Problem z serwerami bez wsparcia producenta
Administrator mówi, że serwer trzeba wymienić, a Ty widzisz maszynę, która pracuje i nikogo nie blokuje. Serwer bez wsparcia producenta działa do pierwszej poważnej awarii, bo po tej dacie nie powstają już poprawki, a części schodzą na rynek wtórny.
W skrócie
Koniec wsparcia producenta nie wyłącza sprzętu ani systemu. Zmienia to, co się stanie przy awarii: nie ma poprawek, nie ma części z terminem dostawy, nie ma pomocy producenta.
Daty są publiczne. Dla Windows Server 2016 wsparcie podstawowe skończyło się 11 stycznia 2022, a rozszerzone kończy się 12 stycznia 2027, co podaje cykl życia produktów Microsoft.
Ten wpis dotyczy systemów, dla których poprawki już nie powstają. Sytuację, w której poprawki są, ale ich instalacja jest ciągle odkładana, opisuje osobny wpis.
Decyzja zaczyna się od listy: co pracuje produkcyjnie, w jakiej wersji, do kiedy jest wspierane i który proces się zatrzyma, gdy ten element padnie.
Wymiana rozłożona na kwartały i powiązana z datami końca wsparcia daje czas na testy i negocjacje, których zakup po awarii już nie daje.
Niewspierany serwer jest ryzykiem operacyjnym firmy
Wiesz, do kiedy producent wspiera serwery w Twojej firmie?
Zamów konusltację z inżynierem Lizard.
Kreujemy standardy
Zespół Lizard
Od ponad 26 lat odpowiadamy za ciągłość działania firm, które powierzają nam swoje IT.
Partnerstwo, które napędza biznes
Współpracujemy z liderami technologii, aby zapewnić bezpieczne i niezawodne rozwiązania backupu i ochrony danych.
Kogo ten problem dotyczy najczęściej?
Niewspierany sprzęt rzadko zgłasza się sam. Wychodzi przy wniosku budżetowym, przy ankiecie bezpieczeństwa od kontrahenta albo przy pierwszej awarii, której nie da się usunąć w jeden dzień. Każda z trzech osób widzi go z innej strony.
Właściciel lub członek zarządu
Dostajesz wniosek o wymianę serwerów i nie masz jak go ocenić, bo argument brzmi technicznie, a kwota biznesowo. Poznasz ten problem po tym, że ten sam wniosek wraca co roku w podobnej formie i co roku przegrywa z wydatkami pilniejszymi. Sięgasz po temat zwykle wtedy, gdy awaria zatrzymała produkcję albo gdy kontrahent zapytał o wiek i wsparcie dla systemów, które przetwarzają jego dane.
IT Manager lub administrator
Znasz daty końca wsparcia i wiesz, które maszyny są już poza nim, tyle że Twoja lista żyje w arkuszu i nie przekłada się na decyzję zarządu. Poznasz ten problem po tym, że przy każdej awarii szukasz części u pośredników, a w szafie stoi drugi taki sam serwer trzymany na dawcę. Po temat sięgasz, gdy trzeba uzasadnić budżet czymś sprawdzalnym, zanim zrobi to za Ciebie przestój.
Dyrektor operacyjny
Odpowiadasz za to, żeby magazyn wydawał, produkcja szła, a faktury wychodziły na czas. Poznasz ten problem po tym, że przy awarii nikt nie potrafi podać terminu usunięcia, bo termin zależy od tego, czy część znajdzie się u pośrednika. Po temat sięgasz zwykle po przestoju, który trwał dłużej, niż ktokolwiek zakładał, i po pytaniu zarządu, czy to się może powtórzyć.
Źródło problemu
Dlaczego firmy zostają z serwerami bez wsparcia producenta?
Niewspierane środowisko rzadko powstaje z zaniedbania. Powstaje z serii rozsądnych decyzji podejmowanych osobno: tu odłożony zakup, tam aplikacja, której nie da się ruszyć, a gdzieś indziej sprzęt, który po prostu nie przestał działać.
{acf_problem_definicja_akapit}
Zakup sprzętu traktowany jako wydatek jednorazowy
Serwer kupuje się raz i razem z tym zakupem znika pytanie, co dalej. Gwarancja i wsparcie producenta mają własny termin, krótszy niż czas, przez który maszyna fizycznie pracuje. Jeśli nikt nie zapisał tej daty w ewidencji sprzętu ani w planie wydatków, to po kilku latach nie ma zdarzenia, które by o niej przypomniało. Sprzęt pracuje dalej, a firma dowiaduje się o końcu wsparcia przy pierwszym zgłoszeniu serwisowym, którego producent nie przyjmuje.
