5 IT riski augošam uzņēmumam, kas aptur izaugsmi

Strauja izaugsme parasti sākas ar labām ziņām: pieaug klientu skaits, komanda, pasūtījumu apjoms un atbildība. Taču tieši šajā posmā 5 IT riski augošam uzņēmumam var pārvērst veiksmīgu attīstību par dārgu operacionālu problēmu. Sistēmas, kas labi kalpoja desmit cilvēkiem, ne vienmēr iztur piecdesmit lietotāju slodzi, attālinātu darbu, jaunas filiāles vai prasīgāku klientu drošības prasības.

IT risks nav tikai kiberuzbrukums vai salūzis serveris. Tas ir jebkurš tehnoloģisks trūkums, kas var apturēt darbu, apdraudēt datus, radīt neplānotas izmaksas vai liegt vadībai pieņemt informētus lēmumus. Augošam uzņēmumam būtiskākais jautājums nav, vai incidents kādreiz notiks, bet gan tas, cik labi organizācija būs gatava turpināt darbu, kad tas notiks.

1. IT infrastruktūra vairs neatbilst uzņēmuma mērogam

Pirmais risks bieži ir nemanāms, jo esošā vide vēl darbojas. Failu glabātuve kļūst lēna tikai noteiktos laikos, attālinātie lietotāji sūdzas par piekļuvi, Wi-Fi pārklājums birojā ir nevienmērīgs, bet piegādātāja sistēma regulāri prasa manuālu iejaukšanos. Katra atsevišķā problēma var šķist neliela. Kopā tās samazina produktivitāti un rada dīkstāves risku.

Izaugsme palielina ne tikai lietotāju skaitu. Tā palielina datu plūsmu, integrāciju skaitu, piekļuves pieprasījumus un atkarību no interneta savienojuma, mākoņpakalpojumiem un iekārtām. Ja infrastruktūra ir veidota bez jaudas rezervēm un dokumentēta attīstības plāna, uzņēmums sāk reaģēt uz problēmām pēc fakta.

Risinājums nav vienmēr iegādāties jaudīgāko aparatūru. Dažkārt piemērotāka ir mākoņa vide, citkārt - hibrīda modelis ar lokāli saglabātām kritiskām sistēmām. Izvēle ir atkarīga no lietojumprogrammām, datu apjoma, regulējuma, savienojamības un pieļaujamā dīkstāves laika. Svarīgi ir regulāri novērtēt kapacitāti, kritiskos mezglus un to, kas notiks, ja viena iekārta vai pieslēgums kļūs nepieejams.

2. Piekļuves tiesības aug ātrāk nekā kontrole

Jaunam darbiniekam bieži tiek piešķirta piekļuve ātruma dēļ: koplietotām mapēm, klientu sistēmai, grāmatvedības rīkam, e-pastam, mākoņa dokumentiem. Kad cilvēks maina amatu vai aiziet no uzņēmuma, šīs piekļuves ne vienmēr tiek savlaicīgi pārskatītas. Rezultātā sensitīvi dati var būt pieejami plašākam cilvēku lokam, nekā tas nepieciešams darbam.

Šis risks nav tikai ļaunprātīgas rīcības jautājums. Neprecīzas tiesības palielina kļūdas iespēju: darbinieks var nejauši izdzēst dokumentus, pārsūtīt komerciāli jutīgu informāciju vai mainīt iestatījumus sistēmā, kuru viņam nevajadzēja administrēt. Jo vairāk rīku uzņēmums izmanto, jo grūtāk ir saglabāt pārskatāmību bez skaidra procesa.

Pamatprincips ir vienkāršs: lietotājam jābūt tikai tādām tiesībām, kādas nepieciešamas konkrētā darba veikšanai. Praksē tas nozīmē centralizētu lietotāju pārvaldību, daudzfaktoru autentifikāciju, regulāras piekļuves tiesību pārbaudes un skaidru kārtību darbinieka pieņemšanai, amata maiņai un aiziešanai. Īpaša uzmanība jāvelta administratoru kontiem, jo tiem ir visplašākā ietekme uz visu vidi.

3. Datu rezerves kopijas pastāv, bet atjaunošana nav pārbaudīta

Daudzi vadītāji saņem mierinošu atbildi: rezerves kopijas tiek veidotas. Taču šis apgalvojums vien vēl negarantē darbības nepārtrauktību. Rezerves kopija var būt nepilnīga, bojāta, nepietiekami bieža vai glabāta vidē, kuru skāris tas pats incidents. Tā var arī neatjaunot konkrēto sistēmu vajadzīgajā laikā.

Piemēram, uzņēmums var saglabāt servera datus reizi diennaktī, bet tajā pašā laikā dienas laikā apstrādāt simtiem pasūtījumu. Ja sistēma kļūst nepieejama pēcpusdienā, uzņēmums var zaudēt visas izmaiņas kopš iepriekšējās nakts. Citā situācijā dati ir atjaunojami, taču process ilgst trīs dienas, kamēr uzņēmums reāli var atļauties tikai dažas stundas bez galvenās sistēmas.

