TI en la sombra: equilibrando los riesgos y beneficios que enfrenta cada organización
Resumen
Los informes de autoservicio son la tierra prometida del día. Ya sea Tableau, Cognos Analytics, Qlik Sense u otra herramienta de análisis, todos los proveedores parecen estar promoviendo el descubrimiento y análisis de datos de autoservicio. Con el autoservicio viene Shadow IT. Postulamos que todos las organizaciones sufren de Shadow IT que acecha en las sombras, en un grado u otro. La solución es iluminarlo, gestionar los riesgos y maximizar los beneficios.
General
En este libro blanco, cubriremos la evolución de los informes y los secretos sucios de los que nadie habla. Diferentes herramientas requieren diferentes procesos. A veces incluso ideologías. Ideologías son “las afirmaciones, teorías y objetivos integrados que constituyen un programa sociopolítico”. no vamos a conseguir sociopolítico pero no se me ocurre una palabra para expresar un programa empresarial y de TI. Consideraría que la base de datos Kimball-Inmon divide un debate ideológico de manera similar. En otras palabras, su enfoque, o la forma en que piensa, impulsa sus acciones.
Antecedentes
Cuando el PC IBM 5100 era lo último en tecnología, $ 10,000 le darían una pantalla de 5 pulgadas con un teclado incorporado, 16K RAM y una unidad de cinta 
con un peso de poco más de 50 libras. Adecuado para contabilidad, se conectaría a una matriz de discos independiente del tamaño de un pequeño archivador. Cualquier computación seria todavía se realizaba a través de terminales en un tiempo compartido de mainframe. (imagen)
"telecomunicaciones” administró las PC conectadas en cadena y controló el acceso al mundo exterior. Los equipos de operadores, o administradores de sistemas y desarrolladores posteriores, crecieron para admitir la tecnología en constante crecimiento. La tecnología era grande. Los equipos que los manejaban eran más grandes.
La gestión empresarial y los informes dirigidos por TI han sido la norma desde el comienzo de la era informática. Esta ideología se basó en el enfoque conservador y pesado de que “La Compañía” administra los recursos y le proporcionará lo que necesita. Si necesita un informe personalizado o un informe en un período de tiempo que estaba fuera de ciclo, debe enviar una solicitud.
El proceso fue lento. No hubo innovación. Agile no existía. Y, al igual que el grupo administrativo antiguo, el departamento de TI se consideraba gastos generales.
A pesar de las desventajas, se hizo por una razón. Hubo algunos beneficios al hacerlo de esta manera. Había procesos establecidos que todos seguían. Los formularios se completaron por triplicado y se enviaron por correo entre oficinas. Las solicitudes de datos de toda la organización se ordenaron, barajaron, priorizaron y se actuó de manera predecible.
Había un único almacén de datos y una única herramienta de generación de informes para toda la empresa. Los informes enlatados creados por un equipo central proporcionaron una única versión de la verdad. Si los números estaban equivocados, todos trabajaban con los mismos números equivocados. Hay algo que decir sobre la consistencia interna. 
La gestión de esta forma de hacer negocios era predecible. era presupuestable.
Entonces, un día, hace 15 o 20 años, todo eso explotó. Hubo una revolución. El poder de cómputo se expandió. La Ley de Moore – “el poder de procesamiento de las computadoras se duplicará cada dos años” – se obedeció. Las PC eran más pequeñas y omnipresentes.
Más empresas comenzaron a tomar decisiones basadas en datos en lugar de instintos viscerales que habían utilizado durante tantos años. Se dieron cuenta de que los líderes de su industria estaban tomando decisiones basadas en datos históricos. Pronto los datos se volvieron casi en tiempo real. Eventualmente, los informes se volvieron predictivos. Al principio fue rudimentario, pero fue el comienzo del uso de análisis para impulsar las decisiones comerciales.
