Dyrektywa Unijna NIS2 – jak przygotować firmę do zmian?

Dyrektywa Unijna NIS2 – jak przygotować firmę do zmian?

utworzone przez | 26 października 2023 | Wiedza

Dyrektywa NIS2 (Network and Information Systems Directive 2) musi zacząć obowiązywać w prawie polskim najpóźniej od 17 października 2024 r. Głównym celem dyrektywy NIS2 jest określenie minimalnych przepisów, jakie państwa członkowskie powinny wdrożyć, by ograniczyć ryzyko incydentów dotyczących cyberbezpieczeństwa.

NIS2 zachęca państwa członkowskie do wprowadzenia przepisów, które narzucą wykazywanie łańcucha dostaw, zarządzanie podatnościami, podstawowymi usługami internetowymi, stosowaniem zasad cyberhigieny. Automatyzacja i monitorowanie infrastruktury IT będą niezbędnymi praktykami, które znacznie ułatwią i zmniejszą pracochłonność procesu wdrażania dyrektywy NIS2, w szczególności, że zachowanie zgodności z NIS2 jest procesem ciągłym.

W dzisiejszym, skomplikowanym świecie IT nie obędziemy się bez narzędzi do ciągłego monitorowania i automatycznego wykrywania podatności, śledzenia przebiegu incydentów, a także optymalizacji środowiska, mierzenia wydajności, kosztów czy zachowania zgodności z politykami utrzymania zdrowego, czyli bezpiecznego, środowiska przetwarzania danych. Z drugiej strony, mnogość i specyfika narzędzi często wymusza konieczność stosowania wielu narzędzi. Firma VMware, która jest wiodącym dostawcą platform  przetwarzania danych w chmurze publicznej i data center (chmurze prywatnej), posiada rozwiązania do monitorowania i automatyzacji, które mogą stanowić pojedyncze punkty nadzoru nad całym IT, z uwzględnieniem aspektów bezpieczeństwa różnych narzędzi dziedzinowych.

Firma INDEVOPS specjalizuje się we wdrażaniu rozwiązań monitorowania i automatyzacji z wykorzystaniem produktów VMware. Działania INDEVOPS odpowiadają na potrzeby monitorowania i orkiestracji kompletnego obszaru IT, od sprzętu po aplikacje, od data center przez zdalne jednostki do chmury publicznej, wdrażając rozwiązania w małych i średnich przedsiębiorstwach, jak i największych firmach w Polsce.

Czym jest NIS2?

Dyrektywa NIS2 (Network and Information Systems Directive 2) weszła w życie 16 stycznia 2023 r. Mamy teraz 21 miesięcy na jej wdrożenie do krajowego prawa. Aktualnie obowiązuje Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, która z uwagi na zmiany w NIS2 wymaga nowelizacji. 11 lipca sejmowe komisje postanowiły przeprowadzić wysłuchanie publiczne w sprawie tego projektu. Na dzień 16 października 2023 r. prace nadal trwają, co oznacza, że bez nowelizacji ustawy o KSC nie można jeszcze stosować NIS2. Niemniej czas płynie i warto zapoznać się z celem i wymaganiami tej dyrektywy, która najpóźniej od 17 października 2024 r. musi zacząć obowiązywać w prawie polskim.

Temat cyberbezpieczeństwa jest bardzo ważny w Unii Europejskiej. Po kontroli funkcjonowania dyrektywy wprowadzonej w 2016 r., okazało się, że państwa członkowskie wdrażają przepisy unijne dotyczące tego obszaru, ale w różnym zakresie. W związku z tym, głównym celem dyrektywy NIS2 jest określenie minimalnych przepisów, jakie państwa członkowskie powinny wdrożyć, by ograniczyć ryzyko incydentów dotyczących cyberbezpieczeństwa. Ponadto, NIS2 wymaga aktualizacji sektorów i działań, wprowadzenia środków naprawczych i środków dotyczących egzekwowania przepisów prawnych. Na wprowadzeniu tych regulacji i ujednolicenia minimalnych przepisów skorzystamy wszyscy, a najbardziej ulgę finansową odczują firmy, które oferują usługi transgraniczne i muszą mierzyć się z różnicami między państwami w zakresie cyberbezpieczeństwa.

Czy NIS2 to tylko „widzimisię” Komisji Europejskiej czy jednak istnieją korzyści z jej stosowania?

Patrząc na zapisy i wymagania dyrektywy, jedyne do czego kraje członkowskie zostaną „zmuszone”  to podniesienie poziomu bezpieczeństwa, gdyż dotychczas kraje różnie do tego podchodziły. W świecie „cyber”takie podejście jest wyjątkowo słuszne. Do konkretnych korzyści ze stosowania dyrektywy NIS2 można zaliczyć:

  • zwiększenie odporności na cyberzagrożenia;
  • zwiększenie zdolności do reagowania na incydenty i kryzysy cyberbezpieczeństwa;
  • wzrost świadomości i edukacji w zakresie cyberbezpieczeństwa wśród obywateli i podmiotów;
  • zwiększenie ochrony praw podstawowych i bezpieczeństwa danych osobowych w cyberprzestrzeni (RODO);
  • wzrost zaufania do cyfrowego rynku wewnętrznego i konkurencyjności europejskich podmiotów cyfrowych.

Jakie podmioty muszą wdrożyć NIS2?

Do podjęcia środków w celu zwiększenia poziomu cyberbezpieczeństwa będą zobowiązane podmioty:

  • świadczące usługi transgraniczne, np. dostawcy usług DNS i rejestrów nazw domen TLD, podmioty świadczące usługi rejestracji nazw domen, dostawcy usług chmurowych, przetwarzania na brzegu sieci i usługi centrów danych (określane jako podstawowe usługi internetowe);
  • z sektorów istotnych dla gospodarki i społeczeństwa, np. energetyki, transportu, bankowości, infrastruktury rynku finansowego, ochrony zdrowia, wody pitnej, odpadów, produkcji chemicznej i jądrowej;
  • z sektorów cyfrowych, np. dostawcy usług społecznościowych, usług udostępniania danych, usług udostępniania treści, usług wyszukiwania internetowego i usług pocztowych.

Istotnym faktem jest to, że dyrektywa NIS2 zachęca państwa członkowskie do wprowadzenia przepisów, które narzucą wykazywanie łańcucha dostaw, czyli wskazanie wszystkich podmiotów zaangażowanych w dostarczanie produktów lub usług związanych z cyberprzestrzenią, takich jak producenci, dostawcy, dystrybutorzy, integratorzy, operatorzy lub użytkownicy końcowi. Zatem, podmioty będą musiały wykazywać wszystkie elementy wykorzystywane w przetwarzaniu danych, zarówno te wewnętrzne, jak i zewnętrzne.

Wielkość czy ważność przedsiębiorstwa?

Przepisy dyrektywy NIS2 będą musiały wdrożyć wielkie i średnie przedsiębiorstwa, a inne podmioty (nawet małe lub mikroprzedsiębiorstwa) – jeśli spełniają szczególne kryteria wskazujące na kluczową rolę dla społeczeństwa, gospodarki lub konkretnych sektorów oraz rodzajów usług. Warto już teraz skonsultować się z osobami odpowiedzialnymi za obsługę prawną, żeby ocenić czy i w jakim zakresie Twoja firma podlega wymaganiom NIS2.

