Skip to main content

Forfatter: Svein tore

Laptop, adgangskort, nøkkel og mobil kontrolleres mot en sjekkliste når en ansatt slutter

Når en ansatt slutter: IT-sjekklisten små bedrifter bør ha klar

Skrevet av Svein tore den . Publisert i IT-sikkerhet, Microsoft 365, Serviceavtaler.

Når en ansatt slutter, blir IT ofte tatt litt på sparket. Noen husker å få tilbake PC-en. Noen ber IT-leverandøren sperre e-postkontoen. Noen lar kontoen stå åpen en stund «for sikkerhets skyld».

Det kan fungere i en rolig situasjon. Men det er ikke en god rutine.

En ryddig avslutning handler om tre ting samtidig:

  • tidligere ansatte skal ikke ha tilgang lenger enn nødvendig
  • bedriften skal ikke miste viktige filer, e-post eller dokumentasjon
  • e-post og private filer skal håndteres innenfor norske personvernregler

For små bedrifter trenger ikke dette være komplisert. Men det bør være planlagt før siste arbeidsdag.

Start med dato og ansvar

Det viktigste spørsmålet er enkelt: når skal tilgangen stoppe?

Noter:

  • siste arbeidsdag
  • klokkeslett for sperring av kontoer
  • hvem som bestiller endringen
  • hvem som godkjenner tilgang til filer eller felles systemer
  • hvem som skal overta praktiske oppgaver
  • om fratreden er planlagt, brå eller sensitiv

Ved vanlig fratreden kan mye gjøres kontrollert over flere dager. Ved konflikt, mistanke om misbruk eller annen sensitiv situasjon bør tilgangene sperres raskt, og videre håndtering bør avklares med ledelse, HR eller juridisk rådgiver.

IT-leverandøren bør ikke måtte gjette. En kort bestilling med dato, navn på intern godkjenner og hva som skal bevares gjør jobben tryggere.

Sperr innlogging før dere rydder

Mange starter med å slette brukeren. Det er ofte feil rekkefølge.

Start heller med å hindre ny innlogging:

  • blokker innlogging i Microsoft 365, Google Workspace, Nextcloud eller annet hovedsystem
  • reset passord hvis kontoen skal bevares midlertidig
  • logg ut aktive økter der systemet støtter det
  • fjern eller deaktiver tofaktormetoder som tilhører den ansatte
  • vurder om mobil, nettbrett eller private enheter må fjernes fra kontoen

I Microsoft 365 har Microsoft egne trinn for å blokkere tidligere ansatte, håndtere e-post og fjerne lisens. De tekniske mulighetene må likevel brukes med norske regler og bedriftens rutiner i bakhodet.

Poenget er at kontoen kan bevares teknisk mens tilgangen stoppes. Det gir tid til å vurdere e-post, filer, lisenser og dokumentasjon uten at den tidligere ansatte fortsatt kan logge inn.

Ikke sett automatisk videresending ukritisk

E-post er et av de vanligste stedene små bedrifter gjør feil.

Det kan virke fristende å videresende all e-post fra den tidligere ansattes konto til daglig leder eller en kollega. Teknisk er det ofte enkelt. Juridisk og personvernmessig er det langt mer krevende.

Datatilsynet er tydelig på at en personlig e-postkasse hos arbeidsgiver også har et personvern. Automatisk videresending av all e-post kan bli vurdert som løpende overvåking. Innsyn i e-post bør derfor bare skje når vilkårene er oppfylt, og med riktig prosess.

I praksis bør små bedrifter heller vurdere:

  • automatisk svar som forteller at personen har sluttet og hvem som kan kontaktes
  • overgang til rolleadresse, for eksempel post, salg eller support
  • avgrenset innsyn i konkrete arbeidsrelaterte meldinger når det er nødvendig
  • overføring av kunderelaterte saker til felles system før siste arbeidsdag
  • sletting eller arkivering etter avtalt rutine når behovet er avklart

Hvis bedriften ofte er avhengig av enkeltpersoners personlige e-postkasser, er det et tegn på at rutinene bør endres. Viktige henvendelser bør helst gå til fellesadresser eller saksystem, ikke bare til én person.

Avklar hva som skal skje med filer

Filer kan være like viktige som e-post.

Når en ansatt slutter, må dere vite hvor arbeidsfiler ligger:

  • lokalt på PC
  • i OneDrive
  • i SharePoint
  • i Nextcloud
  • på filserver
  • i fagsystem
  • i regnskapssystem
  • i prosjektverktøy

Ikke anta at alt ligger «i skyen». Mange bedrifter har en blanding av lokale mapper, skrivebord, nedlastinger, synkroniserte mapper og fellesområder.

Gå gjennom:

  • hvilke mapper som tilhører bedriften
  • hvem som skal eie eller overta filene
  • om private filer skal skilles ut
  • om delte lenker bør fjernes
  • om eksterne delinger skal stenges
  • om filer er inkludert i backup

Hvis bedriften bruker Nextcloud, OneDrive eller SharePoint, bør eierskap og delinger kontrolleres før brukeren slettes. Det er enklere å rydde mens kontoen fortsatt finnes, men er sperret for den tidligere ansatte.

Få tilbake utstyr og sjekk enhetene

PC, mobil, nettbrett, adgangsbrikke, sikkerhetsnøkkel, headset, lader og annet utstyr bør registreres ved innlevering.

En enkel sjekkliste er nok:

  • hvilket utstyr er levert inn
  • serienummer eller maskinnavn
  • fysisk tilstand
  • om lader og tilbehør følger med
  • om PC-en skal gjenbrukes, slettes eller lagres
  • om lokale filer må tas vare på før reinstallasjon
  • om enheten har fjernhjelp, RMM eller sikkerhetsprogramvare

Ikke gi PC-en direkte videre til neste person uten rydding. En tidligere brukers profil, nettleserdata, lokale filer, passord og synkronisering kan skape både sikkerhets- og personvernproblemer.

Ved gjenbruk bør PC-en normalt gjennomgås, oppdateres og settes opp på nytt etter bedriftens standard.

Fjern tilgang i systemene rundt hovedkontoen

Microsoft 365 eller e-postkontoen er bare én del av bildet. Mange ansatte har tilgang til flere systemer enn bedriften husker.

Typiske steder å sjekke:

  • regnskap og faktura
  • nettbank og betaling
  • lønn og HR
  • CRM eller kundesystem
  • WordPress og nettside
  • nettbutikk
  • domene, DNS og webhotell
  • sosiale medier
  • annonsekontoer
  • fjernhjelp og RMM
  • VPN
  • WiFi og nettverksutstyr
  • passordhvelv
  • fagsystemer

Dette er grunnen til at tilgangsstyring bør dokumenteres mens folk starter, ikke først når de slutter. Hvis bedriften ikke vet hva en person har tilgang til, blir offboarding en manuell letejobb.

NSM anbefaler å kartlegge brukere og behov for tilgang. Det er et godt prinsipp også for små bedrifter: gi nok tilgang til jobben, fjern den når behovet forsvinner.

Bytt delte passord og rydd gamle snarveier

Personlige brukerkontoer er best. Likevel har mange små bedrifter noen delte passord i praksis.

Når en ansatt slutter, bør dere vurdere om personen kjente passord til:

  • felles e-postkontoer
  • domene- eller webhotelltilgang
  • sosiale medier
  • leverandørportaler
  • nettbutikk
  • WiFi
  • lokale administratorpassord
  • skannere, skrivere eller nettverksutstyr

Delte passord bør byttes når noen som kjente dem slutter, spesielt hvis tilgangen kan brukes utenfor kontoret. Enda bedre er det å fase ut delte passord og bruke personlige kontoer med riktige roller.

Hvis bedriften bruker passordhåndtering, fjern brukeren der også. Husk at eksporterte eller kopierte passord ikke nødvendigvis forsvinner selv om kontoen stenges.

Fjern administratorrettigheter først

Administratorrettigheter bør behandles særskilt. En vanlig brukerkonto som blir stående åpen er uheldig. En administratorkonto som blir stående åpen er verre.

Sjekk om personen hadde administratorrolle i:

  • Microsoft 365 eller Entra
  • lokal Windows-PC
  • servere
  • WordPress
  • webhotell eller Plesk
  • domene/DNS
  • Nextcloud
  • backup
  • regnskapssystem
  • sikkerhetsverktøy

Hvis dere er usikre, prioriter først kontoer med høyest risiko: administrasjon, økonomi, e-post, backup, nettside, domene og systemer med kundedata.

Trønder Data har tidligere skrevet om hvorfor adminbrukere krever strengere kontroll. Det prinsippet gjelder ekstra godt når noen slutter.

Sjekk backup før noe slettes

Sletting føles ryddig, men kan være farlig hvis dere ikke vet hva som finnes av backup og gjenoppretting.

Før kontoer eller data slettes permanent, avklar:

  • hvor lenge e-post skal bevares
  • om filer må arkiveres
  • om kunden eller prosjektet trenger historikk
  • om data er dekket av backup
  • hvem som kan bestille gjenoppretting
  • om lisens kan fjernes uten at data forsvinner for tidlig

I Microsoft 365 kan dataoppbevaring, lisenser og sletting ha konkrete tekniske konsekvenser. Dette bør sjekkes før lisensen fjernes eller brukeren slettes. Det samme gjelder Nextcloud, Google Workspace og andre skytjenester.

Synkronisering er heller ikke det samme som backup. Hvis en fil slettes eller overskrives og endringen synkroniseres, trenger dere en reell gjenopprettingsmulighet.

Lag en praktisk offboarding-mal

Små bedrifter trenger ikke et tungt HR-system for å gjøre dette riktig. En enkel mal holder lenge.

Malen bør ha felter for:

  • ansattnavn
  • siste arbeidsdag
  • ansvarlig leder
  • tidspunkt for sperring
  • e-posthåndtering
  • filhåndtering
  • utstyr som skal leveres inn
  • systemer som må stenges
  • delte passord som må byttes
  • administratorroller
  • backup/arkiv
  • dato for kontroll etter avslutning

Det viktigste er ikke at malen er lang. Det viktigste er at den blir brukt hver gang.

Sjekk igjen etter noen dager

Offboarding bør ha en etterkontroll. Noen tilganger dukker først opp når en kollega prøver å finne en fil, når en kunde sender e-post, eller når en leverandørportal fortsatt viser tidligere ansatt som kontakt.

