71 889 05 60
Cień na hali produkcyjnej. Co pracownicy robią za plecami działu IT?
Czas czytania: 8 min
Wprowadzenie do shadow IT
Żyjemy w czasach niemal nieograniczonego dostępu do darmowych narzędzi cyfrowych, które są bardzo często wspierane przez sztuczną inteligencję. Ta powszechność sprawia, że chętnie po nie sięgamy. Robimy to, gdy szukamy sposobów na podniesienie efektywności naszej pracy. Kiedy pracownicy zaczynają wdrażać takie rozwiązania na własną rękę bez wiedzy i zgody działu IT to nieświadomie narażają firmę na ryzyko. Takie nieautoryzowane korzystanie z technologii określane jest mianem shadow IT. W tym artykule przeanalizuję przyczyny i opiszę konkretne przykłady tego zjawiska. Zwrócę też uwagę, jak firmy produkcyjne mogą skutecznie się przed nim zabezpieczyć.
Jakie są przykłady shadow IT w firmie?
Shadow IT w aplikacjach
- Korzystanie z własnych komunikatorów do bieżącej komunikacji w firmie.
- Korzystanie ze stron internetowych (przeglądarki internetowe czy edytory grafik).
- Instalowanie na urządzeniach służbowych nieautoryzowanych aplikacji (unauthorized applications) firm trzecich (third-party software) bez zgody kierownictwa IT lub SOC (Security Operations Center).
Shadow IT w chmurze
- Cloud storage: korzystanie z prywatnych usług chmurowych do przechowywania firmowych plików.
- Shadow AI: niewłaściwe wykorzystywanie narzędzi sztucznej inteligencji, do których pracownicy wprowadzają poufne dane firmy lub swoich kontrahentów.
- Używanie własnej poczty e-mail celem wysyłania dokumentów firmowych.
- Przechowywanie plików i danych firmowych na prywatnych urządzeniach i kontach.
Shadow IT w systemach
- Rozbudowane i pełne makr arkusze Excel, których logika działania jest znana wyłącznie ich twórcy.
- BYOD (Bring Your Own Device): wykorzystywanie przez pracowników prywatnych smartfonów, komputerów czy pamięci przenośnych do celów służbowych, bez odpowiedniego zabezpieczenia ich przez dział IT.
Shadow IT w projektach
- Używanie narzędzi i aplikacji podczas prowadzania projektów, które są niezgodne z metodologią projektową lub standardem w firmie.
- Korzystanie z starych systemów, które zostały zastąpione nowymi rozwiązaniami.
Dlaczego pracownicy w firmach produkcyjnych używają nieoficjalnego oprogramowania?
Sięganie po oprogramowania stron trzecich (third-party software) czyli takich, które nie są głównym producentem urządzeń, na których pracują pracownicy nie wynika ze złej woli, ale z konkretnych barier, na jakie natrafiają pracownicy.
- Presja czasu i pogoń za efektywnością: w większości firm zwykle panuje presja czasu, aby powierzone zadania wykonywać szybciej i efektywniej. Pracownicy, by sprostać wyznaczonym celom oraz aby wykonywać zadania szybciej sięgają po inne dostępne i darmowe rozwiązania.
- Przestarzała infrastruktura IT: w wielu firmach produkcyjnych używane są stare i wolne rozwiązania IT, które cechują się małą elastycznością, skomplikowaniem i brakiem wielu funkcjonalności, które ograniczają pracę pracowników.
- Opór przed zmianą: wynika z lęku pracowników przed nowymi i wydajniejszymi rozwiązaniami, które są wdrażane w firmach. Pracownicy wolą używać znane już im i przetestowane systemy oraz rozwiązania IT.
- Niska świadomość zagrożeń: jest efektem braku odpowiednich szkoleń podnoszących świadomość zagrożeń, jakie niesie nieumiejętne stosowanie narzędzi IT.
Czym grozi shadow IT?
- Ryzyko związane z bezpieczeństwem danych (Data Insecurity): ryzyko związane z wyciekiem danych firmowych lub kradzieżą własności intelektualnej.
