Situacija
Prekybos tinklas, 20 parduotuvių visoje Lietuvoje, apie 300 darbuotojų. Kiekvienoje parduotuvėje – 2–4 kasos kompiuteriai, vadybininko nešiojamas kompiuteris ir telefonas; dar apie 40 telefonų ir planšečių pas regionų vadovus, logistiką ir prekybos atstovus. Įrenginiai pirkti skirtingu metu, konfigūruoti vietoje, kas kaip sugebėjo. Antivirusinė – ta, kuri buvo įdiegta gamyklinėje versijoje, dažnai pasibaigusiu galiojimu.
Problemos kaupėsi iš dviejų pusių. Pirma, bet koks sutrikimas kasoje reiškė IT darbuotojo kelionę į parduotuvę – kartais 150 km į vieną pusę. Antra, telefonai su prieiga prie el. pašto, kainodaros ir klientų duomenų buvo visiškai nekontroliuojami: be ekrano užrakto, su asmeninėmis programėlėmis, o pametus telefoną nebuvo kaip jo išvalyti. Per metus pamesti trys telefonai ir vienas nešiojamas kompiuteris – kas juose buvo, niekas tiksliai nežinojo.
Į mus kreipėsi finansų direktorius po vidaus audito, kuris įvardijo įrenginių valdymą kaip nekontroliuojamą riziką. Terminas – iki prekybos sezono pradžios.
Ko reikėjo
- Vienos konsolės visiems įrenginiams: kasoms, kompiuteriams, telefonams ir planšetėms.
- Nuotolinio įrenginio užrakinimo ir išvalymo per minutes, o ne per dienas.
- Apsaugos, kuri sustabdo ataką kasos kompiuteryje be IT darbuotojo įsikišimo.
- Programų politikos: kas gali būti telefone su įmonės duomenimis, o kas ne.
- Mažiau kelionių į parduotuves ir aiškaus naujo įrenginio paruošimo proceso.
- Diegimo nestabdant prekybos: kasos negali būti išjungtos darbo valandomis.
Ką padarėme
1–2 savaitė: inventorizacija ir politikos
Surinkome visų įrenginių sąrašą – iš viso 212 įrenginių, iš jų 38 niekam oficialiai nepriskirti. Kartu su finansų direktoriumi ir prekybos vadovu sutarėme politikas: ekrano užraktas ir šifravimas visuose telefonuose, atskirtas darbo profilis su įmonės programėlėmis, draudžiamų programų sąrašas, kasos kompiuteriuose – tik kasos programa ir naršyklė su leidžiamais adresais.
3–5 savaitė: MDM diegimas
Įdiegėme mobiliųjų įrenginių valdymą Microsoft Intune pagrindu – įmonė jau turėjo Microsoft 365 licencijas, o Entra ID tapo vienu tapatybių šaltiniu. Telefonus registravome nuotoliniu būdu: vadybininkas gaudavo instrukciją, per 10 minučių įrenginys atsidurdavo konsolėje su darbo profiliu. Kasos kompiuterius jungėme naktimis, parduotuvėms užsidarius, po 3–4 parduotuves per naktį; nė viena kasa dienos metu nebuvo išjungta.
5–7 savaitė: SentinelOne Singularity
Visiems kompiuteriams, kasoms ir telefonams įdiegėme SentinelOne Singularity. Pasirinkome jį dėl autonominio veikimo: kasos kompiuteris dažnai neturi stabilaus interneto, o SentinelOne sustabdo ir atšaukia ataką vietoje, be ryšio su konsole. Diegimas vyko per MDM, todėl papildomų kelionių nereikėjo. Pirmą savaitę konsolė parodė tris pasenusias nuotolinio valdymo programas, kurias kažkas kada nors buvo įdiegęs kasose – jos pašalintos.
8 savaitė: procesai ir perdavimas priežiūrai
Parengėme naujo įrenginio paruošimo procedūrą: įrenginys iš tiekėjo atkeliauja tiesiai į parduotuvę, pirmo įjungimo metu pats prisijungia prie MDM ir gauna visą konfigūraciją. Pamesto įrenginio procedūra – vadybininkas skambina į mūsų helpdesk, įrenginys užrakinamas ir išvalomas iš konsolės. Visą ūkį perėmėme į IT priežiūrą su helpdesk. Parduotuvių vadybininkams parengėme vieno puslapio atmintinę: kur skambinti, ką pasakyti, ko nedaryti, jei kasos ekrane pasirodė neįprastas pranešimas. Įmonės IT darbuotojas liko atsakingas už kasos programą ir ryšį su jos tiekėju, o įrenginių būklė, saugumas ir atnaujinimai – mūsų pusėje.
Rezultatas
Pamesto įrenginio išvalymas dabar užtrunka apie 5 minutes nuo skambučio į helpdesk; per pirmus tris mėnesius ši procedūra pritaikyta dviem telefonams, ir abiem atvejais duomenys buvo ištrinti anksčiau, nei kas nors spėjo juos atrakinti. Visi 212 įrenginių ir jų saugumo įvykiai matomi vienoje konsolėje – IT darbuotojas pirmą kartą gali pasakyti, kiek įrenginių turi įmonė ir kokia jų būklė.
Išvykų į parduotuves sumažėjo perpus: dauguma kasos sutrikimų sprendžiami nuotoliniu būdu, programų atnaujinimai ir konfigūracijos pokyčiai išsiunčiami iš konsolės. Matuojama paprastai – helpdesk sistemoje fiksuojama, kiek užklausų išspręsta nuotoliniu būdu, o kiek pareikalavo kelionės.
„Anksčiau pamestas telefonas buvo tiesiog pamestas telefonas. Dabar tai penkių minučių procedūra.“
Ką patartume panašioje situacijoje
- Pirmiausia inventorizacija. Kol nežinote, kiek įrenginių turite, jokia konsolė nepadės.
- Kasoms rinkitės apsaugą, kuri veikia be ryšio su konsole. Parduotuvėje internetas dingsta dažniau, nei atrodo iš biuro.
- Telefonuose atskirkite darbo profilį nuo asmeninio: darbuotojai lengviau sutinka, o išvalymas paliečia tik įmonės duomenis.
- Diekite naktimis ir etapais. Kelios parduotuvės per naktį – ir per mėnesį turite visą tinklą be nė vienos sustabdytos kasos.
