Shadow IT : Équilibrer les risques et les avantages auxquels chaque organisation est confrontée

Abstract

Le reporting en libre-service est la terre promise du jour. Qu'il s'agisse de Tableau, Cognos Analytics, Qlik Sense ou d'un autre outil d'analyse, tous les fournisseurs semblent promouvoir la découverte et l'analyse des données en libre-service. Avec le libre-service vient le Shadow IT. Nous posons que TOUTE les organisations souffrent du Shadow IT qui se cache dans l'ombre, à un degré ou à un autre. La solution consiste à le mettre en lumière, à gérer les risques et à maximiser les avantages. 

Vue d’ensemble

Dans ce livre blanc, nous couvrirons l'évolution du reporting et les sales secrets dont personne ne parle. Différents outils nécessitent différents processus. Parfois même des idéologies.  Idéologies sont « les affirmations, théories et objectifs intégrés qui constituent un programme sociopolitique ». Nous n'obtiendrons pas sociopolitique mais je ne vois pas de mot pour décrire un programme commercial et informatique. Je considérerais que la base de données Kimball-Inmon divise un débat idéologique de la même manière. En d'autres termes, votre approche, ou votre façon de penser, guide vos actions.  

Contexte

When the PC IBM 5100 était à la pointe de la technologie, 10,000 5 $ vous donneraient un écran de 16 pouces avec un clavier intégré, XNUMXK RAM et un lecteur de bande pesant un peu plus de 50 livres. Adapté à la comptabilité, il serait connecté à une baie de disques autonome de la taille d'un petit classeur. Tout calcul sérieux était toujours effectué via des terminaux sur un ordinateur central en temps partagé. (image)

"Les opérateurs” gérait les PC en guirlande et contrôlait l'accès au monde extérieur. Des équipes d'opérateurs, ou plus tard des administrateurs système et des développeurs, se sont développées pour prendre en charge la technologie en constante évolution. La technologie était grande. Les équipes qui les géraient étaient plus grandes.

La gestion d'entreprise et le reporting informatique sont la norme depuis le début de l'ère informatique. Cette idéologie a été construite sur l'approche lourde et conservatrice selon laquelle « l'entreprise » gère les ressources et vous fournira ce dont vous avez besoin. Si vous avez besoin d'un rapport personnalisé ou d'un rapport dans un délai hors cycle, vous devez soumettre une demande.  

Le processus était lent. Il n'y a pas eu d'innovation. Agile n'existait pas. Et, comme l'ancien pool de bureau, le service informatique était considéré comme des frais généraux.

Malgré les inconvénients, cela a été fait pour une raison. Il y avait des avantages à le faire de cette façon. Il y avait des processus en place que tout le monde suivait. Les formulaires ont été remplis en trois exemplaires et acheminés par courrier interne. Les demandes de données provenant de toute l'organisation ont été triées, mélangées, hiérarchisées et traitées de manière prévisible.  

Il y avait un seul entrepôt de données et un seul outil de reporting à l'échelle de l'entreprise. Les rapports prédéfinis créés par une équipe centrale ont fourni une version unique de la vérité. Si les chiffres étaient erronés, tout le monde travaillait à partir des mêmes chiffres erronés. Il y a quelque chose à dire pour la cohérence interne.

La gestion de cette façon de faire des affaires était prévisible. C'était budgétaire.  

Puis un jour, il y a 15 ou 20 ans, tout ça a explosé. Il y a eu une révolution. Puissance de calcul augmentée.  La loi de Moore – « la puissance de traitement des ordinateurs doublera tous les deux ans » – a été respectée. Les PC étaient plus petits et omniprésents.   

De plus en plus d'entreprises ont commencé à prendre des décisions basées sur des données plutôt que sur l'instinct qu'elles avaient utilisé pendant tant d'années. Ils ont réalisé que les leaders de leur industrie prenaient des décisions basées sur des données historiques. Bientôt, les données sont devenues presque en temps réel. Finalement, les rapports sont devenus prédictifs. C'était rudimentaire au début, mais c'était le début de l'utilisation de l'analyse pour prendre des décisions commerciales.

