Digitalno vlasništvo: Skriveni rizik koji kompanije otkrivaju prekasno

Zamislimo da marketinški tim završava saradnju sa agencijom. Kampanje su i dalje aktivne, novi partner preuzima aktivnosti i na prvi pogled sve izgleda u redu.

Prvi problem pojavljuje se tek kada treba promeniti administratorska ovlašćenja. Glavni oglasni nalog otvoren je preko privatne adrese osobe koja više nije uključena u projekat. Agencija i dalje ima najviši nivo pristupa, dok kompanija ne može samostalno da upravlja istorijom kampanja, publikama koje je godinama gradila niti ključnim podešavanjima naloga.

Iako je finansirala kampanje i ulaganjima izgradila vrednu bazu podataka i publiku, kompanija nema punu kontrolu nad digitalnom imovinom koja je iz tog rada nastala.

Nije došlo do krađe lozinke niti sajber napada. Problem je nastao mnogo ranije, u trenutku kada je brzina pokretanja kampanje bila važnija od pitanja vlasništva nad nalogom i načina na koji će se njime upravljati nakon završetka saradnje.

Takvi problemi retko nastaju iznenada. Najčešće su posledica odluka koje su delovale bezazleno u trenutku kada su donete, ali su vremenom dovele do toga da kompanija izgubi pregled i kontrolu nad sopstvenim digitalnim resursima.

Za lidere koji vode marketing, prodaju, ljudske resurse, razvoj proizvoda ili sopstveni biznis, to nije tehničko pitanje. Reč je o kontinuitetu poslovanja, nezavisnosti od dobavljača i mogućnosti da kompanija u svakom trenutku upravlja resursima koje je godinama stvarala.

To što plaćate alat ne znači da zaista kontrolišete nalog

U današnje vreme, kompanije se oslanjaju na desetine eksternih platformi i servisa. Marketing koristi alate za oglašavanje i analitiku, prodaja CRM sisteme i dodatke za automatizaciju, HR cloud rešenja za zapošljavanje i upravljanje podacima zaposlenih, dok kreativni i razvojni timovi sve češće uvode AI asistente i automatizovane procese.

Mnoge od tih odluka donose se izvan IT sektora, često sa dobrim razlogom: potrebno je brzo rešiti konkretan poslovni problem i omogućiti timu da nastavi da radi.

Međutim, korišćenje nekog servisa ne znači automatski da kompanija njime zaista upravlja. Plaćena pretplata ne garantuje najviši nivo pristupa, kao što ni svakodnevni rad u nekoj platformi ne znači da će podaci moći lako da se preuzmu i prenesu kada kompanija odluči da promeni dobavljača.

Digitalna imovina kompanije mnogo je šira od sajta ili baze podataka. Ona uključuje domene, oglasne naloge, profile na društvenim mrežama, cloud skladišta, automatizacije, liste kontakata, analitiku i istoriju komunikacije sa korisnicima.

Rizik nastaje kada kompanija koristi ove resurse, ali nema jasan odgovor na osnovna pitanja: ko je otvorio nalog, čiji podaci su korišćeni za oporavak pristupa, ko ima administratorska prava i da li tim može nesmetano da nastavi rad ako osoba koja je prvobitno uvela alat više nije dostupna.

To više nije samo pitanje IT operacija. To je pitanje upravljanja digitalnim poslovanjem.

Digitalno vlasništvo u ovom kontekstu ne znači pravno vlasništvo nad platformama koje kompanija koristi. Ono znači sposobnost kompanije da u svakom trenutku upravlja sopstvenim nalozima, pristupima i podacima, kao i da bez prepreka promeni ili napusti sistem na koji se oslanja.

Pristup koji je danas opravdan sutra može postati rizik

Korisnička ovlašćenja se najčešće dodeljuju iz opravdanih poslovnih razloga. Zaposlenom je potreban pristup određenim dokumentima, agenciji da upravlja kampanjom, a konsultantu da radi sa projektnom dokumentacijom.

Problem nastaje kada se poslovna potreba promeni, ali pristup ostane isti.