Etter noen dager eller uker bør dere sjekke:

  • kommer e-post til riktig sted
  • er filer overtatt av riktig person
  • er lisensene ryddet
  • er utstyr registrert
  • er gamle delinger fjernet
  • er brukeren fjernet fra grupper og eksterne systemer
  • er dokumentasjonen oppdatert

Hvis samme type feil går igjen hver gang noen slutter, er det rutinen som må forbedres.

Når bør dere bruke IT-partner?

En liten bedrift kan gjøre mye selv, men offboarding blir fort mer krevende når dere har flere systemer, ansatte som jobber eksternt, Microsoft 365, Nextcloud, nettside, regnskapssystem, felles e-post, sikkerhetskrav og backup.

Fast IT-hjelp eller en serviceavtale kan være nyttig når dere vil ha:

  • fast sjekkliste for nye og avsluttede brukere
  • ryddig dokumentasjon på kontoer og utstyr
  • kontroll på Microsoft 365, e-post, Nextcloud og PC-er
  • rask sperring ved hastebehov
  • mindre risiko for glemte administratorroller
  • tryggere håndtering av backup og filer

For bedrifter som ikke trenger fast avtale, kan timebank være en praktisk mellomløsning. Da kan brukerendringer, PC-rydding, tilgangskontroll og små supportoppgaver håndteres uten at alt må bli en egen hastejobb.

Kort oppsummert

Når en ansatt slutter, bør IT-rutinen dekke mer enn PC og e-post.

Start med å sperre innlogging, ikke slette alt. Håndter e-post og filer med respekt for personvernreglene. Fjern tilganger i alle systemer, bytt delte passord, sjekk administratorroller, og kontroller backup før data slettes.

Den beste rutinen er den som er enkel nok til at bedriften faktisk bruker den, hver gang noen slutter.

To datamaskiner med e-postsystemer, ekstern sikkerhetskopi og sjekkliste for migrering

Flytte e-post til Microsoft 365: sjekk dette før migrering

Skrevet av Svein tore den . Publisert i Guider, Microsoft 365, Serviceavtaler. Ingen kommentarer til Flytte e-post til Microsoft 365: sjekk dette før migrering

Å flytte e-post til Microsoft 365 høres ofte ut som én DNS-endring. I praksis er det sjelden så enkelt. For en liten bedrift kan e-post være knyttet til postbokser, aliaser, gamle webhotell, skannere, kontaktskjema, regnskapssystem og mobiltelefoner som har vært satt opp litt forskjellig over flere år.

Derfor bør en e-postmigrering planlegges som en liten driftsendring, ikke som en rask knapp i adminpanelet. Målet er ikke å gjøre prosjektet større enn nødvendig. Målet er å unngå at viktig e-post stopper, havner feil sted eller blir liggende igjen i en gammel postkasse ingen følger med på.

Start med å finne ut hvor e-posten faktisk går i dag

Før dere endrer noe, bør dere vite hvilken løsning som mottar e-post i dag. Det er ikke alltid det samme som der nettsiden ligger, eller der domenet er kjøpt.

Sjekk særlig:

  • hvem som styrer DNS for domenet
  • hvilken MX-post som mottar e-post
  • om det finnes gamle postbokser på webhotell eller mailserver
  • om noen bruker webmail, Outlook, Thunderbird eller mobil direkte mot gammel server
  • om domenet har aliaser, videresendinger eller delte postbokser
  • om kontaktskjema, skrivere, skannere eller fagsystemer sender e-post via gammel løsning
  • om det finnes spamfilter, gateway eller connector mellom flere systemer

Dette er ofte der små feil oppstår. En bedrift kan ha Microsoft 365 for noen brukere, men fortsatt ha en gammel postboks, videresending eller SMTP-oppsett et annet sted. Da kan en tilsynelatende enkel MX-endring få uventede følger.

Ikke begynn med MX-posten

MX-posten bestemmer hvor ny innkommende e-post for domenet sendes. Når den endres til Microsoft 365, begynner ny e-post å gå dit. Eksisterende e-post hos tidligere leverandør flytter seg ikke automatisk.

Microsoft beskriver dette tydelig i domenedokumentasjonen sin: brukere og postbokser bør være opprettet før MX endres, slik at e-post ikke stopper under overgangen. Det betyr at MX-endringen bør komme etter kartlegging, oppretting av brukere, test og plan for migrering.

En god tommelfingerregel er: ikke pek domenet til Microsoft 365 før dere vet at riktig postboks finnes for alle adresser som skal motta e-post.

Avklar hva som faktisk skal flyttes

En migrering handler ikke bare om “all e-post”. Dere bør vite hva som skal tas med, hva som kan arkiveres, og hva som ikke skal flyttes.

Ikke velg «tre år» bare fordi det høres passe ut

Et mønster vi møter i migreringsarbeid, er at virksomheten først ber om å få med e-post fra de siste tre årene. Det kan virke som en enkel avgrensning. Senere kommer spørsmålet om hvor eldre korrespondanse ble av, fordi ingen undersøkte hva postboksene faktisk ble brukt til før grensen ble satt.

Det betyr ikke at all historikk alltid skal flyttes. Det betyr at beslutningen bør bygge på innhold og behov, ikke på hukommelse alene. Før dere velger en dato, bør hver postbokseier kontrollere noen konkrete eksempler:

  • Hvor gammel er den eldste e-posten de fortsatt søker etter i arbeidshverdagen?
  • Finnes det eldre dialog om avtaler, leveranser, reklamasjoner eller andre saker som fortsatt kan bli aktuelle?
  • Ligger viktig historikk i Sendt, egne undermapper, lokale arkivfiler eller en tidligere ansatts postboks?
  • Er det krav i avtaler, interne rutiner eller regelverk som påvirker hvor lenge bestemte opplysninger skal bevares eller slettes?

Velg deretter en bevisst løsning: flytt hele den nødvendige historikken, flytt et dokumentert utvalg, eller etabler et separat arkiv med avklart tilgang og levetid. Å la gammel e-post bli stående på en server som snart skal stenges, er ikke en arkivplan.

Kontroller historikken før gammel løsning stenges

Etter migreringen bør dere søke etter kjente meldinger fra både nyere og eldre perioder. Kontroller innboks, Sendt og egne mapper, åpne noen vedlegg, og sjekk eventuelle lokale arkivfiler. Utpek én person som bekrefter at den avtalte historikken er tilgjengelig før gammel løsning slettes eller abonnementet avsluttes.

Migreringsmetoden påvirker også hva som følger med. Microsoft opplyser at en vanlig IMAP-migrering flytter e-post i postmappene, men ikke kontakter, kalenderoppføringer eller oppgaver. Målpostboksene må dessuten opprettes i Microsoft 365 før IMAP-migreringen gjennomføres. Slike avgrensninger må stå i migreringsplanen, slik at manglende innhold ikke først oppdages etterpå.

Avklar dette før migreringen:

  • hvilke brukere som skal ha Microsoft 365-postboks
  • hvilke delte adresser som skal være shared mailbox, distribusjonsliste eller alias
  • om gamle videresendinger fortsatt trengs
  • hvor langt tilbake historisk e-post skal flyttes
  • om kalender, kontakter og regler må håndteres separat
  • hvem som kan godkjenne rydding eller sletting
  • hvilke kontoer som må testes ekstra fordi de brukes av ledelse, økonomi eller kundemottak

Ved IMAP-migrering er det spesielt viktig å være presis. IMAP egner seg til å flytte e-post fra mange eldre eller enklere e-postløsninger, men det løser ikke alt rundt kalender, kontakter, klientprofiler, regler og gammel lokal data. Slike ting må vurderes ved siden av.

Rydd i adresser før de flyttes

Mange små virksomheter har adresser som er laget over tid: en info-adresse, gamle ansatte, midlertidige aliaser, leverandøradresser, prosjektadresser og videresendinger som ingen helt husker hvorfor finnes.

Før migrering bør dere gå gjennom listen og merke:

  • skal beholdes som egen bruker
  • skal være delt postboks
  • skal være alias
  • skal videresendes
  • skal stenges eller arkiveres

Dette sparer lisenser, reduserer rot og gjør det enklere å dokumentere hvem som har tilgang til hva. Det er også et godt tidspunkt å slå på tofaktor og rydde i administratorrettigheter.

DNS må behandles som drift, ikke pynt

For Microsoft 365-e-post er de viktigste DNS-postene normalt MX, Autodiscover og SPF. I tillegg bør DKIM og DMARC vurderes for bedre e-postautentisering og mindre risiko for misbruk av domenet.

Det viktigste er ikke å kopiere et eksempel fra nettet. Verdiene må hentes fra riktig Microsoft 365-tenant og riktig domene. Feil MX-verdi, gammel SPF-post eller manglende autodiscover kan gi problemer som først oppdages når brukerne skal sende, motta eller sette opp Outlook.

Hvis DNS styres hos en annen leverandør enn webhotellet, må dere vite hvor endringen faktisk skal gjøres. Ikke anta at Plesk, Domeneshop, Cloudflare, Microsoft og nettsideleverandøren styrer samme del av domenet.

Se etter gamle systemer som fortsatt sender e-post

Et vanlig migreringsproblem er at brukerpostboksene flyttes, men gamle systemer fortsatt prøver å sende via tidligere mailserver. Det kan gjelde:

  • kontaktskjema på nettsiden
  • kopimaskin eller skanner
  • regnskapssystem
  • alarmsystem eller overvåking
  • nettbutikk
  • eldre applikasjoner med SMTP-oppsett

Noen systemer kan bruke Microsoft 365 direkte. Andre bør bruke en godkjent SMTP-løsning eller connector, avhengig av behov og sikkerhetskrav. Microsoft har egen dokumentasjon for connectors og scenarier der e-post skal rutes mellom Microsoft 365 og andre systemer.

Lag en enkel testplan

En praktisk testplan trenger ikke være lang. Den bør bare dekke det som faktisk kan gå galt.

Test minst dette:

  • mottak fra ekstern e-postadresse
  • sending til ekstern e-postadresse
  • sending internt mellom brukere
  • Outlook-oppsett på PC
  • mobiloppsett for minst én bruker
  • webmail i Microsoft 365
  • deling eller tilgang til felles postboks
  • kontaktskjema eller system som sender e-post
  • at gamle postbokser ikke lenger mottar ny e-post etter kuttet

Dokumenter hva som er testet. Når en bruker senere sier at “e-posten ikke virker”, er det stor forskjell på å vite at domenet fungerer, og å måtte gjette om feilen ligger i DNS, Outlook-profilen, passord, mobil eller en gammel konto.