Il y a eu une évolution vers l'embauche de plus d'analystes de données et de data scientists pour aider la direction à comprendre le marché et à prendre de meilleures décisions. Mais une chose amusante s'est produite. L'équipe informatique centrale n'a pas suivi la même tendance que les ordinateurs personnels en diminution. Il n'est pas immédiatement devenu plus efficace et plus petit.

Cependant, en réponse à la technologie décentralisée, l'équipe informatique a également commencé à devenir plus décentralisée. Ou, du moins, les rôles qui faisaient traditionnellement partie de l'informatique faisaient désormais partie des unités commerciales. Des analystes qui comprenaient les données et l'entreprise étaient intégrés dans chaque département. Les managers ont commencé à demander plus d'informations à leurs analystes. Les analystes, à leur tour, ont déclaré: «Je devrai remplir les demandes de données en trois exemplaires. Il sera approuvé au plus tôt lors de la réunion de priorisation des données de ce mois-ci. Ensuite, cela peut prendre une semaine ou deux au service informatique pour traiter notre demande de données, en fonction de sa charge de travail. MAIS,… si je pouvais juste accéder à l'entrepôt de données, je pourrais lancer une requête pour vous cet après-midi. Et ainsi de suite.

Le passage au libre-service avait commencé. Le service informatique a relâché son emprise sur les clés des données. Les fournisseurs de rapports et d'analyses ont commencé à adopter la nouvelle philosophie. C'était un nouveau paradigme. Les utilisateurs ont trouvé de nouveaux outils pour accéder aux données. Ils ont découvert qu'ils pouvaient contourner la bureaucratie s'ils avaient juste accès aux données. Ils pourraient ensuite effectuer leur propre analyse et réduire les délais d'exécution en exécutant leurs propres requêtes.

Avantages des rapports et des analyses en libre-service

Fournir un accès direct aux données aux masses et des rapports en libre-service a résolu un certain nombre de problèmes,

1. Focalisé.  Des outils spécialement conçus et facilement accessibles ont remplacé un outil de reporting et d'analyse unique, obsolète et polyvalent pour prendre en charge tous les utilisateurs et répondre à toutes les questions. 
2. Agile.  Auparavant, les business units étaient freinées par une faible productivité. L'accès aux seules données du mois dernier a conduit à l'incapacité de travailler avec agilité. L'ouverture de l'entrepôt de données a raccourci le processus, permettant aux personnes les plus proches de l'entreprise de fonctionner plus rapidement, de découvrir les tendances importantes et de prendre des décisions plus rapidement. Ainsi, augmentation de la vitesse et de la valeur des données.
3. Les moyens de. Au lieu que les utilisateurs aient à compter sur l'expertise et la disponibilité d'autres personnes pour prendre des décisions à leur place, ils ont reçu les ressources, l'autorité, l'opportunité et la motivation nécessaires pour faire leur travail. Ainsi, les utilisateurs sont devenus autonomes à l'aide d'un outil en libre-service qui pouvait les libérer de la dépendance vis-à-vis d'autres membres de l'organisation pour l'accès aux données et la création de l'analyse elle-même.

Défis du reporting et de l'analyse en libre-service

Cependant, pour chaque problème de signalement en libre-service résolu, il en créait plusieurs autres. Les outils de reporting et d'analyse n'étaient plus gérés de manière centralisée par l'équipe informatique. Ainsi, d'autres choses qui n'étaient pas des problèmes lorsqu'une seule équipe gérait les rapports devenaient plus difficiles. Des éléments tels que l'assurance qualité, le contrôle des versions, la documentation et les processus tels que la gestion des versions ou le déploiement se sont pris en charge lorsqu'ils étaient gérés par une petite équipe. Lorsqu'il existait des normes d'entreprise pour la production de rapports et la gestion des données, elles ne pouvaient plus être appliquées. Il y avait peu d'informations ou de visibilité sur ce qui se passait en dehors de l'informatique. La conduite du changement était inexistante. 

Ces instances contrôlées par le ministère fonctionnaient comme un économie parallèle qui fait référence aux affaires qui se produisent «sous le radar», c'est le Shadow IT. Wikipédia définit le Shadow IT comme «technologie de l'information systèmes (informatiques) déployés par d'autres services que le service informatique central, pour pallier les lacunes des systèmes d'information centraux. Certains définissent Shadow IT plus broaduniquement pour inclure tout projet, programme, processus ou système qui échappe au contrôle de l'informatique ou de la sécurité informatique.

