Shadow IT: bilanciare i rischi ei benefici che ogni organizzazione deve affrontare
Astratto
Il reporting self-service è la terra promessa del giorno. Che si tratti di Tableau, Cognos Analytics, Qlik Sense o un altro strumento di analisi, sembra che tutti i fornitori promuovano il rilevamento e l'analisi dei dati self-service. Con il self-service arriva Shadow IT. Lo postiamo contro tutti i le organizzazioni soffrono di Shadow IT in agguato nell'ombra, in un modo o nell'altro. La soluzione è far luce su di esso, gestire i rischi e massimizzare i benefici.
Panoramica
In questo white paper tratteremo l'evoluzione del reporting e gli sporchi segreti di cui nessuno parla. Strumenti diversi richiedono processi diversi. A volte anche ideologie. ideologie sono "le affermazioni, le teorie e gli obiettivi integrati che costituiscono un programma sociopolitico". Non otterremo sociopolitico ma non riesco a pensare a una parola per esprimere un business e un programma IT. Considererei il database Kimball-Inmon dividere un dibattito ideologico in modo simile. In altre parole, il tuo approccio, o il modo in cui pensi, guida le tue azioni.
sfondo
Quando il PC IBM 5100 era lo stato dell'arte, $ 10,000 ti darebbero uno schermo da 5 pollici con tastiera integrata, 16K RAM e un'unità nastro 
con un peso di poco più di 50 libbre. Adatto per la contabilità, questo sarebbe collegato a un array di dischi indipendente delle dimensioni di un piccolo schedario. Qualsiasi elaborazione seria veniva ancora eseguita tramite terminali su una multiproprietà del mainframe. (Immagine)
"Operatori” gestiva i PC collegati a margherita e controllava l'accesso al mondo esterno. Team di operatori, o amministratori di sistema e devop successivi, sono cresciuti per supportare la tecnologia in continua crescita. La tecnologia era grande. Le squadre che li gestivano erano più grandi.
La gestione aziendale e il reporting guidato dall'IT sono stati la norma sin dall'inizio dell'era dei computer. Questa ideologia è stata costruita sull'approccio noioso e conservatore secondo cui "The Company" gestisce le risorse e ti fornirà ciò di cui hai bisogno. Se hai bisogno di un rapporto personalizzato o di un rapporto in un intervallo di tempo fuori ciclo, devi inviare una richiesta.
Il processo è stato lento. Non c'era innovazione. Agile non esisteva. E, come l'antico pool di impiegati, il reparto IT era considerato un sovraccarico.
Nonostante gli svantaggi, è stato fatto per una ragione. Ci sono stati alcuni vantaggi nel farlo in questo modo. C'erano processi in atto che tutti seguivano. I moduli sono stati compilati in triplice copia e instradati tramite posta interufficio. Le richieste di dati provenienti da tutta l'organizzazione sono state smistate, mescolate, ordinate per priorità e gestite in modo prevedibile.
C'era un unico data warehouse e un unico strumento di reporting a livello aziendale. Report predefiniti creati da un team centrale fornito a versione unica della verità. Se i numeri erano sbagliati, tutti lavoravano con gli stessi numeri sbagliati. C'è qualcosa da dire per coerenza interna. 
La gestione di questo modo di fare impresa era prevedibile. Era budgetabile.
Poi un giorno, 15 o 20 anni fa, tutto ciò esplose. C'è stata una rivoluzione. Potenza di calcolo ampliata. Legge di Moore – “la potenza di elaborazione dei computer raddoppierà ogni due anni” – è stato obbedito. I PC erano più piccoli e onnipresenti.
Sempre più aziende hanno iniziato a prendere decisioni basate sui dati piuttosto che sull'istinto che avevano utilizzato per così tanti anni. Si sono resi conto che i leader del loro settore stavano prendendo decisioni sulla base di dati storici. Presto i dati divennero quasi in tempo reale. Alla fine, la segnalazione è diventata predittiva. All'inizio era rudimentale, ma è stato l'inizio dell'utilizzo dell'analisi per guidare le decisioni aziendali.
