Bedriften bør eie sin egen IT-dokumentasjon

En bedrift som setter bort IT-driften, setter bort arbeid. Den bør ikke samtidig gi fra seg oversikten over egne systemer. Min mening er enkel: Dokumentasjonen som beskriver kundens utstyr, tjenester, beslutninger, endringer og risiko, skal være tilgjengelig for kunden.

Dette høres selvsagt ut. Likevel oppdager mange først hva som mangler når en nøkkelperson slutter, noe stopper eller en ny leverandør skal overta. Da viser det seg at viktig kunnskap ligger i hodet til én tekniker, i leverandørens interne sakssystem eller i e-poster ingen hos kunden kan finne igjen.

Det er en unødvendig avhengighet. God IT-drift skal gjøre kunden tryggere og mer selvstendig, ikke mer hjelpeløs.

En reparasjon uten dokumentasjon er bare en midlertidig seier

Når en kunde kontakter support og et problem blir løst, bør arbeidet etterlate mer enn en fakturalinje. Hva var feilen? Hva ble endret? Hvilken risiko ble oppdaget? Må noe følges opp senere? Berører løsningen andre systemer?

Ikke alle små saker trenger en lang rapport. Men dersom samme feil dukker opp igjen, en kollega overtar saken eller endringen får en uventet følgevirkning, må det være mulig å forstå hva som skjedde. Ellers betaler kunden i praksis for å oppdage den samme kunnskapen flere ganger.

Dette er også et kvalitetskrav til leverandøren. Dokumentasjon tvinger oss til å skille mellom en rask omvei og en varig løsning. Den synliggjør forbehold, ansvar og gjenstående arbeid. En tekniker kan huske detaljene i dag, men driftsmodellen må fungere når akkurat den personen ikke er tilgjengelig.

Kunden trenger reell tilgang, ikke bare en forsikring om at «vi har kontroll»

Det er ikke nok at leverandøren sier at dokumentasjonen finnes. Kunden må vite hvor den ligger, hvem som kan få tilgang og hvordan den kan utleveres dersom samarbeidet endres.

Jeg mener en virksomhet som et minimum bør ha kontroll på:

• hvilke systemer, skytjenester, domener, lisenser og enheter virksomheten er avhengig av
• hvem som formelt eier abonnementer, kontoer og avtaler
• hvilke administratorroller som finnes, og hvordan nødtilgang kan gjenopprettes uten at passord lagres åpent
• hvordan nettverk, sikkerhetskopiering, gjenoppretting og kritiske integrasjoner er satt opp på et hensiktsmessig nivå
• hvilke vesentlige endringer som er gjort, hvorfor de ble gjort og hvilke forbehold som gjelder
• kjente svakheter, akseptert risiko og tiltak som fortsatt står åpne
• kontaktpunkter, responstider og ansvarsdeling ved feil eller sikkerhetshendelser

Dette er ikke bare mitt syn på ryddig leverandørarbeid. NSM anbefaler at virksomheter kartlegger systemer, data, tjenester, eierskap og eksterne IT-avhengigheter. NSM anbefaler også oversikt over enheter og programvare og over brukere, roller og tilgangsbehov. En leverandør kan hjelpe med kartleggingen, men oversikten må kunne brukes av virksomheten som faktisk bærer konsekvensen når noe svikter.

Eierskap betyr ikke at alle skal se alt

Kravet om kundetilgang må ikke forveksles med et krav om at all teknisk informasjon skal være åpen for alle ansatte eller enhver tredjepart.

Dokumentasjon kan inneholde opplysninger som gjør et angrep enklere, personopplysninger, lisensinformasjon eller detaljer som bare et fåtall roller trenger. Tilgangen bør derfor deles etter behov, logges der det er relevant og kunne trekkes tilbake. Passord, gjenopprettingskoder og private nøkler hører hjemme i en egnet hemmelighetsløsning, ikke i et vanlig dokument.

Leverandøren har samtidig rett til å beskytte egne interne verktøy, arbeidsmetoder, sikkerhetsmekanismer og informasjon om andre kunder. Kunden trenger ikke leverandørens komplette interne håndbok. Kunden trenger dokumentasjonen som er nødvendig for å forstå, styre og videreføre sitt eget miljø.