Daty końca wsparcia znane tylko administratorowi
Informacja o cyklu życia systemu jest publiczna i administrator zwykle ją zna, tyle że trzyma ją w głowie albo w arkuszu, do którego nikt poza nim nie zagląda. Zarząd dostaje wtedy wniosek o wymianę bez kalendarza w tle, więc ocenia go jak każdy inny wydatek i odkłada. W firmach, które przejmujemy, najczęściej widzimy, że wiedza o terminach w firmie jest, ale nigdy nie trafiła do dokumentu, który ktoś czyta przy planowaniu budżetu.
Aplikacja biznesowa wymagająca starej wersji systemu
Część systemów produkcyjnych, magazynowych i księgowych jest certyfikowana pod konkretną wersję systemu operacyjnego albo bazy danych. Dostawca takiej aplikacji nie zawsze nadąża z wersją, czasem już jej nie rozwija, a czasem żąda za aktualizację kwoty porównywalnej z wdrożeniem od nowa. Serwer zostaje więc na starej wersji, bo alternatywa oznacza projekt, na który w tym kwartale nie ma ani budżetu, ani ludzi. Ten wątek rozwija osobny wpis o integracji starego programu z nowym systemem.
Serwer bez objawów awarii uznawany za sprawny
Sprzęt serwerowy rzadko psuje się stopniowo w sposób widoczny dla użytkownika. Dysk w macierzy wypada pojedynczo i macierz to przykrywa, zasilacz pracuje do momentu, w którym przestaje, a podzespoły na płycie starzeją się bez sygnału na zewnątrz. Brak zgłoszeń od pracowników jest więc słabą przesłanką przy ocenie stanu maszyny, choć w praktyce to właśnie on decyduje o tym, że temat wymiany wraca dopiero po awarii.
Czym grozi serwer bez wsparcia producenta?
Ryzyko nie rozkłada się równomiernie. Jedna maszyna poza wsparciem, na której stoi system kadrowo płacowy, waży więcej niż pięć stacji roboczych w tym samym stanie. Skutki odczuwają różne osoby i w różnym czasie, dlatego rozdziela się je na operacyjne, finansowe i regulacyjne.
SKUTKI OPERACYJNE
Awaria elementu bez wsparcia zmienia charakter z naprawy w poszukiwanie. Producent nie przyjmuje zgłoszenia, więc termin usunięcia zależy od tego, czy część znajdzie się u pośrednika i w jakim będzie stanie. Przy sprzęcie sprzed kilku lat to zwykle kwestia dni, przy starszym bywa, że części nie ma wcale i jedynym wyjściem zostaje przeniesienie usługi na inną maszynę, czyli projekt robiony pod presją, bez testów i bez okna serwisowego. Jeśli na tej maszynie stoi system, bez którego magazyn nie wydaje towaru, przestój liczy się w dobach.
SKUTKI FINANSOWE
Zakup po awarii jest droższy od zakupu zaplanowanego, a różnicy nie widać w zestawieniu wydatków, bo pojawia się raz i pod inną pozycją. Składa się na nią szybka dostawa, brak czasu na porównanie ofert, praca poza godzinami przy wdrożeniu i sam przestój, który trzeba policzyć osobno.
Do tego dochodzi koszt utrzymania starego sprzętu: wyższy pobór energii przy tej samej mocy obliczeniowej, rosnąca awaryjność i czas administratora zużywany na obsługę rzeczy, które w nowszym środowisku dzieją się bez jego udziału. Ile to dokładnie wynosi, zależy od wieku sprzętu, liczby maszyn i tego, czy środowisko jest zwirtualizowane.
WYMAGANIA REGULACYJNE
Dyrektywa NIS2 wymienia wśród środków zarządzania ryzykiem bezpieczeństwo w nabywaniu, rozwoju i utrzymaniu systemów informatycznych, w tym obsługę podatności (art. 21 ust. 2 lit. e). System, dla którego producent nie wydaje już poprawek, trudno objąć taką obsługą, bo znana podatność zostaje w środowisku na stałe, a jedynym dostępnym środkiem pozostaje ograniczanie dostępu do niej.
Norma ISO/IEC 27001 opisuje w załączniku A zabezpieczenie 8.8, czyli zarządzanie podatnościami technicznymi: zbieranie informacji o podatnościach używanych systemów i reagowanie na nie. Firma objęta którymkolwiek z tych wymagań musi umieć pokazać, które elementy środowiska są poza wsparciem i jaką decyzję wobec nich podjęła. Sama lista bez decyzji jest tu niewystarczająca.
Jak zaplanować wymianę serwerów, zanim coś padnie?