Planlegg opprydding etterpå

Migreringen er ikke ferdig idet e-post begynner å komme inn i Microsoft 365. Etterpå bør dere rydde kontrollert.

Typiske etterarbeidspunkter:

  • bekreft at alle viktige adresser mottar e-post i ny løsning
  • kontroller at gamle videresendinger ikke sender e-post feil vei
  • oppdater dokumentasjon for DNS, postbokser og ansvar
  • fjern gamle kontoer først når data og tilgang er avklart
  • sett opp eller bekreft backup der det trengs
  • slå på sikkerhetsinnstillinger som tofaktor og betinget tilgang der det passer
  • avtal hvem som hjelper brukere med mobil og Outlook-profiler

Ikke slett gamle postbokser eller serveroppsett for tidlig. Det kan ligge historikk, systemkontoer eller avklaringer der som først bør verifiseres.

Backup og gjenoppretting må avklares separat

Microsoft 365 gir en robust skytjeneste, men en migrering bør likevel ha en tydelig plan for backup og gjenoppretting. Det gjelder både data som ligger igjen i gammel løsning, data som flyttes, og data som skal beskyttes etterpå.

Spør konkret:

  • finnes det en eksport eller backup før migreringen starter?
  • hvor lenge beholdes gammel løsning etter kuttet?
  • hvem kan be om gjenoppretting?
  • dekker backup e-post, OneDrive, SharePoint og Teams, eller bare deler av miljøet?
  • hvordan testes restore hvis noe mangler?

Vi har skrevet mer om dette i Hva dekker Microsoft 365-backup? og Hvordan fungerer backup og gjenoppretting hos Trønder Data?.

Når bør dere få hjelp?

En liten bedrift kan fint gjøre en enkel e-postflytting selv hvis miljøet er ryddig, få brukere er involvert og ingen gamle systemer er koblet på. Men få hjelp hvis dere har:

  • flere domener eller flere e-postleverandører
  • gamle postbokser på webhotell
  • mange aliaser, delte adresser eller videresendinger
  • skannere, regnskapssystem eller nettsider som sender e-post
  • behov for å bevare historikk
  • usikkerhet rundt DNS, SPF, DKIM eller DMARC
  • krav til minst mulig nedetid

Da er det ofte billigere å bruke litt tid på kartlegging enn å feilsøke i hast etter at e-posten har stoppet.

Kort sjekkliste før dere flytter

  • Kartlegg nåværende e-postleverandør og DNS-ansvar.
  • Lag liste over brukere, aliaser, videresendinger og delte postbokser.
  • Opprett nødvendige brukere og postbokser i Microsoft 365 før MX endres.
  • Bestem migreringsmetode og test med en konto først.
  • Sjekk gamle systemer som sender e-post.
  • Planlegg DNS-endring og tidspunkt.
  • Test sending, mottak, mobil, Outlook og webmail.
  • Avklar backup, arkiv og opprydding.
  • Dokumenter hva som er gjort.

Trønder Data kan hjelpe med kartlegging, migrering, DNS, Microsoft 365-oppsett og etterkontroll for små og mellomstore bedrifter. Se også siden vår om Microsoft 365 og artikkelen Når passer Microsoft 365, og når bør dere velge Nextcloud?.

Videre lesing

5 grunner til at småbedrifter trenger endepunktsikring

Skrevet av Svein tore den . Publisert i IT-sikkerhet.

Hvorfor småbedrifter trenger endepunktsikring

Når man driver en liten eller mellomstor bedrift, er det mange ting å holde styr på. En viktig ting å fokusere på er god IT-sikkerhet, hvor endepunktsikring spiller en sentral rolle.

1. Beskyttelse mot cybertrusler

Første grunn til at du som SMB-leder bør vurdere endepunktsikring for småbedrifter er for å beskytte bedriften mot cybertrusler. Med endepunktsikring er alle enheter som kobler seg til bedriftens nettverk beskyttet.

2. Reduserer risiko for datatap

Med endepunktsikring reduseres også risikoen for datatap. Det er ikke bare ytre trusler som utgjør en fare, men også interne, som for eksempel utilsiktet sletting. God endepunktsikring kan forhindre slike situasjoner.

3. Gir trygghet for ansatte

En annen grunn til å ta endepunktsikring på alvor er at det kan gi ekstra trygghet for ansatte. Når de vet at IT-systemene er sikre, kan de fokusere på sitt arbeid uten bekymringer om tekniske problemstillinger.

4. Opprettholder bedriftens omdømme

Et datainnbrudd kan skade bedriftens omdømme. Ved å ha god endepunktsikring viser du kunder og samarbeidspartnere at bedriften tar sikkerhet på alvor, noe som kan styrke bedriftens omdømme.

5. I tråd med personvernlovgivning

Til sist er det viktig å nevne at god endepunktsikring er nødvendig for å være i tråd med gjeldende personvernlovgivning. Å lekke sensitive data kan få alvorlige konsekvenser, som bøter og rettslige etterspill.

Kom i gang med endepunktsikring i dag – besøk oss på [Endepunktsikring] for mer informasjon.
Illustrasjon av kontrollert overtakelse av IT-drift med PC-er, brannmur, kalender og sikkerhet

Slik bytter dere IT-leverandør uten unødvendig nedetid

Skrevet av Svein tore den . Publisert i Serviceavtaler. Ingen kommentarer til Slik bytter dere IT-leverandør uten unødvendig nedetid

Et bytte av IT-leverandør bør behandles som en kontrollert overtakelse, ikke som en rask bestilling. Dere trenger datoer, tydelig ansvar og en dokumentert oversikt over tjenester, tilganger og tekniske avhengigheter før den gamle leveransen avsluttes.

Å bytte IT-leverandør trenger ikke være dramatisk. Det blir først krevende når overgangen skjer uten oversikt, uten datoer og uten tydelig ansvar.

For oss handler et leverandørbytte ikke bare om å legge inn nye lisenser. Vi må vite når tidligere avtale avsluttes, hva dere har fått levert fra før, hvilke systemer som er kritiske, og hva vi faktisk skal ta ansvar for etterpå.

Kortversjonen er denne: Jo bedre vi får planlagt før overtakelsen, desto mindre merker ansatte og drift når byttet skjer.

Start med oppsigelsesdatoen

Det første vi trenger, er oppsigelsesdatoen hos eksisterende leverandør. Den datoen styrer resten av planen.

Lisenser må flyttes eller bestilles før fristen. Tilganger må være klare før gammel leverandør mister ansvar. Overvåking, supportverktøy og sikkerhetssystemer må overtas uten at PC-er, e-post, backup eller nettverk havner i et tomrom.

Hvis oppsigelsen skjer først og planleggingen kommer etterpå, må oppgavene ofte løses i feil rekkefølge. Det skaper unødvendig hastverk og øker risikoen for avbrudd.

En praktisk overtakelsesplan bør minst vise:

  • når dagens leveranse og tilganger slutter
  • hvilke tjenester som må overføres før denne datoen
  • hva tidligere leverandør skal levere eller bidra med
  • hvem som godkjenner endringer og nye kostnader
  • hvilke systemer virksomheten ikke tåler nedetid på
  • hva den nye leverandøren skal ha ansvar for etter overtakelsen

Vi må vite hva dere faktisk har

Det vi oftest savner ved en overtakelse, er ikke én bestemt innlogging. Det er den samlede oversikten over hvilke tjenester og oppsett kunden faktisk har. Hullene blir gjerne synlige først når vi begynner å rydde i nettverket eller følger en tjeneste tilbake til den som administrerer den.

En «IT-avtale» kan i praksis omfatte Microsoft 365, backup, domene, DNS, brannmur, WiFi, antivirus, fjernsupport, overvåking, webhotell, e-postsignaturer, skrivere, passordhvelv, servere, nettverksutstyr og administratorbrukere.

Hvis ingen har full oversikt, må den bygges før ansvaret kan overtas på en ryddig måte. Dette er ikke papirarbeid for papirarbeidets skyld. Det er forskjellen på å vite hva vi overtar og å oppdage manglene først når noe stopper.

Kunden bør eie en oppdatert overleveringspakke

En IT-leverandør kan administrere løsninger på vegne av kunden, men virksomheten bør selv ha tilgang til oppdatert dokumentasjon og vite hvor den finnes. Det gjør kunden mindre avhengig av enkeltpersoner og reduserer usikkerheten ved leverandørbytte, sykdom eller en alvorlig driftshendelse.

En enkel overleveringspakke bør inneholde:

  • tjenesteoversikt med leverandør, formål, avtaleeier og fornyelsesdato
  • oversikt over domener, DNS, webhotell og e-postmiljø
  • nettverkskart med brannmur, svitsjer, trådløse nett og kritiske forbindelser
  • liste over administratorroller og hvor innloggingene forvaltes
  • oversikt over enheter, servere, backup og sikkerhetsverktøy
  • kontaktpunkter, supportavtaler og rutine for alvorlige hendelser
  • kjente avhengigheter og systemer som må startes eller endres i en bestemt rekkefølge

Dette betyr ikke at passord skal sendes rundt i et dokument eller på e-post. Hemmeligheter bør ligge i en egnet, tilgangsstyrt løsning. Dokumentasjonen skal forklare hva som finnes, hvem som har ansvar, og hvordan en autorisert person får riktig tilgang.

Lisenser må overtas før gammel avtale stopper

Hvis dere bruker Microsoft 365, e-post, sikkerhetsløsninger, backup eller andre abonnementer, må vi vite hva som skal flyttes, hva som skal erstattes og hva som skal avsluttes.

Noen lisenser kan overføres. Andre må bestilles på nytt. Noen har bindingstid eller frister som påvirker antall og kostnad. Dette må avklares før tidligere leverandør slipper taket.

Målet er at ansatte fortsatt har tilgang til e-post, filer og nødvendige systemer når leverandørbyttet skjer.

Fjernstyring og overvåking må byttes i riktig rekkefølge

RMM er systemet en IT-leverandør bruker for å overvåke, fjernstyre og vedlikeholde PC-er og andre enheter.

Når vi overtar, må den gamle leverandørens verktøy fjernes, og avtalte nye systemer må legges inn. Rekkefølgen skal være tydelig. Det bør ikke være to leverandører som kan fjernstyre samme miljø uten en uttrykkelig overgangsavtale. Samtidig bør det ikke oppstå en periode der ingen kan følge opp maskinene.

