Dine mest følsomme data befinder sig allerede uden for dit system

NYHEDER

Dine mest følsomme data befinder sig allerede uden for dit system

Dokumentstyring, eksternt samarbejde og det problem, som de fleste organisationer ikke tager fat på

Organisationer investerer store beløb i at sikre deres interne systemer. Der er fastlagt adgangskontrol. Arbejdsgangene er struktureret. Der er indført kryptering.

Men en stor del af disse data forbliver ikke internt.

Dokumenter deles eksternt med partnere, leverandører, tilsynsmyndigheder og revisorer som en del af den daglige drift. I SAP-miljøer sker dette løbende i forbindelse med indkøbsordrer, kvalitetsdokumenter, tekniske specifikationer, compliance-indberetninger og tekniske tegninger. Listen er lang, og mængden er betydelig.

Det betyder, at der allerede findes følsomme oplysninger uden for systemets grænser. Ikke på grund af et sikkerhedsbrud. Ikke på grund af en fejl. Men simpelthen fordi det er sådan, samarbejdet i virksomheden fungerer.

Udfordringen ligger ikke i at forhindre det. Den ligger i at håndtere det.

Hvor de traditionelle kontrolmetoder slutter

I SAP er dokumentstyringen velstruktureret. Adgangsrettigheder defineres på systemniveau, arbejdsgange sikrer ansvarlighed, og revisionslogfiler registrerer aktiviteter. Arkitekturen er udviklet med henblik på kontrol.

Men når et dokument deles eksternt – f.eks. sendes til en leverandør til gennemgang, videregives til en tilsynsmyndighed eller videresendes til en samarbejdspartner til godkendelse – følger den arkitektur ikke med.

Dokumentet forlader systemets rammer og dermed også den oversigt og kontrol, som systemet gav.

På det tidspunkt sker der typisk flere ting:

• Adgangsrettighederne gælder ikke længere på dokumentniveau. Når dokumentet er delt, kan det videresendes, downloades og videreformidles uden begrænsninger.
• Overskueligheden er begrænset. Der findes ofte ingen klar oversigt over, hvem der har åbnet dokumentet, hvornår det skete, eller hvad de har gjort med det.
• Sporbarheden går tabt. Hvis der senere opstår spørgsmål – i forbindelse med en revision, en overensstemmelseskontrol eller en sikkerhedsundersøgelse – er det vanskeligt, og nogle gange umuligt, at rekonstruere historikken for et dokument, der er blevet delt eksternt.

Dette er ikke en fejl i det interne system. Det skyldes blot, at systemet ikke er udviklet til at styre, hvad der sker uden for dets grænser.

At erkende, hvor styringen egentlig slutter

De fleste organisationer vil nok sige, at de har en dokumentstyring på plads. Og set ud fra systemet har de ret.

Spørgsmålet er, hvor langt denne styring rækker i praksis.

Hvis et dokument kan deles eksternt uden kontrolleret adgang, sporbar aktivitet eller et fuldstændigt revisionsspor, stopper styringen ved systemgrænsen. Alt, hvad der ligger ud over dette punkt, er ukontrolleret.

For mange organisationer skyldes denne mangel ikke, at man har overset den, men at man gik ud fra, at den interne styring var tilstrækkelig.

I stadig mere komplekse samarbejdsmiljøer – med flere partnere, flere lovkrav og flere dokumentgange – er den antagelse ikke længere holdbar.

Hvad der kræves for en effektiv ledelse uden for systemet

For at afhjælpe dette problem er det ikke nødvendigt at udskifte eksisterende SAP-arbejdsgange eller gøre de interne processer mere komplicerede. Det kræver derimod, at kontrollen udvides ud over systemgrænserne, så dokumenterne forbliver underlagt styring gennem hele deres livscyklus.

I praksis betyder det tre ting:

1. Kontrolleret deling
Når et dokument videregives eksternt, skal adgangen være klart defineret og håndhævelig – det vil sige, at det skal fremgå, hvem der må se det, hvor længe og på hvilke betingelser. Adgangen skal kunne tilbagekaldes, hvis omstændighederne ændrer sig.

2. Fuld sporbarhed
Hver eneste handling i forbindelse med dokumentet – adgang, download, videresendelse, ændring – bør registreres i et fuldstændigt revisionsspor, der følger dokumentet ud over systemet og ikke kun inden for det.

3. Løbende overblik
Styringsgrupper og dokumentansvarlige bør kunne følge med i, hvad der sker med dokumenterne i praksis, ikke kun i det øjeblik, de deles. Hvis der sker ændringer – f.eks. hvis en samarbejdspartner videresender et dokument til en utilsigtet modtager, eller hvis der sker adgang uden for de aftalte rammer – bør dette være synligt.

Der er allerede et ledelsesmæssigt tomrum

Dataene findes allerede uden for systemet. Det er ikke en fremtidig risiko. Det er en kendsgerning i dag for enhver organisation, der arbejder med tværsystematisk samarbejde.

Spørgsmålet er ikke, om man skal tage fat på det. Spørgsmålet er, hvor hurtigt en organisation kan gå fra blot at antage, at styringen rækker ud over SAP, til aktivt at sikre, at det også er tilfældet.

For effektiv dokumentstyring afhænger ikke af, hvor informationen befinder sig, men af, hvor godt den styres i praksis.