- Niespójność danych (Data Inconsistency): dane o procesach na hali, klientach czy technologiach są rozbieżne w systemach IT. Powodów takiej sytuacji jest wiele, ale wynikają one głównie z braku automatyzacji i synergii procesów wewnątrz firmy.
- Ryzyka prawne i finansowe: występuje, gdy istnieje brak zgodności z przepisami RODO/GDPR, co prowadzi do poważnych kar finansowych dla organizacji.
- Ryzyko kluczowego pracownika (Key Man Risk): nagłe odejście pracownika korzystającego z własnych narzędzi może sparaliżować firmę i zatrzymać procesy produkcyjne, bo nikt inny nie ma dostępu do jego danych i wiedzy.
- Brak wsparcia technicznego: nieautoryzowane aplikacje nie są wspierane przez dział IT. Gdy dojdzie do ich awarii, utracone dane nie będą mogły być odzyskane.
- Nierentowne inwestycje: nakłady finansowe, które organizacja ponosi na implementację nowoczesnych rozwiązań IT, nie przynoszą oczekiwanych korzyści, ponieważ pracownicy z przyzwyczajenia nadal korzystają ze starych rozwiązań.
Jak poradzić sobie i zabezpieczyć przed shadow IT na produkcji?
Najskuteczniejszą metodą walki z tym zjawiskiem przez firmy produkcyjne jest podnoszenie świadomości bezpieczeństwa IT (IT security awareness) wśród swoich pracowników. Zaznaczyć muszę, że pracownicy rzadko łamią bezpieczeństwo firmy celowo i z własnej woli. Jeśli już do tego dojdzie, to zazwyczaj, gdy szukają różnych rozwiązań, które podniosłyby efektywność ich pracy. Zatem polityka IT nie powinna opierać się wyłącznie na zakazach, lecz na wspieraniu innowacyjności swoich pracowników. Aby to osiągnąć, organizacje powinny zwrócić uwagę na kilka ważnych aspektów:
- Współpraca i dialog: zarząd i dział IT muszą blisko współpracować z pracownikami produkcji, aby dobrze rozumieć ich realne potrzeby w odniesieniu do narzędzi cyfrowych.
- Dedykowane szkolenia: edukowanie zespołu w postaci warsztatów, by pracownicy zrozumieli, jak z pozoru ich niewinne działanie może zagrozić bezpieczeństwu całej firmy.
- Szybkie dostarczanie alternatyw: dział IT powinien sprawnie reagować na zgłoszenia i dostarczać bezpieczne, oficjalne odpowiedniki narzędzi, których potrzebuje produkcja.
- Jasne procedury i komunikacja wizualna: tworzenie prostych instrukcji OPL (One Page Lesson) oraz wykorzystanie infografik lub plakatów na hali produkcyjnej.
- System nagradzania: zachęcanie pracowników do zgłaszania luk w systemach oraz propozycji nowych narzędzi.
- Monitorowanie i wsparcie: ciągły monitoring sieci oraz powołanie Ambasadorów IT na produkcji. Pozwoli to na szybką identyfikację problemu oraz zgłaszanie potrzeb bezpośrednio z hali produkcyjnej.
Jak rozwiązania DSR 4FACTORY wspierają eliminację shadow IT?
Firmy powinny dostarczać pracownikom takie systemy, które automatycznie zabezpieczają dane produkcyjne w autoryzowanych i bezpiecznych lokalizacjach. Rozwiązania DSR 4FACTORY właśnie budują taką synergię między procesami a tym samym eliminują problem niespójności danych (data inconsistency) oraz potrzebę szukania narzędzi na własną rękę:
- APS 4FACTORY: zaawansowane narzędzie do precyzyjnego harmonogramowania i planowania, które pozwala całkowicie wyeliminować używanie tak popularnych w ręcznym planowaniu arkuszy Excel oraz podejmować decyzje w oparciu o aktualne dane w firmie.
