En månedsrapport fra IT-leverandøren skal ikke bare vise at overvåkingen har vært grønn. Den skal hjelpe bedriften å svare på tre spørsmål: Hva er kontrollert, hva er fortsatt uklart, og hvem gjør noe med avvikene?

For en liten virksomhet er det sjelden nyttig å motta et vedlegg fullt av tekniske logger. Samtidig er «alt ser bra ut» for lite til å styre risiko og kostnader. Her er en praktisk måte å be om en kort rapport som kan brukes i et faktisk møte.

Begynn med hva leverandøren faktisk har ansvar for

Første linje bør avgrense leveransen. Gjelder rapporten PC-er, e-post, nettverk, backup, nettside eller bare deler av dette? Hvilke systemer eies av andre leverandører eller av bedriften selv? Uten en slik avgrensning kan «ingen feil» bety at noen ikke har sett på området.

Be om en enkel oversikt over tjenester som er innenfor og utenfor avtalen. Det er særlig viktig når flere leverandører deler ansvar. NSM peker på at kontrakten bør regulere blant annet leveransekvalitet, rapportering, endringer og oppfølging av krav. Dette er et råd om styring, ikke en mal som passer likt for alle.

Vis avvik, ikke bare prosent og farger

En nyttig rapport viser hva som ikke er avklart: en enhet som ikke har rapportert inn, en mislykket sikkerhetskopi, en oppdatering som venter, eller en tilgang som må gjennomgås. Den bør skille mellom feil som er løst, feil med midlertidig tiltak og åpne avvik.

For hvert åpent punkt holder det ofte med fire felt: konsekvens for virksomheten, ansvarlig rolle, neste handling og frist. Da kan ledelsen ta stilling til risikoen uten å lese rålogger. En «grønn» samlet status bør aldri skjule en kritisk del som ikke er målt.

Skill backup-jobb fra gjenopprettingsevne

Rapporten bør vise hvilke viktige data som er omfattet av backup, om kjøringene har feilet og når en gjenoppretting sist ble testet. En vellykket backup-jobb er ikke det samme som en vellykket gjenoppretting. NSM anbefaler både sikkerhetskopiering og øvelse i gjenoppretting.

Be også om å få vite hva som ikke er dekket. Hvis en ny fildeling eller skytjeneste er tatt i bruk uten å være med i planen, er det en beslutning bedriften må ta, ikke en detalj som kan forsvinne i en teknisk fotnote. Vi har en egen gjennomgang av backup og gjenoppretting som kan brukes til å avklare spørsmålene.

Få fram endringer og beslutninger

En kort endringsdel bør forklare hva som er gjort siden forrige rapport: nye brukere med utvidet tilgang, vesentlige oppdateringer, endrede integrasjoner eller systemer som er tatt ut av drift. Ikke alle små endringer trenger en egen side. Det viktige er at bedriften ser endringer som påvirker ansvar, kostnad eller risiko.

Avslutt med en beslutningsliste. Skal en tilgang fjernes? Må bedriften velge hvor lenge en tjeneste skal beholdes? Trengs en gjenopprettingstest? Hvem godkjenner et tiltak? En rapport uten tydelig neste steg blir fort arkivert i stedet for brukt.

Be om et format dere faktisk kan følge opp

Start gjerne med én side: omfang, viktige avvik, backup og teststatus, endringer og beslutninger. Avtal hvor ofte rapporten trengs ut fra hvor avhengig bedriften er av IT-systemene. Be om mer detaljer bare når et avvik, en hendelse eller en større endring krever det.

En enkel bestilling til leverandøren kan være: «Vis hva dere har kontrollert denne perioden, hvilke viktige avvik som fortsatt er åpne, om backup og gjenoppretting er verifisert, og hvilke beslutninger dere trenger fra oss. Marker tydelig det dere ikke har ansvar for.» Den teksten tvinger fram et skille mellom dokumentert kontroll og antakelser, uten å kreve en stor rapportpakke.

Unngå å sende ut rå logger, passord, personopplysninger eller detaljerte sikkerhetsfunn til en bred mottakerliste. Ledelsen trenger et forståelig risikobilde; teknikerne kan beholde detaljene i en tilgangsstyrt arbeidsflate.

Har dere en IT-serviceavtale, er dette en konkret samtale å ta med leverandøren: Hvilken rapportering inngår, hvem leser den, og hva skjer med åpne punkter? En god driftsrapport er ikke en premie for å ha mange målepunkter. Den er et verktøy for å oppdage hull og ta beslutninger i tide.