Schatten-IT: Abwägen der Risiken und Vorteile, denen jedes Unternehmen ausgesetzt ist
Abstrakt
Self-Service-Reporting ist das gelobte Land des Tages. Ob Tableau, Cognos Analytics, Qlik Sense oder ein anderes Analysetool, alle Anbieter scheinen die Self-Service-Datenerkennung und -analyse zu fördern. Mit Self-Service kommt Schatten-IT. Das setzen wir voraus alle Unternehmen leiden bis zu einem gewissen Grad unter Schatten-IT, die im Schatten lauert. Die Lösung besteht darin, ein Licht darauf zu werfen, die Risiken zu managen und die Vorteile zu maximieren.
Überblick
In diesem Whitepaper behandeln wir die Entwicklung der Berichterstattung und die schmutzigen Geheimnisse, über die niemand spricht. Unterschiedliche Werkzeuge erfordern unterschiedliche Prozesse. Manchmal sogar Ideologien. Ideologien sind „die integrierten Behauptungen, Theorien und Ziele, die ein gesellschaftspolitisches Programm ausmachen“. Wir werden nicht bekommen gesellschaftspolitisch aber mir fällt kein Wort ein, um ein Geschäfts- und IT-Programm zu vermitteln. Ich würde der Meinung sein, dass die Kimball-Inmon-Datenbank eine ideologische Debatte auf ähnliche Weise teilt. Mit anderen Worten, Ihre Herangehensweise oder Ihre Denkweise bestimmt Ihr Handeln.
Hintergrund
Wenn das IBM 5100-PC Stand der Technik war, würde man für 10,000 Dollar einen 5-Zoll-Bildschirm mit eingebauter Tastatur, 16K RAM und einem Bandlaufwerk bekommen 
mit einem Gewicht von knapp über 50 Pfund. Für die Buchhaltung geeignet, wäre dies mit einem freistehenden Plattenarray von der Größe eines kleinen Aktenschranks verbunden. Jede ernsthafte Datenverarbeitung wurde immer noch über Terminals auf einem Mainframe-Timeshare durchgeführt. (Image)
"Betreiber“ verwaltete die verketteten PCs und kontrollierte den Zugriff auf die Außenwelt. Teams von Bedienern oder späteren Systemadministratoren und Entwicklern wuchsen, um die ständig wachsende Technologie zu unterstützen. Die Technologie war groß. Die Teams, die sie verwalteten, waren größer.
Unternehmensmanagement und IT-geführtes Reporting sind seit Beginn des Computerzeitalters die Norm. Diese Ideologie basiert auf dem schwerfälligen, konservativen Ansatz, dass „The Company“ die Ressourcen verwaltet und Ihnen das liefert, was Sie brauchen. Wenn Sie einen benutzerdefinierten Bericht oder einen Bericht in einem Zeitraum außerhalb des Zyklus benötigen, müssen Sie eine Anfrage stellen.
Der Prozess war langsam. Es gab keine Neuerungen. Agilität existierte nicht. Und wie der alte Büropool galt die IT-Abteilung als Overhead.
Trotz der Nachteile wurde es aus einem bestimmten Grund getan. Es hatte einige Vorteile, dies auf diese Weise zu tun. Es gab Prozesse, denen alle folgten. Die Formulare wurden in dreifacher Ausfertigung ausgefüllt und per Hauspost weitergeleitet. Datenanfragen aus dem gesamten Unternehmen wurden sortiert, gemischt, priorisiert und auf vorhersehbare Weise bearbeitet.
Es gab ein einziges Data Warehouse und ein einziges unternehmensweites Reporting-Tool. Vorgefertigte Berichte, die von einem zentralen Team erstellt wurden, bereitgestellt a einzige Version der Wahrheit. Wenn die Zahlen falsch waren, arbeiteten alle mit den gleichen falschen Zahlen. Es spricht einiges für die interne Konsistenz. 
Das Management dieser Art der Geschäftsabwicklung war vorhersehbar. Es war budgetierbar.
