Rivile apskaitos sistema daugelyje Lietuvos įmonių vis dar veikia biuro kampe stovinčiame serveryje arba, dar dažniau, vyr. buhalterės kompiuteryje, prie kurio jungiasi kiti. Tai veikia tol, kol veikia. Problemos prasideda, kai reikia dirbti iš namų, kai kompiuteris sugenda mėnesio uždarymo dieną arba kai auditorius paklausia, kur yra atsarginės kopijos ir kas jas tikrino.
Perkėlimas į debesiją šias problemas sprendžia, bet tik tada, jei jis padarytas apgalvotai. Apskaita nėra svetainė: joje yra įmonės finansai, darbuotojų duomenys, sutartys su klientais. Blogai pasirinktas tiekėjas ar neapibrėžtos atsakomybės reiškia, kad problemos tiesiog persikelia kitur, kartu su mažesne kontrole.
Toliau pateikiame septynis klausimus, kuriuos rekomenduojame užduoti kiekvienam tiekėjui, siūlančiam Rivile debesyje. Atsakymus verta gauti raštu.
1. Kur fiziškai saugomi mano apskaitos duomenys?
Pirmas ir svarbiausias klausimas. „Debesyje“ nėra atsakymas – debesis yra kažkieno serveris konkrečiame pastate konkrečioje šalyje. Jums reikia žinoti šalį, duomenų centro operatorių ir tai, ar duomenys gali būti perkelti į kitą šalį be jūsų sutikimo.
Apskaitos duomenims tai svarbu dėl kelių priežasčių: Lietuvos buhalterinės apskaitos įstatymas reikalauja užtikrinti dokumentų prieinamumą kontroliuojančioms institucijoms, BDAR riboja asmens duomenų perdavimą už ES ribų, o tam tikrų sektorių įmonėms (finansų, energetikos, sveikatos) papildomus reikalavimus kelia DORA ir TIS2.
Mūsų Rivile Cloud paslaugoje pagrindiniai duomenys saugomi duomenų centre Lietuvoje. Tai reiškia ir mažą vėlinimą buhalteriams, ir aiškų atsakymą auditoriui.
2. Kaip daromos atsarginės kopijos ir kur jos laikomos?
Antras klausimas turi tris dalis: kaip dažnai, kiek laiko saugoma ir kur. Teisingas atsakymas apima ne vieną vietą. Kopija tame pačiame serveryje nėra kopija. Kopija tame pačiame duomenų centre apsaugo nuo serverio gedimo, bet ne nuo gaisro ar ilgalaikio elektros dingimo.
Rivile Cloud kopijos daromos kasdien ir saugomos dviejose vietose: duomenų centre Lietuvoje ir Amazon (AWS) duomenų centre Vokietijoje. Antroji kopija yra kitoje šalyje, bet vis dar Europos Sąjungoje, todėl BDAR požiūriu tai nėra duomenų perdavimas į trečiąją šalį. Papildomai klauskite, ar kopijos apsaugotos nuo ištrynimo iš paties serverio: išpirkos reikalaujančios programos pirmiausia bando sunaikinti kopijas, ir tik tada šifruoja duomenis.
Ir dar: kada paskutinį kartą tiekėjas iš kopijos realiai atkūrė Rivile duomenų bazę? Jei atsakymas neaiškus, kopijų testavimas turi būti įrašytas į sutartį.
3. Kaip apsaugota prieiga prie sistemos?
Perkėlus apskaitą į debesiją, prie jos galima jungtis iš bet kur. Tai patogumas ir rizika vienu metu. Vien slaptažodžio, kad ir sudėtingo, neužtenka: slaptažodžiai nutekinami, atspėjami, išviliojami.
Minimalus standartas, kurio reikalaujame patys: VPN tunelis iki serverio ir dviejų veiksnių autentifikacija (2FA) kiekvienam prisijungimui. Rivile Cloud abu šie dalykai įtraukti nemokamai, ne kaip papildoma paslauga. Papildomai patikrinkite, ar prisijungimai registruojami, ar galima per minutę išjungti išėjusio darbuotojo prieigą, ir ar buhalterinės įmonės atveju galima atskirti klientų duomenis vieną nuo kito.
4. Kas atnaujina Rivile ir serverį po ja?
Rivile reguliariai išleidžia atnaujinimus, dalis jų susijusi su mokesčių ir ataskaitų formų pakeitimais, kurių negalima praleisti. Už jų diegimą kažkas turi atsakyti: tiekėjas, jūsų Rivile partneris ar jūs patys. Tai turi būti aiškiai įrašyta.
Atskiras klausimas – serveris, kuriame veikia Rivile. Operacinės sistemos saugumo atnaujinimai, duomenų bazės priežiūra, apsauga nuo kenkėjiškų programų yra valdomo serverio dalis. Mūsų serveriuose veikia Bitdefender GravityZone, valdomas centralizuotai, o atnaujinimai diegiami ne darbo valandomis, prieš tai padarius momentinę kopiją. Jei kas nors nepavyksta, grįžtama į ankstesnę būseną per minutes.
