien, of een capaciteitsprobleem dat het systeem stilletjes heeft geabsorbeerd totdat het niet meer kan. Eén keer de hoofdoorzaak aanpakken is goedkoper dan dertig keer per jaar hetzelfde incident afhandelen.

2. Uw systemen kunnen niet meegroeien met het bedrijf

Infrastructuur die geschikt was voor een team van 15 personen begint vaak ernstige spanning te vertonen bij 40 personen. Licentielimieten worden geraakt. De opslag raakt sneller vol dan wie dan ook had gepland. De gedeelde bestandsserver die prima werkte, draait nu langzaam omdat gelijktijdige gebruikers nooit deel uitmaakten van het oorspronkelijke ontwerp. Er wordt een beleid voor werken op afstand geïntroduceerd, en plotseling kan een VPN die is gebouwd voor incidentele toegang de volledige werkdag van iedereen afhandelen.

Schaalbaarheidsproblemen zijn kostbaar omdat ze op het slechtste moment aan de oppervlakte komen: wanneer het bedrijf groeit en de operationele druk het hoogst is. Een systeemstoring tijdens snelle groei veroorzaakt toenemende schade. Klantgerichte services vertragen, nieuw personeel kan niet efficiënt worden aangenomen en de aandacht van het management die op het bedrijf zou moeten zijn, wordt opgeslokt door IT-probleemoplossing.

De hoofdoorzaak is doorgaans een gebrek aan planning voor de toekomst. Infrastructuurbeslissingen die onder tijdsdruk worden genomen, worden vastgelegd en nooit meer herzien. Een echte IT-beheerfunctie omvat capaciteitsplanning: het beoordelen van het huidige gebruik ten opzichte van de verwachte groei en het identificeren van beperkingen in de beschikbare ruimte voordat deze uitvallen. Als uw IT-omgeving nog nooit is beoordeeld met het oog op groei, plan dan nu die beoordeling.

3. Beveiligingspatches lopen achter op schema

Softwareleveranciers brengen voortdurend patches uit. Sommige sluiten kritieke beveiligingsproblemen op. Anderen repareren bugs die, als ze niet worden aangepakt, stabiliteitsproblemen veroorzaken of gegevens blootleggen. Het gepatcht houden van alle systemen is weinig glamoureus, maar fundamenteel. Niet-gepatchte kwetsbaarheden vormen het mechanisme achter de meeste inbreuken in de echte wereld: de aanvalsmethode die bij de meeste incidenten wordt gebruikt, is een bekende fout met een patch die nooit is toegepast.

Patchbeheer krijgt om drie redenen geen prioriteit: patches moeten worden getest voordat ze worden geïmplementeerd, sommige gaan kapot en het opnieuw opstarten van servers veroorzaakt een korte downtime. In een reactieve IT-omgeving waar het team al overbelast is, komt systematisch patchen onderaan de wachtrij te staan. Het resultaat is een groeiende achterstand van bekende kwetsbaarheden, die stuk voor stuk een open deur zijn.

Een gestructureerd proces voor patchbeheer stelt gedefinieerde vensters in op basis van kritiekheid: kritieke beveiligingspatches binnen 48 tot 72 uur na uitgave, standaardpatches op een wekelijkse of tweewekelijkse cyclus, en end-of-life systemen die worden gemarkeerd voor geplande vervanging. Als uw bedrijf dit proces niet heeft gedocumenteerd en gevolgd, is uw blootstelling groter dan u denkt. Een IT-audit zal de kloof snel aan het licht brengen.

4. U heeft geen zicht op wat zich op uw netwerk bevindt

Elk apparaat dat op uw netwerk is aangesloten, is een potentieel toegangspunt. Laptops, mobiele telefoons, printers, smart-tv's in vergaderruimtes, IoT-sensoren, back-upschijven aangesloten op USB-poorten, cloudservices geverifieerd met bedrijfsreferenties. Als u niet beschikt over een nauwkeurige, actuele inventaris van alles op uw netwerk, kunt u dit niet beveiligen. U kunt ook geen licenties beheren, hardwarevernieuwingen plannen of effectief reageren op een beveiligingsincident.

Veel bedrijven ontdekken dat hun inventaris van netwerkmiddelen jaren verouderd is, als die al bestaat. Apparaten worden toegevoegd als personeel binnenkomt en zelden netjes verwijderd als ze weggaan. Persoonlijke apparaten maken verbinding met de zakelijke Wi-Fi zonder dat er een inschrijvingsproces nodig is. Een medewerker installeert een cloudsynchronisatietool en plotseling verlaten gevoelige bedrijfsgegevens het netwerk via een niet-goedgekeurde applicatie. Niets van dit alles verschijnt op een dashboard omdat niemand kijkt.