Dann, eines Tages vor 15 oder 20 Jahren, explodierte das alles. Es gab eine Revolution. Rechenleistung ausgebaut. Moores Gesetz – „Die Rechenleistung von Computern wird sich alle zwei Jahre verdoppeln“ – befolgt wurde. PCs waren kleiner und allgegenwärtig.
Immer mehr Unternehmen begannen, Entscheidungen auf der Grundlage von Daten zu treffen und nicht mehr auf ihrem Bauchgefühl, das sie so viele Jahre lang genutzt hatten. Sie erkannten, dass die führenden Unternehmen ihrer Branche Entscheidungen auf der Grundlage historischer Daten trafen. Bald wurden die Daten nahezu in Echtzeit. Schließlich wurde die Berichterstattung vorausschauend. Es war zunächst rudimentär, aber es war der Beginn der Verwendung von Analysen zur Steuerung von Geschäftsentscheidungen.
Es gab eine Verlagerung hin zur Einstellung von mehr Datenanalysten und Datenwissenschaftlern, um dem Management zu helfen, den Markt zu verstehen und bessere Entscheidungen zu treffen. Aber etwas Komisches ist passiert. Das zentrale IT-Team folgte nicht dem gleichen Trend wie die schrumpfenden Personal Computer. Es wurde nicht sofort effizienter und kleiner.
Als Reaktion auf die dezentralisierte Technologie begann jedoch auch das IT-Team dezentraler zu werden. Oder zumindest Rollen, die traditionell Teil der IT waren, waren jetzt Teil von Geschäftseinheiten. Analysten, die Daten und das Geschäft verstanden, waren in jede Abteilung eingebettet. Manager fingen an, ihre Analysten um weitere Informationen zu bitten. Die Analysten wiederum sagten: „Ich muss die Datenanforderungen in dreifacher Ausfertigung ausfüllen. Sie wird frühestens bei der Sitzung zur Datenpriorisierung in diesem Monat genehmigt. Dann kann es je nach Auslastung ein bis zwei Wochen dauern, bis die IT unsere Datenanfrage bearbeitet hat. ABER … wenn ich nur Zugang zum Data Warehouse bekommen könnte, könnte ich heute Nachmittag eine Abfrage für Sie durchführen.“ Und so geht es.
Die Umstellung auf Selbstbedienung hatte begonnen. Die IT-Abteilung lockerte den Zugriff auf die Schlüssel zu den Daten. Anbieter von Berichten und Analysen begannen, die neue Philosophie anzunehmen. Es war ein neues Paradigma. Benutzer fanden neue Tools für den Zugriff auf Daten. Sie entdeckten, dass sie die Bürokratie umgehen konnten, wenn sie nur Zugang zu den Daten erhielten. Dann könnten sie ihre eigene Analyse durchführen und die Bearbeitungszeit verkürzen, indem sie ihre eigenen Abfragen ausführen.
Vorteile von Self-Service-Berichten und -Analysen
Die Bereitstellung eines direkten Zugriffs auf die Daten für die Massen und Self-Service-Berichte löste eine Reihe von Problemen, 
- Konzentriert. Leicht zugängliche, speziell entwickelte Tools ersetzten ein einziges veraltetes Mehrzweck-Berichterstattungs- und Analysetool, um alle Benutzer zu unterstützen und alle Fragen zu beantworten.
- Agil. Zuvor waren die Geschäftsbereiche durch mangelnde Produktivität behindert. Der Zugriff nur auf die Daten des letzten Monats führte dazu, dass agil gearbeitet werden konnte. Durch die Öffnung des Data Warehouse wurde der Prozess verkürzt, sodass diejenigen, die dem Unternehmen näher stehen, schneller arbeiten, wichtige Trends erkennen und schneller Entscheidungen treffen können. Somit erhöhte Geschwindigkeit und Wert der Daten.
- Empowered. Anstatt sich auf das Fachwissen und die Verfügbarkeit anderer verlassen zu müssen, um Entscheidungen für sie zu treffen, wurden ihnen die Ressourcen, Befugnisse, Gelegenheiten und Motivationen für ihre Arbeit gegeben. So wurden die Benutzer mit einem Self-Service-Tool befähigt, das sie von der Abhängigkeit von anderen in der Organisation sowohl beim Zugriff auf die Daten als auch bei der Erstellung der Analyse selbst befreien konnte.