Før gamle verktøy fjernes, bør den nye leverandøren ha kontrollert at nødvendige enheter er registrert, at varsler kommer fram, og at autorisert fjernhjelp fungerer.

Brannmur, nettverk og administratorroller må sikres

Når ansvaret for nettverk eller sikkerhet flyttes, må den nye leverandøren ha reell og dokumentert kontroll. Det innebærer tilgang til brannmur, nettverksutstyr og nødvendige administratorroller. Gamle tilganger må gjennomgås og fjernes når de ikke lenger er nødvendige.

NSMs grunnprinsipper for IKT-sikkerhet legger vekt på oversikt over systemer, enheter, brukere og tilganger, i tillegg til beskyttelse av konfigurasjoner og sikkerhetskopier. Et leverandørbytte er et naturlig tidspunkt for å kontrollere at denne oversikten faktisk stemmer.

Ansvar følger avtalen

Hvis Trønder Data skal ha ansvar for PC-sikkerhet, backup, nettverk, support, lisenser eller beredskap, må dette være definert i avtalen. Da kan vi sette opp systemene slik at ansvaret kan følges opp i praksis.

Hvis dere bare kjøper én avgrenset tjeneste, overtar vi ikke automatisk alt rundt den. Vi kan fortsatt hjelpe, men det må være tydelig hvem som følger opp det som ligger utenfor leveransen.

Dette er grunnen til at oppstartsmøtet handler om mer enn teknikk. Det skal hindre misforståelser om hvem som passer på hva. Se også hvordan vi beskriver ansvar og innhold på siden om serviceavtaler hos Trønder Data.

Ansatte kjenner de skjulte avhengighetene

Ledelsen vet gjerne når avtalen skal byttes. Ansatte vet ofte hvilke skrivere som skaper problemer, hvilke mapper som brukes hver dag, hvilke programmer som må virke mandag morgen, og hvilke små rutiner som holder arbeidsdagen i gang.

En kort samtale med dem som bruker systemene mest, kan avdekke avhengigheter som ikke finnes i avtalen eller den tekniske dokumentasjonen. Det gir færre overraskelser når overgangen gjennomføres.

Ikke godkjenn overleveringen før resultatet er kontrollert

En mappe med dokumenter er ikke i seg selv bevis på at overleveringen er fullført. Den nye leverandøren bør lese tilbake og kontrollere de viktigste opplysningene før gammel tilgang stenges.

Kontrollen kan blant annet bekrefte at:

  • administratorinnlogginger virker og har riktig omfang
  • domene, DNS og e-post kan administreres av riktig part
  • kritiske enheter og tjenester er med i oversikten
  • backupstatus kan leses og en gjenopprettingsrutine er kjent
  • overvåking og supportkanaler når riktig mottaker
  • gamle fjernstyringsverktøy og unødvendige tilganger er fjernet
  • kunden har fått den oppdaterte dokumentasjonen og vet hvor den ligger

Virksomheter som vil gå bredere gjennom konsekvensene av et avbrudd, kan bruke vår praktiske beredskapsplan for småbedrifter som videre kontroll.

Målet er en rolig overgang

Et godt leverandørbytte skal ikke føles som et stort IT-prosjekt for alle ansatte. Noen vil merke at supportkanalen endres, at et nytt sikkerhetsverktøy kommer på PC-en, eller at passord og tilganger ryddes. Selve arbeidsdagen bør likevel fortsette mest mulig normalt.

Når vi tar over, vil vi vite hva vi overtar, hva vi ikke overtar, hvilke systemer som må virke, og hvilke kontroller som må være bestått før ansvaret faktisk er vårt.

Det er slik dere får et ryddig bytte av IT-leverandør: med en konkret plan, en overleveringspakke kunden selv har tilgang til, og kontroll av at opplysningene virker i praksis.

Kilde

Illustrasjon av to valg: enkel lisens og serviceavtale med ansvar, sikkerhet og support

Serviceavtale eller bare lisens: hva tar Trønder Data ansvar for?

Skrevet av Svein tore den . Publisert i Serviceavtaler. Ingen kommentarer til Serviceavtale eller bare lisens: hva tar Trønder Data ansvar for?

Dere kan kjøpe bare lisenser hos Trønder Data. Det er helt greit for mange bedrifter. Men da er det viktig å forstå forskjellen på å kjøpe en lisens og å ha en avtale der vi faktisk har ansvar for drift, sikkerhet, oppfølging og responstid.

Kortversjonen er enkel: Vi hjelper gjerne også når dere bare har kjøpt lisens, men vi kan ikke ta ansvar for sikkerhet, PC-drift eller beredskap som dere ikke har valgt at vi skal ivareta.

En lisens er ikke det samme som en driftsavtale

En lisens gir dere tilgang til en tjeneste. Det kan være Microsoft 365, Exchange, Nextcloud, backup, sikkerhetsopplæring eller en annen løsning.

En serviceavtale beskriver derimot hva Trønder Data skal ha ansvar for rundt løsningen. Det kan handle om oppsett, sikkerhetsinnstillinger, brukerstyring, backup, dokumentasjon, overvåking, support, responstid og løpende kontroll.

Derfor kan to bedrifter ha samme lisens, men helt ulikt ansvarsbilde.

Den ene bedriften kjøper bare Microsoft 365-lisenser og tar selv ansvar for PC-er, sikkerhet og drift. Den andre har en avtale der vi også følger opp brukere, sikkerhetsoppsett, endepunktsikring, backup og support. Det er to forskjellige leveranser.

Vi kan hjelpe likevel, men ansvar følger avtalen

Hvis dere bare kjøper en lisens av oss og PC-en ikke starter, kan dere fortsatt kontakte oss. Ofte hjelper vi så raskt vi kan. Vi er ikke interessert i å la dere sitte fast hvis vi kan løse problemet.

Men det betyr ikke at PC-drift automatisk var vårt ansvar før feilen oppstod.

Det samme gjelder sikkerhet. Vi kan ta ansvar for PC-sikkerhet, endepunktsikring, backup, tilgangskontroll og dokumentasjon etter at det har oppstått problemer. Avtalen kan oppdateres ved behov. Men dere kan ikke forvente at sikkerheten har vært ivaretatt av oss i perioden før dere valgte den delen av avtalen.

Det er en viktig forskjell.

Vi kan overta ansvar fremover. Vi kan rydde opp. Vi kan dokumentere, sikre og forbedre. Men vi kan ikke være ansvarlige for et område dere tidligere har valgt å håndtere selv.

Når bare lisens kan være riktig

For noen små bedrifter er bare lisens et fornuftig valg.

Hvis dere ikke har vesentlige krav fra myndigheter, kunder eller leverandører, og dere har enkel IT-hverdag, kan det være nok å kjøpe lisenser og betale for litt support utenom ved behov. Det er en ryddig modell, så lenge alle forstår hva den innebærer.

Da kjøper dere tilgang til tjenesten, men ikke full kontroll, beredskap og sikkerhetsansvar.

Dette kan passe hvis:

  • dere har lav risiko
  • dere har få brukere
  • dere gjør mye IT-oppfølging selv
  • dere tåler at support faktureres utenom
  • dere ikke trenger fast responstid på alt
  • dere ikke forventer at Trønder Data overvåker og dokumenterer hele IT-miljøet

Det er ikke feil. Det må bare være bevisst.

Når dere bør ha serviceavtale

Serviceavtale passer bedre når dere ønsker at noen faktisk skal følge med, ta ansvar og hjelpe dere over tid.

Det gjelder særlig hvis bedriften din har krav til personvern, dokumentasjon, oppetid, backup, sikkerhet, tilgangsstyring eller rask respons. Det gjelder også hvis dere ikke har egen IT-kompetanse internt og vil slippe å vurdere hver enkelt IT-beslutning alene.

Med serviceavtale kan vi definere tydelig:

  • hvilke tjenester vi har ansvar for
  • hvilke brukere og enheter som inngår
  • hva som overvåkes
  • hva som dokumenteres
  • hvordan support håndteres
  • hvilken responstid som gjelder
  • hva som trekkes fra timebank
  • hva som faktureres utenom

Da blir det mindre rom for misforståelser når noe skjer.

Les gjerne også forklaringen vår om hva som er inkludert i en serviceavtale.

Sikkerhet må være avtalt før den kan være ivaretatt

IT-sikkerhet handler ikke bare om å installere et produkt.

Det handler om riktig oppsett, riktige tilganger, oppdateringer, backup, rutiner, dokumentasjon, opplæring, logging, beredskap og kontroll over tid. Hvis dere vil at Trønder Data skal stå ansvarlig for dette, må det være en del av avtalen.

Det betyr ikke at alle må kjøpe den største pakken. Men det betyr at ansvarsnivået må henge sammen med behovet og risikoen.

Hvis dere velger bare lisenser, står dere i praksis selv ansvarlig for sikkerheten rundt resten av miljøet. Vi kan bistå ved behov, men da er arbeidet normalt support eller prosjektarbeid, ikke et ansvar vi allerede har hatt løpende.

Dette er også grunnen til at vi er tydelige på administrative tilganger. Hvis ansatte eller eksterne har adminrettigheter, øker risikoen. Da må avtalen også dekke tilgangskontroll, dokumentasjon og oppfølging. Se gjerne artikkelen om hvorfor adminbrukere krever strengere kontroll.

Avtalen kan oppdateres når behovet endrer seg

Behovet deres kan endre seg. Det er normalt.

En bedrift kan starte med bare e-post og sky, og senere oppdage at den trenger bedre backup, PC-sikkerhet, dokumentasjon eller mer fast support. Da kan vi se på avtalen sammen og oppdatere den der det gir mening.

Noen ganger er det enkelt. Andre ganger finnes det bindinger hos underleverandører, lisensvilkår eller praktiske forhold som påvirker når endringen kan gjøres. Men prinsippet er at avtalen skal kunne utvikle seg sammen med behovet.

Det viktigste er at dere ikke venter til etter en hendelse med å avklare ansvar for det som egentlig er kritisk.

Hva skjer hvis det haster?

Hvis dere ringer fordi noe haster, prøver vi å hjelpe. Men prioritet og ansvar følger avtalen.

En bedrift med serviceavtale og definert ansvar for drift, sikkerhet eller beredskap vil normalt prioriteres foran en bedrift som bare har kjøpt en lisens og trenger hjelp med noe utenfor avtalen. Det handler ikke om vilje. Det handler om at vi må levere på det vi faktisk har forpliktet oss til.

