Dostęp i odpowiedzialność

Zacznij od listy ważnych usług: poczta, bankowość, pliki, ERP, sklep i administracja chmurą. Dla każdej ustal właściciela biznesowego i technicznego. Sprawdź sposób nadawania i odbierania uprawnień, oddzielenie kont administratorów od zwykłej pracy oraz przegląd kont byłych pracowników.

Przy MFA oceń pokrycie, a nie sam fakt zakupu licencji. Wyjątek dla jednego konta administracyjnego może pozostawić otwartą drogę do całej usługi. Wyjątki powinny mieć powód, osobę zatwierdzającą i termin usunięcia.

Kopie i odtwarzanie

Wskaż procesy, które trzeba odtworzyć jako pierwsze. Poproś IT o datę ostatniego udanego odtworzenia, jego zakres i wynik. Test pojedynczego pliku nie potwierdza możliwości przywrócenia całej aplikacji wraz z bazą danych i uprawnieniami.

Oceń, czy osoba przejmująca konta produkcyjne mogłaby skasować także kopie. Oddzielenie uprawnień i środowisk jest innym zagadnieniem niż częstotliwość kopiowania. Synchronizacja plików nie powinna być bezrefleksyjnie traktowana jako pełna strategia kopii.

Dowody zamiast deklaracji

Dokumentuj wynik w krótkiej tabeli. Wymagaj bezpiecznego potwierdzenia, np. protokołu testu, a nie zrzutu zawierającego hasła. Dla niezgodności wpisz działanie naprawcze i termin. Lista bez odpowiedzialnej osoby zwykle pozostaje zbiorem życzeń.

Jak powiązać checklistę z polisą

Nie oznaczaj wszystkich punktów jako wymogów PZU. Techniczne dobre praktyki, obowiązki dokumentów umowy oraz dodatkowe pytania ubezpieczyciela mają różne podstawy i skutki. Do każdego wymogu ubezpieczeniowego dołącz konkretny dokument.

Przed odnowieniem sprawdź także zmiany: nowe lokalizacje, przejęcia, outsourcing, nowy kanał sprzedaży. Zespół sprzedaży może wiedzieć o zależnościach, których nie ma w rejestrze IT. Dopiero po uzgodnieniu danych przekazuj deklaracje do oceny ryzyka.

Ostatnia część listy powinna dotyczyć ludzi. Sprawdź, czy nowy pracownik zna kanał zgłaszania podejrzanej wiadomości, czy zgłoszenie trafia do dostępnej osoby i czy pracownik nie musi udowadniać, że incydent rzeczywiście wystąpił. Nie wymagaj samodzielnego analizowania załączników przez osobę nietechniczną. Ustal także zastępstwa podczas urlopów i weekendów. Praktyczne ćwiczenie kontaktu może wykryć brak odpowiedzialności, którego nie pokaże zakup kolejnego narzędzia. Warto zapisać rezultat i powtórzyć je po zmianie dostawcy.

Przy zamknięciu zadania wymagaj daty wykonania i potwierdzenia skuteczności. Odhaczenie zakupu usługi nie jest jeszcze dowodem, że opisany problem został rozwiązany.