Hubo un cambio hacia la contratación de más analistas de datos y científicos de datos para ayudar a la gerencia a comprender el mercado y tomar mejores decisiones. Pero una cosa divertida pasó. El equipo central de TI no siguió la misma tendencia que las computadoras personales cada vez más pequeñas. No se volvió inmediatamente más eficiente y más pequeño.
Sin embargo, en respuesta a la tecnología descentralizada, el equipo de TI también comenzó a descentralizarse más. O, al menos, los roles que tradicionalmente habían sido parte de TI, ahora eran parte de las unidades de negocios. Los analistas que entendían los datos y el negocio estaban integrados en todos los departamentos. Los gerentes comenzaron a pedir más información a sus analistas. Los analistas, a su vez, dijeron: “Tendré que completar las solicitudes de datos por triplicado. Lo más pronto que se aprobará es en la reunión de priorización de datos de este mes. Luego, TI puede tardar una o dos semanas en procesar nuestra solicitud de datos, según su carga de trabajo. PERO... si tan solo pudiera obtener acceso al almacén de datos, podría realizar una consulta para usted esta tarde". Y así continúa.
El cambio al autoservicio había comenzado. El departamento de TI aflojó su control sobre las claves de los datos. Los proveedores de informes y análisis comenzaron a adoptar la nueva filosofía. Era un nuevo paradigma. Los usuarios encontraron nuevas herramientas para acceder a los datos. Descubrieron que podían eludir la burocracia si solo tenían acceso a los datos. Luego, podrían realizar su propio análisis y reducir el tiempo de respuesta ejecutando sus propias consultas.
Beneficios de los informes y análisis de autoservicio
Proporcionar acceso directo a los datos a las masas y los informes de autoservicio resolvieron una serie de problemas, 
- Enfocado Las herramientas especialmente diseñadas, a las que se podía acceder fácilmente, reemplazaron a una herramienta heredada única, anticuada y polivalente de generación de informes y análisis para ayudar a todos los usuarios y responder a todas las preguntas.
- Ágil. Anteriormente, las unidades de negocio se vieron obstaculizadas por la baja productividad. El acceso solo a los datos del último mes provocó la incapacidad de trabajar con agilidad. La apertura del almacén de datos acortó el proceso, lo que permitió que quienes estaban más cerca del negocio funcionaran más rápidamente, descubrieran tendencias importantes y tomaran decisiones más rápidamente. Por lo tanto, mayor velocidad y valor de los datos.
- Fortalecidos. En lugar de que los usuarios tuvieran que depender de la experiencia y la disponibilidad de otros para tomar decisiones por ellos, se les dieron los recursos, la autoridad, la oportunidad y la motivación para hacer su trabajo. Por lo tanto, los usuarios se empoderaron con una herramienta de autoservicio que podría liberarlos de la dependencia de otros en la organización tanto para el acceso a los datos como para la creación del análisis en sí.
Desafíos de los informes y análisis de autoservicio
Sin embargo, por cada problema que resolvía el informe de autoservicio, creaba varios más. El equipo de TI ya no gestionaba de forma centralizada las herramientas de informes y análisis. Entonces, otras cosas que no eran problemas cuando un solo equipo administraba los informes se volvieron más desafiantes. Cosas como el control de calidad, el control de versiones, la documentación y procesos como la gestión de lanzamientos o la implementación se solucionaron solos cuando los administró un equipo pequeño. Donde existían estándares corporativos para la presentación de informes y la gestión de datos, ya no se podían hacer cumplir. Había poca información o visibilidad de lo que estaba sucediendo fuera de TI. La gestión del cambio era inexistente. 
Estas instancias controladas por departamentos funcionaron como un economía en la sombra que se refiere a negocios que ocurren 'bajo el radar', esto es Shadow IT. Wikipedia define Shadow IT como “tecnología de la información (TI) implementados por departamentos que no sean el departamento central de TI, para solucionar las deficiencias de los sistemas de información centrales”. Algunos definen TI en la sombra más broadly para incluir cualquier proyecto, programa, proceso o sistema que esté fuera del control de TI o infosec.