Warto dodać, że w dyrektywie NIS2 jest zapis o tym, by wdrażane środki zarządzania ryzykiem i ich koszt był proporcjonalny do podmiotu, bez nakładania zbyt dużych obciążeń administracyjnych i finansowych na podmioty.

Cyberhigiena – lepiej zapobiegać niż leczyć

Cyberhigiena - lepiej zapobiegać niż leczyć

Hasło „lepiej zapobiegać niż leczyć” ma znaczenie także w cyberbezpieczeństwie i odnosi się do stosowania zasad cyberhigieny – zestawu dobrych praktyk: zachowań i środków, które są w stanie zapobiec cyberzagrożeniom. Chodzi tu o ochronę infrastruktury sieci i systemów informatycznych, bezpieczeństwa sprzętu, oprogramowania i aplikacji internetowych oraz o ochronę danych firm oraz użytkowników końcowych.

Z jednej strony, wymagania te będą obejmować zakup odpowiednich produktów i usług, z drugiej – dokumentowania, przeszkolenia i zapewnienia regularnych szkoleń pracownikom, np. dotyczących rozpoznania, oceny i zarządzania ryzykiem w cyberbezpieczeństwie. Poza sprawnymi (aktualnymi) systemami teleinformatycznymi, ważne jest budowanie świadomości i edukacja w zakresie cyberbezpieczeństwa Pracowników podmiotów stosujących NIS2D. Przeszkoleni i świadomi cyberzagrożeń pracownicy będą gwarantem szybkiego i poprawnego rozpoznania zagrożenia, a potem zarządzania ryzykiem w zakresie cyberbezpieczeństwa.

Środki zarządzania ryzykiem

Środki zarządzania ryzykiem, o których mowa w art. 21 dyrektywy NIS2, są podzielone na techniczne, operacyjne i organizacyjne oraz dotyczą następujących aspektów cyberbezpieczeństwa:

a) polityki analizy ryzyka i bezpieczeństwa systemów informatycznych;

b) obsługi incydentu: wykrywania, zgłaszania i dokumentowania przebiegu po naprawę jego skutków;

c) ciągłości działania, np. zarządzania kopiami zapasowymi i przywracania normalnego działania po wystąpieniu sytuacji nadzwyczajnej, i zarządzania kryzysowego;

d) bezpieczeństwa łańcucha dostaw, w tym aspekty związane z bezpieczeństwem dotyczące stosunków między każdym podmiotem a jego bezpośrednimi dostawcami lub usługodawcami;

e) bezpieczeństwa w procesie nabywania, rozwoju i utrzymania sieci i systemów informatycznych, w tym postępowanie w przypadku podatności i ich ujawnianie;

f) polityki i procedury służące ocenie skuteczności środków zarządzania ryzykiem w cyberbezpieczeństwie;

g) podstawowej praktyki cyberhigieny i szkolenia w zakresie cyberbezpieczeństwa;

h) polityki i procedury stosowania kryptografii i, w stosownych przypadkach, szyfrowania;

i) bezpieczeństwa zasobów ludzkich, polityki kontroli dostępu i zarządzania aktywami;

j) w stosownych przypadkach – stosowania uwierzytelniania wieloskładnikowego lub ciągłego, zabezpieczonych połączeń głosowych, tekstowych i wideo oraz zabezpieczonych systemów łączności wewnątrz podmiotu w sytuacjach nadzwyczajnych.”

Można tę listę podsumować, że jest to typowy „arsenał” wybranych zabezpieczeń opisanych w normie ISO 27001, w Załączniku A. Przy czym, warto tu dodać, że dyrektywa NIS2 nie narzuca oraz nie faworyzuje żadnej z technologii, choć wskazuje normalizację (art. 25) jako sposób na wsparcie spójnego wdrażania środków zarządzania cyberbezpieczeństwem. Naszym zdaniem jeśli podmiot stosuje standaryzację, to ma już wypracowane nawyki zbliżone do normalizacji z art. 25 NIS2, a często standaryzacja pokrywa się z wymaganiami prawnymi normalizacji, co czyni te pojęcia tożsamymi.

W NIS2 jest także zapis o tym, by wdrażane środki zarządzania ryzykiem i ich koszt był proporcjonalny do podmiotu, bez nakładania zbyt dużych obciążeń administracyjnych i finansowych na podmioty. Do ustalenia tego służy analiza ryzyka, która opiera się m. in. na aktualnym stanie wiedzy w zakresie środków zarządzania ryzykiem oraz kosztu ich wdrożenia. Takie zadanie prawdopodobnie trafi do osób obsługujących procesy zakupowe w organizacji. Dyrektywa NIS2 wprowadza także odpowiedzialność kierownictwa firmy za zgodność ze środkami zarządzania ryzykiem w cyberbezpieczeństwie.

Czy jesteś pewien, że Twoja firma zachowuje cyberhigienę? Jeśli nie, skontaktuj się z nami i kliknij ” tu”.

Czy można powstrzymać atak cyberprzestępców?

Niestety, nie powstrzymamy ataków cyberprzestępców. Natomiast, jeżeli podmiot na poważnie potraktuje wdrażanie dyrektywy NIS2, będzie możliwe powstrzymanie większości ataków. Jeżeli będziemy stosować cyberhigienę i stosować ww. „arsenał” wybranych zabezpieczeń opisanych w normie ISO 27001 to ryzyko udanego ataku zminimalizujemy do zera.

Dlaczego warto monitorować środowisko IT? Jednym z wymagań określonych w art. 21 dyrektywy NIS2 jest zapewnienie ciągłości działania poprzez przewidywanie, zapobieganie i rozwiązywanie problemów w chmurze lub w wielu chmurach, od aplikacji po infrastrukturę.

Kiedyś informatyk mógł zauważyć i zareagować na cyberwłamania, obserwując komunikaty lub obrazy z systemów monitorowania. To podejście sprawdzało się przy małej liczbie cyberataków i przy używaniu kilku aplikacji. Dzisiaj takie podejście nie jest wystarczające. W przypadku naszych klientów liczba aplikacji (usług biznesowych) wynosi od kilkunastu do kilkudziesięciu. Każda usługa ma minimum 2 komponenty (aplikacja i baza danych). Do tego usługi (wraz z komponentami) posiadają wersje (środowiska) produkcyjne i rozwojowe, a często także „PREPROD”, „TST” i inne. Do wymienionych dochodzą jeszcze zdalne lokalizacje, gdzie te usługi muszą być obecne, albo środowiska chmur publicznych, gdzie te usługi są umieszczane. Znaczna większość tych usług komunikuje się między sobą, a także komunikuje się z usługami zewnętrznymi i usługami dostawców zewnętrznych. Liczba systemów operacyjnych, na których funkcjonują te „aplikacje” wynosi od kilkuset do kilku tysięcy. W samym INDEVOPS mamy ponad 250 instancji systemów operacyjnych, a w środowisku rozwojowym automatyczne testy powołują i likwidują kilkaset systemów dziennie.

Ponadto, dzisiejsi cyberprzestępcy coraz rzadziej atakują środowiska IT z zewnątrz. Ataki z wnętrza sieci okazują się skuteczniejsze, gdyż w pierwszym kroku do pokonania jest użytkownik: „Dzień dobry Panie Radosławie, dzwonię do Pana z helpdesku, potrzebuję od pana hasło do poczty, bo muszę je zresetować”, albo: „Dzień dobry, jestem z helpdesk przyszedłem wymienić komputer” (przykład jest stosowany podczas audytu, podczas którego audytor w księgowości wpiął swój komputer do sieci i przeprowadził atak na niezabezpieczony serwer Microsoft SCCM i uzyskał kontrolę nad Active Direcotry organizacji).