C'è stato il passaggio all'assunzione di più analisti di dati e scienziati di dati per aiutare la direzione a comprendere il mercato e prendere decisioni migliori. Ma è successa una cosa divertente. Il team IT centrale non ha seguito la stessa tendenza della contrazione dei personal computer. Non è diventato immediatamente più efficiente e più piccolo.
Tuttavia, in risposta alla tecnologia decentralizzata, anche il team IT ha iniziato a diventare più decentralizzato. O almeno i ruoli che tradizionalmente facevano parte dell'IT, ora facevano parte delle business unit. Gli analisti che conoscevano i dati e il business erano integrati in ogni reparto. I manager hanno iniziato a chiedere maggiori informazioni ai loro analisti. Gli analisti, a loro volta, hanno affermato: “Avrò bisogno di compilare le richieste di dati in triplice copia. Il primo che sarà approvato è durante la riunione di priorità dei dati di questo mese. Quindi potrebbero essere necessarie una o due settimane prima che l'IT elabori la nostra richiesta di dati, a seconda del carico di lavoro. MA,... se solo potessi accedere al data warehouse, potrei eseguire una query per te questo pomeriggio. E così va.
Il passaggio al self-service era iniziato. Il reparto IT ha allentato la presa sulle chiavi dei dati. I fornitori di report e analisi hanno iniziato ad abbracciare la nuova filosofia. Era un nuovo paradigma. Gli utenti hanno trovato nuovi strumenti per accedere ai dati. Hanno scoperto che avrebbero potuto aggirare la burocrazia se avessero appena avuto accesso ai dati. Quindi potrebbero eseguire la propria analisi e ridurre i tempi di risposta eseguendo le proprie query.
Vantaggi del reporting e dell'analisi self-service
Fornire accesso diretto ai dati alle masse e reporting self-service ha risolto una serie di problemi, 
- Focalizzata. Strumenti appositamente progettati e facilmente accessibili hanno sostituito un unico strumento di analisi e report legacy datato e multiuso per supportare tutti gli utenti e rispondere a tutte le domande.
- Agile. In precedenza, le unità aziendali erano ostacolate da una scarsa produttività. L'accesso solo ai dati del mese scorso ha comportato l'impossibilità di lavorare in modo agile. L'apertura del data warehouse ha abbreviato il processo consentendo a coloro che sono più vicini all'azienda di funzionare più rapidamente, scoprire tendenze importanti e prendere decisioni più rapidamente. Pertanto, maggiore velocità e valore dei dati.
- Empowered. Invece di dover fare affidamento sull'esperienza e sulla disponibilità degli altri per prendere decisioni al posto loro, gli utenti hanno ricevuto le risorse, l'autorità, l'opportunità e la motivazione per svolgere il proprio lavoro. Pertanto, gli utenti sono stati potenziati utilizzando uno strumento self-service che potrebbe liberarli dalla dipendenza da altri nell'organizzazione sia per l'accesso ai dati che per la creazione dell'analisi stessa.
Sfide del reporting e dell'analisi self-service
Tuttavia, per ogni problema risolto in modalità self-service, ne creava molti altri. Gli strumenti di reporting e analisi non erano più gestiti centralmente dal team IT. Quindi, altre cose che non creavano problemi quando un singolo team gestiva i rapporti sono diventate più impegnative. Cose come la garanzia della qualità, il controllo della versione, la documentazione e i processi come la gestione dei rilasci o la distribuzione si prendevano cura di se stessi quando venivano gestiti da un piccolo team. Laddove esistessero standard aziendali per la rendicontazione e la gestione dei dati, non potevano più essere applicati. C'erano poche informazioni o visibilità su ciò che stava accadendo al di fuori dell'IT. La gestione del cambiamento era inesistente. 
Queste istanze controllate dal reparto funzionavano come a economia sommersa che si riferisce ad attività che si verificano "sotto il radar", questo è Shadow IT. Wikipedia definisce Shadow IT come "tecnologie dell'informazione (IT) sistemi implementati da dipartimenti diversi dal dipartimento IT centrale, per ovviare alle carenze dei sistemi informativi centrali. Alcuni definiscono Shadow IT più broadly per includere qualsiasi progetto, programma, processo o sistema che sono al di fuori del controllo di IT o infosec.