Herausforderungen von Self-Service-Berichten und -Analysen
Für jedes Problem, das Self-Service-Reporting löste, wurden jedoch mehrere neue erstellt. Die Reporting- und Analysetools wurden nicht mehr zentral vom IT-Team verwaltet. Daher wurden andere Dinge, die keine Probleme darstellten, als ein einzelnes Team die Berichterstellung verwaltete, zu einer größeren Herausforderung. Dinge wie Qualitätssicherung, Versionskontrolle, Dokumentation und Prozesse wie Release Management oder Deployment erledigten sich von selbst, wenn sie von einem kleinen Team verwaltet wurden. Wo es Unternehmensstandards für Reporting und Datenmanagement gab, konnten diese nicht mehr durchgesetzt werden. Es gab wenig Einblick oder Sichtbarkeit in das, was außerhalb der IT geschah. Change Management war nicht vorhanden. 
Diese abteilungsgesteuerten Instanzen funktionierten wie eine Schattenwirtschaft was sich auf Geschäfte bezieht, die „unter dem Radar“ stattfinden, ist dies Schatten-IT. Wikipedia definiert Schatten-IT als „Informatik (IT-)Systeme, die von anderen Abteilungen als der zentralen IT-Abteilung eingesetzt werden, um die Mängel der zentralen Informationssysteme zu umgehen.“ Manche definieren Schatten IT mehr broadschließt grundsätzlich alle Projekte, Programme, Prozesse oder Systeme ein, die außerhalb der Kontrolle von IT oder infosec liegen.
Wow! Verlangsamen. Wenn Schatten-IT ein Projekt, Programm, Prozess oder System ist, das nicht von der IT kontrolliert wird, dann ist es allgegenwärtiger als wir dachten. Es ist überall. Um es deutlicher zu sagen, alles, Unternehmen haben Schatten-IT, ob sie es anerkennen oder nicht. Es kommt nur auf das Maß an. Der Erfolg eines Unternehmens im Umgang mit Schatten-IT hängt weitgehend davon ab, wie gut es einige der wichtigsten Herausforderungen angeht. 
- Sicherheit. Ganz oben auf der Liste der Probleme, die durch Schatten-IT erstellt wurden Sicherheitsrisiken. Denken Sie an Makros. Denken Sie an Tabellenkalkulationen mit PMI und PHI, die per E-Mail außerhalb der Organisation versendet werden.
- Höheres Risiko von Datenverlust. Aufgrund von Inkonsistenzen in der Implementierung oder den Prozessen kann wiederum jede einzelne Implementierung unterschiedlich sein. Dies erschwert den Nachweis, dass etablierte Geschäftspraktiken befolgt werden. Darüber hinaus wird es sogar schwierig, einfache Audit-Anforderungen der Nutzung und des Zugriffs zu erfüllen.
- Compliance-Probleme. Im Zusammenhang mit Prüfungsproblemen besteht auch eine erhöhte Wahrscheinlichkeit von Datenzugriffen und Datenflüssen, was die Einhaltung von Vorschriften wie z Sarbanes-Oxley Act, GAAP (Allgemein anerkannte Rechnungslegungsgrundsätze), HIPAA (Krankenversicherungs-Portabilitäts- und Rechenschaftsgesetz) und andere
- Ineffizienzen beim Datenzugriff. Obwohl eines der Probleme, die die verteilte IT zu lösen versucht, die Geschwindigkeit der Daten ist, beinhalten unerwartete Folgen versteckte Kosten für Nicht-IT-Mitarbeiter beispielsweise in Finanzen, Marketing und Personal, die ihre Zeit damit verbringen, die Gültigkeit von Daten zu diskutieren und sich abzustimmen die Nummern ihrer Nachbarn und versuchen, Software am Hosenboden zu verwalten.