Hvis saken ligger utenfor avtalen, kan vi ofte bistå likevel. Da avtaler vi normalt videre arbeid, timebruk og fakturering.

For kritiske saker innenfor avtalen gjelder avtalt responstid. Se også forklaringen vår om responstid og SLA.

Slik bør dere velge

Hvis dere er usikre, bør spørsmålet ikke være “hvilken lisens trenger vi?”, men “hva ønsker vi at Trønder Data skal ha ansvar for?”.

Start med disse spørsmålene:

  • Skal vi bare levere lisensen, eller skal vi også sikre og følge opp miljøet?
  • Skal PC-er og brukere inngå?
  • Skal backup overvåkes og dokumenteres?
  • Skal sikkerhetshendelser håndteres etter fast prosedyre?
  • Skal dere ha timebank til support og småoppgaver?
  • Har dere krav fra kunder, myndigheter, forsikring eller leverandører?
  • Har dere egen IT-kompetanse som faktisk tar ansvar for resten?

Når dette er avklart, blir det lettere å velge riktig avtale. Da slipper dere også overraskelser når noe stopper.

Kort oppsummert

Bare lisens kan være riktig for bedrifter med enkel IT-hverdag og lavere krav. Da betaler dere for tjenesten og kan kjøpe support ved behov, men Trønder Data står ikke automatisk ansvarlig for PC-sikkerhet, drift, backup, dokumentasjon eller beredskap.

Serviceavtale passer når dere vil at vi skal ta ansvar over tid. Da avtaler vi hva som inngår, hva som overvåkes, hvordan support håndteres, og hvor grensen går mellom vårt ansvar og deres eget.

Vi kan alltid se på avtalen på nytt når behovet endrer seg. Det viktigste er at ansvar for sikkerhet og drift avklares før noe går galt, ikke etterpå.

Referanser

  • EDPB: Sikring av personopplysninger
  • Lovdata: Personvernforordningen artikkel 32 om sikkerhet ved behandlingen
IT-tekniker kontrollerer sikkerhetsstatus på PC, mobil og bærbar datamaskin

Endepunktsikring i praksis: Slik kontrollerer dere at beskyttelsen virker

Skrevet av Svein tore den . Publisert i IT-sikkerhet.

Endepunktsikring er mer enn å installere et antivirusprogram. Bedriften må vite hvilke enheter som er beskyttet, om sikkerhetsfunksjonene faktisk er aktive, hvem som følger opp varsler, og hva som skjer når en PC eller mobil viser tegn til kompromittering.

Den praktiske testen er derfor ikke om dere har kjøpt en sikkerhetslisens. Spørsmålet er om dere kan oppdage en ubeskyttet enhet og håndtere et reelt varsel før hendelsen får spre seg.

Hva er et endepunkt?

Et endepunkt er en enhet som kobles til virksomhetens systemer og data. Det kan være en bærbar PC, stasjonær PC, mobiltelefon, nettbrett eller server. Hjemmekontor og reiser gjør at mange av disse enhetene ofte befinner seg utenfor kontornettverket.

Det betyr at brannmuren på kontoret ikke kan være hele sikkerhetsstrategien. Beskyttelsen må følge enheten, også når medarbeideren bruker hjemmenett, mobildata eller et trådløst nett på reise.

Start med å kontrollere dekningen

Første oppgave er å sammenligne enhetslisten med oversikten i sikkerhetsløsningen. En maskin som ikke er registrert, eller som ikke har rapportert status på lenge, kan falle utenfor oppdateringer, varsling og sentral oppfølging.

Lag en enkel kontroll som svarer på disse spørsmålene:

  • Hvilke PC-er, mobiler og servere har tilgang til bedriftens data?
  • Er alle aktive enheter registrert i den sentrale sikkerhetsløsningen?
  • Finnes det gamle enheter som fortsatt har tilgang, men ikke lenger er i bruk?
  • Hvem har ansvar for å følge opp en enhet som slutter å rapportere?

Kontrollen bør inngå når en ny enhet tas i bruk, når en ansatt slutter, og ved jevnlige gjennomganger. En lisens som er kjøpt, men aldri aktivert på enheten, gir ingen reell beskyttelse.

Oppdateringer må kunne følges opp

Operativsystem, nettleser og vanlige programmer må holdes oppdatert. Automatisk oppdatering er et godt utgangspunkt, men bedriften trenger også en måte å oppdage maskiner der oppdateringen har feilet, er utsatt eller krever omstart.

NSMs grunnprinsipper for IKT-sikkerhet anbefaler blant annet oversikt over enheter og programvare, sikker konfigurasjon og håndtering av sårbarheter. Poenget er praktisk: Det som ikke finnes i oversikten, er vanskelig å beskytte og vedlikeholde.

Vanlig bruker bør være normalen

Daglig arbeid bør som hovedregel skje med en vanlig brukerkonto. Lokale administratorrettigheter gjør det enklere å installere programvare og endre sikkerhetsinnstillinger, men de gir også skadevare og misbrukte kontoer større handlingsrom.

Administratorrettigheter bør derfor gis etter behov, være dokumentert og gjennomgås jevnlig. Vi har forklart dette nærmere i artikkelen hvorfor adminbrukere krever strengere kontroll.

Forebygging alene er ikke nok

Moderne endepunktsikring kombinerer flere funksjoner. Den skal forsøke å stoppe skadelig aktivitet, men også registrere hendelser som må undersøkes. Microsoft beskriver for eksempel Defender for Business som en løsning med forebyggende beskyttelse, reduksjon av angrepsflate, endepunktdeteksjon og respons, samt automatisert undersøkelse og utbedring.

Det betyr ikke at alle bedrifter trenger samme produkt eller oppsett. Det viktige er å avklare hvilke funksjoner løsningen faktisk har, hvilke enheter den dekker, og hvem som reagerer når den melder fra.

Et varsel trenger en eier

Et sikkerhetsvarsel som bare blir liggende i en portal eller sendt til en postkasse ingen følger med på, har begrenset verdi. Bedriften bør vite hvem som mottar varselet, hvor raskt det skal vurderes, og hvem som kan isolere enheten eller sperre en konto.

Avklar minst:

  • hvem som overvåker kritiske varsler
  • hva som regnes som kritisk
  • hvordan berørt bruker og ledelse kontaktes
  • når en enhet skal kobles fra eller isoleres
  • hvordan hendelsen dokumenteres og følges opp

Har dere en ekstern IT-leverandør, må avtalen skille mellom selve lisensen og den løpende oppfølgingen. Artikkelen serviceavtale eller bare lisens viser hvorfor dette skillet er viktig.

Test kontrollkjeden, ikke skadevare

En kontroll av endepunktsikringen trenger ikke innebære at noen laster ned reell skadevare. Bruk leverandørens dokumenterte testfunksjon eller en ufarlig testfil når dette støttes, og avtal testen med den som overvåker løsningen.

Testen bør bekrefte hele kjeden:

  1. Enheten er registrert og rapporterer oppdatert status.
  2. En ufarlig testhendelse blir oppdaget.
  3. Varslet kommer fram til riktig mottaker.
  4. Ansvarlig person kan identifisere enheten og brukeren.
  5. Det finnes en kjent prosedyre for isolering, opprydding og gjenoppretting.

Dette ligner prinsippet for sikkerhetskopiering: En grønn status er nyttig, men en kontrollert test viser om prosessen faktisk virker. Se også vår praktiske veiledning om sikkerhetskopiering for småbedrifter.

En enkel kvartalskontroll

For en liten virksomhet kan en kort, dokumentert gjennomgang hvert kvartal være et fornuftig utgangspunkt. Hyppigheten må tilpasses risiko, endringstakt og kravene virksomheten er underlagt.

  • Sammenlign aktive ansatte og enheter med administrasjonsportalen.
  • Finn enheter som ikke har rapportert på forventet tid.
  • Kontroller status for operativsystem og kritiske programmer.
  • Gjennomgå lokale administratorer og unødvendige unntak.
  • Bekreft at varsler går til en bemannet kanal.
  • Utfør en avtalt og ufarlig varslingstest.
  • Dokumenter avvik, ansvarlig person og frist.

Hva bør bedriften sitte igjen med?

God endepunktsikring skal gi en oppdatert oversikt, ensartet konfigurasjon, tydelig varsling og en gjennomførbar respons. Den skal ikke være avhengig av at én medarbeider husker å åpne riktig portal.

Trenger dere hjelp til å få oversikt over enheter, beskyttelse og oppfølging, kan dere lese mer om endepunktsikring hos Trønder Data. Start med å avklare hva som allerede er aktivt, hvilke enheter som mangler, og hvem som har ansvar når et varsel oppstår.

Kilder

Illustrasjon av kalender, supportsaker og klokke som viser planlagt IT-hjelp gjennom timebank

Derfor er timebank ofte billigere enn ad hoc IT-hjelp

Skrevet av Svein tore den . Publisert i Serviceavtaler, Timebank. Ingen kommentarer til Derfor er timebank ofte billigere enn ad hoc IT-hjelp

Timebank er ofte billigere enn ad hoc IT-hjelp fordi dere slipper å vurdere hver eneste lille oppgave som en egen kostnad. Når timene allerede ligger i avtalen, blir terskelen lavere for å be om hjelp tidlig, rydde småting fortløpende og få dokumentasjon gjort før den blir et stressmoment.

Det er ikke alltid billigere i ren timepris hvis dere bare sammenligner én enkelt oppgave. Verdien kommer av forutsigbarhet, mindre friksjon og at små IT-oppgaver faktisk blir løst.

Mange undervurderer hvor ofte de trenger IT-hjelp

Vi ser ofte at små bedrifter tror de trenger lite IT-hjelp før samarbeidet starter. Det er forståelig. Hvis PC-er, e-post og nettverk fungerer akkurat nå, kan IT virke som noe dere bare trenger når noe stopper.

Så skjer det vanlige: en ansatt trenger tilgang, en PC må settes opp, en lisens må justeres, en sikkerhetsinnstilling må kontrolleres, en nettside trenger en liten endring, eller noen lurer på om en e-post er trygg. Hver oppgave er liten. Til sammen blir de en del av den normale arbeidshverdagen.

Når dere blir kjent med oss og oppdager hvor enkelt det er å sende slike oppgaver videre, blir timebanken ofte mer verdifull enn dere først trodde. Det er litt av poenget med modellen: dere skal slippe å spare opp irritasjon, usikkerhet og småfeil til “det blir stort nok til å ringe IT”.