W kolejnych krokach ataku wykorzystane są „tradycyjne” techniczne metody, które wykorzystują podatności w oprogramowaniu (błędy, przestarzałość, nieprawidłową konfigurację). Okazuje się, że w środku organizacji systemy informatyczne już nie są tak mocno chronione pod kątem bezpieczeństwa. Co ciekawe, cyberwłamania nie są jakieś rewolucyjne, np. kradzież lub zablokowanie wrażliwych (wartościowych biznesowo) danych, wykorzystanie środowiska zaatakowanego na potrzeby innego ataku lub skorzystanie z dodatkowej mocy obliczeniowej.

Podsumowując, odpowiedź na pytanie „czy warto monitorować?” jest oczywista. Nasuwa się jednak myśl, że należałoby zamienić to pytanie na „jak skutecznie monitorować”?

Jak monitorować środowisko IT?

Biorąc pod uwagę liczbę systemów czy aplikacji obecnie używanych w obszernych środowiskach IT, obecnie wykorzystuje się kilka narzędzi do monitorowania. Każde narzędzie jest dedykowane do określonych zakresów działania, np.: · skanuje sieci komputerowe w poszukiwaniu luk bezpieczeństwa, nieznanym lub nieaktualnych systemów, · zbiera logi systemów i aplikacji, · śledzi trace’y i metryki, · obsługuje proces zarządzania podatnościami, gdzie po identyfikacji będzie prowadzony proces biznesowy naprawy, · monitoruje daną warstwę IT, np aplikacje, środowisko wirtualne, sieci komputerowe. Niestety, fakt zastosowania wielu narzędzi powoduje, że traktuje się monitorowanie wyspowo, bez spojrzenia jednolitego na całość, a także nie widać powiązań między elementami, różnymi typami danych czy obiektami. Nie pozwala to efektywnie zapobiegać awariom, choć ich wykrywanie działa poprawnie. W przypadku awarii, czas naprawy jest znacząco wydłużony, a proces naprawy pracochłonny, nie wspominając o trudności w ustaleniu przyczyny źródłowej problemu.

Niezbędne jest wykorzystanie narzędzi, które potrafią agregować dane z wszystkich źródeł i “spojrzeć” na środowisko od strony wejścia użytkownika po miejsce, w którym są przechowywane dane, z których użytkownik korzysta. Natomiast całość środowiska należy globalnie analizować pod kątem pojawiających się w nim anomalii. Do tego celu można wykorzystać silniki “machine learning”, operujące na dużych zbiorach danych strukturalnych (metryki) i niestrukturalnych (logi, eventy). Silniki ML potrafią nauczyć się zachowania środowiska i reagować na coś, czego wcześniej nie było.

Globalne monitorowanie w dzisiejszym wydaniu nazywa się Observability i umożliwia obserwowanie systemów, aplikacji, urządzeń sieciowych, urządzeń użytkownika, zasobów lokalnych i w chmurze. Celem jest wychwytywanie wszystkiego i wszędzie, zarówno widzenie drogi użytkownika w każdym miejscu stosu IT, jak i pokazanie widoku od strony biznesowej, np. ile zamówień realizuje dana usługa (aplikacja biznesowa) w ciągu godziny?

Observability może być realizowane przez jeden, monolityczny system, ale może być efektem sprzężonego działania systemów, np. system, który samodzielnie monitoruje, może integrować się z wieloma systemami dziedzinowymi (np. do monitorowania aplikacji, monitorowania data center, monitorowania urządzeń sieciowych danego producenta itp.) i dostarczać odgórny wgląd w całe środowisko IT.

Przykładowe cechy narzędzia do Observability:

1. Obserwacja kompletnych stosów IT, od sprzętu po usługi, w lokalnym data center i chmurze publicznej.

  • narzędzie wykorzystuje wtyczki do podpinania elementów środowiska IT, co umożliwia monitorowanie dowolnych typów elementów IT tradycyjnych i chmurowych, w szczególności umożliwia integracje z systemami dziedzinowymi np. Data Center Infrastructure Management, Building Systems Management, Security Scanner itp., a nawet innymi systemami monitorowania;
  • system wtyczek jest otwarty i umożliwia budowanie wtyczek samodzielnie, także z wykorzystaniem narzędzia typu no-code.

Zespół INDEVOPS sam wytworzył wtyczki do urządzeń sieci komputerowych Cisco, Juniper,  CheckPoint  i urządzeń składowania danych IBM i Broadcom (Brocade):

  • przełączniki i rutery sieci komputerowych, Juniper;
  • zapora sieci komputerowej (ang. firewall), CheckPoint;
  • przełączniki i punkty dostępowe sieci komputerowych, Cisco;
  • macierze dyskowe, IBM XIV;
  • przełączniki sieci SAN, Brocade (Broadcom).

2. Odkrywanie powiązań i topologii w środowisku IT:

  • narzędzie odkrywa typy podpiętych elementów i ich składniki, np. porty, instancje,metryki i parametry, a także rysuje powiązania między elementami, ich składnikami w zależności od ich faktycznej relacji, np. na jakiej maszynie wirtualnej jest aplikacja?, na jakich obszarach dyskowych są umieszczone maszyny wirtualne?, jakie porty są w przełączniku sieciowym?, jakie dyski są wystawione z macierzy dyskowej?, jakie bazy są w instancji silnika bazodanowego?, jakie instancje aplikacji stanowią aplikacje i na jakich systemach są uruchomione?
  • odkrywanie jest automatyczne, choć istnieje możliwość ręcznego lub semi automatycznego budowania powiązań na bazie nakładanych schematów nazewnictwa lub tagów.

3. Wgląd w dane strukturalne i niestrukturalne:

  • narzędzie posiada silniki do danych strukturalnych i niestrukturalnych, które dopasowane są danego typu danych, a z drugiej strony umożliwia powiązanie danych strukturalnych i niestrukturalnych danego obiektu na potrzeby jednolitego alertowania,
  • dodatkowo, dane niestrukturalne automatycznie strukturyzuje, by umożliwić ich śledzenie w sposób zbliżony do metryk, wykonuje na nich analizy umożliwiające automatyczne grupowanie w aplikacje, wykrywanie sygnatur ataków lub operacyjne wykrywanie nieprawidłowości.

4. Wspólny widok na całe środowisko IT:

  • narzędzie udostępnia jeden centralny system widoków, które mogą być przydzielane do wybranych odbiorców (także spoza organizacji) i dopasowywane do własnych potrzeb przez modyfikacje lub tworzenie własnych widoków od zera, mimo, że posiada predefiniowane widoki do troubleshootingu, optymalizacji pojemności, wydajności, kosztów oraz optymalizacji i zużycia energii, w tym  redukcji CO2 (ang. sustainability),
  • widoki dają zestandaryzowany wgląd w powiązania, metryki, przewidywania, parametry, alerty i objawy wszystkich monitorowanych elementów niezależnie od ich typu, a także podpinanie zewnętrznych elementów dla jednolitego doświadczenia użytkownika i przekierowanie do narzędzi dziedzinowych w przypadku potrzeby głębszej analizy.