¡Guau! Desacelerar. Si Shadow IT es cualquier proyecto, programa, proceso o sistema que TI no controla, entonces es más omnipresente de lo que pensábamos. Está en todas partes. Para decirlo más sin rodeos, cada La organización tiene Shadow IT, ya sea que lo reconozcan o no. Todo se reduce a una cuestión de grado. El éxito de una organización al lidiar con Shadow IT depende en gran medida de qué tan bien aborde algunos desafíos clave. 
- Seguridad. En la parte superior de la lista de problemas creados por Shadow IT está los riesgos de seguridad. Piensa en macros. Piense en hojas de cálculo con PMI y PHI enviadas por correo electrónico fuera de la organización.
- Mayor riesgo de pérdida de datos. Nuevamente, debido a las inconsistencias en la implementación o los procesos, cada implementación individual puede ser diferente. Esto hace que sea difícil demostrar que se están siguiendo las prácticas comerciales establecidas. Además, dificulta incluso el cumplimiento de simples solicitudes de auditoría de uso y acceso.
- Cuestiones de cumplimiento. En relación con los problemas de auditoría, también existe una mayor probabilidad de acceso a datos y flujos de datos, lo que dificulta el cumplimiento de regulaciones como Ley Sarbanes-Oxley, PCGA (Principios contables generalmente aceptados), HIPAA (Ley de Responsabilidad y Portabilidad del Seguro de Salud) y otros
- Ineficiencias en el acceso a los datos. Aunque uno de los problemas que la TI distribuida trata de resolver es la velocidad de los datos, las consecuencias inesperadas incluyen costos ocultos para los trabajadores que no son de TI en finanzas, marketing y recursos humanos, por ejemplo, que pasan su tiempo debatiendo la validez de los datos, conciliando los números de sus vecinos y tratando de manejar el software por el asiento de sus pantalones.
- Ineficiencias en el proceso. Cuando la tecnología es adoptada por varias unidades de negocios de forma independiente, también lo son los procesos relacionados con su uso e implementación. Algunos pueden ser eficientes. Otros no tanto.
- Definiciones y lógica empresarial inconsistentes. No hay un guardián para establecer estándares, es probable que se desarrollen inconsistencias debido a la falta de pruebas y control de versiones. Sin un enfoque unificado de los datos o metadatos, la empresa ya no tiene una única versión de la verdad. Los departamentos pueden tomar fácilmente decisiones comerciales basadas en datos defectuosos o incompletos.
- Falta de alineación con la visión corporativa. Shadow IT a menudo limita la realización del ROI. A veces se pasan por alto los sistemas corporativos establecidos para negociar contratos con proveedores y tratos a gran escala. Esto puede conducir potencialmente a un exceso de licencias y sistemas duplicados. Además, interrumpe la consecución de los objetivos de la organización y los planes estratégicos de TI.
La conclusión es que las buenas intenciones de adoptar informes de autoservicio llevaron a consecuencias no deseadas. Los desafíos se pueden resumir en tres categorías: gobernanza, seguridad y alineación comercial.
No se equivoque, las empresas necesitan usuarios capacitados que aprovechen los datos en tiempo real con herramientas modernas. También necesitan la disciplina de gestión de cambios, gestión de versiones y control de versiones. Entonces, ¿los informes de autoservicio/BI son un engaño? ¿Se puede encontrar un equilibrio entre autonomía y gobernabilidad? ¿Puedes gobernar lo que no puedes ver?
La Solución
El espectro de autoservicio de BI
Una sombra deja de ser una sombra si la iluminas con una luz. De la misma manera, Shadow IT ya no es de temer si se lleva a la superficie. Al exponer Shadow IT, puede aprovechar los beneficios de los informes de autoservicio que exigen los usuarios comerciales y, al mismo tiempo, reducir el riesgo a través de la gobernanza. Gobernar la TI en la sombra suena como un oxímoron, pero es, en realidad, un enfoque equilibrado para llevar la supervisión al autoservicio. 