- Ineffizienzen im Prozess. Wenn Technologie von mehreren Geschäftsbereichen unabhängig voneinander übernommen wird, werden auch die Prozesse im Zusammenhang mit ihrer Verwendung und Bereitstellung übernommen. Einige können effizient sein. Andere nicht so sehr.
- Inkonsistente Geschäftslogik und Definitionen. Es gibt keinen Torwächter, um Standards zu etablieren, Inkonsistenzen können sich aufgrund mangelnder Tests und Versionskontrolle entwickeln. Ohne einen einheitlichen Ansatz für Daten oder Metadaten verfügt das Unternehmen nicht mehr über eine einzige Version der Wahrheit. Abteilungen können problemlos Geschäftsentscheidungen auf der Grundlage fehlerhafter oder unvollständiger Daten treffen.
- Fehlende Übereinstimmung mit der Unternehmensvision. Schatten-IT begrenzt oft die Realisierung von ROI. Die Unternehmenssysteme, die zum Aushandeln von Lieferantenverträgen und Großabschlüssen vorhanden sind, werden manchmal umgangen. Dies kann möglicherweise zu übermäßiger Lizenzierung und doppelten Systemen führen. Darüber hinaus stört es die Verfolgung von Unternehmenszielen und strategischen Plänen der IT.
Unter dem Strich führten die guten Absichten der Einführung von Self-Service-Berichten zu unbeabsichtigten Folgen. Die Herausforderungen lassen sich in drei Kategorien zusammenfassen: Governance, Sicherheit und Geschäftsausrichtung.
Lassen Sie sich nicht täuschen, Unternehmen brauchen befähigte Benutzer, die Echtzeitdaten mit modernen Tools nutzen. Sie brauchen auch die Disziplin des Änderungsmanagements, des Freigabemanagements und der Versionskontrolle. Ist Self-Service-Berichterstellung/BI also ein Schwindel? Können Sie ein Gleichgewicht zwischen Autonomie und Governance finden? Kannst du regieren, was du nicht sehen kannst?
Die Lösung
Das BI-Self-Service-Spektrum
Ein Schatten ist kein Schatten mehr, wenn man ihn beleuchtet. Ebenso ist Schatten-IT nicht mehr zu befürchten, wenn sie an die Oberfläche gebracht wird. Durch die Aufdeckung von Schatten-IT können Sie die Vorteile der Self-Service-Berichterstellung nutzen, die Geschäftsbenutzer verlangen, und gleichzeitig das Risiko durch Governance reduzieren. Die Steuerung der Schatten-IT klingt wie ein Oxymoron, ist aber in Wirklichkeit ein ausgewogener Ansatz, um den Self-Service zu kontrollieren. 
antworte ich gerne, fehlen uns die Worte. Analogie des Autors (entlehnt von Kimball) von Self-Service BI/Reporting, vergleichbar mit einem Restaurant-Buffet. Das Buffet ist in dem Sinne Selbstbedienung Sie können alles bekommen, was Sie wollen und bringen Sie es zurück zu Ihrem Tisch. Das heißt nicht, dass Sie in die Küche gehen und Ihr Steak selbst auf den Grill legen. Sie brauchen immer noch diese Köchin und ihr Küchenteam. Das Gleiche gilt für Self-Service-Berichte/BI, Sie benötigen immer das IT-Team, um das Datenbuffet durch Extraktion, Transformation, Speicherung, Sicherung, Modellierung, Abfrage und Verwaltung vorzubereiten.
Ein All-you-can-eat-Buffet ist vielleicht eine zu einfache Analogie. Was wir beobachtet haben, ist, dass es unterschiedliche Grade der Beteiligung des Küchenteams des Restaurants gibt. Bei einigen, wie dem traditionellen Buffet, bereiten sie das Essen im Hintergrund zu und legen das Sammelsurium an, wenn es fertig ist. Alles, was Sie tun müssen, ist, Ihren Teller zu laden und ihn zurück zu Ihrem Tisch zu bringen. Dies ist das Las Vegas MGM Grand Buffet oder das Geschäftsmodell von Golden Corral. Am anderen Ende des Spektrums stehen Unternehmen wie Home Chef, Blue Apron und Hello Fresh, die ein Rezept und die Zutaten bis an die Haustür liefern. Zusammenbau erforderlich. Sie kümmern sich um den Einkauf und die Essensplanung. Den Rest erledigen Sie.
