Thay đổi nhà cung cấp dịch vụ CNTT: danh sách kiểm tra khả năng phục hồi để không mất mã, dữ liệu hay quyền truy cập

Việc thay đổi nhà cung cấp trở nên khó khăn khi khách hàng phát hiện muộn rằng tên miền, tài khoản đám mây, kho lưu trữ hoặc dịch vụ email đã được tạo dưới tên của bên thứ ba. Ngay cả khi mối quan hệ tốt, việc chuyển giao không đầy đủ cũng có thể làm chậm việc bảo trì trong nhiều tuần.

Khả năng đảo ngược đề cập đến khả năng chuyển giao việc vận hành và phát triển một hệ thống mà không làm mất tài sản, dữ liệu hoặc tính liên tục của nó. Nó được chuẩn bị ngay từ đầu dự án và được kiểm tra thường xuyên. Hướng dẫn này mang tính kỹ thuật và tổ chức; các điều khoản hợp đồng cần được điều chỉnh và xác nhận bởi cố vấn pháp lý.

Quyền sở hữu thực sự quan trọng hơn việc sở hữu một bản sao

Nhận một kho mã không đảm bảo tính tự chủ. Cần phải hiểu lịch sử, các phụ thuộc riêng tư, hướng dẫn xây dựng, quyền đối với các thành phần và vị trí của các bí mật. Tương tự, việc xuất cơ sở dữ liệu chỉ hữu ích nếu nó đầy đủ, có tài liệu và có thể khôi phục được.

Đối với mỗi tài sản, hãy đặt bốn câu hỏi:

1. Ai là người giữ hợp đồng này?
2. ai có quyền truy cập quản trị?
3. Tài sản có thể được xuất khẩu hoặc chuyển nhượng như thế nào?
4. Quy trình đã được kiểm tra chưa?

Sự phân biệt giữa « đã nhận » và « đã kiểm tra » tránh được sự an toàn giả tạo.

Tám loại tài sản cần kiểm kê

1. Mã nguồn và chuỗi xây dựng

Kho lưu trữ, nhánh, nhãn, lịch sử, phụ mô-đun, gói riêng, tập lệnh, tệp cấu hình mẫu, quy trình tích hợp, hình ảnh container và hiện vật di động. Khách hàng phải có quyền truy cập quản trị hoặc một bản sao đầy đủ có thể chuyển giao.

Các khóa và token không nên được tích hợp vào mã. Chúng được lập danh mục theo mục đích sử dụng và được tạo lại trong các tài khoản của khách hàng.

2. Dữ liệu và tệp

Cơ sở, lưu trữ đối tượng, phương tiện, tài liệu, nhật ký cần thiết, chỉ mục tìm kiếm và dữ liệu phân tích. Việc xuất khẩu phải bao gồm sơ đồ, mã hóa, mối quan hệ, khối lượng, quy tắc lưu giữ và kiểm soát tính toàn vẹn.

Việc khôi phục trên một môi trường riêng biệt là bằng chứng tốt nhất về khả năng chuyển giao.

3. Cơ sở hạ tầng và môi trường

Điện toán đám mây, máy chủ, container, mạng, tường lửa, CDN, cơ sở dữ liệu được quản lý, tác vụ theo lịch, workers, sao lưu, giám sát và môi trường thử nghiệm. Các tài nguyên phải được lập bản đồ với khu vực, chi phí, người sở hữu và sự phụ thuộc của chúng.

Khi cơ sở hạ tầng được mã hóa, kho lưu trữ và trạng thái liên quan là một phần của việc chuyển giao.

4. Tên miền và chứng chỉ

Đăng ký, DNS, vùng, chứng chỉ TLS, gia hạn, tên miền phụ, chuyển hướng và xác thực email. Chủ sở hữu tên miền phải là khách hàng hoặc một thực thể được ủy quyền rõ ràng với một quy trình chuyển giao được ghi chép.

5. Dịch vụ bên thứ ba

Thanh toán, email, SMS, lập bản đồ, tìm kiếm, xác thực, phân tích, lưu trữ, trí tuệ nhân tạo và công cụ hỗ trợ. Đối với mỗi dịch vụ: hợp đồng, tài khoản chủ sở hữu, kế hoạch, giới hạn, khóa, webhooks, dữ liệu lưu trữ và quy trình thoát.

6. Tài liệu và kiến thức chuyên môn

Kiến trúc, luồng, mô hình dữ liệu, triển khai, sao lưu, sự cố, thuật ngữ, quy tắc nghiệp vụ, ngoại lệ, vé và quyết định. Tài liệu phải được kiểm tra bởi một người chưa biết hệ thống.

7. Sở hữu trí tuệ và giấy phép

Hợp đồng chuyển nhượng hoặc cấp phép, thành phần mã nguồn mở, phông chữ, hình ảnh, thư viện thương mại và quyền đối với các tác phẩm sáng tạo. Mục tiêu là biết khách hàng có thể sửa đổi, khai thác và chuyển nhượng những gì.

8. Khai thác và quản trị

Liên hệ, trực ca, mức dịch vụ, lịch bảo trì, sự cố đang mở, các lỗ hổng, lộ trình phát triển, ngân sách, quy trình xác nhận và tài khoản người dùng. Việc truyền đạt phải bao gồm cả hoạt động hàng ngày, không chỉ các tài sản kỹ thuật.

