20 ključnih stvari koje proveravamo pre nego što preuzmemo IT podršku za novu firmu

Kada preuzimamo novog klijenta, naš prioritet nije instalacija novog softvera ili zamena opreme. Prvo moramo da razumemo infrastrukturu kakva jeste — sa svim njenim vrlinama, ali i skrivenim rizicima.

Mnoge firme misle da imaju "sve pod kontrolom", a u praksi često zatičemo situacije gde:

• Backup postoji "na papiru", ali nikad nije testiran
• Bivši zaposleni i dalje imaju administratorski pristup
• Niko ne zna tačno ko sve ima pristup kritičnim sistemima
• Problemi se rešavaju tek kad nastane šteta

Zato smo razvili strukturirani IT Due Diligence proces. Evo 20 stvari koje detaljno proveravamo pre nego što predložimo bilo kakve izmene.

1. Administratorski pristupi i privilegije

Prva i najkritičnija tačka. Ko zapravo ima "ključeve" infrastrukture?

Šta proveravamo?

• Lokalne i domen administratorske naloge
• Microsoft 365 Global Admin i druge privilegovane role
• Pristup serverima, mrežnoj opremi, backup sistemima i cloud servisima
• Shared naloge i hardkodirane lozinke

Najčešći problemi

Bivši zaposleni sa aktivnim pristupom, shared admin nalozi koje koristi više osoba, potpuni nedostatak evidencije ko ima pristup čemu.

Šta radimo?

Kompletan pregled svih privilegija, uklanjanje suvišnih pristupa, uvođenje least-privilege principa i dokumentovanje svakog administratorskog naloga.

2. Backup i mogućnost oporavka (Business Continuity)

Ne pitamo "Imate li backup?", već: "Koliko brzo i lako možete vratiti podatke ako se desi najgore?"

Šta proveravamo?

• Lokaciju i tip backupa (lokalni, cloud, 3-2-1 pravilo)
• RPO/RTO vrednosti (Recovery Point / Time Objective)
• Učestalost i uspešnost backup poslova
• Da li je ikada rađen restore test

Čest problem

OneDrive ili eksterni disk koji stalno stoji priključen smatra se "backupom". To nije backup — to je jedna kopija podataka bez zaštite od ransomware napada ili hardverskog kvara.

3. Microsoft 365 / Azure AD okruženje

Microsoft 365 je danas srž poslovanja većine firmi. Loša konfiguracija ovog okruženja predstavlja ozbiljan bezbednosni i operativni rizik.

Šta proveravamo?

• MFA status za sve administratore i korisnike
• License assignment i potrošnja
• Conditional Access politike
• Mail flow, forwarding pravila i shared mailbox-evi
• App permissions i consent grants

4. Endpoint uređaji (računari, laptopovi, serveri)

Znati šta postoji u mreži je osnova svakog IT upravljanja.

• Inventar hardvera i starost opreme
• Health stanje diskova (SSD/HDD)
• Windows/macOS verzije i patch level
• Garancije i EOL (End of Life) status uređaja

5. Antivirus / Endpoint Detection & Response (EDR)

Klasičan antivirus više nije dovoljan. Proveravamo da li postoji centralni management i koliko uređaja je zaštićeno.

• Da li postoji centralni management (Intune, SentinelOne, Microsoft Defender for Endpoint...)
• Da li su politike definisane i ažurirane
• Procenat uređaja koji su van zaštite

6–7. Mrežna infrastruktura i segmentacija

Mreža je temelj svega. Loša mrežna konfiguracija direktno utiče na bezbednost, performanse i stabilnost poslovanja.

Šta proveravamo?

• Routeri, switch-evi, firewall-i (firmware verzije, konfiguracija)
• Flat mreža vs. segmentacija (VLAN, guest WiFi, IoT izolacija)
• WiFi pokrivenost i bezbednost
• Otvoreni portovi i nepotrebni izloženi servisi

Tipičan nalaz

Računari zaposlenih, guest korisnici, kamere i printeri na istoj mreži — bez ikakve segmentacije. To je bezbednosni rizik koji omogućava lateralno kretanje u slučaju upada.

