Audyt licencji oprogramowania
8 pułapek które kosztują polskie firmy
OEM, ghost accounts, wirtualizacja, RDS CAL - realne kary 85 tys., 47 tys., 12 tys. PLN i jak ich uniknąć.
Firma handlowa z Wrocławia (150 pracowników) dostała pismo BSA i zapłaciła 85 000 PLN ugody. Firma usługowa z Krakowa (80 pracowników) - 47 000 PLN za brakujące licencje CAL. Firma produkcyjna z Łodzi - 12 000 PLN za SQL Server w złej edycji. Wszystkie trzy przypadki łączy jedno: naruszenia były nieintencjonalne i możliwe do naprawienia przed kontrolą. Problem nie leży w złej woli - leży w 8 pułapkach których większość działów IT nie zna.
8 pułapek licencyjnych - przegląd z realnymi przykładami
Checklist inwentaryzacji w 3 fazach (6 tygodni)
Faza 1 (Tygodnie 1-2): Odkrycie - co mamy i na czym to stoi
| Zadanie | Kto odpowiada | Narzędzie |
|---|---|---|
| Skanowanie sieci - wszystkie urządzenia i zainstalowane oprogramowanie | IT | Endpoint Central (auto-skan) |
| Eksport licencji z Microsoft 365 Admin Center | IT / Admin M365 | M365 Admin Portal |
| Lista umów licencyjnych z księgowości (faktury za oprogramowanie 3 lata) | Finanse | ERP / faktury PDF |
| Wykaz umów Software Assurance i subskrypcji aktywnych | IT | VLSC, partner handlowy |
| Audyt serwera SQL: edycja, rdzenie, funkcje używane | DBA / IT | Skrypt T-SQL |
| Inwentaryzacja VM na hostach Hyper-V / VMware | IT | Endpoint Central / vCenter |
Faza 2 (Tygodnie 3-4): Analiza - gdzie są rozbieżności
- Porównanie zainstalowanego oprogramowania z listą zakupionych licencji - każda aplikacja musi mieć pokrycie licencyjne
- Ghost accounts M365: Porównaj licencje aktywne z kontami aktywnymi w AD - każde nieużywane konto wyłącz
- Sprawdzenie warunków licencji dla top 10 aplikacji: Czy model licencjonowania (per-user, per-device, per-core) jest właściwy dla Waszego środowiska?
- Weryfikacja uprawnień virtualizacji: Windows Server Standard = 2 VM per host; więcej = potrzeba Enterprise
- Sprawdzenie licencji RDS CAL: Liczba user-CAL vs liczba użytkowników RDP
Faza 3 (Tygodnie 5-6): Regulacja i zapobieganie
- Zakup brakujących licencji (priorytet: Microsoft, Adobe, SQL Server - najwyższe kary)
- Usunięcie oprogramowania bez licencji które nie jest potrzebne biznesowo
- Wdrożenie polityki software approval: Żadna instalacja bez zgody IT
- Konfiguracja alertów w ITAM: Automatyczne wykrywanie nowego oprogramowania instalowanego bez zgody
- Dokumentacja: Rejestr licencji w CMDB lub AssetExplorer - kto, co, na jakim urządzeniu, do kiedy
Narzędzia ITAM: co wybrać dla firmy SME
Software Asset Management (SAM) bez narzędzi jest możliwy tylko w bardzo małych firmach (do 20-30 pracowników). Powyżej tej skali ręczna inwentaryzacja jest zbyt wolna i podatna na błędy. Jeśli szukasz CMDB do przechowywania wyników inwentaryzacji, sprawdź też artykuł CMDB zamiast Excela - 7 sygnałów że czas na zmianę.
| Narzędzie | Dla kogo | Kluczowe funkcje | Koszt orientacyjny |
|---|---|---|---|
| ManageEngine Endpoint Central | Rekomendacja dla SME | Auto-inwentaryzacja, raporty licencji, patch management, zdalny pulpit | ~6 000 PLN/rok (Professional, 100 endpointów) / od $1 445/rok |
| ManageEngine AssetExplorer | Firmy z rozbudowanym CMDB | ITAM + CMDB, zarządzanie umowami, cykl życia aktywów | Od 8 000 PLN/rok |
| ManageEngine SDP Asset Mgmt | Użytkownicy ServiceDesk Plus | Zintegrowane z ITSM, inwentaryzacja podstawowa, kontrybucje | Wbudowane w SDP |
| Ręczna inwentaryzacja PowerShell | Mikrofirmy (do 20 komputerów) | Skrypt PS Get-Package + Excel, jednorazowo | 0 PLN + czas IT |
Rekomendacja Rotech Group: Dla firmy 50-300 pracowników, Endpoint Central jest najlepszym punktem wejścia - daje jednocześnie SAM, patch management i zdalny pulpit. Koszt narzędzia zwraca się jeśli znajdzie i usunie choć 5-10 ghost accounts M365 (300-600 PLN/mies. oszczędności) lub zapobiegnie jednej karze licencyjnej.