Reikalaukite atsakomybių lentelės, kurioje kiekvienai veiklai priskirta pusė. Apie tai, kaip ji atrodo, rašėme straipsnyje apie valdomus serverius.
5. Koks paslaugų lygmuo ir kas vyksta, kai kažkas sugenda?
Apskaitai prastova turi aiškią kainą: neišrašytos sąskaitos, neatlikti mokėjimai, pavėluotos deklaracijos. SLA turi atsakyti į tris klausimus: per kiek laiko pradedama reaguoti, per kiek laiko paslauga atkuriama, ir kiek duomenų gali būti prarasta blogiausiu atveju.
Atskirkite reakcijos laiką nuo sprendimo laiko ir patikrinkite, ar SLA galioja mėnesio pabaigoje bei prieš deklaracijų terminus, kai apskaita reikalinga labiausiai. Mūsų helpdesk reaguoja nuo 30 minučių, o visą paslaugų lygmens aprašą skelbiame viešai, kad galėtumėte palyginti prieš pokalbį.
6. Kaip vyks perkėlimas ir ar bus prastova?
Gerai suplanuotas Rivile perkėlimas vyksta be darbo dienos praradimo. Tipinis procesas mūsų praktikoje:
- Esamos sistemos auditas: versija, duomenų bazės dydis, integracijos (bankai, e. sąskaitos, sandėlio įranga, kasos), vartotojų skaičius.
- Debesijos serverio paruošimas ir pilnos kopijos perkėlimas – vartotojai tuo metu dirba kaip įprasta.
- Bandomasis prisijungimas iš kelių darbo vietų, integracijų patikra testinėje aplinkoje.
- Galutinis perjungimas vakare ar savaitgalį: perkeliamas tik skirtumas nuo pirmosios kopijos, tai trunka valandas, ne dienas.
- Pirmoji darbo diena su budinčiu inžinieriumi.
Klauskite tiekėjo, kiek perkėlimų padarė, kaip tvarkys integracijas ir ką darys, jei po perjungimo paaiškės problema. Teisingas atsakymas į paskutinį klausimą – „grįšime prie senojo serverio, jis liks nepaliestas dar bent mėnesį“.
7. Kaip grįžti atgal arba pereiti pas kitą tiekėją?
Klausimas, kurį užduoda retai, bet kuris atskiria patikimą tiekėją nuo spąstų. Jūsų apskaitos duomenys yra jūsų. Turite galėti bet kada gauti pilną Rivile duomenų bazę ir serverio atvaizdą formatu, kurį galima paleisti kitur, per apibrėžtą laiką ir be išpirkos mokesčio.
Patikrinkite sutartyje: duomenų grąžinimo terminą, formatą, kiek laiko tiekėjas saugo duomenis po sutarties pabaigos ir kaip patvirtina jų sunaikinimą. Tai, beje, ir ISO 27001 bei DORA reikalavimas – įmonė turi turėti išėjimo strategiją iš kiekvieno kritinio paslaugų tiekėjo.
Atitikties reikalavimai buhalterijai
Jei jūsų įmonė patenka į DORA (finansų sektorius ir jo IT tiekėjai) ar TIS2 (energetika, transportas, sveikata, skaitmeninė infrastruktūra ir kiti svarbūs sektoriai) taikymo sritį, apskaitos sistema yra kritinė sistema, o jos tiekėjas – trečioji šalis, kurią privalote vertinti ir dokumentuoti. Tai reiškia, kad atsakymai į septynis klausimus aukščiau turi būti ne pokalbyje, o sutartyje ir jos prieduose.
Mes dirbame pagal ISO 27001 reikalavimus ir paslaugas ruošiame taip, kad jas būtų galima pateikti DORA ar TIS2 auditui: su atsakomybių matrica, SLA, kopijų ir prieigų dokumentacija.
Nuo ko pradėti
- Surašykite, kas šiandien jungiasi prie Rivile, iš kur ir kokios integracijos veikia – tai bus perkėlimo pagrindas.
- Patikrinkite, kada paskutinį kartą kas nors atkūrė Rivile duomenis iš kopijos. Jei neprisimenate – padarykite tai šią savaitę, dar prieš perkėlimą.
- Nusiųskite septynis klausimus tiekėjams ir prašykite atsakymų raštu.
- Suplanuokite perkėlimą toliau nuo mėnesio uždarymo ir deklaracijų terminų.
- Jei norite pamatyti, kaip į šiuos klausimus atsakome mes, pradėkite nuo Rivile Cloud aprašo arba susisiekite – perkėlimo planą sudarysime pagal jūsų esamą sistemą.