Irgendwo dazwischen liegen vielleicht Orte wie Mongolian Grill, die die Zutaten vorbereitet haben, sie aber für Sie zur Auswahl bereitlegen und dann Ihren Teller mit rohem Fleisch und Gemüse dem Koch geben, damit er ihn anzündet. In diesem Fall hängt der Erfolg des Endergebnisses (zumindest teilweise) davon ab, dass Sie eine Mischung aus Zutaten und Saucen auswählen, die gut zusammenpassen. Es hängt auch von der Zubereitung und Qualität der Speisen ab, aus denen Sie auswählen müssen, sowie vom Können des Küchenchefs, der manchmal seine eigenen Akzente setzt. 
Das BI-Self-Service-Spektrum
Self-Service-Analysen sind ähnlich. Organisationen mit Self-Service-Analysen fallen in der Regel irgendwo in das Spektrum. Am einen Ende des Spektrums stehen Organisationen wie das MGM Grand Buffet, wo das IT-Team immer noch die gesamte Daten- und Metadatenvorbereitung durchführt, das unternehmensweite Analyse- und Berichtstool auswählt und es dem Endbenutzer präsentiert. Der Endbenutzer muss lediglich die Datenelemente auswählen, die er sehen möchte, und den Bericht ausführen. Der einzige Vorteil dieses Modells besteht darin, dass der Bericht nicht bereits vom IT-Team erstellt wurde. Die Philosophie von Organisationen, die Cognos Analytics verwenden, fällt an dieses Ende des Spektrums.
Organisationen, die eher den Essenspaketen ähneln, die an Ihre Haustür geliefert werden, neigen dazu, ihren Endbenutzern ein „Datenpaket“ zu geben, das die benötigten Daten und eine Auswahl an Tools enthält, mit denen sie darauf zugreifen können. Dieses Modell erfordert, dass der Benutzer sowohl die Daten als auch das Tool besser versteht, um die benötigten Antworten zu erhalten. Unserer Erfahrung nach fallen Unternehmen, die Qlik Sense und Tableau einsetzen, eher in diese Kategorie.
Unternehmenstools wie Power BI sind eher wie der mongolische Grill – irgendwo in der Mitte.
Obwohl wir Organisationen, die verschiedene Analysetools verwenden, verallgemeinern und an verschiedenen Stellen unseres „BI-Self-Service-Spektrums“ platzieren können, ist die Realität, dass sich die Position aufgrund mehrerer Faktoren ändern kann: Das Unternehmen kann neue Technologien übernehmen, die Benutzerkompetenz kann zunehmen, das Management kann einen Ansatz vorgeben, oder das Unternehmen kann sich einfach zu einem offeneren Self-Service-Modell mit mehr Freiheit für die Datenkonsumenten entwickeln. Tatsächlich kann die Position im Spektrum sogar zwischen den Geschäftsbereichen innerhalb derselben Organisation variieren.
Die Evolution der Analytik
Mit der Verlagerung hin zum Self-Service und der Bewegung der Unternehmen nach rechts im BI-Buffet-Spektrum wurden traditionelle diktatorische Kompetenzzentren durch kollaborative Praxisgemeinschaften ersetzt. Die IT kann an diesen Matrixteams teilnehmen, die dazu beitragen, Best Practices zwischen den Bereitstellungsteams zu sozialisieren. Dies ermöglicht den Entwicklungsteams auf der Geschäftsseite, eine gewisse Autonomie zu bewahren, während sie innerhalb der Unternehmensgrenzen von Governance und Architektur arbeiten. 
Die IT muss wachsam bleiben. Benutzer, die ihre eigenen Berichte – und in einigen Fällen Modelle – erstellen, sind sich der Datensicherheitsrisiken möglicherweise nicht bewusst. Die einzige Möglichkeit, potenzielle Sicherheitslücken zu vermeiden, besteht darin, proaktiv nach neuen Inhalten zu suchen und diese auf Konformität zu bewerten.
