Jak zapanować nad wszystkimi naszymi aplikacjami SaaS?

Dlaczego tak się dzieje

Warto zobaczyć, że nikt nie zrobił niczego złego. Rozrost SaaS jest wbudowany w sposób, w jaki sprzedaje się te narzędzia.

Dwadzieścia lat temu wdrożenie nowego oprogramowania biznesowego oznaczało zamówienie zakupu, instalację przez IT i rozmowę o budżecie. Dziś marketer może mieć uruchomione nowe narzędzie analityczne przed obiadem, opłacone prywatną kartą albo założone za darmo na firmowe konto Google lub Microsoft. Tarcie, które kiedyś to spowalniało, zniknęło, i to z dobrego powodu: pozwala twoim zespołom działać szybko.

Druga strona medalu jest taka, że każdy zespół podejmuje te decyzje niezależnie. Sprzedaż, marketing, finanse, HR i inżynieria wybierają własne narzędzia, i nie ma jednego miejsca, gdzie te decyzje są zapisywane. Pełna lista istnieje więc tylko we fragmentach: kilka subskrypcji na jednej karcie, darmowy trial, który po cichu stał się standardem zespołu, narzędzie, które ktoś podpiął pod wspólny kalendarz i o nim zapomniał.

Kilka mechanizmów sprawia, że to narasta po cichu:

• Każdy może coś uruchomić. Wystarczy karta płatnicza albo darmowy plan. Bez zatwierdzenia, bez zapisu.
• „Zaloguj się przez Google" zaciera ślad. Gdy ktoś używa firmowego loginu Google albo Microsoft, żeby dostać się do nowej aplikacji, nie powstaje żadna faktura i finanse nigdy tego nie widzą, ale aplikacja może wciąż mieć dostęp do odczytu poczty, plików albo kalendarza.
• Narzędzia rzadko są wyłączane. Subskrypcje odnawiają się automatycznie. Darmowe konta zostają otwarte na zawsze. Nikt nie jest wyznaczony do porządków, więc nic nie jest porządkowane.
• Ludzie odchodzą, konta zostają. Gdy ktoś odchodzi, jego mail i laptop zostają wyłączone, ale aplikacja, na którą zapisał się poza głównym systemem, może utrzymać jego konto aktywne.

Efektem jest środowisko, którego nikt nie zaprojektował. To normalny stan rosnącej firmy i da się go naprawić.

Trzy problemy, które to tworzy

Nie musisz śledzić każdej aplikacji, żeby się tym przejąć. Musisz wiedzieć, ile niezarządzany rozrost kosztuje biznes. Sprowadza się to do trzech rzeczy.

1. Zmarnowane pieniądze

Zdublowane narzędzia to ten oczywisty problem: dwa zespoły płacą za dwa trackery projektów robiące to samo, trzy różne subskrypcje wideo albo e-podpisu, platforma analityczna, której nikt już nie otwiera. Mniej oczywiste jest płacenie za miejsca, z których nikt nie korzysta. Wiele aplikacji rozlicza się za osobę, a licencje osób, które odeszły albo nigdy naprawdę nie zaczęły korzystać z narzędzia, wciąż są rozliczane co miesiąc. Żadna pojedyncza pozycja nie jest duża, ale w skali dziesiątek subskrypcji sumują się do znaczącej kwoty, niewidocznej, bo nikt nie patrzy na cały obraz.

2. Bezpieczeństwo i ekspozycja danych

To ten problem powinien przykuć uwagę lidera, i jest prostszy, niż brzmi. Każda aplikacja, na którą zapisuje się twój zespół, może skończyć z firmowymi informacjami w środku: listami klientów, kontraktami, danymi finansowymi, danymi pracowników, planami produktowymi. Gdy narzędzie zostaje przyjęte bez sprawdzenia przez kogokolwiek, nie masz pojęcia, czy ten dostawca dobrze chroni twoje dane, gdzie je przechowuje ani czy ma podpisane właściwe umowy.