Ad hoc-hjelp gjør små oppgaver større enn de trenger å være

Ad hoc IT-hjelp kan fungere fint når behovet er sjeldent og tydelig avgrenset. Problemet oppstår når alt må vurderes på nytt hver gang:

  • Er dette verdt en faktura?
  • Haster det nok til å ta kontakt?
  • Hvem skal godkjenne kostnaden?
  • Er dette innenfor avtalen eller utenfor?
  • Bør vi bare vente til flere ting har samlet seg opp?

Den vurderingen tar også tid. Og ofte fører den til at små oppgaver blir liggende.

Med timebank er rammen allerede satt. Dere har et avtalt antall timer, og arbeidet trekkes fra timebanken når vi gjør det. Hvis dere bruker mer enn avtalt, kan overforbruk faktureres etter avtalt modell. Det gjør det enklere å bruke IT-partneren riktig: tidlig, praktisk og uten at hver liten oppgave blir en egen beslutning.

Timebank gir bedre kostnadsplanlegging

For mange små og mellomstore bedrifter er forutsigbarhet like viktig som lavest mulig enkelttimepris.

En uventet IT-faktura er sjelden hyggelig. Det er heller ikke særlig effektivt å vente med nødvendige oppgaver fordi ingen vet hva det vil koste. Timebank gir dere en fast ramme for support, rådgivning og praktisk arbeid. Det gjør det lettere å planlegge månedlige og årlige IT-kostnader.

Det betyr ikke at alt i verden er inkludert. Større prosjekter, nye lisenser, maskinvare og arbeid utenfor avtalt ansvar må fortsatt avklares. Men timebanken gjør at mye av den løpende hverdagsjobben ikke blir en overraskelse.

Se også vår Q&A om hva timebanken kan brukes til.

De små oppgavene er ofte de viktigste

En liten oppgave kan være mer verdifull enn den ser ut som.

Det kan være å rydde opp i en tilgang, sjekke en backup, justere en sikkerhetsinnstilling, dokumentere en rutine, hjelpe en ansatt med innlogging, eller avklare om data bør ligge i Microsoft 365, Nextcloud eller et annet sted. Hver for seg er det småting. Samlet handler det om drift, sikkerhet og oversikt.

Vi bruker også timebanken på små oppgaver når vi produserer dokumentasjon for kundene våre. Det kan være dokumentasjon knyttet til sikkerhet, risiko, backup, tilgangsstyring, databehandlerforhold eller rutiner dere må kunne vise frem ved behov.

Her er det viktig å være presis: hva som faktisk er lovpålagt, avhenger av hva bedriften din gjør, hvilke personopplysninger dere behandler, og hvilken rolle dere har. Men mange bedrifter har behov for bedre oversikt og dokumentasjon enn de selv tror. Datatilsynet peker blant annet på internkontroll, informasjonssikkerhet og protokoll over behandlingsaktiviteter som praktiske deler av personvernarbeidet.

Timebank gjør at slikt arbeid kan tas litt etter litt, i stedet for at alt må bli et stort prosjekt.

Timebank gjør samarbeidet bedre over tid

Ad hoc-hjelp blir ofte reaktivt. Noe har stoppet, noen må fikse det, og saken haster.

Timebank gjør det lettere å jobbe mer forebyggende. Når vi kjenner IT-miljøet deres, brukerne, rutinene og historikken, bruker vi mindre tid på å forstå situasjonen hver gang. Vi ser også lettere hvilke små endringer som kan spare dere for problemer senere.

Det er her timebanken ofte går fra å være “noen inkluderte timer” til å bli en praktisk samarbeidsform. Dere sender oppgaver tidligere. Vi får mer kontekst. Småting blir løst før de blir større. Dokumentasjon holdes mer oppdatert. Risikoanalysen blir ikke bare en årlig øvelse, men noe som støttes av løpende arbeid.

Dette henger også sammen med risikoanalyse, tilgangsstyring og løpende dokumentasjon.

Når passer timebank dårligere?

Timebank passer ikke alltid best.

Hvis dere bare trenger én helt avgrenset oppgave, kan et lite prosjekt være mer ryddig. Hvis dere kun vil kjøpe en lisens og gjøre alt annet selv, kan det også være riktig. Da må dere bare være klar over at ansvar, responstid og support følger det dere faktisk har avtalt.

Timebank passer best når dere vil ha en IT-partner som kan hjelpe jevnlig, ikke bare når noe går galt. Den passer særlig godt når dere ønsker forutsigbare kostnader, raskere avklaringer og en enklere måte å få gjort små oppgaver på.

Hvis dere har en serviceavtale hos oss, henger timebank, SLA og ansvar sammen. Kritiske saker innenfor avtalen prioriteres etter avtalt responstid, mens andre oppgaver kan trekkes fra timebanken.

Slik får dere mest verdi ut av timebanken

Den beste måten å bruke timebank på er å bruke den tidlig nok.

Ikke vent til alle småting har samlet seg opp. Send inn spørsmål, småfeil og avklaringer mens de fortsatt er enkle. Be om hjelp når dere vurderer nye lisenser, når en ansatt får ny rolle, når dere tar i bruk et nytt system, eller når dere er usikre på hvor data bør lagres.

Det gir oss bedre mulighet til å hjelpe før kostnaden blir høyere.

En god timebank brukes ikke bare til brannslukking. Den brukes til support, dokumentasjon, rådgivning, sikkerhetsarbeid, nettsidearbeid, SEO, oppsett, feilsøking og praktiske forbedringer som holder IT-hverdagen i gang.

Kort oppsummert

Timebank er ofte billigere enn ad hoc IT-hjelp fordi dere får en fast ramme for de små og mellomstore oppgavene som faktisk dukker opp. Dere slipper å gjøre hver supporthenvendelse til en ny kostnadsvurdering, og vi kan hjelpe tidligere, mer praktisk og med bedre kjennskap til bedriften din.

For noen holder det med enkeltoppdrag. For mange små bedrifter blir timebank likevel en bedre modell fordi den gir forutsigbarhet, lavere terskel for å be om hjelp og mer løpende kontroll på IT, sikkerhet og dokumentasjon.

Dere kan lese mer om Timebank som tjeneste eller se hvordan timebank inngår i våre serviceavtaler.

Referanser

  • Datatilsynet: Etablere internkontroll
  • Datatilsynet: Protokoll over behandlingsaktiviteter
Illustrasjon av IT-sikkerhet, skjold og sikrede endepunkter i en bedrift

Hva bør en liten bedrift ha på plass for å være trygg digitalt?

Skrevet av Svein tore den . Publisert i IT-sikkerhet. Ingen kommentarer til Hva bør en liten bedrift ha på plass for å være trygg digitalt?

Hva bør en liten bedrift ha på plass for å være trygg digitalt?

En liten bedrift trenger ikke nødvendigvis de dyreste sikkerhetsløsningene. Men dere bør vite hva dere har, hvor dataene ligger, hvem som har tilgang, hva som blir tatt backup av, og hva som skjer hvis noe går galt.

Det er minimum.

Hos Trønder Data møter vi små bedrifter med veldig ulike behov. Noen har nesten bare e-post, faktura og en enkel nettside. Andre er små på papiret, men behandler sensitive data, leverer til kunder med strenge krav, jobber mot helse, industri, forsvarsnære miljøer eller har kontrakter som stiller krav til dokumentasjon.

Derfor liker vi å behandle også små bedrifter ryddig. Ikke fordi alle må ha alt. Men fordi det ofte er billigere og tryggere å gjøre grunnarbeidet riktig fra start enn å rydde opp etterpå.

Det viktigste er ikke verktøyet, men bevisstheten

De fleste små bedrifter kan bruke Windows, Microsoft 365 og vanlige skytjenester. For mange er det helt riktig valg.

Problemet oppstår når ingen har tatt stilling til hva som faktisk lagres der.

En Windows-PC kan være et godt arbeidsverktøy. Microsoft 365 kan være en svært effektiv kontorløsning. Men dere bør vite forskjellen på vanlige arbeidsdokumenter, interne dokumenter, personopplysninger, sensitive personopplysninger, kundedata, kontraktsdata og filer som kunder eller leverandører stiller egne krav til.

Minimum er at bedriften får en praktisk forklaring på:

  • hva som kan ligge lokalt på en PC
  • hva som kan ligge i Microsoft 365 eller annen utenlandsk sky
  • hva som bør ligge i norskdriftet eller mer kontrollert løsning
  • hva som må sikres med ekstra tilgangskontroll
  • hva som må dokumenteres hvis noen spør

Det høres kanskje tørt ut. Men det er ofte her den største risikoen ligger. Ikke i at bedriften mangler et eksotisk sikkerhetsprodukt, men i at ingen vet om sensitive filer ligger på skrivebordet til en ansatt, i en privat mappe, i en delt Teams-kanal, på en gammel PC eller i en sky dere ikke har vurdert godt nok.

Start med en oppstartssamtale

Før vi anbefaler pakker, lisenser eller tekniske løsninger, liker vi å ta en oppstartssamtale.

Der prøver vi å forstå hvordan bedriften faktisk jobber:

  • Hvilke systemer bruker dere?
  • Hvilke data behandler dere?
  • Hvem har tilgang til hva?
  • Hvilke kunder, leverandører eller kontrakter stiller krav til dere?
  • Hva må dere få raskt tilbake hvis noe stopper?
  • Hvilke ansatte trenger bare e-post og sky, og hvem trenger mer kontroll?
  • Hva ligger lokalt på PC-er i dag?
  • Hva ligger i Microsoft 365, Nextcloud eller andre skytjenester?

Poenget er ikke å gjøre ting komplisert. Poenget er å finne ut hvor enkelt det kan gjøres uten å miste kontroll.

For noen bedrifter holder det med en ryddig Microsoft 365-løsning, MFA, backup, endepunktsikring og en enkel serviceavtale. For andre bør vi vurdere norskdriftet Nextcloud, strengere tilgangskontroll, mer dokumentasjon, lokal lagring eller en mer formell risikovurdering.

Gjør en risikoanalyse før dere bestemmer nivået

En risikoanalyse trenger ikke være et stort og akademisk dokument. For en liten bedrift bør den først og fremst svare på praktiske spørsmål:

  • Hva er viktigst for at dere kan jobbe?
  • Hvilke data vil være mest alvorlig å miste?
  • Hvilke data vil være mest alvorlig å lekke?
  • Hvor raskt må dere være i gang igjen etter en hendelse?
  • Hvem har tilgang til kritiske systemer?
  • Hvilke krav må dere følge fra lovverk, kunder, leverandører eller bransje?

