Skygge-IT er et symptom, ikke en forbrytelse

Hvorfor det skjer

Det er verdt å være konkret, for årsakene peker mot ulike løsninger.

• Behovet er lite, og prosessen er det ikke. Et register med fem felt går gjennom samme mottak, prioritering og innkjøp som et kjernesystem, og kommer derfor aldri øverst på noen liste.
• Ingen eier det «lille». Store prosjekter har en sponsor. Et verktøy som hjelper elleve personer i én avdeling, har ingen som blir målt på om det finnes.
• Avdelingen har budsjett og et kort. Et abonnement er en utgift, ikke et prosjekt, og utgifter trenger ikke plattformteamet.
• Verktøyene ble gode. Å bygge noe som virker, er nå innen rekkevidde for en dyktig person som ikke er utvikler. Barrieren som tidligere, uten at noen hadde planlagt det, holdt utviklingen hos sentral IT, er borte.

Ingen av disse løses av en retningslinje som sier at ikke-godkjente verktøy er forbudt. De løses ved å korte ned køen — eller ved å innrømme at køen finnes og gi folk en støttet måte å bygge på i full åpenhet.

Risikoene som er reelle, i rekkefølge

Risikoregistre for skygge-IT åpner gjerne med etterlevelse og slutter med vage advarsler om sikkerhet. I praksis kommer feilene som faktisk skjer, i en ganske forutsigbar rekkefølge.

• Én person forstår det. Den vanligste feilen er ikke et innbrudd. Det er at Marit bygde det, Marit har sluttet, og ingen kan endre momssatsen.
• Det er ikke sikkerhetskopiert. En personlig disk, en bærbar PC, en gratisversjon uten lagringstid. Verktøyet fungerer helt til den dagen det ikke gjør det, og da finnes det ingen tidligere versjon å gå tilbake til.
• Tilgangen slutter ikke når ansettelsen gjør det. Firmakontoen forsvinner med sjekklisten for avslutning. Verktøyet som er bygget på en personlig pålogging, gjør ikke det — og det gjør heller ikke de delte passordene tre personer kan.
• Firmadata ligger i en personlig konto. Ikke selve verktøyet, men kundelisten i det, som ligger i noe registrert på en enkeltperson, utenfor alle avtaler organisasjonen deres har inngått.
• Ingen kan svare tilsynsmyndigheten. Når dere blir spurt om hvor personopplysninger behandles og hvem som har tilgang, er systemer dere ikke kjenner til, systemer dere ikke kan stå til ansvar for. Det er her bekymringen for etterlevelse er helt berettiget.
• Bærende, uten at noen merker det. Den ingen merker før en revisjon: et regneark som begynte som en bekvemmelighet og nå er den eneste oversikten over noe virksomheten er avhengig av.

Finn det uten en heksejakt

Dere kan ikke styre det dere ikke ser, og dere kommer ikke til å se det hvis det første trekket er en gransking. Folk skjuler verktøy for revisorer og viser dem frem for kolleger. Innrammingen avgjør hvilket av dem dere får.

• Gi amnesti, og bruk ordet. Si rett ut at ingen får problemer, at målet er å beholde det som virker, og at alt som blir levert inn, blir sikkerhetskopiert og får støtte. Hold så ord, synlig, første gang noen setter det på prøve.
• Spør hva folk har laget, ikke hva de bruker. «Hva har du laget for å få gjort jobben din?» gir svar. «List opp programvaren din som ikke er godkjent» gir taushet.
• Følg utgiftene og påloggingene. Kortutskrifter og identitetsleverandørens liste over applikasjoner viser de fleste abonnementene uten at noen trenger å tilstå dem.
• Se etter de delte påloggingene. Et passord tre personer kjenner, er både et funn og en god inngang til en samtale om hva det beskytter.

Bestem hva som skjer med hvert av dem

Når dere har en liste, sorteres de fleste punktene raskt i fire hauger. Feilen er å behandle alt som om det hører hjemme i den første.

• Ta over. Det betyr noe, det virker, og det trenger en eier, sikkerhetskopi og pålogging med firmakontoen heller enn å skrives om. Det meste av listen havner her.
• Bygg på nytt. Det betyr noe, og dagens versjon kan virkelig ikke sikres — data i en personlig konto, eller logikk ingen kan følge. Bygg det ordentlig på nytt, og hold personen som laget det, involvert; de kjenner reglene programvaren uttrykker.
• Avvikle. Det løste et problem som ikke lenger finnes, eller to personer bruker det av gammel vane. Slå det av, med varsel.
• La være. Et regneark én person bruker til å organisere sitt eget arbeid, er ikke et system. Ikke alt trenger styring, og å støvsuge opp de harmløse er måten et amnesti mister troverdigheten sin på.

Gjør den godkjente veien til den raske

Alt over er opprydding. Det kommer tilbake med mindre regnestykket under endrer seg, fordi omveien bare noen gang vant på fart.

Det som endrer regnestykket, er en støttet måte å bygge små systemer på som er virkelig raskere enn den ustøttede — der pålogging med firmakontoen, drift, sikkerhetskopier og en oversikt over hvem som gjorde hva følger med når man bygger, i stedet for å komme som en gjennomgang til slutt. Når den godkjente veien er den raske veien, slutter skygge-IT å være et problem for retningslinjene og blir et lite fristende alternativ.

Det er dette Studio for Business finnes for: avdelinger får bygge verktøyet de trenger, på en plattform som allerede har enkel pålogging, administrert drift og revisjonslogg, slik at det de bygger, er synlig fra dagen det finnes i stedet for dagen det svikter. Men prinsippet gjelder uansett hva dere bruker — styring som er tregere enn alternativet, er styring folk går rundt.