Warto po prostu nazwać dwie konkretne luki. Pierwsza to konta byłych pracowników. Gdy ktoś odchodzi, aplikacje, na które zapisał się poza głównym loginem, mogą utrzymać jego dostęp aktywny, a te otwarte konta to częsty sposób, w jaki dane wychodzą drzwiami. Druga to aplikacje połączone. Gdy ktoś klika „Zaloguj się przez Google" albo „Połącz z Microsoft", często przyznaje nowemu narzędziu uprawnienie do odczytu poczty, plików albo kontaktów. To uprawnienie nie wygasa, gdy przestaje korzystać z narzędzia, a zwykle nikt nie pilnuje tej listy.

Na mocy przepisów europejskich (RODO) odpowiadasz też za dane osobowe, które twoi dostawcy przetwarzają w twoim imieniu, w tym za podpisaną umowę z każdym z nich. Nie da się spełnić tego obowiązku wobec dostawców, o których korzystaniu nawet nie wiesz.

3. Brak pojęcia, kto co widzi

Gdy klient, audytor, ubezpieczyciel albo twój własny zarząd zapyta „kto ma dostęp do naszych danych klientów i czy to tylko właściwe osoby", chcesz umieć odpowiedzieć. Przy niezarządzanym rozroście zwykle nie potrafisz, bo dane żyją w aplikacjach, których w pełni nie zmapowałeś, a dostęp był rozdawany nieformalnie przez lata.

To tyle samo podstawowa kontrola operacyjna, co kwestia compliance. Wiedza o tym, kto może sięgnąć po co, to fundament zaufania do własnych systemów, a więksi klienci coraz częściej pytają o to, zanim podpiszą z tobą umowę.

Prosta droga do kontroli

Nie potrzebujesz dużego programu. Potrzebujesz czterech kroków, po kolei. Każdy z nich możesz zlecić swojej osobie od IT albo liderowi operacji, i każdy daje coś, na co faktycznie możesz spojrzeć.

Krok 1: ustal, co faktycznie masz

Wszystko zaczyna się od uczciwego inwentarza: jednej listy każdej aplikacji faktycznie w użyciu. Haczyk w tym, że żadne pojedyncze źródło nie ma pełnego obrazu, więc listę buduje się, czerpiąc z kilku miejsc i łącząc je:

• Główny system logowania (Google Workspace, Microsoft albo podobny) pokazuje aplikacje, które przez niego przechodzą.
• Lista połączonych aplikacji w tym samym systemie pokazuje narzędzia, które ludzie podpięli loginem Google albo Microsoft, i często jest dłuższa, niż ktokolwiek się spodziewa.
• Zapisy finansowe pokazują, za co się płaci firmowymi i działowymi kartami.
• Pytanie liderów zespołów wprost wydobywa narzędzia, które nigdzie indziej się nie pojawiają.

Połącz to w jedną listę. Sam ten krok otwiera oczy i zwykle zajmuje dni, nie miesiące. Niczego jeszcze nie oceniasz, po prostu zapalasz światło.

Krok 2: zdecyduj, co jest zatwierdzone

Teraz spójrz na listę i posegreguj ją. Większość aplikacji trafia do trzech koszyków: wyraźnie w porządku i kluczowe dla biznesu, wyraźnie zbędne albo nieużywane, oraz nieznane, wymaga sprawdzenia. Dla tych, które trzymają realne dane (klientów, finansowe albo pracownicze), pytania są proste: czy ufamy temu dostawcy, czy mamy z nim właściwą umowę i czy ktoś faktycznie za to odpowiada.

Wynikiem jest krótka, zatwierdzona lista narzędzi, plus stos „już niepotrzebne" na Krok 4. Nie zakazujesz rzeczy, świadomie decydujesz, co należy do biznesu.

Krok 3: przepuszczaj nowe rejestracje przez lekki proces

Rozrost wracał za każdym razem, gdy firmy go sprzątały, bo nie było ścieżki dla kolejnego narzędzia. Więc daj ludziom taką ścieżkę. Może to być tak proste jak krótki formularz albo wiadomość na jeden kanał: „chcę zacząć używać X do Y". Ktoś rzuca na to szybkie okiem, zwłaszcza jeśli narzędzie dotknie danych klientów, i albo zatwierdza, albo podsuwa narzędzie, za które już płacicie.