Chuẩn bị việc chuyển giao theo bốn bước

Bước 1 — Đóng băng tồn kho

Thiết lập một phiên bản có ngày tháng của danh sách tài sản và xác định các mục chưa biết. Việc đóng băng không có nghĩa là dừng dự án, mà là có một cơ sở chung để theo dõi các thay đổi cho đến khi bàn giao.

Bước 2 — Bảo mật các tài khoản của khách hàng

Tạo hoặc xác nhận các tài khoản quản trị thuộc về khách hàng. Kích hoạt xác thực nâng cao và thiết lập các liên hệ phục hồi. Quyền truy cập của nhà cung cấp vẫn mang tên cá nhân và có thể thu hồi.

Bước 3 — Chuyển giao và kiểm tra

Nhóm nhân bản mới xây dựng, triển khai và khôi phục trên một môi trường được kiểm soát. Họ so sánh các khối dữ liệu và kiểm tra các đường đi quan trọng. Các sai lệch trở thành các hành động có người chịu trách nhiệm và hạn chót.

Bước 4 — Thu hồi và giám sát

Sau khi chấp nhận, các bí mật được làm mới, các tài khoản không cần thiết bị xóa và các nhật ký được giám sát. Quyền truy cập cần thiết trong một giai đoạn hỗ trợ chuyển tiếp bị giới hạn về thời gian.

Nội dung tối thiểu của một hồ sơ đảo ngược

Hồ sơ phải cho phép một nhóm có năng lực tiếp quản mà không phụ thuộc vào các cuộc trò chuyện riêng tư. Nó bao gồm:

• kiểm kê tài sản và chủ sở hữu;
• kiến trúc và luồng;
• quy trình khởi động và triển khai ;
• sao lưu và khôi phục ;
• ma trận các môi trường;
• dịch vụ bên thứ ba và hợp đồng;
• truy cập được truyền, không bao gồm các bí mật dưới dạng văn bản rõ ràng;
• sự cố và rủi ro đã biết;
• danh sách tồn đọng và lộ trình;
• biên bản kiểm tra.

Khi nhà cung cấp trước không hợp tác

Bắt đầu với các tài sản do khách hàng trực tiếp sở hữu: hợp đồng, hóa đơn, tên miền, tài khoản, dữ liệu và các kho lưu trữ có thể truy cập. Hãy chính thức hóa các yêu cầu một cách chính xác: tài sản, định dạng, ngày, phương tiện truyền tải và tiêu chí kiểm tra.

Nhóm mới có thể xây dựng lại một kiến trúc từ DNS, bảng điều khiển, mã và nhật ký, nhưng công việc này cần được xác định và lập ngân sách. Đừng xóa một tài nguyên không biết chỉ vì nó có vẻ như không hoạt động.

Các bất đồng hợp đồng phải được tách ra khỏi kế hoạch liên tục. Mục tiêu ngay lập tức là bảo vệ dữ liệu, dịch vụ và bằng chứng.

Các điều khoản kỹ thuật cần dự đoán trước

Không soạn thảo hợp đồng thay cho một luật sư, sổ tay kỹ thuật có thể chỉ rõ:

• các định dạng xuất và tần suất của chúng;
• quyền sở hữu các tài khoản và tiền gửi;
• thời hạn nộp;
• khối lượng hỗ trợ bao gồm;
• tài liệu được mong đợi;
• các điều kiện xoá các bản sao;
• sự liên tục trong suốt quá trình chuyển giao ;
• các phương pháp kiểm tra.

Những yếu tố này hiệu quả hơn khi chúng phù hợp với các quy trình đã được kiểm tra thực sự.

Kiểm tra khả năng đảo ngược trước khi cần đến nó

Mỗi năm một lần, chọn một tài sản quan trọng và kiểm tra việc chuyển giao của nó: khôi phục một bản sao lưu, sao chép một kho lưu trữ với một tài khoản mới, xuất người dùng hoặc xây dựng lại một môi trường. Thử nghiệm này tiết lộ các phụ thuộc âm thầm và giữ cho tài liệu luôn được cập nhật.

Khả năng đảo ngược cũng cần được xem xét khi thêm một dịch vụ mới. Một công cụ khó từ bỏ có thể được chấp nhận nếu giá trị và rủi ro của nó được hiểu rõ; nó không được trở thành một rào cản một cách tình cờ.

Một mối quan hệ lành mạnh dựa trên sự kiểm soát của khách hàng

Một nhà cung cấp tốt không cần phải giữ lại các tài sản để tạo sự trung thành. Giá trị của mối quan hệ đến từ kiến thức, chất lượng thực hiện và khả năng phát triển nền tảng. Khách hàng vẫn giữ các tài khoản, dữ liệu và quyền tự do quyết định của mình.

Partitech biết cách tiếp quản các ứng dụng do bên thứ ba phát triển và tổ chức việc bảo trì, lưu trữ và hiện đại hoá chúng. Chúng tôi cũng có thể giúp xây dựng hồ sơ khả năng phục hồi trước khi một thay đổi trở nên cấp bách.

Để chuẩn bị cho phần tiếp theo, hãy tham khảo phương pháp của 90 ngày đầu tiên để tiếp quản việc bảo trì một ứng dụng, khung một kiểm toán kỹ thuật đầy đủ của ứng dụng và dự đoán nó hợp đồng bảo trì ứng dụng. Cũng khám phá dịch vụ Partitech.

Tài liệu tham khảo chính thức

Tham khảo đã được kiểm tra vào 17 tháng 8 năm 2026:

• Partitech — Dịch vụ ;
• ANSSI — Ngoại bộ hóa và an ninh hệ thống thông tin: một hướng dẫn để kiểm soát rủi ro.