5. Optymalizacja zasobów i planowanie pod kątem wydajności, pojemności i kosztów:

  • na bazie przechowywanej historii, narzędzie buduje trendy zachowania i wylicza automatyczne progi dla każdej metryki każdego monitorowanego obiektu, co umożliwia przewidywanie zachowania i wprowadzanie rekomendacji na różnych podzbiorach definiowanych w narzędziu (całych data center, grupach systemów, zdefiniowanych aplikacjach biznesowych, w zakresie migracji, przenoszenia, zwiększania zasobów, jak i ich odzyskiwania, w przypadku zbyt niskiego wykorzystania np. odzyskanie nieużywanej pamięci RAM, wyszukiwanie porzuconych zasobów,
  • umożliwia kalkulacje kosztów data center z definicjami własnych stawek dla kosztów sprzętu, oprogramowania i porównanie z kosztami chmury publicznej w przypadku przenoszenia obciążenia (głębsza analiza przez integrację z narzędziem CloudHealth).

6. Zaawansowane alertowanie wraz z raportowaniem:

  • zamiast alertowania opartego o przekroczone progi, narzędzie stosuje alertowanie w oparciu o objawy, w którym o nieprawidłowości świadczy jeden lub więcej objawów, które dopiero składają się na alert (ważne: mogą występować objawy bez utworzenia alertu), przy czym oba posiadają własne niezależne priorytety i rekomendacje, które operatorzy mogą wykorzystywać przy rozwiązywaniu problemów,
  • alertowanie wykorzystuje automatyczne trendy i progi, dzięki czemu istnieje możliwość wykrycia niespodziewanych wzrostów obciążenia w jednym lub wielu systemach, które mogą świadczyć o ataku lub włamaniu,
  • alertowanie posiada predefiniowane szablony raportów, z możliwością tworzenia indywidualnych raportów z wybranych dowolnych elementów, a także eksportów do pdf i xlsx oraz wysyłki automatycznej przez e-mail.

7. Monitorowanie usług biznesowych i SLA:

  • narzędzie posiada metryki uniwersalne o wartościach procentowych dla każdego monitorowanego elementu, co umożliwia porównywanie różnych typów elementów ze sobą (np. wirtualnej maszyny i zasilacza) oraz budowanie z nich logicznych kontenerów stanowiących zbiory elementów i reprezentujących komponenty, a w szczególności usługi biznesowe, umożliwiające proste monitorowanie zdrowia i SLA tych komponentów (usług),
  • szczególnym przypadkiem jest możliwość tworzenia widoków odbiorców i dostawców usługi poprzez budowanie kontenerów dla różnych warstw IT, różnych obszarów i lokalizacji.

8. Weryfikacja monitorowanych elementów pod kątem zgodności w zakresie bezpieczeństwa:

  • wbudowany mechanizm polityk zgodności dla różnych typów monitorowanych obiektów, zintegrowany z mechanizmem alertowania i raportowania, z dostarczanymi domyślnie politykami sprawdzania zgodności z przepisami oraz politykami dla infrastruktury VMware vSphere, NSX-T, vSAN oraz regulacji międzynarodowych CIS, DISA, FISMA, HIPAA, ISO i PCI. Mechanizm daje jednocześnie możliwość tworzenia własnych standardów „Custom Compliance”na potrzeby monitorowania zgodności.

Kluczowa dla wdrożenia NIS2 staje się analiza bezpieczeństwa systemu informatycznego, utrzymanie ciągłości działania i ocena skuteczności już wdrożonych środków. W tym celu ważne jest, zgodnie z normą ISO19011 dotyczącą audytowania systemów zarządzania, aby firma miała odpowiednią ilość informacji, które po analizie staną się dowodami audytowymi. Na ich podstawie audytor poczyni ustalenia audytowe, rozstrzygając o zgodności lub jej braku z normami w dyrektywie NIS2. System z ww. zestawem cech jest w stanie wesprzeć podmiot w biznesowym aspekcie obserwowania jego środowiska IT, ale także dostarczy informacje, które będą przydatne we wdrażaniu i utrzymaniu NIS2.

Jak INDEVOPS wspiera firmy we wdrażaniu wymagań NIS2?

INDEVOPS  wypełnia opisane role dla integratora w łańcuchu dostaw i realizuje potrzebne zadania dla podmiotu objętego wymaganiami dyrektywy NIS2. Firma powstała w 2017 r. na potrzeby specjalizacji w monitoringu oraz automatyzacji utrzymania infrastruktury i usług IT. Realizuje swoje usługi w oparciu o własne doświadczenie eksperckie zgromadzone podczas kilkunastu lat pracy z systemami IT, wykorzystując oprogramowanie VMware Aria Operations, na przykładzie którego opisane zostały cechy systemu umożliwiającego realizację idei Observability, poprzez doposażenie go o rozszerzenia firm trzecich oraz autorskie wtyczki powstające we współpracy z partnerami technologicznymi, rozszerzające możliwości narzędzia Aria Operations o monitorowanie kompletu warstw infrastruktury IT:

  • VMware Network Insight – analiza bezpieczeństwa sieciowego aplikacji wraz z mechanizmami wykrywania anomalii w sieci poprzez  przepływy sieciowe (Netflow)
  • Flopsar – wgląd w aplikacje, zgodnie z trendem Application Performance Monitoring,
  • UptimeDC – monitorowanie elementów data center (tzw. Data Center Inventory Management),
  • Greenbone – skanowanie bezpieczeństwa tzw. Security Scanner.

Dodatkowo INDEVOPS wdrażając też inne rozwiązania VMware może Państwa doprowadzić do spełnienia nowych wymagań bezpieczeństwa NIS2. Poniżej lista rozwiązań:

  • VMware Carbon Black – platforma ochrony punktów końcowych oparta na chmurze, która zapewnia wykrywanie i zapobieganie zaawansowanym zagrożeniom, analizę zachowań użytkowników i urządzeń, izolację i usuwanie zagrożeń oraz integrację z innymi systemami bezpieczeństwa,
  • VMware Workspace ONE/Inteligent/Mobile Threat Defense – platforma zarządzania cyfrowym miejscem pracy, która umożliwia bezpieczne dostarczanie i zarządzanie dowolną aplikacją na dowolnym urządzeniu, gdziekolwiek się znajduje, z wykorzystaniem wieloczynnikowego uwierzytelniania, warunkowego dostępu i jednokrotnego logowania.
  • VMware NSX Advanced Threat Prevention – platforma wirtualizacji sieciowej i bezpieczeństwa, która jest zbiorem narzędzi analitycznych zaprojektowanych do obrony przed zaawansowanymi zagrożeniami, które wykorzystują znane i nieznane wektory ataku. Umożliwia on pełną inspekcję ruchu sieciowego i wykrywanie, i zapobieganie znanych zagrożeniom, takim jak ransomware, malware, komunikacja typu command-and-control, próby ruchu bocznego i wykradanie danych. Wykorzystuje sztuczną inteligencję (AI) i uczenie maszynowe (ML) do analizy zaawansowanych zagrożeń i szybkiej reakcji na nie. Oferuje również kompleksową widoczność zarówno ruchu północ-południe, jak i wschód-zachód, w tym przegląd nieprawidłowego zachowania
  • VMware Cloud Disaster Recovery – rozwiązanie do szybkiego i efektywnego odzyskiwania się po awarii lub ataku Ransomware w chmurze VMware
Jak INDEVOPS wspiera firmy we wdrażaniu wymagań NIS2?
 