Datatilsynet beskriver informasjonssikkerhet som arbeid med å håndtere risiko for at personopplysninger og andre informasjonsverdier blir ivaretatt på en tilfredsstillende måte. De peker også på at bedriften først må identifisere hvilke personopplysninger som finnes, og deretter gjennomføre risikovurdering for å se om sikkerhetstiltakene er gode nok.

NSM beskriver på sin side risikovurdering som arbeid med verdier, trusler og sårbarheter. Det passer godt i praksis. Vi må vite hva som er verdifullt, hva som kan gå galt, og hvor bedriften er sårbar.

Når dette er gjort, blir det lettere å velge riktig nivå. Da slipper dere å kjøpe feil ting, men dere slipper også å undervurdere risiko fordi bedriften er liten.

Minimum 1: kontroll på brukere og tilgang

Det første vi ser på er ofte brukere og tilganger.

Hver ansatt bør ha sin egen bruker. Delte kontoer bør unngås. Administratorrettigheter bør begrenses. MFA bør være aktivert på viktige tjenester. Når noen slutter eller bytter rolle, må tilganger fjernes eller endres.

Dette er grunnleggende, men det er også et av områdene der små bedrifter lett får hull.

Typiske problemer er:

  • gamle brukere som fortsatt har tilgang
  • én felles admin-konto som flere bruker
  • ansatte med mer tilgang enn de trenger
  • manglende MFA
  • passord som deles muntlig eller ligger i dokumenter
  • ingen oversikt over hvem som har tilgang til leverandørportaler

Hvis Trønder Data skal ta ansvar for kritiske tilganger, må vi også ha nok kontroll til å kunne stå inne for ansvaret. Det handler ikke om byråkrati. Det handler om risiko.

Minimum 2: backup som faktisk kan brukes

Backup er ikke trygg før den kan gjenopprettes.

Det bør være avklart hva som tas backup av, hvor lenge det beholdes, hvor raskt det kan gjenopprettes, og hvem som gjør jobben når noe skjer.

For noen holder det med filbackup. Andre trenger backup av PC, server, Microsoft 365, Nextcloud, arkiv eller mer omfattende gjenoppretting. Det riktige nivået avhenger av hvor kritiske dataene er.

En liten bedrift bør som minimum vite:

  • hvilke filer og systemer som er inkludert
  • hva som ikke er inkludert
  • hvor lenge slettede eller endrede filer kan hentes tilbake
  • hvordan restore håndteres
  • om backup er testet

Dette er spesielt viktig ved ransomware, feil sletting, ødelagt PC, havari eller ansatte som mister tilgang.

Minimum 3: sikring av PC-er og endepunkter

En PC er ofte inngangsdøren til resten av bedriften.

Derfor bør arbeidsmaskiner ha grunnleggende sikkerhet: oppdateringer, brannmur, endepunktsikring, kontroll på lokale administratorrettigheter og rutiner for hva som kan lagres lokalt.

Hos Trønder Data bruker vi driftet endepunktsikring der det er avtalt, og vi følger opp varsler og hendelser etter avtalen. For bedriften betyr det at sikkerhet ikke bare er en lisens som står på fakturaen, men en del av driften.

Det er også her bevisstheten rundt Windows-maskiner blir viktig. Det er ikke nødvendigvis feil at ansatte jobber på Windows. Men dere bør vite hvilke data som kan lagres lokalt, hva som må ligge i skyen, hva som må krypteres, og hva som ikke bør være på en enkel arbeids-PC i det hele tatt.

Minimum 4: riktig skyløsning for dataene deres

Skyvalg handler ikke bare om funksjoner.

Microsoft 365 er ofte riktig når dere trenger Outlook, Office, Teams og en kjent arbeidsflyt. For mange små bedrifter er det både effektivt og fornuftig.

Men hvis dere behandler sensitive data, har kontraktskrav, må dokumentere datasuverenitet eller ønsker bedre kontroll over hvor data ligger, bør dere vurdere alternativer. Da kan norskdriftet Nextcloud eller en mer kontrollert lokal løsning være bedre.

Det viktigste er at valget tas bevisst.

Spørsmålet er ikke bare “fungerer løsningen?”. Spørsmålet er:

  • passer løsningen til dataene dere behandler?
  • vet dere hvor dataene lagres?
  • vet dere hvem som kan få tilgang?
  • har dere kontroll på backup?
  • kan dere dokumentere valget?

Minimum 5: dokumentasjon som ikke bare ligger i hodet

Små bedrifter er ofte sårbare fordi mye kunnskap ligger i hodet til én person.

Hvem har admin? Hvor ligger domenet? Hvem styrer DNS? Hvilken leverandør har backup? Hvem har tilgang til Microsoft 365? Hvor ligger passord? Hva gjør dere hvis daglig leder er syk, IT-ansvarlig slutter eller en PC blir låst av ransomware?

Dette trenger ikke være tung dokumentasjon. Men det må finnes.

Hos oss handler dokumentasjon om å kunne hjelpe raskere, redusere risiko og gjøre bedriften mindre avhengig av enkeltpersoner. Dokumentasjonen bør oppdateres fortløpende og gjennomgås jevnlig.

Minimum 6: ansatte som forstår hva de skal gjøre

Sikkerhet fungerer dårlig hvis ansatte føler at alt bare er regler de ikke forstår.

Derfor bør ansatte få en enkel forklaring på hva som er viktig:

  • hva de kan lagre hvor
  • hvordan de kjenner igjen mistenkelige e-poster
  • hvorfor MFA brukes
  • hvorfor passord ikke skal deles
  • hvem de kontakter ved mistanke om feil eller angrep
  • hva de gjør hvis de mister utstyr eller tilgang

Dette bør forklares i et språk folk faktisk forstår. Ikke som pekefinger, men som praktisk trygghet.

Hva vi anbefaler som praktisk start

For en liten bedrift anbefaler vi ofte denne rekkefølgen:

  1. Ta en oppstartssamtale.
  2. Kartlegg data, systemer, brukere og leverandører.
  3. Gjør en enkel risikoanalyse.
  4. Avklar hva som kan ligge på Windows-PC, Microsoft 365, Nextcloud eller annen lagring.
  5. Sett opp MFA og ryddige brukere.
  6. Sørg for backup som kan gjenopprettes.
  7. Sikre PC-er og endepunkter.
  8. Dokumenter tilganger, ansvar og viktige systemer.
  9. Gi ansatte enkel opplæring.
  10. Gjennomgå dette jevnlig.

Dette er en fornuftig start uansett om dere ender med en full serviceavtale, bare enkelte tjenester eller et avgrenset prosjekt.

Hvis dere ønsker fast oppfølging, kan dette bygges inn i en serviceavtale hos Trønder Data. Da kan vi koble sammen support, backup, endepunktsikring, sky, risikoanalyse og dokumentasjon på en måte som passer bedriften. Hvis dere allerede har egen IT, kan vi også gjøre en uavhengig gjennomgang eller et avgrenset prosjekt.

Trygg digital drift handler om riktige valg

En liten bedrift trenger ikke alt. Men dere bør ikke velge i blinde.

Noen små bedrifter har strenge krav. Andre har færre formelle krav, men likevel data de ikke har råd til å miste eller lekke. Derfor bør minimumsnivået alltid starte med oversikt, bevissthet og risikoanalyse.

Når dere vet hva dere har, hvor det ligger, hvem som har tilgang og hva som skjer ved feil, blir resten enklere å prioritere.

Da kan dere bruke Windows og Microsoft 365 der det passer. Dere kan velge Nextcloud eller norskdriftet løsning der det er riktig. Dere kan kjøpe det dere trenger, og la være å kjøpe det dere ikke trenger.

Men dere tar valget med åpne øyne.

Det er der digital trygghet starter.

Referanser

Illustrasjon av norskdriftet skyløsning, datasenter og kontroll over data

Norskdriftet Nextcloud: mer enn et Microsoft-alternativ

Skrevet av Svein tore den . Publisert i Nextcloud. Ingen kommentarer til Norskdriftet Nextcloud: mer enn et Microsoft-alternativ

Nextcloud blir ofte omtalt som et alternativ til Microsoft 365. Det er sant, men det er litt for svakt.

For noen bedrifter er Microsoft 365 det beste praktiske valget. For andre er norskdriftet Nextcloud et bedre valg fordi dataene er mer sensitive, brukerne er mange, eller dere trenger mer kontroll over hvor data lagres og hvem som kan få tilgang.

Hos Trønder Data leverer vi begge deler. Derfor handler anbefalingen vår ikke om å være for eller mot Microsoft. Den handler om hva dere faktisk trenger.

Kortversjonen

Vi anbefaler ofte Nextcloud når:

  • dere behandler sensitiv eller forretningskritisk informasjon
  • dere vil ha norsk drift og tydeligere kontroll på datalagring
  • dere har flere brukere og Microsoft-lisenser begynner å bli dyrt
  • dere ønsker en løsning som kan tilpasses mer etter egne krav
  • dere må dokumentere bedre kontroll over egne data
  • dere vil ha mye funksjonalitet samlet i én plattform

Vi anbefaler ofte Microsoft 365 når:

  • dere primært trenger Office, Outlook og Teams
  • dataene ikke er spesielt sensitive
  • dere har få brukere
  • brukervennlighet og kompatibilitet veier tyngst
  • dere forstår og aksepterer vurderingene rundt skytjeneste, datalagring og regelverk

Dette er ikke en moralsk konkurranse mellom to plattformer. Det er et praktisk valg.

Når Nextcloud gir mest mening

Nextcloud gir mest mening når skyløsningen ikke bare skal være enkel, men også kontrollerbar.

Det gjelder særlig bedrifter som behandler sensitiv data, kundedata, interne dokumenter, prosjektinformasjon, avtaler, tegninger, helse- eller personopplysninger, eller informasjon som kunder og leverandører stiller krav til.

Da holder det ikke alltid å spørre: «Fungerer skyløsningen?»

Dere bør også spørre:

  • Hvor lagres dataene?
  • Hvem drifter løsningen?
  • Hvem kan få tilgang?
  • Hvordan dokumenteres sikkerheten?
  • Hvilke underleverandører er involvert?
  • Hva skjer hvis dere må dokumentere dette overfor andre?

For slike kunder blir Nextcloud interessant fordi løsningen kan driftes norsk, med tydeligere kontroll på infrastruktur, backup, tilgangsstyring og dokumentasjon.