- MES 4FACTORY: ogranicza używanie dodatkowych narzędzi do komunikacji i weryfikacji aktualnego postępu realizacji produkcji. Czas realizacji, aktualny status, awarie czy postoje są na żywo widoczne przez wszystkich uprawnionych do używania pracowników.
- CMMS+EAM 4FACTORY: redukuje potrzebę używania wielu różnych systemów celem przechowywania danych o terminach przeglądów czy historii napraw oraz informacji o zasobach w firmie. Wszystkie te informacje są dostępne w jednym miejscu. Całość dostępna dodatkowo w aplikacji mobilnej, która usprawnia komunikację między pracownikami produkcji a działem utrzymaniem ruchu w aspekcie zgłaszania awarii.
- AI 4FACTORY: pracownicy otrzymują inteligentne rekomendacje optymalizacyjne dla planów produkcyjnych na podstawie aktualnych danych w zakładzie. Wspiera zadania oparte na analizie danych. Całość bez ryzyka wycieku wrażliwych informacji na zewnątrz.
Podsumowanie
To, czy problem shadow IT okaże się dla organizacji zagrożeniem, czy impulsem do rozwoju, zależy wyłącznie od samej firmy. Wraz z trwającą rewolucją postępu sztucznej inteligencji wyeliminowanie shadow IT w przyszłości na pewno będzie trudne. Kluczem do sukcesu nie mogą być kolejne zakazy, które spotęgują problem, a mądre zarządzanie zasobami oparte na otwartości, współpracy i zaufaniu do pracowników.
Tylko w ten sposób można skutecznie zniwelować ryzyko i zbudować bezpieczne środowisko pracy, w którym technologia będzie wspierała ludzi, a nie stanowiła zagrożenia. Priorytetem powinno być oczywiście szybkie identyfikowanie shadow IT, potrzeb pracowników oraz zapewnienie im odpowiednich narzędzi pracy. Ważne jest, by firmy produkcyjne zawsze traktowały to zjawisko poważnie, zapobiegały mu i nie czekały do momentu wystąpienia poważnych konsekwencji.
Dowiedz się więcej o rozwiązaniach DSR 4FACTORY
Przeczytaj także:
Zarządzanie zmianą w organizacji
Cyberbezpieczeństwo w branży produkcyjnej: od ochrony danych do gwarancji ciągłości operacyjnej
5 grzechów głównych wdrażania systemu ERP dla firm produkcyjnych
Iluzja efektywności nowoczesnych firm produkcyjnych – problem niewidoczny w raportach
Odnosi się do sytuacji, w której pracownicy w firmie wykorzystują w celach służbowych prywatne i niezabezpieczone przez IT narzędzia BYOD (Bring Your Own Device), oprogramowania lub inne aplikacje. Co ważne, takie użycie odbywa się bez akceptacji i wiedzy wewnętrznego zespołu IT. Zwykle robią to chcąc poprawić komfort oraz jakość swojej pracy oraz przyspieszyć realizację powierzonych zadań. Co ważne, takie postępowanie zwykle niesie za sobą duże ryzyko narażenia bezpieczeństwa IT firmy i związane z tym konsekwencje.
Shadow AI to stosunkowo nowa odmiana szeroko opisanego w artykule zjawiska shadow IT. Powstała jako odpowiedź na nagły wzrost popularności sztucznej inteligencji w ostatnich latach. Związana z użyciem narzędzi opartych na technologii AI w sposób niezgodny z polityką bezpieczeństwa firmy.
W dobie ogromnego wzrostu popularności sztucznej inteligencji jest obecnie znacznie trudniejsze do zidentyfikowania i niesie za sobą o wiele większe ryzyko. O ile standardowe aplikacje łatwo wykryć na komputerach służbowych, o tyle korzystanie z zewnętrznych narzędzi AI wymyka się spod kontroli. To czyni to zjawisko bardziej niebezpiecznym. Sprawia, że będzie ono jednym z największych wyzwań dla zapewnienia bezpieczeństwa organizacji oraz systemów monitorowania shadow IT w przyszłości.