Podsumowanie

We wdrażaniu dyrektywy NIS2, monitorowanie infrastruktury IT staje się niezbędne do weryfikacji spełnienia jej wymagań. Dostarczając aktualnych danych o stanie systemów informatycznych, technologie te mogą pomóc organizacjom spełnić wymagania dyrektywy i zwiększyć ogólny poziom cyberbezpieczeństwa. Przy czym w dzisiejszych skomplikowanych i obszernych środowiskach, nowoczesny system realizujący ideę Observability jest w stanie w znacznym stopniu podnieść poziom obserwacji poprzez automatyczne wykrywanie niestandardowych zachowań pochodzących z wielu źródeł, wykorzystując mechanizmy machine learning. Pozwala to na optymalizację środowiska, mierzenie wydajności, kosztów czy zgodności z naszymi politykami, niezależnie czy dane są przetwarzane w naszym data center czy w publicznej chmurze obliczeniowej.

Rolą INDEVOPS jest zapewnienie bezpieczeństwa dostarczanych rozwiązań do podmiotów, które będą objęte wytycznymi dyrektywy NIS2, wsparcie techniczne zapewniające ciągłość działania, przeszkolenie Pracowników Klienta, a także zapewnienie, że dostarczane rozwiązania do Klienta, jak i forma samej współpracy pomiędzy podmiotem a dostawcą, są zgodne z regulacjami. INDEVOPS wspiera swoich Klientów w optymalizacji wydajności, zarządzania pojemnością, zarządzania kosztami, zarządzania zdarzeniami, zgodnością z wytycznymi i raportowaniem z różnych elementów systemu.

INDEVOPS jest jedynym wywodzącym się z Polski partnerem VMware, który posiada partnerstwo usługowe (Master Services Competency) na poziomie Principal, a także partnerstwo providera chmurowego (Cloud Services Provider) i partnerstwo twórcy oprogramowania Technology Alliance – Standard. W ramach EMEA jesteśmy jedynym podwykonawcą DellEMC w Operations i Automation. Od 2017 roku dostarczamy kluczowe rozwiązania klientom, w tym renomowanym firmom, takim jak PKN Orlen, ING Tech, Poczta Polska, Inpost, Alior, PERN, PCSS, MBank, Polkomtel, Polpharma i wiele innych.

INDEVOPS to ponad 30 czołowych klientów i setki użytkowników korzystających z dostarczonych przez nas rozwiązań. Współpracujemy z partnerami takimi jak VMware, DellEMC, Bluemedora, NetFlow Logic i Greenbone, co gwarantuje najwyższą jakość naszych usług.

Zapraszamy do kontaktu, jeśli chcesz uzyskać więcej informacji wejdź: TUTAJ

 

Źródła:

https://eur-lex.europa.eu/legal-content/PL/TXT/PDF/?uri=CELEX:32022L2555&qid=1697431135136, s. 48, art. 21 (dostęp z dn. 16.10.2023)

https://www.vmware.com/ (dostęp z dn. 17.10.2023)

https://www.vmware.com/products/aria-operations.html

Autorzy dziękują Krzysztofowi Kowalskiemu za materiały źródłowe o dyrektywie NIS2 i Ewie Szymczak za koordynację prac i kampanię marketingową.

 

Co mnie fascynuje w Kubernetesie?

Co mnie fascynuje w Kubernetesie?

utworzone przez | 31 sierpnia 2023 | 10 minut, Technologie

Social Media, to dla mnie przestrzeń pełna tajemnic 😊 Dużo lepiej porusza się tu @Ewa, ale i ja czasem pozwalam sobie na jakieś publikacje. I chociaż zdecydowanie od glamour, wolę konkretną pracę na zapleczu, 😉 dobrze wiecie, że najbardziej doceniane jest, to co widać na front endzie. Jako „ojciec-założyciel” naszej organizacji, wypada więc bym od czasu do czasu przemówił i skierował Waszą uwagę na to, co robię z moim team’em 😀

Okazja ku temu jest doskonała, bo w przyszłym miesiącu miną 2 lata od momentu, gdy na poważnie, zespołowo zaangażowaliśmy się w projekt Kubernetesa.

Przez ten okres nie tylko przeprowadziliśmy kilka ciekawych wdrożeń VMware Tanzu Kubernetes (w wersji „with vSphere” jak i TKGM), ale też zmigrowaliśmy kilka pokaźnych aplikacji na te środowiska. Rozwijamy też własne moduły do „Keight’s”’a”😉: tak, tak tworzymy bowiem własny Container Storage Interface (o nim jeszcze będzie w przyszłości więcej) i utrzymujemy własną platformę K8S, która zdążyła wyjść z mikroK8S’a i przesiąść się na Vanila K8S (o tym też w przyszłości).

Stąd myślę, że mogę śmiało powiedzieć, że przynajmniej 4 osoby w naszym zespole są naprawdę znawcami tego narzędzia. Oczywiście wiadomo, że „całe życie człowiek się uczy”, ale to właściwy moment, by powiedzieć o tym, że jest to fascynujące narzędzie.

A co w nim takiego fascynującego? Oooo… tutaj musiałbym porządnie się pochylić i wymieniać jego cechy, opisywać je, uzasadniać itd. itp. Pomyślałem sobie, że będzie lepiej jak wesprę się Zespołem 🙂

Poniższe wypowiedzi spisałem podczas rozmów 1:1, naturalne, zapisane tak jak były wypowiadane, bez korekty. Poczytajcie.

Kacper

Co Cię fascynuje w K8s?

Co mnie fascynuje w K8s? Że ten projekt jest tak duży i otwartoźródłowy. Podoba mi się, że kod jest otwarty i można do niego zajrzeć. Można zobaczyć każdy komponent na własne oczy, a nie tylko w teorii. Bardzo podoba mi się dokumentacja: obszerna tłumaczy wszystko. Kubernetes bardzo szybko się zmienia i trzeba być na bieżąco, ale ma super mechanizmy z wersjonowaniem. Można iść do przodu nie tracąc kompatybilności. Bardzo mi się podoba zakres możliwości jaki daje K8s. Praktycznie możemy zautomatyzować wszystko. I jednocześnie mieć pewność, że będzie zapewnione HA. Ten kube-apiserver (i więcej kluczowych komponentów, dop. red.) jest zreplikowany na węzłach control plane’a. Przejrzystość operatorów i zarządzanie zasobami. Jest to ujednolicone przez API i obiekty, które są trzymane w etcd. Każdy kto jest zainteresowany tworzeniem rozwiązania opartego na K8s może tworzyć swoje kontrolery/operatory, które pozwalają na elastyczne zarządzanie stanem takiego klastra.

Fascynuje mnie to, że (K8s) daje narzędzia, które pozwalają na interakcje z komponentami fizycznych węzłów i fizyczną infrastrukturą. To jest ta elastyczność, która pozwala na tworzenie specyficznych dla danego środowiska rozwiązań. Mam na myśli CSI, CNI, Cloud…. tylko nie pamiętam jak to się nazywało….interfejs do integracji z rozwiązaniami chmurowymi.

No i cały zamysł tej technologii opartej o konteneryzację. I myśl, by tworzyć rozwiązania, które są bezstanowe i replikowane, czyli też odporne na awarie. (Dzięki czemu) jesteśmy w stanie za pomocą mechanizmów K8s tworzyć upgrade canary deployment, które zapewniają płynność w działaniu aplikacji i jak najniższy downtime.