Primer iz prakse: Block / Cash app investing

Kompanija Block je 2022. godine prijavila američkoj Komisiji za hartije od vrednosti da je bivši zaposleni, nakon odlaska iz kompanije, bez odobrenja pristupio izveštajima servisa Cash App Investing koji su sadržali podatke dela korisnika. Tim izveštajima je prethodno imao pristup u okviru svojih radnih obaveza.

Odlazak zaposlenog zato nije samo administrativna procedura. Neophodno je jasno utvrditi koji pristupi treba da budu ukinuti, ko je odgovoran za njihovu proveru i kako se potvrđuje da je proces zaista završen.

Isti princip važi i kod promena unutar kompanije. Zaposleni koji pređe na novu poziciju može dobiti nove dozvole, ali zadržati pristupe povezane sa prethodnim radnim mestom. Zbog toga bi ovlašćenja trebalo redovno preispitivati prilikom dolaska zaposlenih, promene uloge i njihovog odlaska iz kompanije.

Najveći rizik često nastaje između različitih funkcija. HR zna kada je saradnja završena, menadžer zna na kojim je projektima osoba radila, dok IT ima evidenciju o sistemima kojima se zvanično upravlja. Kada te informacije nisu povezane, digitalni pristupi mogu ostati aktivni dugo nakon što za njih više ne postoji poslovno opravdanje.

Moj okvir za proveru digitalne kontrole: četiri pitanja

U analitičkom i forenzičkom radu nije dovoljno utvrditi da je neki trag postojao. Potrebno je razumeti njegovo poreklo: ko ga je napravio, kroz koji sistem je nastao, na koje podatke se odnosi i kada je nastao. Isti princip primenjujem kada posmatram kontrolu kompanije nad sopstvenom digitalnom imovinom.

Prvo pitanje odnosi se na vlasništvo: kome nalog zaista pripada? Da li je povezan sa poslovnom adresom ili privatnim kontaktom? Ko kontroliše mejl adresu, broj telefona i mehanizme za oporavak pristupa? Može li kompanija samostalno da povrati nalog ako zaposleni, agencija ili dobavljač više nisu dostupni?

Drugo pitanje odnosi se na ovlašćenja: ko ima mogućnost da donosi promene? Nije isto da li korisnik može samo da pregleda sadržaj ili može da upravlja podešavanjima, dodaje nove korisnike, izvozi podatke i briše ključne resurse.

Treće pitanje je sadržaj: koji se podaci nalaze u sistemu i ko ima pristup njima? Iza naizgled jednostavnog alata mogu se nalaziti podaci o klijentima, finansijska dokumentacija, interne strategije, istorija kampanja ili veze sa drugim poslovnim servisima.

Četvrto pitanje je izlazak iz sistema: šta se dešava kada kompanija promeni dobavljača, prekine saradnju ili odluči da napusti platformu? Može li da preuzme podatke u upotrebljivom formatu? Ko uklanja postojeća ovlašćenja? Kako se potvrđuje da su uklonjene sve kopije i pristupi koji više nisu potrebni?

Kompanija nema punu digitalnu kontrolu samo zato što može da pristupi sistemu. Prava kontrola podrazumeva da zna ko upravlja njime, šta se u njemu nalazi i da može da ga napusti kada to odluči.

AI alat je nova destinacija poslovnih podataka

Generativna veštačka inteligencija ušla je u svakodnevni rad mnogo brže nego što su kompanije uspele da uspostave jasna pravila njenog korišćenja. Za razliku od tradicionalnih poslovnih sistema, često nije potreban dug proces implementacije: dovoljan je nalog i odluka pojedinca da se alat počne koristiti za rad sa poslovnim sadržajem.

Timovi danas koriste AI za sažimanje sastanaka, analizu ugovora, pripremu ponuda, uređivanje prezentacija, proveru programskog koda i obradu povratnih informacija klijenata. Međutim, svaki unos sadržaja u AI alat istovremeno predstavlja odluku o tome gde se podatak obrađuje, ko potencijalno ima pristup njemu i pod kojim uslovima ostaje sačuvan u sistemu.