Er bestaan ​​tools voor netwerkzichtbaarheid op elk budgetniveau. Uw IT-afdeling moet minimaal binnen enkele minuten een apparaatinventarisatie kunnen maken, onbekende of niet-geautoriseerde apparaten kunnen identificeren en kunnen laten zien welke applicaties verkeer genereren. Om dit te bereiken is een persoon nodig die het instelt en onderhoudt, en niet het gebruik van tools op bedrijfsniveau. Als uw huidige installatie dit niet kan bieden, begin dan daar.

5. Uw back-up- en herstelplan is nooit getest

Back-ups zijn een van de IT-controlemechanismen die bedrijven vrijwel overal wel en bijna universeel niet hebben getest. Een back-up is een configuratie, geen garantie. Back-uptaken kunnen stil mislukken. Bewaartermijnen kunnen korter zijn dan aangenomen. Het herstelproces kan veel langzamer verlopen dan verwacht. Gegevens waarvan een back-up is gemaakt, worden mogelijk niet correct hersteld naar een huidig ​​systeem. U zult deze problemen pas ontdekken als u de back-up nodig heeft, waarna de gevolgen ernstig zijn.

Het testen van een back-up betekent dat u uw meest kritieke gegevens daadwerkelijk herstelt naar een schone omgeving en verifieert dat de herstelde gegevens compleet, nauwkeurig en bruikbaar zijn. Het betekent dat u het proces moet timen: hoe lang duurt het om uw bedrijfsapplicatie te herstellen na een volledige storing? Vier uur? Veertien? Twee dagen? Dat getal is uw werkelijke hersteltijddoelstelling en kan heel anders zijn dan wat uw IT-leverancier u heeft verteld. Bedrijven die dit aantal nog nooit hebben gemeten, zijn er doorgaans aanzienlijk optimistisch over.

Hersteltesten moeten een geplande, gedocumenteerde oefening zijn die minstens jaarlijks plaatsvindt en na elke belangrijke wijziging in uw infrastructuur. Het resultaat moet een schriftelijk document zijn waarin de datum van de test wordt bevestigd, wat er is hersteld, de tijd die nodig is geweest, eventuele problemen die zijn ondervonden en een aftekening van degene die verantwoordelijk is voor IT. Als uw bedrijf dat document niet kan produceren, is uw back-up een aanname en geen mogelijkheid.

6. IT-kosten blijven stijgen zonder duidelijke verklaring

IT-uitgaven moeten voorspelbaar zijn. Hardware heeft een bekende levenscyclus. Softwarelicenties worden op vaste data verlengd. Clouddiensten factureren tegen tarieven die vooraf zichtbaar zijn. Als uw IT-kosten zijn gestegen en u geen specifiek besluit kunt aanwijzen dat de stijging verklaart, is er iets in uw omgeving onbeheerd. Veel voorkomende boosdoeners zijn onder meer softwarelicenties die zijn betaald voor gebruikers die zijn vertrokken, cloudservices die voor een project zijn ingericht en nooit buiten gebruik zijn gesteld, contracten voor hardwareondersteuning die automatisch worden overgedragen op apparatuur die aan het einde van de levensduur is, en dubbele tools die hetzelfde werk doen in verschillende delen van de organisatie.

Het uitbreiden van licenties komt vooral veel voor bij bedrijven die snel zijn gegroeid of door overnames. Een bedrijf met 60 medewerkers betaalt mogelijk voor 90 Office-licenties, omdat de telling nooit is vergeleken met het huidige personeelsbestand. De kosten voor cloudopslag kunnen in twee jaar tijd verdrievoudigen zonder dat er een bewuste beslissing wordt genomen, eenvoudigweg omdat niemand controleert wat er wordt opgeslagen of bewaarbeleid instelt. SaaS-abonnementen stapelen zich op: het ene team gebruikt een tool, een ander team gebruikt een tool van de concurrent om hetzelfde probleem op te lossen, en niemand merkt de duplicatie op totdat het financiële team dit signaleert.

Het passende antwoord is een IT-kostenaudit: een systematische beoordeling van elke lijn van IT-uitgaven, in kaart gebracht tegen het huidige gebruik en de zakelijke noodzaak. Dit brengt doorgaans onmiddellijke besparingen aan het licht die de kosten van de beoordeling ruimschoots dekken, en creëert een basis van waaruit toekomstige uitgaven bewust kunnen worden beheerd in plaats van reactief. IT-kosten die niemand actief beheert, zijn kosten die blijven stijgen.