Det samme skillet gjelder innsyn for andre leverandører. Kunden skal kunne gi en ny rådgiver eller revisor avgrenset tilgang til relevant informasjon uten å åpne hele driftsmiljøet. Det er kontroll, ikke grenseløs deling. Vi har tidligere skrevet om hvorfor private e-postkontoer på jobb skaper uklart eierskap og unødvendig risiko. Det samme prinsippet gjelder administratorkontoer og dokumentasjon: Virksomhetens kritiske tilganger bør ikke være bundet til én privat person.

Personvernansvar kan ikke parkeres hos IT-leverandøren

Når en ekstern leverandør behandler personopplysninger på vegne av kunden, blir ikke virksomhetens ansvar borte. Datatilsynet beskriver at den behandlingsansvarlige bestemmer formål og virkemidler, mens databehandleren opptrer på vegne av den behandlingsansvarlige.

Rollene må vurderes konkret, men poenget er viktig: Ledelsen kan kjøpe kompetanse og driftstjenester uten å kunne kjøpe seg fri fra behovet for oversikt. Hvilke data behandles, hvor skjer det, hvilke underleverandører inngår, og hvordan håndteres sletting, avvik og avslutning? Slike spørsmål må kunne besvares med mer enn «spør leverandøren».

Den beste testen er et tenkt leverandørbytte

En enkel måte å vurdere dokumentasjonskvaliteten på er å stille et ubehagelig spørsmål: Hvis dagens IT-leverandør forsvant i morgen, hva ville en ny leverandør mangle for å holde virksomheten i gang?

Svaret trenger ikke være «ingenting». En god leverandør har spesialkompetanse og kontekst som ikke kan pakkes fullstendig inn i en mappe. Men et bytte skal heller ikke starte med jakt på domeneeierskap, ukjente abonnementer, personlige administratorkontoer, manglende sikkerhetskopier og nettverksutstyr ingen kjenner konfigurasjonen til.

Et ryddig samarbeid bør derfor ha en avtalt overleveringspakke. Den kan være enkel for en liten virksomhet, men bør beskrive format, tilgang, oppdateringsansvar og hva som skal leveres ved avslutning. Kunden bør også kunne få et uttrekk før oppsigelsen er et faktum. Dokumentasjon som bare utleveres etter konflikt, fungerer dårlig som beredskap.

Ja, dokumentasjon koster

Det sterkeste motargumentet er at dokumentasjon tar tid og raskt blir utdatert. Det er sant. En perfekt systembeskrivelse som aldri vedlikeholdes, er mindre verdt enn en kort oversikt som faktisk følger endringene.

Løsningen er ikke å droppe dokumentasjonen, men å avtale riktig nivå. Kritiske opplysninger og vesentlige endringer må oppdateres som en del av arbeidet. Mindre detaljer kan ligge i sakshistorikken. Automatiske oversikter kan brukes der de er pålitelige, men de erstatter ikke begrunnelsen for en beslutning eller avtalen om hvem som har ansvar.

Kunden bør vite hva dokumentasjonsarbeidet koster. Leverandøren bør på sin side være tydelig på at tiden ikke er administrativ pynt. Den reduserer gjentakelser, gjør kolleger i stand til å overta og gir bedre beslutningsgrunnlag når risiko, investeringer eller leverandørbytte skal vurderes.

Dokumentasjon er en del av leveransen

Mitt utgangspunkt er derfor bred dokumentasjon, men med nødvendige grenser: Det som beskriver kundens egne systemer, endringer, risiko og avhengigheter bør dokumenteres på et nivå som er nyttig, og kunden bør ha reell tilgang til det. Hemmeligheter skal sikres, personopplysninger begrenses og leverandørens interne materiale skilles ut.

En IT-leverandør skal gjerne være vanskelig å erstatte fordi arbeidet er godt, relasjonen fungerer og kompetansen skaper verdi. Kunden bør aldri bli værende fordi kunnskapen om egen virksomhet holdes utilgjengelig.