Poprzeczka jest tu celowo niska. Proces, z którego można skorzystać w dwie minuty, jest przestrzegany. Ciężka brama zatwierdzeń jest omijana, i wracasz do punktu wyjścia. Chodzi o zapis i szybkie sprawdzenie zdrowego rozsądku, nie o komisję.

Krok 4: usuń to, co nieużywane

Na koniec zajmij się stosem „już niepotrzebne". Anuluj zdublowane i uśpione subskrypcje. Zamknij konta osób, które odeszły. Odłącz aplikacje, z których nikt już nie korzysta, a które wciąż mają uprawnienia do twojej poczty albo plików. Tu wraca zmarnowany budżet i zamykają się największe luki bezpieczeństwa, a efekty są natychmiastowe i widoczne.

Potem utrzymuj to lekko na przyszłość: szybki przegląd listy raz albo dwa razy w roku, z procesem rejestracji z Kroku 3 robiącym resztę. Lista pozostaje aktualna, bo nowe narzędzia przepływają przez jedne drzwi, zamiast pojawiać się znikąd.

O co zapytać swoją osobę od IT

Nie musisz sam tego wszystkiego prowadzić. Musisz zadawać dobre pytania i rozpoznawać dobre odpowiedzi. Krótka lista:

• „Czy mamy jedną listę każdej aplikacji SaaS, z której korzystamy, i kiedy była ostatnio aktualizowana?"
• „Jak znaleźlibyśmy aplikację, na którą zespół zapisał się, nam nie mówiąc?"
• „Gdy ktoś odchodzi, jak upewniamy się, że jego dostęp do każdej aplikacji jest zamknięty, nie tylko mail i laptop?"
• „Które aplikacje trzymają dane naszych klientów i czy mamy właściwe umowy z tymi dostawcami?"
• „Gdyby klient albo audytor zapytał, kto ma dostęp do danych naszych klientów, czy umielibyśmy dziś odpowiedzieć?"
• „Co się dzieje, gdy ktoś chce nowego narzędzia? Czy jest prosty sposób, żeby zapytać, czy ludzie po prostu zaczynają czegoś używać?"

Jak wygląda dobry stan

Poznasz, że masz to pod kontrolą, gdy prawdziwych stanie się kilka prostych rzeczy:

• Istnieje jedna aktualna lista aplikacji, z których korzysta biznes, i ktoś odpowiada za jej aktualność.
• Nowe narzędzia przechodzą przez szybką, mało uciążliwą ścieżkę rejestracji, więc lista pozostaje dokładna, nikogo nie spowalniając.
• Gdy ktoś odchodzi, jego dostęp jest zamykany wszędzie, nie tylko w oczywistych miejscach.
• Potrafisz wskazać aplikacje trzymające wrażliwe dane i pokazać, kto za każdą z nich odpowiada.
• Budżet odzwierciedla narzędzia, z których faktycznie korzystasz, po wyczyszczeniu duplikatów i martwych subskrypcji.

Nic z tego nie wymaga perfekcji. Firma, która spełnia większość tych punktów, jest w dużo lepszej formie niż przeciętna, a różnica widać w niższych kosztach, mniejszej liczbie niespodzianek i zdolności do pewnej odpowiedzi na pytanie o dostęp.

Źródła

• Beyond Identity, ankieta „The Great Resignation and account access" (2022, deklaracje własne) · https://www.beyondidentity.com/resources (potwierdza 83% pracowników, którzy zachowują dostęp do konta u byłego pracodawcy)
• Komisja Europejska, „Data protection under GDPR" · https://commission.europa.eu/law/law-topic/data-protection_en (potwierdza odpowiedzialność za dostawców przetwarzających dane osobowe i potrzebę umów)
• Art. 28, Rozporządzenie (UE) 2016/679 (RODO), obowiązki podmiotu przetwarzającego, EUR-Lex · https://eur-lex.europa.eu/eli/reg/2016/679/oj (potwierdza wymóg umowy powierzenia z każdym dostawcą przetwarzającym dane osobowe)