8. Serveri i virtualizacija

Ako firma koristi fizičke ili virtuelne servere, proveravamo njihovo stanje pre nego što preuzmemo odgovornost za infrastrukturu.

• Health status, dostupni resursi, event logovi
• Patch status i update politika
• Active Directory zdravlje (ako postoji on-premise AD)

9. Monitoring i alerting

Ako vas o problemima obaveštavaju samo korisnici — monitoring praktično ne postoji.

Proveravamo alate za nadzor servera, mreže, backup sistema i aplikacija. Reaktivna IT podrška je skuplja i rizičnija od proaktivnog monitoringa.

10. Dokumentacija

Najveći rizik je često "sve zna samo jedna osoba". Kada ta osoba ode — firma ostaje bez ključnih informacija.

Šta tražimo?

• Mrežne dijagrame
• Lozinke čuvane u password manageru
• Procedure za onboarding i offboarding
• Inventar opreme i ugovore sa dobavljačima

11–20. Dodatne važne stavke koje proveravamo

Pored prvih deset, evo i ostalih kritičnih tačaka iz našeg IT due diligence procesa:

1. Password politika i upotreba password managera — da li zaposleni koriste jake, jedinstvene lozinke ili isti password za sve servise
2. UPS sistemi i zaštita od nestanka struje — da li postoji zaštita servera i mrežne opreme od naglih prekida napajanja
3. Licenciranje softvera i cloud servisa — compliance rizik, neaktivne licence koje se plaćaju, nedostajuće licence
4. Shared folderi i NTFS/DAC dozvole — ko ima pristup kojim poslovnim podacima i da li su dozvole pravilno postavljene
5. Korisničke privilegije — da li obični korisnici imaju lokalna admin prava na računarima
6. Stari i neaktivni nalozi — zaposleni koji su otišli, a nalozi su i dalje aktivni u sistemu
7. IoT uređaji i njihova bezbednost — kamere, printeri, pametni uređaji koji su često potpuno neobezbeđeni
8. Daljinski pristup — da li se koristi VPN, RDP, TeamViewer i kako je to konfigurisano
9. Recovery i Disaster Recovery plan — ne samo backup, već i procedura šta se radi u slučaju ozbiljnog incidenta
10. Opšti bezbednosni rizici — nivo svesti zaposlenih o phishing napadima, training programi i incident response procedure

Šta radimo nakon analize?

Sve nalaze kategorizujemo u tri nivoa prioriteta:

• Kritično — neposredna opasnost koja zahteva hitnu akciju (npr. nema backupa, nema MFA, diskovi pred otkazom, bivši zaposleni sa pristupom)
• Srednji prioritet — stavke koje povećavaju rizik i treba ih adresirati u kratkom roku
• Dugoročna unapređenja — efikasnost, standardizacija i automatizacija procesa

Nakon toga dostavljamo detaljan izveštaj sa jasnim prioritetima, procenom rizika i predlogom akcija — tako da menadžment firme tačno zna šta je hitno, šta može sačekati i koliko košta da se svaki problem reši.

Zaključak

Kvalitetna IT podrška ne počinje sa novim laptopovima ili Office 365 licencom. Počinje razumevanjem trenutnog stanja i eliminisanjem najvećih rizika.

Mnoge firme misle da imaju sve pod kontrolom, a u praksi postoje kritični problemi koji čekaju da eskaliraju — backup koji nikad nije testiran, nalog bivšeg zaposlenog koji i dalje postoji, serveri bez ažuriranja godinama.

Ako planirate da promenite IT partnera ili prvi put uvodite ozbiljniju IT podršku, uradite temeljnu analizu na samom početku. Uštedećete vreme, novac i živce — a najvažnije, zaštitićete svoje poslovanje.