W przypadku wystąpienia shadow IT konsekwencje dla organizacji są niemal pewne. Jest tylko kwestią czasu, kiedy organizacje mogą odczuć jego skutki. Uderzają najbardziej w takie obszary:
- Utrata kontroli przez firmy nad własnymi danymi. Istnieje bardzo duże ryzyko związane z kradzieżą, sprzedażą lub wyciekiem poufnych danych firmy, ale i jej kontrahentów.
- Firmy narażają się na przestoje w produkcji, a w konsekwencji ogromne straty finansowe.
- Ogromne kary finansowe i odpowiedzialność karna za nieprzestrzeganie polityki RODO (Rozporządzenie o Ochronie Danych Osobowych)/ GDPR (General Data Protection Regulation).
Z perspektywy produkcji identyfikowanie shadow IT w aplikacjach przez kierownika bywa wyzwaniem, ale jest jak najbardziej możliwe. Korzystanie z nieautoryzowanych aplikacji jest najszybciej zauważalne poprzez obserwację stanowisk pracy. Sygnałem ostrzegawczym może być sytuacja, gdy pracownicy korzystają z prywatnych urządzeń, zapisują w nich dane lub otwierają w przeglądarkach nieodpowiednie strony internetowe.
Warto też zwrócić uwagę na sam wygląd i jakość generowanych raportów. Jeśli szata graficzna dokumentów oraz zawarte w nim dane wyglądają zbyt idealnie to sugerować może na użycie nierekomendowanych rozwiązań lub narzędzi AI. Może też zaistnieć sytuacja odwrotna, gdy wyniki i jakość pracy jest nieadekwatne do możliwości, jakie dają dostępne rozwiązania. Często występuje, kiedy firma wdroży nowoczesne systemy informatyczne. Pracownicy są mocno przywiązani do starych rozwiązań, z których bez wiedzy przełożonych nadal korzystają.
Codzienne rozmowy z pracownikami o ich wykonywanej pracy są tu bardzo pomocne. Podczas nich pracownicy mogą naturalnie zasugerować, iż korzystają z innych rozwiązań niż te które oferuje im firma.
Chciałbym tu przy okazji podkreślić ponownie ważny aspekt. Wykrycie takich praktyk nie powinno oznaczać wyciągania konsekwencji czy karania zespołu. Dla każdego kierownika powinien to być przede wszystkim sygnał, że obecne narzędzia systemowe są niewystarczające i naturalnie pracownicy szukają dodatkowych rozwiązań.
Dobrze skonstruowany regulamin powinien jasno określać, z jakich aplikacji IT oraz sztucznej inteligencji (AI) można korzystać, a które są zabronione. Musi jasno określać i uświadomić pracowników, jakie negatywne konsekwencje dla firmy może przynieść używanie niezatwierdzonych przez dział IT narzędzi. Jednocześnie zapisy w regulaminie powinny zachęcać do kreatywności. Wskazywać, komu zgłaszać własne pomysły oraz jak będą one nagradzane. Niejasno napisany i sformułowany dokument może całkowicie zablokować innowacyjność pracowników, co na pewno pogłębi problem shadow IT w organizacji.
Krótkoterminowo – jak najbardziej. Z punktu widzenia samych procesów produkcyjnych korzyści widać od razu. Pracownicy na hali mogą szybciej reagować na awarie i sprawniej wymieniać się informacjami. Jednak w dłuższej perspektywie takie „samowolne” wdrażanie narzędzi rodzi ogromne ryzyko. Może skończyć się potężnymi stratami finansowymi, karami prawnymi, utratą reputacji, a w skrajnych przypadkach nawet bankructwem firmy.
Choć shadow IT w komunikacji i systemach produkcyjnych kojarzy się głównie z zagrożeniem, warto spojrzeć na nie jak na cenny sygnał. Pokazuje ono wprost, że oficjalne narzędzia oferowane przez firmę są niewystarczające. Zamiast więc przymykać oko na te praktyki tylko dlatego, że „teraz działają”, lepiej potraktować je jako impuls do realnych zmian w procesach i standardach organizacji.