Me gusta así analogía del autor (tomada de Kimball) de BI/informes de autoservicio comparados con un buffet de restaurante. El buffet es autoservicio en el sentido de que puedes conseguir lo que quieras y tráelo de vuelta a tu mesa. Eso no quiere decir que vas a ir a la cocina y poner tu bistec en la parrilla tú mismo. Todavía necesitas a ese chef y su equipo de cocina. Es lo mismo con los informes/BI de autoservicio, siempre necesitará que el equipo de TI prepare el buffet de datos a través de la extracción, transformación, almacenamiento, protección, modelado, consulta y control.
Un buffet de todo lo que pueda comer puede ser una analogía demasiado simple. Lo que hemos observado es que hay diferentes grados de participación del equipo de cocina del restaurante. Con algunos, como el buffet tradicional, preparan la comida en la parte de atrás y colocan la mezcla heterogénea cuando está lista para comer. Todo lo que tienes que hacer es cargar tu plato y llevarlo de regreso a tu mesa. Este es el modelo de negocio del MGM Grand Buffet de Las Vegas o el Golden Corral. En el otro extremo del espectro, se encuentran empresas como Home Chef, Blue Apron y Hello Fresh, que entregan una receta y los ingredientes en su puerta. Se requiere algún ensamblaje. Hacen las compras y planifican las comidas. Tú haces el resto.
En algún punto intermedio, tal vez, hay lugares como Mongolian Grill que han preparado los ingredientes pero los han dejado para que usted los seleccione y luego entregue su plato de carne y verduras crudas al chef para que lo ponga al fuego. En este caso, el éxito del resultado final depende (al menos en parte) de que selecciones una mezcla de ingredientes y salsas que combinen bien. También depende de la preparación y calidad de la comida que tengas que elegir, así como de la habilidad del chef que en ocasiones pone sus propios toques. 
El espectro de autoservicio de BI
El análisis de autoservicio es muy similar. Las organizaciones con análisis de autoservicio tienden a caer en algún lugar del espectro. En un extremo del espectro están las organizaciones, como el MGM Grand Buffet, donde el equipo de TI aún realiza toda la preparación de datos y metadatos, selecciona la herramienta de generación de informes y análisis de toda la empresa y la presenta al usuario final. Todo lo que el usuario final debe hacer es seleccionar los elementos de datos que desea ver y ejecutar el informe. Lo único de autoservicio de este modelo es que el equipo de TI aún no ha creado el informe. La filosofía de las organizaciones que utilizan Cognos Analytics cae en este extremo del espectro.
Las organizaciones que se asemejan más a los kits de comida que se entregan en su puerta tienden a brindar a sus usuarios finales un "kit de datos" que incluye los datos que necesitan y la selección de herramientas con las que pueden acceder a ellos. Este modelo requiere que el usuario comprenda mejor tanto los datos como la herramienta para obtener las respuestas que necesita. Según nuestra experiencia, las empresas que aprovechan Qlik Sense y Tableau tienden a entrar en esta categoría.
Las herramientas empresariales como Power BI son más como Mongolian Grill, en algún punto intermedio.
Si bien podemos generalizar y ubicar a las organizaciones que usan varias herramientas de análisis en diferentes puntos de nuestro "Espectro de autoservicio de BI", la realidad es que esa posición puede cambiar debido a varios factores: la empresa puede adoptar nuevas tecnologías, la competencia del usuario puede aumentar, la administración puede dictar un enfoque, o la empresa puede simplemente evolucionar hacia un modelo más abierto de autoservicio con más libertad para los consumidores de datos. De hecho, la posición en el espectro puede incluso variar entre unidades de negocio dentro de la misma organización.