Whoa! Rallentare. Se Shadow IT è un qualsiasi progetto, programma, processo o sistema che l'IT non controlla, allora è più pervasivo di quanto pensassimo. È ovunque. Per dirlo in modo più schietto, ogni l'organizzazione ha Shadow IT indipendentemente dal fatto che lo riconosca o meno. Si riduce solo a una questione di grado. Il successo di un'organizzazione nell'affrontare lo Shadow IT dipende in gran parte dalla capacità di affrontare alcune sfide chiave. 
- Sicurezza. In cima all'elenco dei problemi creati da Shadow IT c'è rischi per la sicurezza. Pensa alle macro. Pensa ai fogli di calcolo con PMI e PHI inviati tramite e-mail all'esterno dell'organizzazione.
- Maggior rischio di perdita di dati. Anche in questo caso, a causa di incoerenze nell'implementazione o nei processi, ogni singola implementazione può essere diversa. Ciò rende difficile dimostrare che le pratiche commerciali consolidate vengono seguite. Inoltre, rende difficile anche il rispetto di semplici richieste di audit di utilizzo e accesso.
- Problemi di conformità. Relativamente ai problemi di audit, c'è anche una maggiore probabilità di accesso ai dati e flussi di dati, rendendo più difficile il rispetto di normative come Sarbanes-Oxley Act, GAAP (Principi contabili generalmente accettati), HIPAA (Legge sulla portabilità e responsabilità delle assicurazioni sanitarie) e altri
- Inefficienze nell'accesso ai dati. Anche se uno dei problemi che l'IT distribuito cerca di risolvere è la velocità di trasmissione dei dati, le conseguenze impreviste includono costi nascosti per i lavoratori non IT in finanza, marketing e risorse umane, ad esempio, che passano il loro tempo a discutere la validità dei dati, riconciliandosi con i numeri dei loro vicini e cercando di gestire il software dal sedere dei loro pantaloni.
- Inefficienze in itinere. Quando la tecnologia viene adottata da più unità aziendali in modo indipendente, lo sono anche i processi relativi al loro utilizzo e implementazione. Alcuni potrebbero essere efficienti. Altri non tanto.
- Logica e definizioni di business incoerenti. Non esiste un gatekeeper per stabilire gli standard, è probabile che si sviluppino incoerenze a causa della mancanza di test e controllo della versione. Senza un approccio unificato ai dati o ai metadati, l'azienda non ha più un'unica versione della verità. I reparti possono facilmente prendere decisioni aziendali sulla base di dati imperfetti o incompleti.
- Mancanza di allineamento con la visione aziendale. Shadow IT spesso limita la realizzazione del ROI. I sistemi aziendali in atto per negoziare contratti con i fornitori e accordi su larga scala vengono talvolta aggirati. Ciò può potenzialmente portare a licenze in eccesso e sistemi duplicati. Inoltre, interrompe il perseguimento degli obiettivi organizzativi e dei piani strategici dell'IT.
La conclusione è che le buone intenzioni di adottare il reporting self-service hanno portato a conseguenze indesiderate. Le sfide possono essere riassunte in tre categorie: governance, sicurezza e allineamento aziendale.
Non commettere errori, le aziende hanno bisogno di utenti abilitati che sfruttino i dati in tempo reale con strumenti moderni. Hanno anche bisogno della disciplina della gestione delle modifiche, della gestione dei rilasci e del controllo delle versioni. Quindi, il reporting self-service/BI è una bufala? Riesci a trovare un equilibrio tra autonomia e governance? Puoi governare ciò che non puoi vedere?
La Soluzione
Lo spettro BI Self-Service
Un'ombra non è più un'ombra se ci fai brillare una luce. Allo stesso modo, Shadow IT non è più da temere se viene portato in superficie. Nell'esporre Shadow IT, puoi sfruttare i vantaggi del reporting self-service richiesto dagli utenti aziendali riducendo allo stesso tempo i rischi attraverso la governance. Governing Shadow IT suona come un ossimoro, ma in realtà è un approccio equilibrato per portare la supervisione al self-service. 