Tādēļ rezerves kopiju stratēģijai jāatbild uz diviem vadības jautājumiem: cik daudz datu drīkst zaudēt un cik ilgi drīkst ilgt atjaunošana. Šie rādītāji nosaka kopēšanas biežumu, glabāšanas vietas, automatizācijas līmeni un nepieciešamo infrastruktūru. Nepieciešama arī regulāra atjaunošanas pārbaude - nevis tikai žurnāla ieraksts, ka kopija ir pabeigta, bet praktisks tests, vai failus, sistēmas un piekļuves var atjaunot paredzētajā termiņā.

4. Kiberdrošība tiek uztverta kā viens rīks, nevis process

Pretvīrusu programma, ugunsmūris vai e-pasta filtrs ir vajadzīgi, bet ar tiem nepietiek. Moderni incidenti bieži sākas ar nozagtu paroli, viltotu rēķinu, maldinošu e-pastu vai ievainojamu mākoņkontu. Uzbrucējs ne vienmēr mēģina tehniski uzlauzt sistēmu - bieži vien viņš izmanto cilvēku, procesu vai nepamanītu konfigurācijas kļūdu.

Augošam uzņēmumam risks palielinās, kad tiek pieņemti jauni darbinieki, piesaistīti ārpakalpojumu partneri un ieviesti jauni digitālie rīki. Ja katra nodaļa patstāvīgi izvēlas programmatūru un glabā uzņēmuma informāciju savos kontos, vadība zaudē redzamību pār datu atrašanās vietu un drošības līmeni.

Efektīva aizsardzība veidojas slāņos. Tā ietver ierīču atjaunināšanu, e-pasta aizsardzību, daudzfaktoru autentifikāciju, drošas paroles, lietotāju apmācību, žurnālu uzraudzību un incidentu rīcības kārtību. Tomēr pārmērīga kontrole var kavēt darbu, ja drošības procesi ir sarežģīti vai neskaidri. Tāpēc noteikumiem jābūt samērīgiem ar risku un pielāgotiem uzņēmuma ikdienas darba plūsmai.

5. Nav skaidras atbildības par IT lēmumiem

Viens no dārgākajiem riskiem nav tehnisks. Tas rodas, ja nav skaidrs, kurš pieņem lēmumus par sistēmu prioritātēm, budžetu, drošību, piegādātājiem un nepārtrauktību. Mazā uzņēmumā šie jautājumi bieži nonāk pie finanšu vadītāja, operāciju vadītāja vai īpašnieka, kuram paralēli jāvada arī pamatbizness. Rezultātā IT attīstība kļūst sadrumstalota un tiek finansēta galvenokārt steidzamu problēmu novēršanai.

Šādā situācijā var rasties dublējošies rīki, nekontrolētas abonēšanas izmaksas, neskaidri līgumi un piegādātāju atkarība. Vēl nopietnāk - kritiska zināšana par sistēmām var atrasties pie viena darbinieka vai viena ārpakalpojuma sniedzēja bez dokumentācijas un pārņemšanas plāna.

Uzņēmumam nav obligāti jāveido pilna iekšējā IT nodaļa, lai iegūtu vadības līmeņa kontroli. Taču ir vajadzīga noteikta atbildība par tehnoloģiju virzienu: aktuāls sistēmu pārskats, risku reģistrs, budžeta plāns, piegādātāju pārvaldība un regulāra saruna ar vadību par prioritātēm. Ārējs IT direktors vai CIO konsultants šeit var būt praktisks risinājums, ja uzņēmumam vajadzīga stratēģiska kompetence bez pilna laika vadītāja izmaksām.

Kā pārvērst IT riskus pārvaldāmā plānā

Riska pārvaldība nav vienreizējs audits, ko noliek mapē līdz nākamajam gadam. Tā ir vadības disciplīna, kurā tehniskie lēmumi tiek sasaistīti ar biznesa sekām. Sāciet ar kritiskāko procesu kartēšanu: pārdošana, klientu apkalpošana, noliktava, ražošana, finanses vai profesionālo pakalpojumu sniegšana. Pēc tam noskaidrojiet, no kurām sistēmām, datiem un cilvēkiem šie procesi ir atkarīgi.

Nākamais solis ir noteikt prioritātes. Ne visus trūkumus jānovērš vienlaikus. Ja uzņēmums nespēj atjaunot klientu datu sistēmu, tas parasti ir steidzamāk nekā plānots iekārtu nomaiņas projekts. Ja piekļuves tiesības nav pārskatītas vairākus gadus, tas var būt ātrāk risināms nekā pilnīga infrastruktūras pārbūve. Labs IT audits palīdz atšķirt reālu biznesa risku no vienkārši novecojušas tehnoloģijas.

Svarīgi ir arī iepriekš vienoties par incidentu vadību. Kurš pieņem lēmumus, ja sistēma nav pieejama? Kā tiek informēti darbinieki, klienti un partneri? Kādi pakalpojumi jāatjauno vispirms? Šāds plāns bieži atklāj nepilnības, kuras ikdienā nav pamanāmas.

KSK IT praksē tehnoloģiju pārvaldība sākas ar uzņēmuma darbības mērķiem, nevis ar konkrēta produkta izvēli. Ja IT vide ir dokumentēta, uzraudzīta un sasaistīta ar nepārtrauktības plānu, izaugsme vairs nav jābalsta uz cerību, ka esošās sistēmas vēl kādu laiku izturēs. Tā kļūst par kontrolējamu procesu, kurā vadība var pieņemt lēmumus savlaicīgi, pirms risks kļūst par dīkstāvi.