7. Medewerkers werken rond IT in plaats van ermee

Schaduw-IT is de term voor tools en systemen die medewerkers gebruiken buiten de officiële IT-voorzieningen om. Een team gaat een persoonlijk Dropbox-account gebruiken om grote bestanden te delen, omdat de bestandsserver van het bedrijf te traag is. Mensen sturen werkdocumenten naar persoonlijke e-mailadressen om thuis aan te werken, omdat de VPN onbetrouwbaar is. Een afdeling gebruikt een gratis projectmanagementtool omdat het officiële systeem te omslachtig is voor hun workflow. Elk van deze is een rationeel antwoord op een systeem dat de mensen die ervan afhankelijk zijn niet dient.

Het probleem is niet dat de individuen deze keuzes maken. Het probleem is dat elke oplossing een zak bedrijfsgegevens creëert waar het bedrijf geen controle over heeft. Van documenten in persoonlijke Dropbox-accounts wordt geen back-up gemaakt door het bedrijf. Bestanden die naar persoonlijke e-mail worden verzonden, vallen niet onder het gegevensbewaar- of beveiligingsbeleid van het bedrijf. Tools van derden die zonder IT-toezicht worden gebruikt, voldoen mogelijk niet aan de normen die zijn vereist door de regelgeving inzake gegevensbescherming of uw cyberverzekeringspolis. Wanneer zich een beveiligingsincident of een onderzoek van de regelgeving voordoet, creëert schaduw-IT hiaten die zeer moeilijk uit te leggen zijn.

Schaduw-IT signaleert twee dingen: de officiële tools zijn ontoereikend, of ze zijn adequaat, maar slecht gecommuniceerd en onvoldoende ondersteund. Hoe het ook zij, het vertrouwen tussen het bedrijf en de IT-functie is zoek. Het antwoord is om te begrijpen waarom er oplossingen bestaan, de onderliggende frictie aan te pakken en het personeel terug te brengen naar ondersteunde tools die het bedrijf kan beheren, beveiligen en controleren. Een IT-managementbeoordeling waarbij interviews met medewerkers zijn inbegrepen, zal deze patronen snel aan het licht brengen.

Samenstellen: wat nu te doen

Als u meer dan twee van de zeven bovenstaande signalen in uw eigen bedrijf herkent, zijn de problemen eerder structureel dan incidenteel. Individuele oplossingen die één voor één worden toegepast, zullen het onderliggende patroon niet oplossen. Wat nodig is, is een nulmeting: een alomvattende blik op uw huidige infrastructuur, controles, kosten en dekking, die een geprioriteerd herstelplan oplevert.

Het uitgangspunt hoeft niet ingewikkeld te zijn. Een gestructureerde infrastructuurbeoordeling omvat doorgaans de inventaris van activa, de patchstatus, de geschiedenis van back-uptests, afstemming van licenties, kostenaudit en een interview met sleutelpersoneel om eventuele tijdelijke oplossingen aan het licht te brengen. Het resultaat is een duidelijk beeld van waar u zich bevindt, waar de hiaten liggen en wat u als eerste moet aanpakken. Dat beeld vormt de basis voor het beheer van IT als een bedrijfsfunctie en niet als een reeks noodsituaties.

• Begin met zichtbaarheid: kunt u nu elk apparaat in uw netwerk en elk stukje software dat uw bedrijf gebruikt, beschrijven?
• Haal de geschiedenis van uw IT-ondersteuningstickets van de afgelopen 90 dagen op en identificeer elk probleem dat meer dan twee keer voorkomt.
• Vraag uw IT-leverancier om een ​​schriftelijke bevestiging van de laatste back-uptest, inclusief de datum, wat er is hersteld en hoe lang het heeft geduurd.
• Vraag een lijst op van alle softwarelicenties die in de afgelopen twaalf maanden zijn betaald en vergelijk deze met uw huidige personeelsbestand.
• Praat met vijf medewerkers in verschillende rollen en vraag hen: is er iets dat ze buiten de officiële IT-voorzieningen gebruiken om hun werk gedaan te krijgen? De antwoorden zullen u veel vertellen.

Als deze vragen moeilijk te beantwoorden zijn, is die moeilijkheid op zichzelf al nuttige informatie. Het vertelt je waar je moet beginnen. Cyvra biedt IT-beheerdiensten die al het bovenstaande omvatten. Als u een onafhankelijke nulmeting wilt, kunnen we deze structureren rond uw specifieke situatie.

ENISA publiceert richtlijnen voor de veerkracht van de infrastructuur en beoordelingen van sectorbedreigingen op enisa.europa.eu. CISA's hulpbronnen voor de veerkracht van kritieke infrastructuur omvatten diagnostische raamwerken en baseline-beveiligingscontrolelijsten die van toepassing zijn op zakelijke IT-omgevingen.