Błażej

Czy fascynuje Cię K8s?

Oczywiście, że tak.

Dlaczego?

Odpowiedź jest jedna. Ze względu na swoją złożoność. Fascynuje mnie złożoność całego tego środowiska, ale też, to jak jest ono cały czas rozwijane. Nie miałem jeszcze z nim za dużo do czynienia, ale jak je poznaję, to ciekawi mnie jak dużo jest narzędzi do zarządzania bezpośrednio w K8s. Jak bardzo dobrze jest rozwiązany provisioning, jak super jest wykorzystane API i to, że możemy nim zbierać informacje oraz kontrolować co się dzieje. To jest bardzo fascynujące, jak to ze sobą wszystko współgra. Jak też zasoby są przypisane, jak brakuje czegoś,  to jak one współpracują, żeby wszystko działało i się nie wywalało. Cała ta orkiestracja, że to wszystko ze sobą gra…

Ciekawe są te narzędzia do zarządzania i że można tworzyć swoje własne.

Ciekawy jest provisioning, jak bardzo można wiedzieć, co się dzieje, jak ją kontrolować, co się z nią (aplikacją) dzieje, jak są jakieś corner case’y. Jest też dobry feedback, co warto kontrolować i co warto naprawiać (usprawnić).

Nie jest to narzędzie, które można poznać w chwilę. Wymaga dużo wiedzy, zebranej w praktyce i w teorii, by je w pełni zrozumieć. A coś, co trudno zrozumieć, jest z pewnością ciekawe 🙂

Lukas

Czy fascynuje Cię Kuberentes?

Fascynują mnie jego możliwości.

Dlaczego?

(…długa cisza…) podoba mi się zmiana podejścia do uruchamiania aplikacji względem wcześniejszych wzorców… i, że te ograniczenia, które on narzuca pozwalają na tworzenie wymiennych modułów. Możesz napisać driver CSI i jakakolwiek aplikacja, która to obsługuje będzie działała, tak samo jest z siecią, service mesh, on sam z siebie nie ma zbyt dużo komponentów, ale dorzucenie zewnętrznych komponentów jest proste-łatwe. Nawet te komponenty można wymieniać co jest ważne np. mikroK8s używa dqlite zamiast etcd. Architektura jest bardzo fajnie zrobiona, pozwala ona na praktycznie dowolne rozszerzanie możliwości. Czyli nie mamy tylko samych kontenerów, ale też np, zarządzanie VM’kami, operatory i obiekty K8s’owe. No i uważam, że jest bardzo dobrze zrobiony, bo zrobili go ludzie z Google, po tym jak robili własny soft jeszcze bez kontenerów, chyba Borg i architektura jest tak zrobiona, że te rzeczy, o których mówiłem wcześniej pozwalają na rozszerzenie, no i ma otwarte źródło. I jest przemyślany.

A Tanzu jak się ma do tego?

Tanzu rozszerza K8s ze wszystkich możliwych stron. I wszystko co można zrobić Tanzu robi. Idąc od dołu: storage (CSI driver do konsumowania dysków vsphere’owych), sieć cała Antrea zintegrowana z NSX, która pozwala na observablity sieciowe, nawet między klastrami K8s’a, no i loadbalancery, masz zarządzanie, jakby poziom wyżej, To jest zaje…iste, bo nawet supervisor klaster też jest K8s’em i te rzeczy co wystawią klastry, to jest operator. Więc sam supervisor klaster to jest taki taki K8s K8s’ów. Łatwo zarządzać, upgrade’ować, niszczyć, to jest zautomatyzowane. Ręczne wystawienie, żeby to było porównywalne jest bardzo ciężkie, bo skomplikowane technicznie. Trzeba znać bardzo dużo komponentów i wiedzieć jak je połączyć. I stoi na ramionach gigantów, czyli stabilnego vSphere’a.

A jakbyś odniósł go do Sarkana?

Mamy zrobiony storage. Nie mamy tych wszystkich komponentów. Nie mamy supervisor clustra, ale jak będziemy mieli, to będzie kompatybilny nie tylko z vSpherem. No, ale nasz wymaga tylko dysków i Ubuntu, i tak długo jak, to jest wspierane, to wszystko działa od ręki. Żeby mieć Tanzu to musisz mieć kompatybilne serwery i storage. Więc na razie jeśli chcesz mieć tylko pod storage, to Sarkan będzie prostszy i tańszy.

A co jest takie wow?

MP, które piszemy do Flopsara 😀…ale z K8s’a….ta kompatybilność, jak masz te komponenty, to aplikacja będzie działać wszędzie, na każdej dystrybucji, o ile nie jest jakoś ona specjalnie „skopana”, w sensie dostosowana.

Arek

Czy fascynuje Cię Kuberentes?

Oczywiście, że tak. 🙂

A co Cię w nim fascynuje?

…jakby wychodząc wiesz, zaczynając od konteneryzacji i mikroserwisów i przechodząc do K8s…bo jakby cały ten temat jest fascynujący. I K8s daje duże wsparcie w zarządzaniu. Można to podzielić na różne płaszczyzny, co mnie fascynuje. Części: operatorska, developerska, ecosystem, społeczność. Od developmentu po właśnie zarządzanie, skalowalność, ta niezawodność w dostępie do systemów, od operatorskiej monitoring, optymalizacje nawet pod względem kosztów, właśnie jak mamy skalowalność, to przez operatora ciężko oszacować, a przy pomocy K8s możemy ją zoptymalizować. Pod względem skalowalności, jak mamy aplikację, która jest nierównomiernie obciążona, to K8s pozwala, tam gdzie jest zwiększone obciążenie je obsłużyć…to jest mega fajny bajer K8s…

nie wiem co jeszcze… to też na pewno upraszcza wdrażanie aplikacji. I tutaj dzięki wsparciu mikroserwisów, jesteśmy w stanie podzielić zespół na mniejsze drużyny i możemy je równolegle rozwijać….automatyzowanie różnych działań ma duży plus. I to jest fajne, że w deklaratywny sposób zarządzamy. Określamy wymagania aplikacji i K8s nam to zapewnia….nie wiem chyba wyczerpałem…

Co jest mega zaje…iste, tak żebyś powiedział: „ale to extra rozkminili”?

Hmmmm… … … no chyba, to takie ogólne będzie… ale zarządzanie tymi aplikacjami. I operatory i mechanizmy bezpieczeństwa.

Benny

Czy fascynuje Cię Kuberentes?

Tak.

Dlaczego?

A… bo to fajne narzędzie… Umożliwia… hmmm… jakby to… po prostu działa… udostępnia dużo fajnych rzeczy zarówno przy… hmmm… przy jakimś hobbystycznym deploymencie aplikacji, jak i zarówno jakiś dużych korporacyjnych klastrów. Pozwala nie przejmować się takimi rzeczami jak loadbalancing i skalowalność. Duże rzeczy załatwia za użytkownika. Co prawda próg wejścia jest dość wysoki i trzeba się dużo nauczyć, ale jak się ogarnie podstawowe rzeczy, to można łatwo robić wdrożenia.

Ogarnia rollout i rollback’i, jak coś nie pójdzie przy deploymencie, to K8s to cofa. Updateowanie aplikacji jest dużo bardziej bezproblemowe. W sumie też technologia ma to do siebie, że lubi się psuć, usługi  i sprzęt się psują. A zdolność K8s na selfhealing pozwala, na to, że ona się monitoruje, sprawdza co w aplikacji się dzieje i sam próbuje to naprawić. Nie musimy nic robić i K8s robi to za nas…W skrócie to jest fajne narzędzie po prostu.

