De situatie
Bij een technisch ingenieursbureau was de werkplekomgeving meegegroeid met de organisatie zelf. Er was nooit een moment geweest waarop iemand rustig had bepaald hoe een laptop er eigenlijk uit hoort te zien. Machines werden aangeschaft wanneer er iemand bij kwam, met de hand ingericht door wie er die week tijd had, en daarna nauwelijks meer aangeraakt.
Het gevolg was een verzameling apparaten die allemaal net iets anders waren. Verschillende Windows-versies, verschillende installatiemethodes voor dezelfde vakapplicatie, mappen die op de ene laptop wel en op de andere niet waren gekoppeld. Schijfversleuteling stond op sommige apparaten aan omdat de vorige beheerder dat toevallig had gedaan, en op andere niet. Niemand kon met zekerheid zeggen welke apparaten überhaupt in gebruik waren.
Dat werkt zolang het werkt. Zodra er iets misgaat, of er een vraag komt over beveiliging vanuit een opdrachtgever, blijkt hoe kwetsbaar zo'n situatie is.
De vraag
De directie wilde twee dingen. Ten eerste rust: een nieuwe medewerker moet een laptop kunnen krijgen zonder dat iemand een halve dag kwijt is aan inrichten. Ten tweede uitlegbaarheid: kunnen aantonen dat werkplekken volgens een vastgesteld beleid zijn ingericht, zonder daar een apart project van te maken.
Belangrijk detail: er was al een interne beheerder, iemand met verstand van zaken maar zonder ervaring met modern endpointbeheer. De opdracht was uitdrukkelijk niet om afhankelijkheid te creëren. Ik moest iets neerzetten dat die collega daarna zelf kon dragen.
Mijn aanpak
1. Eerst kijken, dan bouwen
Ik ben begonnen met inventariseren. Welke apparaten zijn er, wie gebruikt ze, welke applicaties draaien erop en welke daarvan zijn echt bedrijfskritisch. Dat laatste kost gesprekken, geen scripts. De vakapplicaties van een ingenieursbureau hebben vaak eigenaardigheden qua licenties en installatie die je niet uit een rapportage haalt.
2. Een baseline afspreken, niet opleggen
Daarna heb ik een voorstel voor een basisbeleid geschreven: versleuteling, updatebeleid, schermvergrendeling, wat wel en niet lokaal geïnstalleerd mag worden. Dat heb ik bewust eerst als document besproken en niet meteen als configuratie ingericht. Beleid dat mensen niet begrijpen, wordt omzeild.
Op een paar punten hebben we het strenge voorstel bewust afgezwakt, omdat het botste met hoe de engineers werken. Dat vind ik geen zwakte maar een voorwaarde: een baseline die niemand volhoudt, is geen baseline.
3. Uitrol in golven
De uitrol ging in kleine groepen, te beginnen met apparaten waar weinig risico aan hing. Nieuwe laptops kwamen binnen en werden zonder handmatig inrichten via een Autopilot-achtige uitrol aan de gebruiker geleverd. Bestaande apparaten kwamen in latere golven, telkens met ruimte tussen de golven om te merken wat er misging.
Er ging ook iets mis, zoals altijd. Eén vakapplicatie liet zich niet netjes stilzwijgend installeren en had een eigen aanpak nodig. Dat kost tijd, maar juist die uitzondering hoort in de documentatie thuis.
4. Applicaties centraal beschikbaar maken
De standaardapplicaties heb ik centraal gepubliceerd, zodat gebruikers ze zelf kunnen ophalen zonder beheerrechten. Dat scheelt tickets en het scheelt vooral het gevoel dat je overal toestemming voor moet vragen.
5. Documentatie en overdracht
Het laatste deel was het belangrijkste. Ik heb vastgelegd welk beleid er staat, waarom het zo is ingericht, waar de bekende uitzonderingen zitten en hoe je een nieuwe laptop uitrolt. Daarna hebben we samen een aantal apparaten uitgerold, met de interne beheerder aan het toetsenbord en ik ernaast.
Wat er na afronding staat
De organisatie heeft een vastgelegde standaardwerkplek. Nieuwe laptops worden uitgerold volgens die baseline, zonder dat iemand handmatig een lijstje afwerkt. De interne beheerder kan die uitrol zelfstandig doen en weet waar hij het beleid kan aanpassen.
Er is een overzicht van welke apparaten in beheer zijn en of ze aan het afgesproken beleid voldoen. Vragen over werkplekbeveiliging zijn daarmee beantwoordbaar met een verwijzing naar vastgelegd beleid in plaats van met een inschatting.
Wat ik hiervan meeneem
De inventarisatie is het echte werk. De techniek van een uitrol is redelijk voorspelbaar. Ontdekken welke applicatie stiekem onmisbaar is voor één afdeling, is dat niet.
Een baseline die niet past, houdt niemand vol. Ik lever liever een iets minder strikt beleid dat wordt nageleefd dan een streng beleid dat binnen een halfjaar vol uitzonderingen zit.
Gefaseerd uitrollen kost tijd en bespaart pijn. De verleiding om alles in één weekend om te zetten is groot. De golven gaven ruimte om te leren van de eerste groep.
Overdracht is onderdeel van de opdracht, niet het staartje. Als de interne beheerder na afloop niet zelf verder kan, heb ik iets opgeleverd dat langzaam veroudert.