Mi piace questo analogia dell'autore (presa in prestito da Kimball) di BI/reporting self-service assimilabili a buffet da ristorante. Il buffet è self-service nel senso che puoi ottenere tutto quello che vuoi e riportalo sulla tua tavola. Questo non vuol dire che andrai in cucina e metterai la tua bistecca sulla griglia da solo. Hai ancora bisogno di quello chef e del suo team di cucina. È lo stesso con il reporting/BI self-service, avrai sempre bisogno del team IT per preparare il buffet di dati attraverso l'estrazione, la trasformazione, l'archiviazione, la protezione, la modellazione, l'interrogazione e la governance.
Un buffet all-you-can-eat potrebbe essere un'analogia troppo semplice. Quello che abbiamo osservato è che ci sono diversi gradi di partecipazione del team di cucina del ristorante. Con alcuni, come il tradizionale buffet, preparano il cibo nella parte posteriore e preparano il buffet quando è pronto da mangiare. Tutto quello che devi fare è caricare il tuo piatto e riportarlo al tuo tavolo. Questo è il Las Vegas MGM Grand Buffet o il modello di business Golden Corral. All'altra estremità dello spettro, ci sono aziende come Home Chef, Blue Apron e Hello Fresh, che consegnano una ricetta e gli ingredienti a casa tua. Qualche montaggio richiesto. Fanno la spesa e la pianificazione dei pasti. Tu fai il resto.
Da qualche parte nel mezzo, forse, ci sono posti come Mongolian Grill che hanno preparato gli ingredienti ma li hanno impostati affinché tu li selezioni e poi dai il tuo piatto di carne cruda e verdure allo chef per metterlo sul fuoco. In questo caso, la riuscita del risultato finale dipende (almeno in parte) da voi che scegliete un mix di ingredienti e salse che si sposano bene. Dipende anche dalla preparazione e dalla qualità del cibo tra cui scegliere, nonché dall'abilità dello chef che a volte aggiunge i suoi tocchi. 
Lo spettro BI Self-Service
L'analisi self-service è più o meno la stessa. Le organizzazioni con analisi self-service tendono a rientrare da qualche parte nello spettro. A un'estremità dello spettro ci sono organizzazioni, come l'MGM Grand Buffet, in cui il team IT continua a preparare tutti i dati e i metadati, seleziona lo strumento di analisi e reportistica a livello aziendale e lo presenta all'utente finale. Tutto ciò che l'utente finale deve fare è selezionare gli elementi di dati che desidera visualizzare ed eseguire il report. L'unico aspetto self-service di questo modello è che il report non è già stato creato dal team IT. La filosofia delle organizzazioni che utilizzano Cognos Analytics rientra in questa estremità dello spettro.
Le organizzazioni che assomigliano più da vicino ai kit pasto consegnati a casa tua tendono a fornire ai loro utenti finali un "kit di dati" che include i dati di cui hanno bisogno e la scelta degli strumenti con cui possono accedervi. Questo modello richiede all'utente di comprendere meglio sia i dati che lo strumento per ottenere le risposte di cui ha bisogno. In base alla nostra esperienza, le aziende che sfruttano Qlik Sense e Tableau tendono a rientrare in questa categoria.
Gli strumenti aziendali come Power BI sono più simili al Mongolian Grill, da qualche parte nel mezzo.
Sebbene possiamo generalizzare e collocare le organizzazioni che utilizzano vari strumenti di analisi in diversi punti del nostro "BI Self-Service Spectrum", la realtà è che la posizione può cambiare a causa di diversi fattori: l'azienda può adottare nuove tecnologie, la competenza degli utenti può aumentare, la gestione può dettare un approccio, oppure l'impresa può semplicemente evolversi verso un modello più aperto di self-service con maggiore libertà per i consumatori di dati. In effetti, la posizione nello spettro può variare anche tra le unità aziendali all'interno della stessa organizzazione.