Waouh ! Ralentir. Si le Shadow IT est un projet, un programme, un processus ou un système que l'informatique ne contrôle pas, alors il est plus répandu que nous ne le pensions. Il y en a partout. Pour le dire plus crûment, chaque l'organisation a Shadow IT, qu'elle le reconnaisse ou non.  Cela se résume à une question de degré. Le succès d'une organisation face au Shadow IT dépend en grande partie de sa capacité à relever certains défis clés.

• Sécurité. En tête de liste des problèmes créés par le Shadow IT se trouve risques de sécurité. Pensez aux macros. Pensez aux feuilles de calcul avec PMI et PHI envoyées par e-mail à l'extérieur de l'organisation.
• Risque plus élevé de perte de données.  Encore une fois, en raison d'incohérences dans la mise en œuvre ou les processus, chaque mise en œuvre individuelle peut être différente. Il est donc difficile de prouver que les pratiques commerciales établies sont suivies. De plus, il est même difficile de se conformer à de simples demandes d'audit d'utilisation et d'accès.
• Problèmes de conformité.  En ce qui concerne les problèmes d'audit, il existe également une probabilité accrue d'accès aux données et de flux de données, ce qui rend plus difficile le respect de réglementations telles que Loi Sarbanes-Oxley, PCGR (Principes comptables généralement reconnus), HIPAA (Loi sur la transférabilité et la responsabilité en matière d'assurance-maladie) et d'autres
• Inefficacités dans l'accès aux données.  Même si l'un des problèmes que l'informatique distribuée tente de résoudre est la vitesse d'accès aux données, les conséquences inattendues incluent des coûts cachés pour les travailleurs non informatiques de la finance, du marketing et des RH, par exemple, qui passent leur temps à débattre de la validité des données, à concilier les numéros de leurs voisins et essayant de gérer les logiciels par le siège de leur pantalon.
• Inefficacités dans le processus. Lorsque la technologie est adoptée par plusieurs unités commerciales indépendamment, les processus liés à leur utilisation et à leur déploiement le sont également. Certains peuvent être efficaces. D'autres pas tellement.  
• Logique métier et définitions incohérentes. Il n'y a pas de gardien pour établir des normes, des incohérences sont susceptibles de se développer en raison d'un manque de tests et de contrôle de version. Sans une approche unifiée des données ou des métadonnées, l'entreprise ne dispose plus d'une version unique de la vérité. Les départements peuvent facilement prendre des décisions commerciales basées sur des données erronées ou incomplètes.
• Manque d'alignement avec la vision de l'entreprise.  Le Shadow IT limite souvent la réalisation du ROI. Les systèmes d'entreprise en place pour négocier les contrats des fournisseurs et les transactions à grande échelle sont parfois contournés. Cela peut potentiellement conduire à un excès de licences et à des systèmes en double. De plus, cela perturbe la poursuite des objectifs organisationnels et des plans stratégiques du service informatique.

En fin de compte, les bonnes intentions d'adopter les rapports en libre-service ont entraîné des conséquences imprévues. Les défis peuvent être résumés en trois catégories : gouvernance, sécurité et alignement métier.

Ne vous méprenez pas, les entreprises ont besoin d'utilisateurs autonomes qui exploitent des données en temps réel avec des outils modernes. Ils ont également besoin de la discipline de la gestion des changements, de la gestion des versions et du contrôle des versions. Alors, le reporting/BI en libre-service est-il un canular ? Pouvez-vous trouver un équilibre entre autonomie et gouvernance ? Pouvez-vous gouverner ce que vous ne pouvez pas voir ?

La solution

Le spectre du libre-service BI 

Une ombre n'est plus une ombre si vous l'éclairez. De la même manière, le Shadow IT n'est plus à craindre s'il est amené à la surface. En exposant le Shadow IT, vous pouvez tirer parti des avantages du reporting en libre-service que les utilisateurs professionnels exigent tout en réduisant les risques grâce à la gouvernance. Gouverner le Shadow IT ressemble à un oxymoron, mais il s'agit en réalité d'une approche équilibrée pour assurer la surveillance du libre-service.

