IT-support og brukerstøtte for bedrifter

IT-support er hjelpen de ansatte får når noe ikke virker, for eksempel en pålogging som feiler, en skriver som ikke svarer eller en nyansatt som mangler tilganger. For en bedrift uten egen IT-avdeling handler valget om hvem som tar imot henvendelsene, hvor raskt feil skal håndteres, og hva som gjelder utenfor vanlig arbeidstid. Driftsavtalen i statens standardavtaler (SSA-D) deler som utgangspunkt uønskede hendelser inn i tre nivåer, kritisk, alvorlig og mindre alvorlig, og lar kunden sette fristene for hvert nivå. Den inndelingen er et godt utgangspunkt også for en privat bedrift som skal kjøpe support.

Vi leverer IT-support i to modeller. Med totalansvar fungerer vi som bedriftens IT-avdeling, med brukerstøtte, løpende drift, oppdateringer, dokumentasjon og faste rutiner når folk begynner og slutter. Med delt ansvar tar vi enkeltoppgaver ved siden av en IT-ansvarlig dere allerede har, for eksempel brukerstøtten eller administrasjonen av Microsoft 365. Denne siden går gjennom hva en supportavtale bør inneholde, hvordan feil bør meldes, hva dere bør kreve av en IT-partner, og hva som styrer prisen. Den generelle oversikten over nettverk, verktøy og telefoni finner du på hovedsiden for IT-drift.

Support og drift brukes ofte om hverandre, men dekker ulike ting. Support er det som skjer når en ansatt tar kontakt, saken registreres, noen hjelper og saken lukkes. Drift er arbeidet som gjør at det skjer sjeldnere, som oppdateringer, overvåking, oppfølging av sikkerhetskopier og orden på brukere og lisenser. Når bedrifter snakker om å outsource IT, mener de som regel begge deler. En avtale som bare dekker support, betyr at noen fortsatt må ha ansvaret for resten.

Totalansvar: vi fungerer som IT-avdelingen

Modellen passer for bedrifter uten egen IT-ansvarlig, eller der den som har hatt rollen ved siden av sin egentlige jobb, ønsker å slippe. Vi tar imot henvendelsene, drifter PC-er og Microsoft 365, holder dokumentasjonen oppdatert og er kontaktpunktet mot andre leverandører. Bedriften har én avtale og én kontakt å forholde seg til.

Delt ansvar: enkelttjenester ved siden av egen IT

Har dere en IT-ansvarlig, kan det være riktigere å sette ut deler av arbeidet, for eksempel brukerstøtten eller administrasjonen av Microsoft 365, og beholde resten internt. Da er det ekstra viktig å skrive ned hvem som gjør hva, slik at ingen oppgaver faller mellom to stoler.

Uansett modell beholder bedriften ansvaret. Nasjonal sikkerhetsmyndighet (NSM) understreker i sine grunnprinsipper for IKT-sikkerhet at virksomhetens ansvar for sikkerheten ikke forsvinner selv om tjenester settes ut, og anbefaler at virksomheten har nok bestillerkompetanse til å følge opp leverandøren gjennom hele avtaleperioden. For en liten bedrift betyr det i praksis en navngitt person som eier avtalen og leser rapportene.

En supportavtale trenger ikke være lang, men den bør svare konkret på hvordan feil meldes, hva som regnes som kritisk, når leverandøren er tilgjengelig og hva som skjer når en sak ikke blir løst. Det som ikke står skrevet, blir fort et spørsmål om tolkning den dagen noe stopper.

Slik bør feil meldes

De ansatte bør ha én fast vei inn, for eksempel en e-postadresse, en portal eller et telefonnummer, og hver henvendelse bør få et saksnummer. Da ser både bedriften og leverandøren hva som er åpent, og rapportene viser hvilke problemer som går igjen. Mye av hjelpen skjer som fjernhjelp. I Microsofts verktøy Quick Assist må den ansatte selv godkjenne at skjermen deles, og Microsoft råder til å bare godta en tilkobling når man selv har tatt kontakt med IT-supporten. Den regelen bør alle ansatte kjenne, fordi svindlere utgir seg for å være brukerstøtte. Noen henvendelser kan fjernes helt. Med selvbetjent tilbakestilling av passord i Microsoft Entra kan de ansatte låse opp kontoen sin uten å gå via brukerstøtten.