L'evoluzione dell'analisi
Con il passaggio al self-service e mentre le organizzazioni si spostano a destra sul BI Buffet Spectrum, i tradizionali centri di eccellenza dittatoriali sono stati sostituiti con comunità di pratica collaborative. L'IT può partecipare a questi team a matrice che aiutano a socializzare le migliori pratiche tra i team di consegna. Ciò consente ai team di sviluppo lato business di mantenere una certa autonomia mentre lavorano all'interno dei confini aziendali di governance e architettura. 
L'IT deve rimanere vigile. Gli utenti che creano i propri report e, in alcuni casi, i modelli potrebbero non essere consapevoli dei rischi per la sicurezza dei dati. L'unico modo per prevenire potenziali falle di sicurezza è cercare in modo proattivo nuovi contenuti e valutarne la conformità.
Il successo dello Shadow IT governato riguarda anche i processi in atto per garantire il rispetto delle politiche di sicurezza e privacy.
Paradossi del self-service
L'analisi self-service governata riconcilia le forze polari che contrappongono la libertà al controllo. Questa dinamica si manifesta in molte aree del business e della tecnologia: velocità contro standard; innovazione contro operazioni; agilità contro architettura; e le esigenze dipartimentali rispetto agli interessi aziendali.
Strumenti per la gestione dello Shadow IT
L'equilibrio tra rischi e benefici è fondamentale per lo sviluppo di una politica IT ombra sostenibile. Sfruttare Shadow IT per scoprire nuovi processi e strumenti che potrebbero consentire a tutti i dipendenti di eccellere nei loro ruoli è solo una pratica aziendale intelligente. Gli strumenti con la capacità di integrarsi con più sistemi offrono alle aziende una soluzione in grado di soddisfare sia l'IT che il business.
I rischi e le sfide sollevate dall'IT ombra possono essere notevolmente mitigati implementando processi di governance per garantire che i dati di qualità siano disponibili a tutti coloro che ne hanno bisogno tramite l'accesso self-service.
Domande chiave
Domande chiave a cui la sicurezza IT dovrebbe essere in grado di rispondere in relazione alla visibilità e al controllo dell'IT shadow. Se disponi di sistemi o processi in atto per rispondere a queste domande, dovresti essere in grado di superare la sezione Shadow IT di un audit di sicurezza:
- Hai una polizza che copre Shadow IT?
- Puoi elencare facilmente tutte le applicazioni utilizzate all'interno della tua organizzazione? Punti bonus se hai informazioni sulla versione e sul livello di correzione.
- Sapete chi ha modificato gli asset analitici in produzione?
- Sapete chi sta utilizzando le applicazioni Shadow IT?
- Sai quando il contenuto in produzione è stato modificato l'ultima volta?
- Puoi facilmente tornare a una versione precedente se ci sono difetti nella versione di produzione?
- Sei in grado di recuperare facilmente i singoli file in caso di disastro?
- Quale processo utilizzi per lo smantellamento degli artefatti?
- Puoi dimostrare che solo gli utenti approvati hanno effettuato l'accesso al sistema e promosso i file?
- Se scopri un difetto nei tuoi numeri, come fai a sapere quando è stato introdotto (e da chi)?
Conclusione
Shadow IT nelle sue molteplici forme è qui per restare. Abbiamo bisogno di far luce su di esso ed esporlo in modo da poter gestire i rischi sfruttando i suoi benefici. Può rendere i dipendenti più produttivi e le aziende più innovative. Tuttavia, l'entusiasmo per i vantaggi dovrebbe essere mitigato da sicurezza, conformità e governance.
Riferimenti
Come avere successo con l'analisi self-service Bilanciare potenziamento e governance
Definizione di ideologia, Merriam-Webster
Definizione di economia sommersa, notizie economiche di mercato
Shadow IT: il punto di vista del CIO
Un'unica versione della verità, Wikipedia
Successo con l'analisi self-service: verifica nuovi rapporti
L'evoluzione del modello operativo IT
La bufala della BI self-service