Der Erfolg der gesteuerten Schatten-IT hängt auch von den Prozessen ab, die vorhanden sind, um sicherzustellen, dass Sicherheits- und Datenschutzrichtlinien eingehalten werden.
Self-Service-Paradoxe
Regulierte Self-Service-Analytik versöhnt die polaren Kräfte, die Freiheit gegen Kontrolle ausspielen. Diese Dynamik spielt sich in vielen Geschäfts- und Technologiebereichen ab: Geschwindigkeit versus Standards; Innovation versus Betrieb; Agilität versus Architektur; und Abteilungsbedürfnisse gegenüber Unternehmensinteressen.
Tools zur Verwaltung von Schatten-IT
Das Abwägen von Risiken und Vorteilen ist der Schlüssel zur Entwicklung einer nachhaltigen Schatten-IT-Richtlinie. Die Nutzung der Schatten-IT zur Aufdeckung neuer Prozesse und Tools, die es allen Mitarbeitern ermöglichen könnten, in ihren Rollen hervorragende Leistungen zu erbringen, ist nur eine intelligente Geschäftspraxis. Tools mit der Fähigkeit zur Integration in mehrere Systeme bieten Unternehmen eine Lösung, die sowohl die IT als auch das Geschäft beruhigen kann.
Die Risiken und Herausforderungen der Schatten-IT können durch die Implementierung von Governance-Prozessen erheblich gemindert werden, um sicherzustellen, dass hochwertige Daten allen, die sie benötigen, über den Self-Service-Zugriff zur Verfügung stehen.
Schlüsselfrage
Wichtige Fragen, die die IT-Sicherheit in Bezug auf Transparenz und Kontrolle von Schatten-IT beantworten können sollte. Wenn Sie über Systeme oder Prozesse verfügen, um diese Fragen zu beantworten, sollten Sie in der Lage sein, den Schatten-IT-Abschnitt eines Sicherheitsaudits zu bestehen:
- Haben Sie eine Richtlinie, die Schatten-IT abdeckt?
- Können Sie alle Anwendungen, die in Ihrer Organisation verwendet werden, einfach auflisten? Bonuspunkte, wenn Sie Informationen zu Version und Fix-Level haben.
- Wissen Sie, wer die analytischen Assets in der Produktion modifiziert hat?
- Wissen Sie, wer Schatten-IT-Anwendungen nutzt?
- Wissen Sie, wann der Inhalt in der Produktion zuletzt geändert wurde?
- Können Sie problemlos auf eine frühere Version zurückgreifen, wenn es Fehler in der Produktionsversion gibt?
- Können Sie einzelne Dateien im Katastrophenfall einfach wiederherstellen?
- Welchen Prozess verwenden Sie für die Außerbetriebnahme von Artefakten?
- Können Sie nachweisen, dass nur zugelassene Benutzer auf das System zugegriffen und Dateien hochgestuft haben?
- Wenn Sie einen Fehler in Ihren Zahlen entdecken, woher wissen Sie, wann er eingeführt wurde (und von wem)?
Zusammenfassung
Schatten-IT in ihren vielen Formen ist gekommen, um zu bleiben. Wir müssen es beleuchten und aufdecken, damit wir die Risiken handhaben und gleichzeitig seine Vorteile nutzen können. Es kann Mitarbeiter produktiver und Unternehmen innovativer machen. Die Begeisterung für die Vorteile sollte jedoch durch Sicherheit, Compliance und Governance gemildert werden.
Bibliographie
Wie man mit Self-Service-Analytics erfolgreich ist und Empowerment und Governance in Einklang bringt
Definition der Ideologie, Merriam-Webster
Definition der Schattenwirtschaft, Market Business News
Schatten-IT: Die Perspektive des CIO
Single Version of the Truth, Wikipedia
Erfolgreich mit Self-Service Analytics: Neue Berichte überprüfen
Die Evolution des IT-Betriebsmodells