En ting mange kunder liker når de faktisk får se Nextcloud i bruk, er hvor mye løsningen kan gjøre. Det handler ikke bare om filer. Nextcloud kan også brukes til deling, kalender, kontakter, dokumenter, chat, møter, mobilapp, arbeidsflyt og ulike apper som kan tilpasses behovet.

Det betyr ikke at alle skal bruke alt. Men det betyr at løsningen kan vokse med dere uten at alt må flyttes til en ny plattform med en gang behovet endrer seg.

Fem brukere er ofte et praktisk skille

Pris er ikke alt, men det betyr noe.

Vår praktiske erfaring er at Nextcloud ofte begynner å bli økonomisk interessant når dere har omtrent fem brukere eller flere.

Grunnen er enkel: en egen Nextcloud-løsning har en driftskostnad. Hvis den kostnaden fordeles på én eller to brukere, kan Microsoft 365 ofte bli rimeligere. Hvis kostnaden fordeles på flere brukere, blir regnestykket annerledes.

For en bedrift med mange ansatte som primært trenger e-post, filer, deling, kalender og enkel samhandling, kan Nextcloud bli vesentlig mer gunstig enn å betale full Microsoft-lisens for alle.

Dette betyr ikke at Nextcloud alltid er billigst. Det betyr at brukerantall, behov og ansvarsnivå må regnes på før dere bestemmer dere.

Når Microsoft 365 fortsatt er riktig valg

Det er ingen hemmelighet at Microsoft 365 er en svært sterk kontorløsning.

For kunder som jobber mye i Word, Excel, Outlook, Teams og delte Office-dokumenter, er Microsoft 365 ofte den mest polerte og kjente brukeropplevelsen. Det er mange som allerede kan verktøyene, og samhandling med kunder og leverandører er ofte enkelt.

Hvis dere har få brukere, ikke behandler spesielt sensitiv data, og ikke har strenge krav til datasuverenitet, kan Microsoft 365 være det beste praktiske valget.

Men det bør fortsatt settes opp riktig. Microsoft 365 er ikke bare en lisens. Riktig lisensvalg, MFA, sikkerhetsinnstillinger, backup, tilgangsstyring og dokumentasjon må være på plass.

Og dere må forstå hva som kan lagres i løsningen, hvilke regler som gjelder, og hvilke vurderinger som må dokumenteres.

Det viktigste spørsmålet er ikke «hva er billigst?»

Det riktige spørsmålet er:

Hva er billigst over tid, gitt risikoen dere faktisk har?

En løsning som er billig på lisens kan bli dyr hvis den fører til feil lagring, dårlig kontroll, manglende dokumentasjon eller ekstra arbeid senere.

En løsning som koster litt mer i drift kan være billigere hvis den gir:

  • lavere lisenskostnad per bruker
  • bedre kontroll på data
  • enklere dokumentasjon
  • færre juridiske avklaringer
  • mindre risiko ved sensitive opplysninger
  • mer fleksibel brukervekst

For noen kunder blir Microsoft 365 riktig. For andre kunder blir Nextcloud riktig. Poenget er å ta valget bevisst, ikke bare velge det alle andre bruker.

Nextcloud hos Trønder Data

Når Trønder Data leverer Nextcloud, handler det ikke bare om å sette opp en server.

En god skyløsning må ha:

  • drift
  • backup
  • oppdateringer
  • tilgangsstyring
  • dokumentasjon
  • sikkerhetsvurdering
  • support
  • tydelig ansvar

Nextcloud kan dekke filer, deling, kalender, kontakter, dokumentredigering, chat, møter, mobilapp og integrasjoner. Hvor mye dere tar i bruk, avhenger av behovet.

Noen trenger bare trygg filsynkronisering og deling. Andre ønsker en mer komplett plattform for samarbeid.

Det viktigste er at løsningen settes opp etter behovet, ikke etter en standardpakke som later som alle bedrifter er like.

Sensitiv data bør behandles med ekstra varsomhet

Når dere behandler sensitiv data, anbefaler vi Nextcloud langt oftere.

Det betyr ikke at Microsoft 365 automatisk er «ulovlig». Det betyr at dere må gjøre grundigere vurderinger når data lagres hos en amerikansk leverandør, selv om tjenester kan ha europeisk datalagring og omfattende sikkerhetstiltak.

Datatilsynet peker på at overføring av personopplysninger ut av EØS kommer i tillegg til de andre pliktene etter GDPR. Microsoft dokumenterer også at enkelte dataflyter og tilganger kan skje utenfor EU Data Boundary i bestemte situasjoner.

Dette må ikke brukes som skremsel. Det må brukes som beslutningsgrunnlag.

For en del kunder er svaret enkelt: bruk norskdriftet Nextcloud, så reduserer vi usikkerhet og får mer kontroll.

Erfaring fra praksis: når manglende planlegging skaper friksjon

En kunde ønsket både å spare penger og holde sensitiv data utenfor Microsofts skymiljø. De gikk derfor fra Microsoft 365 til Nextcloud.

Selve målet var fornuftig. Problemet var planleggingen.

Ansatte ble ikke informert godt nok i forkant, og de ble ikke utstyrt med gode nok rutiner og verktøy før overgangen. Resultatet var at noen opplevde å miste funksjoner de var avhengige av. Ledelsen slet også med å endre arbeidsvaner, fordi de var vant til å gjøre nesten alt i Teams.

Løsningen ble ikke å rulle alt tilbake. Løsningen ble en hybrid.

Ledelsen begynte å bruke Office igjen der det var nødvendig, mens øvrige brukere kunne ha e-post på våre mailservere og bruke Nextcloud som samhandlingsplattform. Kommunikasjonen mellom ledelse og ansatte ble liggende i Nextcloud Talk.

Resultatet ble at kunden fortsatt sparte penger, samtidig som sensitiv data ble liggende utenfor Microsoft og på privat sky.

For oss er lærdommen tydelig: Nextcloud kan være riktig løsning, men overgangen må planlegges. Ansatte må forstå hva som endres, hva som ikke endres, og hvordan de skal jobbe etterpå.

Erfaring fra praksis: demo først ga bedre innføring

En annen kunde, i helsebransjen, gjorde det motsatt.

De visste at de hadde krav til hvordan data skulle håndteres, men de presset ikke løsningen rett inn i drift. Først ba de oss sette opp en demo-server med Nextcloud. Deretter fikk ansatte teste, leke, prøve arbeidsflyt og rapportere svakheter.

Det var en klok måte å gjøre det på.

Mangler og irritasjonsmomenter ble synlige før løsningen ble kritisk. Vi tok deretter møte med kunden, gikk gjennom funnene og testet hvilke Nextcloud-apper som kunne løse behovene.

Det meste lot seg løse med riktig oppsett og riktige apper. Ett behov fantes det ikke en god løsning for. Da utviklet vi en liten app som løste akkurat den mangelen.

Først når dette var på plass, begynte kunden å innføre Nextcloud gradvis i drift.

Resultatet var at kunden fikk en løsning som passet bedre til faktisk arbeidshverdag. De kom innenfor kravene de måtte forholde seg til, og de sparte flere tusen kroner i måneden sammenlignet med alternativet, som var å kjøpe rundt 50 Office-lisenser.

For oss viser dette hvorfor demo, testing og involvering av ansatte er så viktig. Det er bedre å finne friksjonen før løsningen går i produksjon.

Vår anbefaling

Hvis bedriften har under fem brukere, lite sensitiv data og primært trenger Office-verktøy, kan Microsoft 365 være det mest praktiske og økonomiske valget.

Hvis bedriften har fem brukere eller flere, behandler sensitiv data, ønsker norsk drift, trenger mye funksjonalitet i én plattform eller vil redusere lisenspresset fra Microsoft, bør Nextcloud vurderes seriøst.

Og hvis bedriften er usikker, bør valget starte med en enkel kartlegging:

  • Hvor mange brukere har dere?
  • Hva slags data lagrer dere?
  • Hvem stiller krav til dere?
  • Hvilke verktøy bruker ansatte faktisk?
  • Hva må dokumenteres?
  • Hvor viktig er norsk drift?
  • Hvor viktig er lavest mulig lisenskostnad?
  • Hvor mye må ansatte endre arbeidsvaner?
  • Bør vi teste med en demo før endelig overgang?

Da blir skyvalg et styrt valg, ikke en vane.

Hos Trønder Data liker vi praktiske løsninger. Noen ganger er det Microsoft 365. Andre ganger er det Nextcloud. For kunder med sensitiv data eller mange brukere er Nextcloud ofte mer enn et alternativ. Det er den riktige retningen.

Relevante sider

Referanser

Illustrasjon av dokumentasjon, compliance og sikkerhetskontroll for bedrift

Slik fungerer sikkerhetsopplæring uten å overvåke ansatte

Skrevet av Svein tore den . Publisert i IT-sikkerhet. Ingen kommentarer til Slik fungerer sikkerhetsopplæring uten å overvåke ansatte

Sikkerhetsopplæring kan fort høres kontrollpreget ut. Det er ikke slik vi ønsker å bruke det.

Målet er at ansatte skal bli tryggere i møte med e-post, lenker, innlogginger og digitale trusler. Ikke at enkeltpersoner skal henges ut.

Hva gjør vi?

Ansatte kan få:

  • korte mikrokurs på e-post
  • spørsmål og enkle tester
  • kontrollerte phishing-simuleringer
  • påminnelser der risikoen er høyere
  • egen rapport med utvikling og råd

Dette gir bedre risikoforståelse uten å gjøre opplæringen tung.

Dynamisk oppfølging

Alle ansatte trenger ikke samme mengde opplæring.

En bruker som ofte trykker på falske e-poster, kan få flere mikrokurs og påminnelser. En bruker som viser god forståelse, trenger kanskje mindre.

Opplæringen tilpasses risiko.

Hva får ledelsen se?

Ledelsen får oversikt over total risiko og utvikling i organisasjonen.

Rapportene anonymiseres eller aggregeres i henhold til lovverket. Hensikten er å se hvor organisasjonen trenger mer opplæring, ikke å peke ut enkeltpersoner.

Den enkelte bruker får sin egen rapport.

Hvorfor dette er nyttig

Tekniske sikkerhetsverktøy stopper mye. Men de stopper ikke alt.

Ansatte er en viktig del av sikkerheten. Med korte, praktiske mikrokurs blir sikkerhet en del av arbeidshverdagen uten at det føles som et stort prosjekt.