Upplýsingatæknistjórnun: Hvað er það nú eiginlega?

Það er auðvelt að hugsa um upplýsingatækni sem eitthvað sem „bara virkar“; Tölvur, net, netþjónar og hugbúnaður sem eiga að styðja við daglegan rekstur. En þegar eitthvað bregst, til dæmis þegar aðgangar hætta að virka, afrit vantar eða þjónusta liggur niðri, kemur oft í ljós að enginn ber raunverulega ábyrgð eða hefur heildaryfirsýn.

Þar kemur upplýsingatæknistjórnun (IT Governance) til sögunnar. Hún snýst ekki um að bæta við óþarfa flækjustigi eða skrifa langar stefnur, heldur um að tryggja að tæknin styðji reksturinn á öruggan, skilvirkan og ábyrgan hátt.

Hvað felst í upplýsingatæknistjórnun?

Upplýsingatæknistjórnun er í raun rammi um ábyrgð, ákvarðanatöku og forgangsröðun í tækniumhverfi fyrirtækisins. Hún snýst um að svara spurningunum:

Hver ber ábyrgð á hverju?
Hvernig eru ákvarðanir teknar um tæknimál?
Hvernig er tryggt að fjárfestingar í tækni nýtist rekstrinum og auki öryggi?

Í einföldu máli: upplýsingatæknistjórnun er leið til að tryggja að upplýsingatæknin þjóni fyrirtækinu - ekki öfugt.

Helstu þættir upplýsingatæknistjórnunar

1. Stefna og ábyrgð

Upplýsingatæknimál þurfa stefnu eins og önnur mikilvæg svið rekstursins. Það þarf að liggja fyrir hver ber ábyrgð, hvaða markmið eru sett og hvernig þau styðja við heildarstefnu fyrirtækisins. Þegar þessi ábyrgð er óljós skapast tómarúm - ákvarðanir eru teknar eftir tilfinningu eða „hver hefur tíma“.

Dæmi: Í litlu framleiðslufyrirtæki sér þjónustuaðili um tölvukerfið. Þegar vandamál kemur upp veit enginn hvert skuli leita, er það þjónustuaðilinn eða starfsmaður innanhúss sem ber ábyrgð? Með einfaldri stefnu og skilgreindri ábyrgð verður ferlið skýrara og tafir minnka.

2. Áhættustjórnun

Enginn rekstur er án áhættu og það á líka við um tæknina. Áhættustjórnun felur í sér að skoða hvað gæti farið úrskeiðis, hversu líklegt það er og hvaða afleiðingar það hefði. Markmiðið er ekki að útrýma allri áhættu, heldur að vita hvar hún er til þess að geta tekið upplýstar ákvarðanir.

Dæmi: Fyrirtæki geymir mikilvæg skjöl í tölvunni hjá einum starfsmanni. Ef tölvan bilar tapast gögnin. Með einfaldri áhættugreiningu hefði komið í ljós að þörf væri á sameiginlegu skýjageymslukerfi.

3. Aðgangsstýring og öryggi

Það er mikilvægt að vita hver hefur aðgang að hverju, og hvers vegna. Aðgangsstýring tryggir að aðeins þeir sem þurfi aðgang fái hann og að hann sé endurskoðaður reglulega. Þetta snýst ekki bara um lykilorð, heldur einnig um heimildir, skjöl, kerfi og net.

Dæmi: Starfsmaður hættir en notandaaðgangurinn hans er enn virkur mánuði síðar. Starfsmaðurinn hefði ekki átt að halda aðgangi að gögnum en það var ekkert skýrt ferli um að loka aðganginum. Með einföldu aðgangsstýringaferli hefði þetta ekki þurft að gerast.

4. Viðbúnaður og rekstraröryggi

Þegar bilun eða árás á sér stað á spurningin ekki að vera hvort heldur hversu fljótt hægt er að bregðast við og koma rekstrinum aftur í gang. Viðbúnaður felur í sér afritun, endurheimtuáætlanir og æfingar sem tryggja að allir viti hvað þeir eiga að gera.

Dæmi: Lítið fyrirtæki varð fyrir gagnatapi eftir bilun í netþjóni. Það átti engin nýleg afrit og því þurfti að pikka inn nokkra mánuði af bókhaldi. Með einfaldri afritunaráætlun hefði tjónið verið lítið.

5. Fræðsla og menning

Tæknin getur verið góð, en menningin ræður úrslitum. Ef starfsmenn skilja ekki af hverju öryggi skiptir máli eða líta á það sem fyrirhöfn þá nýtist engin tækni sem skyldi. Fræðsla þarf að vera einföld, regluleg og tengd raunverulegum aðstæðum.

Dæmi: Starfsmaður fékk tölvupóst sem virtist koma frá forstjóra og opnaði viðhengi sem reyndist innihalda óværu. Ef fyrirtækið hefði sinnt árlegri netöryggisfræðslu hefði starfsmaðurinn mögulega þekkt viðvörunarmerkin.