Ale zaje…iste?

No jest zaje…iste… co tu mówić… 😀… to jak, to działa przy tym jak, to jest złożone, to rozwala mózg 🙂… albo możliwość rozszerzania tego, że możemy dosłownie tworzyć zasoby K8s i działać na nich jak na domyślnych zasobach… świetna rzecz… tworzenie natywnych aplikacji K8s, które działają i komunikują się klastrem K8s… to zaje…ista rzecz 🙂

Piotrek

Czy fascynuje Cię Kuberentes?

W sumie nie miałem jakoś bardzo styczności z K8s. Aczkolwiek podczas pierwszego zadania nt. Sarkana, chłopacy pozwoli mi się z nim zapoznać i nawet im powiedziałem, że jestem w szoku jak to działa. I nie widząc tego wcześniej potrafiłem powiedzieć, że to fajnie działa.

Dlaczego Cię fascynuje?

hy… … dlaczego, wydaje mi się, że fajne jest to, że nie musimy osobiście pilnować kontenerów, całych aplikacji zbudowanych z tych kontenerów. On to robi za nas. Żeby nie było przerwy jak coś się zepsuje, on wystawi ja na nowo. Co jeszcze? Fajnie, że możemy określić moc procesową i pamięć ram dla tych kontenerów i chyba tyle. Fajnie, że powstało takie narzędzie i nie trzeba robić tego wszystkiego manualnie.

Ale co jest takie naprawdę zaje… stego? No wtedy na voffice’ie (wirtualne całodniowe wspólne pracowanie przez teams’y, bo pracujemy zdalnie – przyp.red.)… powiedziałem, że jestem w szoku, bo jak usunąłem metadata serwer, i on zmienił sobie sam leadera, po czym sam wystawił sobie nowy serwer… jeszcze nie wiedziałem, że to tak działa, może dlatego… na razie chyba tyle z tego co takie zaje…iste było… chyba…

Podsumowując zdanie kolegów, fascynuje mnie, bo ma:

  • mechanizm rollback dla wdrażanych na nim aplikacji
  • wbudowane HA i skalowalność
  • modułowość komponentów i uruchamianych usług
  • „przejrzystość” skomplikowanej architektury
  • świetną dokumentację
  • możliwość elastycznego rozudowania, łatwego dodawania funkcjonalności dla specyficznych use-case’ów
  • observability
  • self-healing

Osobiście „my favourite” to Service Mesh 🙂. A co Was fascynuje w Kubernetesie czego tu jeszcze nie przytoczyłem?

Życzenia Wielkanocne

Życzenia Wielkanocne

utworzone przez | 7 kwietnia 2023 | automatyzacja

Wesołych Świąt Wielkanocnych!
Niech Agile prowadzi Was do sukcesów w branży IT, a odpoczynek i magia Świąt niosą spokój i szczęście.
Teraz czas na zabawę i relaks – zapomnijcie o pracy, zanurzcie się w świątecznej atmosferze, pozwólcie fantazji swobodnie działać.
Życzymy smacznej sałatki, dużo wody i uważności całej naszej Zajęczo-Jajecznej Braci. Niech towarzyszy Wam szczęście i uśmiech!

Wszystkiego najlepszego z okazji Nowego 2023 Roku!

Wszystkiego najlepszego z okazji Nowego 2023 Roku!

utworzone przez | 30 grudnia 2022 | Wydarzenia

Z okazji Nowego 2023 Roku życzymy wszystkim naszym Klientom, Partnerom i Sympatykom zdrowia, które da Wam pokłady chęci i energii do działania oraz odwagi w spełnianiu marzeń i podążaniu za Waszymi pasjami. A w Sylwestrową Noc wyśmienitej zabawy i szalonych chwil, które pozwolą uciec od codzienności. Przy czym bez alkoholu i nie do samego rana, by już kolejnego dnia spełniały się nasze życzenia ;-) Zespół Indevops!

Z okazji Nowego 2023 Roku życzymy wszystkim naszym Klientom, Partnerom i Sympatykom zdrowia, które da Wam pokłady chęci i energii do działania oraz odwagi w spełnianiu marzeń i podążaniu za Waszymi pasjami.

A w Sylwestrową Noc wyśmienitej zabawy i szalonych chwil, które pozwolą uciec od codzienności. Przy czym bez alkoholu i nie do samego rana, by już kolejnego dnia spełniały się nasze życzenia 😉

Zespół Indevops!

Jak znacząco podnieść wydajność i jakość pracy w IT dzięki rezygnacji z komunikacji mailowej.

Jak znacząco podnieść wydajność i jakość pracy w IT dzięki rezygnacji z komunikacji mailowej.

utworzone przez | 7 kwietnia 2022 | Wiedza

Jak poprawić skuteczność wdrożeń i realizacji projektów?  To proste – zrezygnować z komunikacji mailowej. Brzmi jak herezja? Na pierwszy rzut oka wydaje się, że brak maili oznacza totalny chaos, który prowadzi tylko do „wyłożenia się” projektu.

Jak pogodzić wszystkie etapy realizacji usług, od planowania, przez programowanie, testowanie, aż po wdrożenie i serwis? Jak sprawić, aby zespoły porozumiewały się skutecznie, szybko i poprawiły wydajność, zamiast ją obniżać?

Maile firmowe? – Nie, dziękuję!

Do niedawna specjaliści uczyli skutecznej komunikacji mailowej. Ustalenia, warunki, plany, dyskusje, wyznaczanie zadań i celów – wszystko na piśmie, czarno na białym. Tak było kiedyś. Maile królowały i były znacznie wygodniejsze niż ustalenia telefoniczne czy notatki ze spotkań. BYŁY.

To przeszłość. Przyszedł czas na znacznie lepsze systemy do zarządzania usługami i projektami oraz wprowadzenie nowej, skuteczniejszej metodyki pracy. W INDEVOPS zamieniliśmy maile i związany z nimi bałagan m.in. na system do zarządzania projektami Easy Redmine. To potężne narzędzie, które znacznie uprościło realizację nawet najbardziej zaawansowanych i skomplikowanych usług.

Tablica Kanban pozwala nam dzielić każdy projekt na pojedyncze zadania, które realizujemy w określonym czasie (w tzw. sprintach). Testujemy ten produkt już od 2017 roku i, praktycznie nie ma szans, aby zdarzył się poślizg czasowy, ktoś czegoś nie dostał, czy zabrakło informacji o każdym etapie projektu. To się nie zdarza.

Easy Redmine pomaga nam wizualizować zadania w projekcie na osi czasu. Możemy wygodnie planować, tworzyć kamienie milowe projektu, subtaski, przypisywać zadania i zostawiać notatki na każdym etapie realizacji. Wystarczy jeden rzut oka, aby zorientować się, co dzieje się w projekcie i na jakim etapie są prace. To jest właśnie praca oparta na metodyce DevOps i ramach postępowania Scrum.  Jest nie tylko zwinna, ale też niezwykle skuteczna zarówno dla zespołu developerskiego, jak i klientów.

