Sytuacja
Sieć handlowa z 20 sklepami na Litwie i około 300 pracownikami. W każdym sklepie jest 2–4 komputery kasowe, laptop kierownika i telefon; kolejne 40 telefonów i tabletów mają kierownicy regionalni, logistyka i przedstawiciele handlowi. Urządzenia kupowano w różnym czasie i konfigurowano na miejscu, każde tak, jak komuś się udało. Antywirus był taki, jaki fabrycznie zainstalowano, często z wygasłą licencją.
Problemy narastały z dwóch stron. Po pierwsze, każda awaria kasy oznaczała wyjazd pracownika IT do sklepu, czasem 150 km w jedną stronę. Po drugie, telefony z dostępem do poczty, cenników i danych klientów były całkowicie niekontrolowane: bez blokady ekranu, z zainstalowanymi prywatnymi aplikacjami i bez możliwości wyczyszczenia telefonu w razie zgubienia. W ciągu roku zgubiono trzy telefony i jeden laptop, a nikt nie wiedział dokładnie, co się na nich znajdowało.
Dyrektor finansowy zwrócił się do nas po audycie wewnętrznym, który wskazał zarządzanie urządzeniami jako niekontrolowane ryzyko. Termin wyznaczał początek sezonu sprzedażowego.
Czego potrzebowano
- Jedna konsola dla wszystkich urządzeń: kas, komputerów, telefonów i tabletów.
- Zdalna blokada i wyczyszczenie urządzenia w ciągu minut, a nie dni.
- Ochrona, która zatrzyma atak na komputer kasowy bez angażowania pracownika IT.
- Polityki aplikacji: co może znajdować się na telefonie z danymi firmy, a co nie.
- Mniej wyjazdów do sklepów i jasny proces przygotowania nowego urządzenia.
- Wdrożenie bez wstrzymywania sprzedaży: kas nie można wyłączać w godzinach otwarcia.
Co zrobiliśmy
Tygodnie 1–2: inwentaryzacja i polityki
Sporządziliśmy listę wszystkich urządzeń: łącznie 212, z czego 38 nie było oficjalnie przypisanych nikomu. Razem z dyrektorem finansowym i szefem sprzedaży detalicznej uzgodniliśmy polityki: blokada ekranu i szyfrowanie na wszystkich telefonach, osobny profil służbowy z aplikacjami firmowymi, lista zakazanych aplikacji, a na komputerach kasowych wyłącznie aplikacja kasowa i przeglądarka ograniczona do zatwierdzonych adresów.
Tygodnie 3–5: wdrożenie MDM
Wdrożyliśmy zarządzanie urządzeniami mobilnymi w oparciu o Microsoft Intune. Firma miała już licencje Microsoft 365, a Entra ID stało się jedynym źródłem tożsamości. Telefony rejestrowaliśmy zdalnie: kierownik dostawał instrukcję i w ciągu 10 minut urządzenie pojawiało się w konsoli z profilem służbowym. Komputery kasowe podłączaliśmy w nocy, po zamknięciu sklepów, po 3–4 sklepy na noc; w ciągu dnia nie wyłączono ani jednej kasy.
Tygodnie 5–7: SentinelOne Singularity
Zainstalowaliśmy SentinelOne Singularity na wszystkich komputerach, kasach i telefonach. Wybraliśmy go ze względu na autonomiczne działanie: komputer kasowy często nie ma stabilnego połączenia z internetem, a SentinelOne zatrzymuje atak i cofa jego skutki lokalnie, bez połączenia z konsolą. Wdrożenie przebiegło przez MDM, więc nie były potrzebne dodatkowe wyjazdy. W pierwszym tygodniu konsola pokazała trzy przestarzałe programy do zdalnego dostępu, które ktoś kiedyś zainstalował na kasach; zostały usunięte.
Tydzień 8: procesy i przekazanie do opieki zarządzanej
Przygotowaliśmy procedurę konfiguracji nowego urządzenia: trafia od dostawcy prosto do sklepu, przy pierwszym włączeniu samo łączy się z MDM i otrzymuje pełną konfigurację. Procedura dla zgubionego urządzenia: kierownik dzwoni na nasz helpdesk, a urządzenie jest blokowane i czyszczone z konsoli. Całe środowisko przejęliśmy w ramach opieki IT z helpdeskiem. Dla kierowników sklepów przygotowaliśmy jednostronicową instrukcję: do kogo dzwonić, co powiedzieć i czego nie robić, gdy na ekranie kasy pojawi się nietypowy komunikat. Pracownik IT firmy pozostał odpowiedzialny za aplikację kasową i kontakt z jej dostawcą, a kondycja urządzeń, bezpieczeństwo i aktualizacje są po naszej stronie.
Rezultat
Wyczyszczenie zgubionego urządzenia zajmuje teraz około 5 minut od telefonu na helpdesk. W pierwszych trzech miesiącach procedura została użyta dla dwóch telefonów i w obu przypadkach dane zostały usunięte, zanim ktokolwiek zdołał je odblokować. Wszystkie 212 urządzeń i ich zdarzenia bezpieczeństwa są widoczne w jednej konsoli, a pracownik IT po raz pierwszy może powiedzieć, ile urządzeń ma firma i w jakim są stanie.
Liczba wizyt w sklepach spadła o połowę: większość awarii kas rozwiązuje się zdalnie, a aktualizacje aplikacji i zmiany konfiguracji są wysyłane z konsoli. Mierzymy to prosto: system helpdesku rejestruje, ile zgłoszeń rozwiązano zdalnie, a ile wymagało wyjazdu.
„Kiedyś zgubiony telefon był po prostu zgubiony. Teraz to pięciominutowa procedura.”
Co doradzilibyśmy w podobnej sytuacji
- Najpierw inwentaryzacja. Dopóki nie wiesz, ile masz urządzeń, żadna konsola Ci nie pomoże.
- Dla kas wybierz ochronę, która działa bez połączenia z konsolą. W sklepie internet zawodzi częściej, niż wydaje się z biura.
- Na telefonach oddziel profil służbowy od prywatnego: pracownicy łatwiej się zgadzają, a wyczyszczenie obejmuje tylko dane firmowe.
- Wdrażaj w nocy i etapami. Kilka sklepów na noc, a w ciągu miesiąca masz całą sieć bez ani jednej zatrzymanej kasy.