Kolejność ma tu większe znaczenie niż tempo. Zakup zrobiony przed inwentaryzacją najczęściej trafia w element, który akurat był najgłośniejszy, pomijając ten o największym ryzyku. Pierwsze cztery kroki wykonasz siłami własnymi, bez żadnej umowy z dostawcą, i to one decydują o tym, ile będzie kosztowała reszta.
Zrób spis tego, co pracuje produkcyjnie
Potrzebna jest jedna lista obejmująca serwery fizyczne i wirtualne, macierze, przełączniki, zapory, systemy operacyjne i bazy danych wraz z wersjami oraz numerami seryjnymi. Przy kilkunastu pozycjach da się to zebrać ręcznie, przy większym środowisku szybciej wychodzi narzędziem do automatycznej inwentaryzacji, które odpyta urządzenia w sieci. Na tym etapie niczego jeszcze nie oceniasz, zbierasz stan faktyczny. Krok jest zamknięty, gdy każda pozycja ma przypisanego właściciela i nikt nie dopisuje do listy kolejnych urządzeń z pamięci.
Dopisz do każdej pozycji datę końca wsparcia
Producenci publikują cykl życia swoich produktów, więc daty da się sprawdzić po wersji systemu albo po numerze seryjnym urządzenia. Microsoft prowadzi taki wykaz dla systemów i aplikacji, producenci sprzętu podają osobno termin wsparcia technicznego i dostępności części. Dla systemów operacyjnych potrzebujesz dwóch dat, bo między końcem wsparcia podstawowego a końcem rozszerzonego produkt dostaje już tylko poprawki bezpieczeństwa. Krok jest zamknięty, gdy przy każdej pozycji stoi data albo wpis, że producent jej nie podaje.
Oznacz, co się zatrzyma, gdy dany element padnie
Przy każdej pozycji dopisz proces biznesowy, który na niej stoi: wydanie towaru z magazynu, wystawienie faktury, pracę linii produkcyjnej, dostęp do poczty. Dopiero to zamienia listę techniczną w materiał dla zarządu, bo zarząd decyduje o procesach. Przy okazji wychodzą zwykle dwie rzeczy: elementy, o których nikt już nie pamiętał, i procesy stojące na jednej maszynie bez żadnego zapasu. Krok jest zamknięty, gdy przy każdej pozycji stoi nazwa procesu albo adnotacja, że nie obsługuje żadnego.
Sprawdź, które aplikacje blokują wymianę systemu
Zapytaj dostawców aplikacji biznesowych, jakie wersje systemu operacyjnego i bazy danych wspierają dzisiaj oraz co planują w kolejnych wydaniach. Odpowiedź rozdziela listę na dwie części: elementy, które wymienisz decyzją wewnętrzną, i takie, których wymiana jest osobnym projektem z udziałem dostawcy, własnym budżetem i własnym terminem. Ta druga część zwykle wyznacza długość całego harmonogramu. Krok jest zamknięty, gdy masz pisemną odpowiedź od każdego dostawcy aplikacji krytycznej dla firmy.
Podziel listę na trzy koszyki według terminu i skutku
Pierwszy koszyk to elementy już po końcu wsparcia, na których stoi proces krytyczny. Drugi to elementy po końcu wsparcia bez procesu krytycznego oraz te, którym wsparcie kończy się w ciągu roku. Trzeci to pozycje z terminem dalszym niż rok. Podział po tych dwóch kryteriach wystarcza, żeby ustalić kolejność, i pozostaje czytelny dla osoby bez przygotowania technicznego. Krok jest zamknięty, gdy każda pozycja trafiła do jednego koszyka, a podział zaakceptowała osoba odpowiadająca za budżet.
Rozłóż wymianę na kwartały i wpisz ją do budżetu
Harmonogram powstaje z koszyków i z dat: pierwszy koszyk wchodzi do najbliższego możliwego kwartału, drugi rozkłada się na rok, trzeci trafia do planu wieloletniego z datą przeglądu. Dla każdej pozycji ustal, czy wymieniasz sprzęt, przenosisz usługę na istniejące środowisko wirtualne, czy przenosisz ją do chmury, bo od tego zależy charakter wydatku. Kwartalny przegląd listy utrzyma plan w zgodzie z datami, które producenci czasem przesuwają. Krok jest zamknięty, gdy harmonogram ma kwoty, zatwierdzenie zarządu i stałą datę przeglądu w kalendarzu.
Zabezpiecz to, czego nie wymienisz w tym roku
Dla elementów zostających w środowisku na dłużej ogranicz to, co można ograniczyć bez wymiany: oddziel je w sieci od reszty środowiska, odetnij im dostęp do internetu, jeśli go nie potrzebują, zawęź listę kont mających do nich dostęp i upewnij się, że są objęte kopią zapasową z przetestowanym odtworzeniem. To zmniejsza zasięg incydentu, choć nie usuwa samej podatności. Krok jest zamknięty, gdy dla każdej pozycji z pierwszego i drugiego koszyka zapisano, jakie ograniczenie zastosowano i kto je zatwierdził.
