Ustal zakres i punkt przejęcia odpowiedzialności
Zmianę obsługi zacznij od listy usług i uzgodnionego terminu przejęcia. Rozdziel zakończenie współpracy organizacyjnej od technicznego przełączenia narzędzi. Poczta, kopie, monitoring i zdalna pomoc mogą wymagać innych czynności oraz terminów. Wyznacz jednego koordynatora po stronie firmy, który zatwierdza plan i rozstrzyga rozbieżności.
Ustal, kto obsługuje nowe zgłoszenia w okresie przejściowym, a kto kończy otwarte sprawy. Nie zostawiaj sytuacji, w której obaj dostawcy są przekonani, że drugi odpowiada za awarię. Zapisz także kontakt awaryjny i warunki zatrzymania przełączenia, gdy test ujawni istotny problem.
Zbierz dokumentację użyteczną w praktyce
Przygotuj wykaz urządzeń, kont, domen, usług chmurowych, aplikacji i licencji. Dla każdego elementu wskaż właściciela biznesowego, miejsce zarządzania, termin odnowienia oraz zależności. Dołącz schemat sieci, zasady kopii i odtwarzania, harmonogram zadań oraz listę znanych problemów. Oznacz datę aktualności materiałów.
Nie wystarczy lista nazw serwerów. Nowy opiekun powinien rozumieć, które usługi umożliwiają pracę firmy i w jakiej kolejności należy je przywracać. Zweryfikuj dokumentację przez porównanie z rzeczywistym stanem. Brakujące informacje zapisz jako konkretne zadania z właścicielem, zamiast ukrywać je w ogólnym stwierdzeniu „do ustalenia”.
Przekazuj dostęp kontrolowanym kanałem
Sprawdź, czy firma zachowuje kontrolę nad własnymi usługami i kontami administracyjnymi. Nowemu dostawcy nadaj imienne, ograniczone uprawnienia odpowiednie do zadań. Preferuj mechanizmy delegowania i konta przypisane do konkretnych osób. Zapisz, jakie role nadano, kto zatwierdził zmianę oraz kiedy dostęp powinien być ponownie oceniony.
Sekrety przekazuj wyłącznie uprawnionym odbiorcom przez uzgodniony chroniony mechanizm, oddzielnie od zwykłej dokumentacji. Uwzględnij MFA, kody odzyskiwania, konta usługowe, klucze integracji i dostęp awaryjny. Nie kopiuj automatycznie wszystkich haseł poprzednika ani nie zmieniaj ich jednocześnie bez analizy zależności aplikacji.
Przenieś zabezpieczenia przed wyłączeniem starych
Potwierdź działanie nowych kopii, monitoringu i ochrony urządzeń przed zakończeniem poprzednich usług. Zaplanuj wymagany okres równoległej ochrony oraz sprawdź, czy narzędzia nie kolidują. Samo zainstalowanie nowego agenta nie dowodzi, że powiadomienia docierają do właściwej osoby i ktoś na nie reaguje.
Przy przenoszeniu danych sprawdź format eksportu, kompletność i możliwość odczytu. Ustal, jak długo dostępne będą potrzebne historyczne kopie i kto potrafi je odtworzyć. Nie zakładaj, że licencja, subskrypcja lub usługa zakupiona przez poprzednika automatycznie przejdzie na nowego dostawcę; potwierdź to dla każdego elementu.
Odbierz konkretne scenariusze działania
Przeprowadź kontrolowane testy zwykłego użytkownika: logowanie, poczta, dostęp do plików, aplikacja biznesowa i praca zdalna. Osobno sprawdź odtworzenie wybranego pliku, powiadomienie monitoringu oraz działanie kanału zgłoszeń. Próbki powinny być nieszkodliwe i uzgodnione, bez wysyłania przypadkowych powiadomień do klientów.
Porównaj wyniki z listą odbioru i zapisz odstępstwa. Osoba reprezentująca firmę powinna potwierdzić, że może uzyskać potrzebną pomoc i kontroluje kluczowe konta. Przy otwartych brakach przypisz odpowiedzialność oraz termin. Przekazanie dokumentu nie zastępuje sprawdzenia, czy opisane czynności naprawdę można wykonać.
Zamknij stary dostęp i okres przejściowy
Po zatwierdzonym przejęciu usuń zbędne konta delegowane, role, narzędzia zdalne i integracje poprzedniego dostawcy. Przejrzyj reguły przekierowania oraz listy odbiorców alarmów. Zmieniaj przekazane sekrety zgodnie z planem zależności i potwierdzaj działanie usług po każdej istotnej zmianie. Zapisz, co świadomie pozostawiono na czas ograniczony.
Uzgodnij sposób postępowania z kopiami danych pozostającymi u poprzednika i zachowaj potwierdzenia wykonanych działań. W pierwszym okresie po przejęciu częściej przeglądaj alarmy, zadania kopii i otwarte zgłoszenia. Zakończ przejście raportem obejmującym faktycznie sprawdzony zakres oraz nadal istniejące ryzyka.
Źródła: NCSC — Choosing a managed service provider · NCSC — Cloud security shared responsibility model · NSA and CISA — Mitigate Risks from Managed Service Providers in Cloud Environments