Du kan lägga ut driften. Ansvaret för säkerheten stannar hos dig.
Ett tjänsteavtal flyttar arbetsuppgifter, inte ansvar. Har du inte ställt krav på segmentering, backup och separation har du förmodligen inte fått det.
När driften läggs ut infinner sig ofta en känsla av lättnad. Nu är säkerheten någon annans problem. Det står ju i avtalet att leverantören sköter miljön.
En erfaren it-person i vårt nätverk brukar säga det rakt. Man ska inte tro att man får säkerhet bara för att man köper en tjänst. Det ansvaret går inte att lägga ut.
Vad ett avtal faktiskt flyttar
Ett driftavtal flyttar arbetsuppgifter. Leverantören installerar, uppdaterar och bevakar. Det är värdefullt och ofta rätt beslut för ett medelstort bolag utan egen specialistavdelning.
Ansvaret för att verksamheten är skyddad ligger kvar hos er. Om personuppgifter kommer ut är det er verksamhet som ska anmäla och förklara. Om en order inte kan levereras är det er kund som blir arg och er faktura som uteblir. Leverantören får på sin höjd en anmärkning. Ni får skadan, och ni får förklara den för styrelsen.
Det finns ett operativt ansvar, som går att köpa. Och ett yttersta ansvar, som sitter kvar. Många avtal beskriver det första tydligt och nämner inte det andra alls.
Ett vanligt förlopp
Ta ett tjänsteföretag med runt 120 anställda. Driften lades ut för fyra år sedan. Sedan dess har ingen läst avtalet.
En måndagmorgon går ett system inte att nå. Efter några timmar står det klart att det rör sig om ett intrång. IT-ansvarig ringer leverantören och ber dem återställa från backup.
Då visar det sig att backup tas, men att en full återställning aldrig testats. Ingen vet hur lång tid den tar. Det visar sig också att företagets miljö delar nätverk med andra kunder hos leverantören. Loggar finns, men ingen har haft i uppdrag att titta på dem.
Inget av detta bröt mot avtalet. Avtalet sa bara inte tillräckligt.
Varför säkerheten inte kommer på köpet
En leverantör bygger den nivå av säkerhet som avtalet beskriver och betalar för. Sällan mer.
Det ligger i leverantörens intresse att ha en grundnivå. Men separation mellan kunder, testade återställningar, bevakning av loggar och genomtänkt behörighetsstyrning kostar pengar att leverera. Står det inte i avtalet är det inte säkert att ni har det, oavsett vad ni antog när ni skrev på.
Vad det kan kosta
Räkna grovt med egna tal. Vad kostar ett dygns stillestånd i er verksamhet. Vad kostar veckorna av utredning, återställning och extern akuthjälp efter en incident. Vad kostar det i förlorat förtroende hos era tre största kunder om de får veta att deras uppgifter låg hos er.
Ställ den summan mot vad det kostar att gå igenom avtalet och höja nivån där den är för låg. Det senare är några möten och en omförhandling. Skillnaden är oftast stor nog att göra genomgången självklar.
Det som brukar sägas emot
Men vi litar på vår leverantör. Det kan vara befogat. Förtroende ersätter ändå inte skrivna krav. Personer på leverantören byter jobb, avtal ärvs, och det som var underförstått för fem år sedan är inte det idag.
Vi har inte tid. Genomgången nedan tar en timme. En incident utan förberedelse tar veckor.
Varför genomgången inte bör vänta
Ett avtal med luckor kostar inget så länge allt fungerar. Kostnaden kommer på en gång, den dag något händer, och då är förhandlingsläget borta.
Så länge avtalet rullar på med autoförlängning betalar ni varje månad för en trygghet ni kanske inte har. Ni tror att backup testas, att miljön är separerad och att någon bevakar loggarna. Om det inte står i avtalet är det inte säkert att det sker.
Det finns också en tidsaspekt. Att höja nivån i ett befintligt avtal går lättast strax före en förnyelse, när leverantören vill behålla er. Missar ni det fönstret sitter ni fast ett år till på oförändrade villkor.
Genomgången tar en timme. En incident där det visar sig att skyddet inte fanns tar veckor, och räkningen kommer när ni har som minst tid att hantera den.
En mätövning för den här veckan
Ta fram ert nuvarande driftavtal. Leta efter svar på fem frågor.
Är vår miljö separerad från andra kunders. Hur ofta testas att en återställning från backup faktiskt fungerar. Vem bevakar loggar och larm, och hur snabbt får vi veta vid en misstänkt incident. Vad ska leverantören göra de första timmarna vid ett intrång. Hur ofta träffas vi för uppföljning, och med vem hos dem.
Skriv ja där avtalet ger ett tydligt svar. Skriv frågetecken där det är tyst eller vagt.
Fler än två frågetecken betyder att ni tror att ni köpt säkerhet, men att avtalet inte lovar den. Då vet ni vad nästa samtal med leverantören ska handla om, och ni tar det medan allt fungerar i stället för mitt i en incident.