6. Eftirlit og umbætur

Upplýsingatæknistjórnun er ekki verkefni sem klárast. Kerfi, fólk og ferlar breytast, og eftirlit tryggir að stjórnin haldist í takti við raunveruleikann. Regluleg yfirferð, svo sem einu sinni á ári, getur komið í veg fyrir að vandamál safnist upp.

Dæmi: Fyrirtæki lenti í innbroti í gegnum gamla VPN gátt sem hafði ekki verið uppfærð árum saman. Með því að hafa skjalað ferli fyrir uppfærslur hefði mögulega verið hægt að tryggja að VPN gáttin yrði ekki útundan.

Af hverju upplýsingatæknistjórnun skiptir máli

Upplýsingatæknistjórnun er ekki bara fyrir stór fyrirtæki eða þau sem starfa í viðkvæmum geirum. Hún snýst í grunninn um að tryggja stjórn, yfirsýn og ábyrgð og að tæknin styðji við reksturinn í stað þess að skapa óvissu.

Þegar enginn hefur heildaryfirsýn verða ákvarðanir oft handahófskenndar:

Þjónustuaðili velur lausn sem hentar honum best, ekki endilega fyrirtækinu.
Starfsmenn vista gögn þar sem þeim hentar hverju sinni.
Aðgangar gleymast opnir þegar fólk hættir.
Enginn veit hvort afrit virkar - fyrr en það er of seint.

Þetta eru ekki óalgeng vandamál. Þau koma upp hjá fyrirtækjum aftur og aftur og flest má rekja til skorts á skýrri stjórnun, ekki tækninni sem er notuð.

Helstu ávinningar

Þegar upplýsingatæknistjórnun er komin á sinn stað, verða áhrifin oft strax sýnileg:

Betri yfirsýn og minni óvissa - stjórnendur vita hvar gögn eru, hver hefur aðgang og hver ber ábyrgð.
Skilvirkari ákvarðanir - ferlar og ábyrgð draga úr töfum og endurteknum mistökum.
Lægri rekstraráhætta - með afritun, viðbragðsáætlunum og reglulegu eftirliti er auðveldara að koma rekstri fljótt aftur í gang.
Traust við viðskiptavini og samstarfsaðila - sýnir að fyrirtækið vinnur faglega með gögn og öryggi.
Betri nýting fjárfestinga í tækni - því auðveldara er að velja og viðhalda lausnum sem raunverulega styðja reksturinn.

Í einföldu máli: Upplýsingatæknistjórnun er grunnurinn sem öll önnur öryggis- og rekstrarstjórnun byggir á. Hún tryggir að fyrirtækið viti hvað það á, hvernig það er varið og hvernig bregðast skal ef eitthvað fer úrskeiðis.

Hvernig hægt er að byrja

Að koma upplýsingatæknistjórnun á laggirnar þarf ekki að vera flókið. Flest fyrirtæki eru þegar með marga hluti á góðum stað, það sem vantar hinsvegar oft er að þeir séu skjalfestir eða formlega skilgreindir. Fyrsta skrefið er því að fá yfirsýn: hvað er til staðar og hvað vantar.

Nokkur einföld upphafsskref:

Gerðu lista yfir kerfi og þjónustur. Það er ótrúlegt hversu oft fyrirtæki vita ekki alveg hvaða kerfi þau nota eða hver á viðkomandi aðgang. Byrjaðu á einföldum lista yfir helstu kerfi, þjónustur og ábyrgðaraðila.
Skilgreindu ábyrgð og hlutverk. Hver ber ábyrgð á upplýsingatækni og öryggismálum? Það þarf ekki að vera sérstakur deildarstjóri - það getur verið stjórnandi eða sá sem heldur utan um ferlana í daglegu starfi.
Skjalfestu það sem skiptir máli. Hvar eru lykilgögn, hvernig eru þau varin, hver sér um afritun og hvernig er brugðist við ef eitthvað bilar? Það þarf ekki að vera langt eða flókið - það þarf bara að vera til.
Tryggðu grunnöryggi. Sterk lykilorð, tvíþætt auðkenning (MFA), reglulegar uppfærslur og skýr ferli fyrir aðgangsstýringu gera meira gagn en flest flókin kerfi.
Endurmetið reglulega. Tæknin breytist hratt. Það sem dugði í fyrra dugar ekki endilega í ár. Að skoða ferla, aðganga og áhættur einu sinni á ári getur komið í veg fyrir meiriháttar vandamál.

Hvernig Verjumst getur hjálpað

Verjumst var hannað til að hjálpa fyrirtækjum að taka þessi skref á einfaldan, hagnýtan máta. Kerfið leiðir fyrirtæki í gegnum grunnatriði upplýsingatæknistjórnunar - frá öryggisráðstöfunum og áhættumati til viðbragðsáætlana og skjölunar.

Markmiðið er ekki að flækja hlutina, heldur að gera öryggi og stjórnarhætti skiljanlega og framkvæmanlega fyrir þau fyrirtæki sem hafa hvorki tíma né sérstaka sérfræðinga í húsinu.

Því öflug upplýsingatæknistjórnun byrjar ekki á flóknum lausnum - hún byrjar á skýrleika.