J'aime this l'analogie de l'auteur (empruntée à Kimball) de BI/reporting en libre-service assimilable à un buffet de restaurant. Le buffet est en self-service dans le sens où tu peux obtenir tout ce que tu veux et ramenez-le à votre table. Cela ne veut pas dire que vous allez entrer dans la cuisine et mettre vous-même votre steak sur le gril. Vous avez toujours besoin de ce chef et de son équipe de cuisine. C'est la même chose avec le reporting/BI en libre-service, vous aurez toujours besoin de l'équipe informatique pour préparer le buffet de données via l'extraction, la transformation, le stockage, la sécurisation, la modélisation, l'interrogation et la gouvernance.  

Un buffet à volonté peut être une analogie trop simple. Ce que nous avons observé, c'est qu'il existe différents degrés de participation de l'équipe de cuisine du restaurant. Avec certains, comme le buffet traditionnel, ils préparent la nourriture à l'arrière et préparent le buffet lorsqu'il est prêt à manger. Il ne vous reste plus qu'à charger votre assiette et à la rapporter à votre table. C'est le Las Vegas MGM Grand Buffet ou le modèle commercial Golden Corral. À l'autre extrémité du spectre, se trouvent des entreprises comme Home Chef, Blue Apron et Hello Fresh, qui livrent une recette et les ingrédients à votre porte. Assemblage requis. Ils font les courses et planifient les repas. Vous faites le reste.

Quelque part entre les deux, peut-être, se trouvent des endroits comme Mongolian Grill qui ont préparé les ingrédients mais les ont préparés pour que vous puissiez les sélectionner, puis donner votre assiette de viande crue et de légumes au chef pour qu'il la mette sur le feu. Dans ce cas, le succès du résultat final dépend (au moins en partie) de vous pour sélectionner un mélange d'ingrédients et de sauces qui vont bien ensemble. Cela dépend aussi de la préparation et de la qualité des plats à choisir, ainsi que du talent du chef qui ajoute parfois sa touche personnelle.

Le spectre du libre-service BI

L'analyse en libre-service est sensiblement la même. Les organisations disposant d'analyses en libre-service ont tendance à se situer quelque part sur le spectre. À une extrémité du spectre se trouvent des organisations, comme le MGM Grand Buffet, où l'équipe informatique continue de préparer toutes les données et métadonnées, sélectionne l'outil d'analyse et de reporting à l'échelle de l'entreprise et le présente à l'utilisateur final. Tout ce que l'utilisateur final doit faire est de sélectionner les éléments de données qu'il souhaite voir et d'exécuter le rapport. La seule chose en libre-service dans ce modèle est que le rapport n'est pas déjà créé par l'équipe informatique. La philosophie des organisations qui utilisent Cognos Analytics se situe à cette extrémité du spectre.

Les organisations qui ressemblent davantage aux kits de repas livrés à votre porte ont tendance à donner à leurs utilisateurs finaux un « kit de données » qui comprend les données dont ils ont besoin et le choix des outils avec lesquels ils peuvent y accéder. Ce modèle nécessite que l'utilisateur comprenne mieux à la fois les données et l'outil pour obtenir les réponses dont il a besoin. D'après notre expérience, les entreprises qui exploitent Qlik Sense et Tableau ont tendance à appartenir à cette catégorie.

Les outils d'entreprise tels que Power BI ressemblent davantage au Mongolian Grill - quelque part au milieu.  

Bien que nous puissions généraliser et placer les organisations qui utilisent divers outils d'analyse à différents points de notre « spectre de libre-service BI », la réalité est que la position peut changer en raison de plusieurs facteurs : l'entreprise peut adopter de nouvelles technologies, la compétence des utilisateurs peut augmenter, la gestion peut dicter une approche, ou l'entreprise peut simplement évoluer vers un modèle plus ouvert de libre-service avec plus de liberté pour les consommateurs de données. En fait, la position sur le spectre peut même varier d'une unité commerciale à l'autre au sein d'une même organisation.  