La evolución de la analítica
Con el cambio hacia el autoservicio y a medida que las organizaciones se mueven hacia la derecha en el Espectro de Buffet de BI, los Centros de Excelencia dictatoriales tradicionales han sido reemplazados por comunidades de práctica colaborativas. TI puede participar en estos equipos matriciales que ayudan a socializar las mejores prácticas en los equipos de entrega. Esto permite que los equipos de desarrollo del lado comercial mantengan cierta autonomía mientras trabajan dentro de los límites corporativos de gobierno y arquitectura. 
TI debe permanecer vigilante. Los usuarios que crean sus propios informes, y en algunos casos, modelos, pueden no ser conscientes de los riesgos de seguridad de los datos. La única forma de evitar posibles filtraciones de seguridad es buscar de forma proactiva contenido nuevo y evaluar su cumplimiento.
El éxito de Shadow IT gobernado también se trata de los procesos que se implementan para garantizar que se cumplan las políticas de seguridad y privacidad.
Paradojas del autoservicio
El análisis de autoservicio gobernado reconcilia las fuerzas polares que enfrentan la libertad contra el control. Esta dinámica se desarrolla en muchas áreas de negocios y tecnología: velocidad versus estándares; innovación versus operaciones; agilidad versus arquitectura; y necesidades departamentales versus intereses corporativos.
Herramientas para gestionar Shadow IT
Equilibrar los riesgos y los beneficios es clave para desarrollar una política sostenible de TI en la sombra. Aprovechar Shadow IT para descubrir nuevos procesos y herramientas que podrían permitir a todos los empleados sobresalir en sus roles es solo una práctica comercial inteligente. Las herramientas con la capacidad de integrarse con múltiples sistemas ofrecen a las empresas una solución que puede apaciguar tanto a TI como al negocio.
Los riesgos y desafíos planteados por Shadow IT se pueden mitigar en gran medida mediante la implementación de procesos de gobierno para garantizar que los datos de calidad estén disponibles para todos los que los necesitan a través del acceso de autoservicio.
Preguntas clave
Preguntas clave que la seguridad de TI debería poder responder relacionadas con la visibilidad y el control de TI en la sombra. Si tiene sistemas o procesos implementados para responder estas preguntas, debería poder pasar la sección Shadow IT de una auditoría de seguridad:
- ¿Tiene una póliza que cubre Shadow IT?
- ¿Puede enumerar fácilmente todas las aplicaciones que se utilizan en su organización? Puntos de bonificación si tiene información sobre la versión y el nivel de reparación.
- ¿Sabe quién modificó los activos analíticos en producción?
- ¿Sabes quién está usando aplicaciones Shadow IT?
- ¿Sabe cuándo se modificó por última vez el contenido en producción?
- ¿Puede volver fácilmente a una versión anterior si hay defectos en la versión de producción?
- ¿Puede recuperar archivos individuales fácilmente en caso de desastre?
- ¿Qué proceso utiliza para el desmantelamiento de artefactos?
- ¿Puede mostrar que solo los usuarios aprobados accedieron al sistema y promovieron archivos?
- Si descubre una falla en sus números, ¿cómo sabe cuándo se introdujo (y por quién)?
Conclusión
Shadow IT en sus múltiples formas llegó para quedarse. Necesitamos iluminarlo y exponerlo para que podamos gestionar los riesgos mientras aprovechamos sus beneficios. Puede hacer que los empleados sean más productivos y las empresas más innovadoras. Sin embargo, el entusiasmo por los beneficios debe atenuarse con la seguridad, el cumplimiento y la gobernanza.
Referencias
Cómo tener éxito con el análisis de autoservicio Equilibrar el empoderamiento y la gobernanza
Definición de ideología, Merriam-Webster
Definición de economía sumergida, Market Business News
Shadow IT: la perspectiva del CIO
Versión única de la verdad, Wikipedia
Tener éxito con el análisis de autoservicio: verificar nuevos informes
La evolución del modelo operativo de TI
El engaño del BI de autoservicio