Jak odpowiedzieć na pismo audytorskie BSA/MPA
Business Software Alliance (BSA) i Motion Picture Association (MPA) prowadzą audyty na zlecenie producentów oprogramowania. Pismo z prośbą o audyt to nie wyrok - ale wymaga natychmiastowej i przemyślanej reakcji. Firmy podlegające NIS2 powinny też uwzględnić obowiązki z tym związane. Sprawdź listę kontrolną NIS2 dla IT managera.
Pierwsze 48 godzin po otrzymaniu pisma
- Nie odpowiadaj bez konsultacji z prawnikiem specjalizującym się w IP. Każde słowo w odpowiedzi może być użyte przeciwko Tobie.
- Zleć natychmiastową wewnętrzną inwentaryzację - musisz wiedzieć co masz zanim powiesz cokolwiek audytorom. Firmy które ujawnią naruszenia dopiero podczas audytu mają gorszą pozycję negocjacyjną.
- Nie usuwaj oprogramowania bez licencji przed odpowiedzią - to może być traktowane jako niszczenie dowodów. Zamiast tego udokumentuj stan i zaplanuj regulację.
- Sprawdź termin odpowiedzi w piśmie - zazwyczaj 30 dni. Możesz prosić o przedłużenie pisemnie.
Strategia odpowiedzi - 3 scenariusze
| Scenariusz | Sytuacja | Strategia |
|---|---|---|
| Brak naruszeń | Pełna inwentaryzacja potwierdza compliance | Dostarcz raport inwentaryzacji. Prosta sytuacja. |
| Nieistotne naruszenia | Kilka brakujących licencji, wartość poniżej 10 000 PLN | Kup brakujące licencje przed odpowiedzią. Pokaż zakupy jako dowód dobrej woli. Zaproponuj ugodę. |
| Istotne naruszenia | Wartość naruszeń powyżej 30 000 PLN | Bezwzględnie angażuj prawnika. Negocjuj warunki ugody. Ugoda zazwyczaj 30-60% wartości naruszeń. Postępowanie sądowe - potencjalnie 2-3x wartość + koszty sądowe. |
Pytania i odpowiedzi
Co zrobić gdy dostałem pismo o audycie licencji od BSA lub MPA?
Po pierwsze: nie panikuj, ale działaj szybko. Masz zazwyczaj 30 dni na odpowiedź. Krok 1: zleć natychmiastową inwentaryzację własną - zanim wyślesz cokolwiek audytorom musisz wiedzieć co masz. Krok 2: skonsultuj się z prawnikiem specjalizującym się w IP i prawie oprogramowania. Krok 3: jeśli znajdziesz naruszenia - przygotuj plan naprawczy i zakup brakujących licencji przed odpowiedzią. Ugoda jest zazwyczaj tańsza niż postępowanie sądowe, ale tylko jeśli wynegocjujesz warunki mając pełny obraz sytuacji.
Czy firma może prowadzić audyt licencji sama bez zewnętrznych narzędzi?
Tak, ale to mozolne. Ręczna inwentaryzacja 200 stacji roboczych może zająć 2-4 tygodnie pracy. Możesz użyć PowerShell (Get-Package, Get-WmiObject Win32_Product) do zebrania danych, ale analiza i porównanie z licencjami wymaga Excela i dużo czasu. Narzędzia ITAM jak ManageEngine Endpoint Central wykonują to automatycznie w ciągu godzin. Dla jednorazowego audytu możesz skorzystać z bezpłatnego trial 30 dni - to wystarczy do pierwszej inwentaryzacji.
Jakie jest najczęstsze naruszenie licencyjne w polskich firmach SME?
Według danych z audytów BSA Poland: (1) nieaktualne klucze OEM przeniesione na inne maszyny, (2) konta M365/O365 płacone ale nieużywane przez odchodzących pracowników, (3) brak licencji CAL dla Remote Desktop Services. W firmach produkcyjnych częste jest niedolicencjonowanie SQL Server - edycja Standard użyta gdzie środowisko wymaga Enterprise ze względu na liczbę rdzeni lub używane funkcje.
Jak często przeprowadzać audyt licencji?
Pełny audyt: raz w roku, najlepiej w Q1 przed odnowieniami licencji. Bieżące monitorowanie przez ITAM: ciągłe - każde nowe urządzenie, każda instalacja powinny być automatycznie zarejestrowane. Kluczowe triggery dla natychmiastowego audytu: fuzja lub przejęcie (nowe aktywa = nowe ryzyko licencyjne), zmiana modelu pracy (np. przejście na Remote Desktop), duże zwolnienia grupowe (ghost accounts M365).
Sprawdź compliance licencyjny swojej firmy
W 2 godziny przeprowadzimy wstępny skan Twojego środowiska i powiemy Ci gdzie są ryzyka. Dostaniesz raport z rekomendacjami - bez zobowiązań, bez presji sprzedażowej.
Zamów bezpłatny skan licencji →