Kritisk feil, åpningstid og eskalering

Be om at avtalen definerer hva som er en kritisk feil for akkurat deres bedrift. SSA-D bruker som standard tre nivåer, gjengitt i tabellen under, og lar kunden fastsette frister og tjenestenivå i et eget bilag. Avtalen bør også si når brukerstøtten er åpen, om det finnes beredskap utenfor arbeidstid og hva den koster, og hvordan en sak eskaleres, det vil si løftes til noen med mer kompetanse eller myndighet, hvis den står stille. SSA-D har som utgangspunkt at leverandøren rapporterer månedlig om tjenestenivå og uønskede hendelser. En tilsvarende rapport, også i enkel form, gjør det lettere å se om avtalen virker. Flere råd om krav til leverandører finner du i artikkelen om SLA og oppetid.

Mange sikkerhetsproblemer knyttet til ansatte oppstår i overgangene, når noen begynner, bytter rolle eller slutter. NSM anbefaler å kartlegge brukerne og hvilke tilganger de faktisk trenger, og å behandle leverandører og konsulenter som en egen brukerkategori. Grunnprinsippene anbefaler også en formell prosess for kontoer og tilganger som dekker hele livsløpet fra opprettelse til deaktivering, og at innleide får en foreløpig utløpsdato allerede når kontoen opprettes.

Når noen slutter

Microsoft beskriver sju steg for å fjerne en tidligere ansatt fra Microsoft 365, gjengitt i tabellen under. Rekkefølgen er poenget. Påloggingen stenges først, og dataene sikres før lisensen fjernes, for når lisensen er borte, oppbevares e-post, kontakter og kalender i 30 dager før de slettes permanent. Her trekker kildene litt i hver sin retning. Microsofts siste steg er å slette brukerkontoen, mens NSM anbefaler å deaktivere fremfor å slette, slik at revisjonsspor bevares. Hva som passer, avhenger av kravene til sporbarhet, og bør avgjøres i rutinen på forhånd. PC og mobil må også håndteres, se siden om PC-er, mobiler og IT-utstyr.

Dokumentasjon og administratorkontoer

Dokumentasjonen gjør at bedriften ikke blir avhengig av én person eller én leverandør. Som minimum bør den vise brukere og lisenser, utstyr, oppsettet av nettverk og Microsoft 365, og hvem som har administratortilgang. Microsoft anbefaler at færre enn fem personer har rollen som global administrator, og at virksomheten har to nødtilgangskontoer som ikke er knyttet til en bestemt person. Sørg for at bedriften selv har kontroll på nødtilgangen, slik at dere kommer inn også om samarbeidet med IT-partneren tar slutt.

En IT-partner som drifter e-post, filer og brukerkontoer, vil som regel behandle personopplysninger på vegne av bedriften. Da er det krav om databehandleravtale etter personvernforordningen artikkel 28. Datatilsynet peker på at avtalen må beskrive hva leverandøren skal gjøre, formålet, varigheten og hvilke opplysninger og personer det gjelder, og at bruk av underleverandører må reguleres. Ifølge Datatilsynet er håndteringen av personopplysninger alltid den behandlingsansvarliges ansvar, altså bedriftens, selv om arbeidet settes ut.

Når avtalen skal avsluttes

Det lønner seg å avtale slutten allerede i starten. NSM deler tjenesteutsetting inn i fire faser, forberedende, anskaffelse, forvaltning og opphør, og anbefaler at kontrakten dekker alle fire. Ved opphør må bedriften være forberedt på at tjenesten flyttes tilbake eller til en ny leverandør, og på at leverandøren sletter bedriftens data forsvarlig. Datatilsynet skriver at databehandleravtalen må si om opplysningene skal slettes eller leveres tilbake, og at leverandøren skal kunne påvise at slettingen er gjort. SSA-D gir kunden rett til oppfølgende bistand i 60 dager etter at driften er etablert hos ny leverandør, og rett til å kreve avtalen forlenget i inntil seks måneder. Tilsvarende vilkår kan være verdt å be om.

Hva som påvirker prisen

Vi oppgir ikke faste priser her, fordi prisen avhenger av hva som skal inngå. De viktigste faktorene er antall brukere og enheter, valget mellom totalansvar og delt ansvar, åpningstid og krav til hvor raskt feil skal håndteres, og hvor mye som må ryddes og dokumenteres ved oppstart. Be om at tilbudet skiller mellom det som ligger i den faste prisen og det som faktureres per time, og at lisenser til Microsoft 365 og innkjøp av utstyr står som egne linjer.