Czego nie robić?
Czego to wymaga po stronie Twojej firmy?
Potrzebna jest decyzja zarządu o tym, że wymiana dostaje harmonogram i pozycję w budżecie, oraz jedna osoba utrzymująca listę. Po stronie IT to kilka dni na inwentaryzację i zebranie dat, po stronie biznesu udział osób znających procesy. Konieczne są też dostępy do urządzeń i do umów serwisowych oraz okna serwisowe uzgodnione z działami.
Jak realizuje to Lizard
Lizard prowadzi planowanie i projektowanie IT jako osobną usługę, która zaczyna się od rozpoznania stanu wyjściowego: czym firma dysponuje dzisiaj, co działa, co niedomaga i jakie są oczekiwania wobec środowiska. Na tej podstawie powstaje projekt rozwiązania wraz z wyceną i harmonogramem, a dobór licencji oraz planów zakupowych jest częścią tego samego opracowania. Pracami kieruje Architekt IT, przy większych wdrożeniach dochodzi Kierownik Projektu IT odpowiadający za terminy i koordynację z działami klienta.
Lizard napędza IT od ponad 26 lat i prowadzi 10 oddziałów w Polsce, co przy wymianie sprzętu pozwala zaplanować obecność inżyniera na miejscu w dniu przełączenia. Firma utrzymuje własne Centrum Jakości i Monitoringu w Poznaniu oraz Centrum Usług Sieciowych w Krakowie. Zakres współpracy można ograniczyć do samego planu modernizacji albo rozszerzyć o utrzymanie środowiska po wymianie, razem z monitoringiem, aktualizacjami i dokumentacją powykonawczą.
#MyWiemyJakToZrobić!
Kompetencje potwierdzone standardem i technologią
ISO/IEC 27001 to norma systemu zarządzania bezpieczeństwem informacji, którą Lizard stosuje u siebie. Przy tym problemie oznacza to, że inwentaryzacja, ocena ryzyka i decyzja o postępowaniu z elementami poza wsparciem powstają w formie, którą da się pokazać audytorowi albo kontrahentowi pytającemu o stan środowiska.
Microsoft Solutions Partner to status potwierdzający kompetencje w obszarze Azure, Microsoft 365 i Defender. Przy wymianie środowiska otwiera to wariant, w którym część usług z niewspieranych serwerów przechodzi do chmury zamiast na nowy sprzęt, razem z przeliczeniem licencji dla obu wariantów.
Jak wyglądało to w praktyce?
#MyWiemyJakToZrobić!
Planowanie i projektowanie IT
#MyWiemyJakToZrobić!
Obsługa IT
Dzięki specjalizacji w wielu dziedzinach IT możemy profesjonalnie zająć się kompleksową obsługą IT Twojej firmy. Skontaktuj się z nami, doradzimy Ci, co możemy wspólnie zrobić.
Outsourcing IT
To idealne rozwiązanie dla małych i średnich przedsiębiorstw. Zdalna obsługa danego projektu daje jakość usług przy optymalnych kosztach.
Usługi IT
Zajmujemy się projektowaniem, wdrażaniem i utrzymaniem systemów IT. Ofertujemy usługi chmurowe i sieciowe dla małych, średnich i dużych przedsiębiorstw.
Helpdesk IT
Sprawna naprawa błędów informatycznych, dostęp do oprogramowania w ramach outsourcingu, dostęp do specjalistów od systemów IT czy sieci komputerowych.
Bazy danych
Dane to jedna z najistotniejszych wartości w wielu firmach. Administrując bazy danych dbamy o bezpieczeństwo Twojego biznesu.
Bezpieczeństwo IT
Jako Eksperci od cyberbezpieczeństwa IT, pomożemy w zabezpieczeniu systemów i sieci w Twojej firmie od firewall po politykę backup dla Twoich danych.
Najlepsi specjaliści IT dla Twojej firmy
Łączymy siły, by Twój zespół działał
Postaw na Lizard! W naszej firmie it oferujemy elastyczne pakiety obsługi informatycznej dopasowane do Twoich potrzeb, pakiety Basic, Basic Plus, Professional, Expert. Sprawdź wszystkie pakiety.
Audyt IT
Podczas audytu informatycznego sprawdzamy, czy dany system informatyczny i związane z nim zasoby są właściwie chronione.
Zobacz nasze artykuły
{acf_problem_definicja_akapit}
#MyWiemyJakToZrobić!