Irytacji nie było końca

Dobrze wiemy, że 80% sukcesu w realizacji dowolnego wdrożenia, a tym bardziej przy świadczeniu usług o charakterze ciągłym, to skuteczna komunikacja. Maile nie dawały nam tego, czego potrzebowaliśmy. Ogarniał nas chaos. Nie tak chcieliśmy obsługiwać naszych klientów. W końcu wiedza i doświadczenie to część sukcesu. Liczą się też dostępne narzędzia, które gwarantują lepszą wydajność, bezpieczeństwo i przejrzystość pracy.

Chcemy usprawniać naszą codzienną pracę, aby dostarczać klientom wyłącznie najwyższą jakość. Kiedy analizowaliśmy nasze projekty, trudno było znaleźć moment, w którym coś się ‘’wysypało’’. Maile nie dawały tej możliwości. Nasza frustracja narastała i to był początek zmiany na zawsze. I na lepsze.

Od 2017 roku pożegnaliśmy się ze standardowymi metodami komunikacji, jak wiadomości e-mail. Skrzynki służą nam wyłącznie do sporadycznej komunikacji ze światem zewnętrznym i klientami.

W jaki silnik Ty inwestujesz w firmie?

Poszczególne narzędzia to podzespoły naszego firmowego silnika. Złożone w całość sprawiają, że auto, którym jest INDEVOPS, jeździ szybko, bezpiecznie i jest w klasie premium. Wiadomo – lepsze osiągi, szybciej do setki, mniej awarii i… niższe koszty. Same plusy.

Z drugiej strony możesz bez końca inwestować w naprawy starych i zawodnych metod i zastanawiać się, dlaczego w projektach pojawiają się błędy. Czasem coś zaginie, innym razem wyciekną jakieś dane, ktoś czegoś nie otrzyma na czas. Koszty rosną, a klienci frustrują się coraz bardziej. Pytanie, czy to jest naszym celem?

Szybko czy dobrze? A może jedno i drugie?

Podczas codziennej pracy łączymy ze sobą odpowiednio dobrane narzędzia, metody pracy, nasze umiejętności i doświadczenie oraz dobre nastawienie. To jest konfiguracja, która gwarantuje nie tylko szybką i skuteczną realizację zadań, wymianę wiedzy między działami i naukę. To jest właśnie komunikacja idealna.

Zwinnym sprintem prosto do celu

Drogowskazem w naszym działaniu jest właśnie scrumowy framework. To pojedyncze sprinty poszczególnych zespołów – coś jak sztafeta w realizacji zadań. Każdy element jest dokładnie zaplanowany i omówiony. Dzięki takiemu podejściu możemy realizować wiele zadań w tym samym czasie, skutecznie się komunikować i szybko rozwiązywać bieżące problemy. To komfort i elastyczność, które pozwalają pracować skuteczniej i osiągać więcej.

Odpowiednie zarządzanie projektami to skuteczny zespół

Każdy projekt to zestaw zadań – a każde zadanie to zestaw czynności, które rozpisujemy i realizujemy krok po kroku. Klasyczne metody zarządzania usługami dla klientów mocno ograniczają zarówno komunikację, jak i kreatywność.  W konsekwencji tracisz cenny czas i  trudno Ci wywiązać się z terminów przez to, że ciągle walczysz z błędami i przeoczeniami.

W tradycyjnych firmach projekt prowadzony jest zazwyczaj przez jedną osobę. Kiedy ta napotyka na jakąś blokadę, musi prosić o pomoc, tłumaczyć, opisywać cały proces. To czasochłonne i irytujące.

INDEVOPS – po prostu skuteczni

U nas taka frustracja praktycznie się nie zdarza. Dzięki wykorzystaniu odpowiednich narzędzi takich jak Scrum i Easy Redmine, każdy członek zespołu ma wgląd we wszystkie zadania, podzadania, kamienie milowe, terminy, wyjaśnienia i czynności oraz notatki, które pokazują naszą drogę do celu. W razie potrzeby może szybko „wskoczyć” w proces i pomóc.

Nie tracimy czasu na tłumaczenia, spotkania czy telefony. Wszystko jest jak na dłoni, czarno na białym w postaci notatek w systemie do zarządzania projektami. Każdy z członków zespołu może na bieżąco śledzić postępy i działania, które zostały wykonane.

Menedżer projektu też ma ułatwione zadanie. Nie musi pytać „Na jakim etapie jesteśmy? Co już zrobiliśmy, a co jeszcze pozostało do wykonania?” Wszystko jest na bieżąco uaktualniane w systemie.

Takie rozwiązanie to też sprawniejsza komunikacja z klientem. Gdy dzwoni, aby zapytać, co dzieje się z jego projektem – wystarczy rzut oka na informacje w systemie – i wszystko wiadomo. Właśnie dlatego w INDEVOPS jesteśmy tak skuteczni, a nasi klienci dostają usługi najwyższej jakości i nie tracą cennego czasu.

Firma, która wciąż się uczy

Taki model komunikacji wewnętrznej sprawia, że w INDEVOPS wzajemnie się uczymy i wymieniamy doświadczeniami – bez przerwy.

Wymieniając wiadomości w projektach, analizując każdy element procesu, szybko wyłapujemy ewentualnie błędy i potknięcia. W ten sposób tworzymy bazę dobrych praktyk i własnych, autorskich rozwiązań.

Takie rozwiązania nie są dla wszystkich

Scrum i DevOps to skuteczne podejście do realizacji projektów, jednak nie dla każdego. Potrzebna jest otwarta, szczera komunikacja w zespole. Jeśli zamiast tego tworzysz wyścig szczurów i atmosferę ciągłej realizacji w zespole, te narzędzia raczej się nie sprawdzą. Tutaj skuteczniejsze będą ochronne maile i formalne ustalenia. A duch rywalizacji i tak wygra z dobrem zespołu i klienta. Bo w końcu awans jest najważniejszy.

Tylko prawdziwa, szczera praca zespołowa z ludźmi, którzy umieją dzielić się wiedzą, ale i przyjąć krytykę – to jedyne warunki, aby móc stawiać ambitne cele. Bo te największe cele i marzenia nie są osiągalne w pojedynkę. Można je zrealizować tylko w zespole.

Narzędzia to nie wszystko (ale wszystko bez narzędzi zawodzi)

Narzędzia pomagają usprawniać pracę. Zwiększają bezpieczeństwo, automatyzują procesy. Wpływają na krótszy cykl projektu. Jednak bez zespołu, który ma wiedzę i kompetencje – to tylko narzędzia. Są nic niewarte.

Dlatego w INDEVOPS liczą się przede wszystkim ludzie. Zarówno pracownicy, jak i klienci. Przed każdą realizacją dokładnie badamy potrzeby klienta. Poszukujemy źródeł problemu. To, co oferujemy naszym klientom, to nie są zwykłe usługi, których pełno na rynku. To profesjonalne rozwiązania, które przynoszą wymierne korzyści biznesowe.

Narzędzia mają nam służyć, jednak kluczowe są umiejętności, nastawienie, chęć pracy w zespole. Żaden system ani program nie zastąpi ponad 10-letniego doświadczenia i wiedzy, którą posiadamy, zarówno w dziedzinie monitoringu jak i automatyzacji IT.

Jeśli chcesz przekonać się, jak skuteczni jesteśmy, daj nam znać, jak możemy usprawnić Twoje działania w IT. Bez względu na to, czy potrzebujesz monitoringu, czy myślisz o automatyzacji. Chętnie pomożemy!
Kliknij i skontaktuj się z Nami >