L'évolution de l'analytique

Avec le passage au libre-service et à mesure que les organisations se déplacent vers la droite sur le spectre du buffet BI, les centres d'excellence dictatoriaux traditionnels ont été remplacés par des communautés de pratique collaboratives. Le service informatique peut participer à ces équipes matricielles qui aident à socialiser les meilleures pratiques au sein des équipes de livraison. Cela permet aux équipes de développement du côté commercial de conserver une certaine autonomie tout en travaillant dans les limites de la gouvernance et de l'architecture de l'entreprise.

L'informatique doit rester vigilante. Les utilisateurs qui créent leurs propres rapports – et dans certains cas, des modèles – peuvent ne pas être conscients des risques de sécurité des données. La seule façon de prévenir les fuites de sécurité potentielles est de rechercher de manière proactive de nouveaux contenus et d'évaluer leur conformité.

Le succès du Shadow IT gouverné repose également sur les processus mis en place pour garantir le respect des politiques de sécurité et de confidentialité. 

Paradoxes du libre-service 

L'analyse en libre-service régie réconcilie les forces polaires opposant la liberté au contrôle. Cette dynamique se joue dans de nombreux domaines commerciaux et technologiques : rapidité versus normes ; innovation versus opérations ; agilité versus architecture ; et les besoins du ministère par rapport aux intérêts de l'entreprise.

-Wayne Erickson

Outils de gestion du Shadow IT

L'équilibre entre les risques et les avantages est essentiel pour développer une politique durable de Shadow IT. Tirer parti du Shadow IT pour découvrir de nouveaux processus et outils qui pourraient permettre à tous les employés d'exceller dans leur rôle n'est qu'une pratique commerciale intelligente. Les outils capables de s'intégrer à plusieurs systèmes offrent aux entreprises une solution qui peut apaiser à la fois l'informatique et l'entreprise.

Les risques et les défis soulevés par le Shadow IT peuvent être considérablement atténués en mettant en place des processus de gouvernance pour garantir que des données de qualité sont disponibles pour tous ceux qui en ont besoin via un accès en libre-service.

Questions clés 

Questions clés auxquelles la sécurité informatique devrait pouvoir répondre concernant la visibilité et le contrôle du Shadow IT. Si vous avez des systèmes ou des processus en place pour répondre à ces questions, vous devriez être en mesure de réussir la section Shadow IT d'un audit de sécurité :

1. Avez-vous une police qui couvre le Shadow IT ?
2. Pouvez-vous facilement répertorier toutes les applications utilisées au sein de votre organisation ? Points bonus si vous avez des informations sur la version et le niveau de correctif.
3. Savez-vous qui a modifié les actifs analytiques en production ?
4. Savez-vous qui utilise les applications Shadow IT ?
5. Savez-vous quand le contenu en production a été modifié pour la dernière fois ?
6. Pouvez-vous facilement revenir à une version précédente s'il y a des défauts dans la version de production ?
7. Êtes-vous capable de récupérer facilement des fichiers individuels en cas de sinistre ?
8. Quel processus utilisez-vous pour déclasser les artefacts ?
9. Pouvez-vous montrer que seuls les utilisateurs approuvés ont accédé au système et promu les fichiers ?
10. Si vous découvrez une faille dans vos chiffres, comment savez-vous quand elle a été introduite (et par qui) ?

Conclusion

Le Shadow IT sous ses nombreuses formes est là pour rester. Nous devons le mettre en lumière et l'exposer afin de pouvoir gérer les risques tout en profitant de ses avantages. Cela peut rendre les employés plus productifs et les entreprises plus innovantes. Cependant, l'enthousiasme pour les avantages doit être tempéré par la sécurité, la conformité et la gouvernance.   

Bibliographie

Comment réussir avec l'analyse en libre-service en équilibrant l'autonomisation et la gouvernance

Définition de l'idéologie, Merriam-Webster

Définition de l'économie souterraine, Market Business News

Shadow IT, Wikipédia 

Shadow IT : le point de vue du DSI

Version unique de la vérité, Wikipedia

Réussir avec l'analyse en libre-service : vérifier les nouveaux rapports

L'évolution du modèle d'exploitation informatique

Le canular de la BI en libre-service

Qu'est-ce que le Shadow IT ?, McAfee

Que faire à propos du Shadow IT