Primer iz prakse: Samsung i ChatGPT

Koliko je tu granicu lako preći pokazao je slučaj kompanije Samsung iz 2023. godine. Nakon što su osetljivi interni podaci uneti u ChatGPT, kompanija je privremeno ograničila korišćenje generativnih AI alata na službenim uređajima dok ne uspostavi bezbednije okruženje.
Zaposleni su koristili dostupan alat da bi efikasnije završili posao, bez svesti da istovremeno odlučuju o kretanju poverljivih podataka.

Pre unošenja poslovnog sadržaja treba proveriti da li je alat odobren za poslovnu upotrebu, da li sadržaj uključuje podatke klijenata, zaposlenih ili partnera, da li je potreban ceo dokument ili samo njegov anonimizovani deo, te da li je poznato kako servis čuva i briše unesene podatke. Zaposlenima su potrebna pravila koja mogu da primene u trenutku odluke, a ne dokument koji će pročitati jednom godišnje.

Digitalno liderstvo ne zahteva tehničku ekspertizu

Lideri u marketingu, ljudskim resursima, finansijama, prodaji, razvoju proizvoda i operacijama svakodnevno donose odluke o alatima, dobavljačima i načinima rada svojih timova. Od njih se ne očekuje da konfigurišu bezbednosne sisteme niti da zamene ulogu IT stručnjaka.

Ali njihove odluke direktno utiču na to ko ima pristup poslovnim podacima, ko upravlja ključnim nalozima i koliko kompanija zavisi od eksternih servisa. Odgovorno digitalno upravljanje počinje pre potpisivanja ugovora, otvaranja naloga ili pokretanja projekta.

Tada je najlakše postaviti pitanja o vlasništvu, pristupima, podacima i mogućnosti izlaska iz sistema. Kada se bezbednosni tim uključi tek na kraju, mogućnosti za promene često su ograničene. Njegovo rano uključivanje omogućava kompaniji da izabere rešenje koje podržava brzinu poslovanja, ali istovremeno čuva kontrolu nad resursima od kojih zavisi.

Pregled digitalne kontrole može početi jednim sastankom

Za prvi korak nije potrebno kupovati novi sistem niti pokretati veliki bezbednosni projekat.

Dovoljno je na sledećem sastanku izdvojiti pet naloga bez kojih tim ne može da funkcioniše i za svaki odgovoriti na nekoliko osnovnih pitanja: ko je vlasnik naloga, na koju adresu je registrovan i ko kontroliše oporavak pristupa? Ko ima administratorska ovlašćenja? Koji podaci se u njemu nalaze? Može li kompanija samostalno da povrati pristup i da li zna kako bi preuzela podatke i uklonila ovlašćenja ukoliko promeni platformu ili partnera?

Ako odgovori nisu dostupni ni za tih pet naloga, kompanija je već identifikovala prve oblasti koje zahtevaju pažnju. Cilj ovakvog pregleda nije usporavanje korišćenja novih alata, već razumevanje onoga što organizacija zaista kontroliše. Prioritet bi trebalo da imaju nalozi sa najvišim nivoom pristupa, sistemi koji sadrže najosetljivije podatke i platforme od kojih zavise ključni poslovni procesi.

Kompanija nije digitalno otporna ako zavisi od tuđeg naloga

Poslovna otpornost počinje sposobnošću organizacije da nastavi rad kada zaposleni ode, agencija se promeni, ugovor prestane ili ključna platforma više nije dostupna.

Digitalna kontrola zato nije administrativni detalj. Ona određuje koliko kompanija zaista upravlja sopstvenim resursima, podacima i poslovnim procesima.

Pre uvođenja sledećeg alata ili angažovanja novog partnera nije dovoljno pitati koliko rešenje košta i koliko će ubrzati rad. Važnije pitanje je: da li kompanija zna ko kontroliše nalog, gde se nalaze podaci i kako može da promeni sistem kada to bude potrebno?

Cilj nije izbeći sve spoljne platforme i dobavljače. Cilj je koristiti ih uz jasnu kontrolu nad resursima koji su za poslovanje najvažniji.