Fyra krav att ställa på IT-leverantören innan avtalet förnyas automatiskt.

Många driftavtal förnyas utan att någon läser dem. De har en klausul om automatisk förlängning. Så länge inget larmar rullar de på, år efter år, ofta med reaktivt stöd som enda egentliga innehåll.

Innan nästa förnyelse är det värt en genomgång. Fyra krav bör stå tydligt i texten. Saknas de är det de här samtalen du vill ta med leverantören först, medan du fortfarande har ett förhandlingsläge.

De fyra kraven är inte avancerade. De beskriver en grundnivå som en seriös leverantör redan borde leverera. Poängen med att skriva in dem är att det som står i avtalet är det som faktiskt görs. Det som bara är underförstått försvinner när personer byter jobb och år går.

Krav ett: separation och segmentering

Er miljö ska vara avskild från andra kunders. Internt ska nätverket vara delat i zoner, så att en drabbad klient inte når era servrar och en drabbad server inte når alla andra.

Be leverantören beskriva hur separationen ser ut i praktiken. Be om en enkel ritning. Om svaret är att allt ligger i samma nät, då blir en incident hos en annan kund också er incident.

Krav två: testad backup och återställning

Det räcker inte att backup tas. Den ska gå att återställa, och det ska vara bevisat.

Kräv att en återställning av era viktigaste system testas minst en gång om året. Kräv att ni får en skriftlig notering om att testet gjorts, hur lång tid det tog och om något fallerade. En backup som aldrig återställts är en förhoppning, inte ett skydd.

Skriv också in hur långt tillbaka ni kan återställa. Om ett intrång upptäcks efter tre veckor och backuperna bara sparas i två, då hjälper de inte.

Krav tre: bevakning och besked vid incident

Någon ska titta på loggar och larm, och ni ska få veta när något händer.

Skriv in vad leverantören bevakar, hur snabbt ni kontaktas vid en misstänkt incident, via vilken kanal, och vad de gör de första timmarna. Utan det kan ett intrång pågå i dagar innan någon reagerar, och sedan blir det er uppgift att förklara varför.

Krav fyra: uppföljning i ett bestämt forum

Ett avtal utan möten blir ett avtal ingen styr.

Kräv ett återkommande uppföljningsmöte, minst varje kvartal, med en namngiven kontaktperson hos leverantören. På agendan ska stå inträffade incidenter, avvikelser från avtalad nivå, kommande förändringar och status på de tre kraven ovan. Be om ett kort skriftligt protokoll varje gång.

Mötet fyller två syften. Det ger er en bild av läget innan något går fel. Och det gör att leverantören vet att någon följer upp, vilket i sig höjer nivån på det som levereras.

Ta bort autoförlängningen ur autopiloten

Autoförlängning är inte fel i sig. Felet är att den gör att ingen tänker till.

Sätt en påminnelse i kalendern två månader före varje förnyelsedatum. Då hinner ni gå igenom avtalet och ta samtalen innan klausulen löser ut och ni sitter fast ett år till.

Vad det är värt

Räkna grovt. Vad kostar ett dygns stillestånd hos er. Vad kostar de första veckorna efter en incident i extern hjälp och intern tid. Ställ det mot kostnaden för en avtalsgenomgång och en omförhandling, som är några timmar och några möten.

Ett typfall

Ta ett bolag med runt 140 anställda som haft samma driftleverantör i sex år. Avtalet hade förlängts automatiskt fem gånger. Ingen hade läst det sedan starten.

Vid en genomgång saknades tre av de fyra kraven. Backup togs men hade aldrig återställts skarpt. Ingen bevakade loggar. Uppföljningsmöten hade slutat hållas efter första året.

Bolaget tog samtalet med leverantören två månader före nästa förnyelsedatum. Leverantören ville behålla kunden och gick med på att skriva in kraven och återuppta kvartalsmötena, mot en måttlig höjning av avgiften.

Samma samtal mitt under en incident hade sett helt annorlunda ut. Då hade bolaget inte haft något att förhandla med.

En mätövning för den här veckan

Ta fram ert avtal och en penna. Gå igenom de fyra kraven. Sätt ett kryss för varje krav som står tydligt i texten idag. Sätt ett frågetecken för varje som saknas eller är vagt.

Skriv också in nästa förnyelsedatum och lägg påminnelsen direkt.

Har ni två eller fler frågetecken är avtalet tunnare än ni tror. Nästa steg är ett möte med leverantören där ni ber dem fylla i luckorna, skriftligt.