Na styku różnych środowisk

CRN Z jakich rozwiązań informatycznych korzysta na co dzień Państwa firma?

Paweł Ellerik Jesteśmy firmą konsultingową, która zajmuje się ochroną danych, głównie osobowych. Korzystamy z gotowych, powszechnie dostępnych narzędzi dużych dostawców. Są to przede wszystkim systemy do współpracy, komunikacji, wymiany dokumentów, dzielenia przestrzeni dyskowych. Wykorzystujemy rozwiązania typu Google Drive, JIRA, Confluence, Google Meet, iCloud, Slack itp. Korzystamy z dostępów klasy enterprise, oferujących wyższy poziom funkcjonalności niż wersje darmowe czy dla użytkowników domowych. Wykorzystujemy też system CRM do zarządzania relacjami z klientami. Tylko jedną aplikację stworzyliśmy sami – dopasowaną do bardzo specyficznych potrzeb naszej branży. Służy do zarządzania dokumentacją.

Jak te gotowe rozwiązania sprawdzają się w Państwa pracy?

Odpowiadają w pełni na nasze potrzeby. Jedyna rzecz, z którą się nieustannie zmagamy, to integrowanie naszych narzędzi z narzędziami używanymi przez klienta, któremu świadczymy usługę konsultacyjną. Konsulting wymaga stałych kanałów komunikacyjnych, wspólnej pracy na tych samych danych i dokumentach, współdzielenia przestrzeni dyskowych i rejestrów. Tymczasem firmy mają swoje polityki bezpieczeństwa, swoje zasady dostępu do danych osobowych, które są często przedmiotem naszego doradztwa. Mają do tego szyte na miarę własnych potrzeb rozwiązania informatyczne. To sprawia, że jako firma konsultingowa musimy indywidualnie podchodzić do wyboru narzędzia do współpracy z klientem. Staramy się zawsze dostosowywać do warunków i potrzeb klienta. W efekcie jako zespół pracujemy w ramach różnych systemów informatycznych, w zależności od projektów, co wymaga szczególnej troski o bezpieczeństwo.

Czy klienci obawiają się o bezpieczeństwo swoich zasobów w zetknięciu z wykorzystywanymi przez was rozwiązaniami chmurowymi?

Nie, to nie jest tak, że nasze narzędzia oferują niższy poziom zabezpieczeń niż narzędzia używane przez klientów. Problem polega na tym, że nasze rozwiązania nie są często uwzględnione w procedurach funkcjonujących u klientów. Jeżeli firma używa SharePointa od Microsoftu, to wydzielenie wspólnego obszaru dostępu i komunikacji, gdy my korzystamy z rozwiązań Google’a, wymaga ustępstw, pójścia na kompromis, dostosowania się do warunków konkretnego, pojedynczego projektu. Często wiąże się to z koniecznością dostosowania się przez nas do infrastruktury ICT funkcjonującej u klienta. Tego typu wyzwania są typowe dla wielu firm konsultingowych.

A jak w praktyce radzicie sobie z ich rozwiązywaniem?

Zazwyczaj wchodzimy do środowiska klienta we współpracy z jego działem IT, który nam przydziela odpowiednie dostępy do swoich zasobów. Często wymaga to tworzenia polityk dostępu, które zawierają zasady korzystania przez naszych konsultantów z rozwiązań stosowanych w firmie, której świadczymy usługi. To wymaga wspólnych ustaleń, uzgodnień, zapisów. Czasami okazuje się, że nie jest wcale tak łatwo te dostępy uzyskać, bo klienci mają bardzo rygorystyczne, precyzyjnie sformułowane zasady. Idealna sytuacja jest wtedy, gdy wspólnie z klientem używamy tych samych narzędzi. To się też zdarza. Zdarza się też, że polityki dostępu u klientów są bardziej elastyczne, co pozwala łatwiej ustalić zasady współpracy. W pojedynczych przypadkach to my wpuszczamy klienta do swojego środowiska, na przykład gdy firma, dla której pracujemy, ma mniej dojrzałą infrastrukturę.

Czy posiadacie własny dział IT?

Rolę działu IT pełni dla nas jedna ze spółek w naszej grupie. Zajmuje się ona też tworzeniem oprogramowania na zamówienie zewnętrznych podmiotów z wolnego rynku. Infrastruktura informatyczna, z której korzystamy, jest wspólna dla wszystkich trzech spółek naszej grupy. Wszyscy korzystają z tych samych rozwiązań, dostosowanych do konkretnych potrzeb biznesowych czy skonfigurowanych pod wymagania realizowanych projektów. Centralizacja IT w swego rodzaju shared services jest dobrym rozwiązaniem, zarówno pod względem organizacyjnym, biznesowym jak i bezpieczeństwa. Rozdzielenie przyniosłoby więcej problemów niż korzyści.

Czy ta sama spółka stworzyła również dla was aplikację, o której wspomniał Pan na początku? Do czego ona służy?

Tak, autorem aplikacji LexDigital App jest spółka AppVerk, powiązana z LexDigital. Aplikacja ta pozwala zarządzać danymi osobowymi w organizacji. Wykorzystywana jest jako element naszej usługi konsultingowej – klienci dostają w pakiecie dostęp do tego oprogramowania.

Skąd pomysł na jego stworzenie?

Z obserwacji rynku. Zauważyliśmy, że jest zapotrzebowanie na tego typu rozwiązanie. Wcześniej mało kto zwracał uwagę na to, jak jest prowadzona dokumentacja zarządzania danymi osobowymi. Gdy pojawiło się RODO, okazało się, że na rynku brakuje narzędzi do obsługi tego typu zadań. Jeśli były, to zazwyczaj bardzo rozbudowane systemy dedykowane dla działów cyberbezpieczeństwa albo działów compliance. A RODO wymaga zaangażowania osób, które mają tylko wiedzę ze swojej dziedziny, na przykład marketingu, ale są w stanie dostarczyć informacji komuś, kto sprawuje nadzór nad systemem ochrony danych osobowych. Dla takich osób powstała nasza aplikacja. To oprogramowanie zapewnia prosty interfejs do komunikacji między inspektorem ochrony danych a pracownikami innych działów. W formie odpowiedzi na pytania użytkownicy wprowadzają do systemu dane, których analiza pozwala na przypisanie odpowiednich wag ryzyka.

Na co głównie stawiacie planując rozwój środowiska informatycznego?

Automatyzujemy procesy w zakresie analizy ryzyka. Stosujemy obecnie algorytmy, dzięki którym możemy oceniać ryzyko w różnych firmach z różnych branż według jednej, tej samej metodyki. To element naszej aplikacji LexDigital App. Chcemy ją w przyszłości rozbudowywać o kolejne funkcje, by jak najwięcej rzeczy związanych z ochroną danych osobowych można było wykonać przy pomocy tego jednego oprogramowania. Będziemy dalej doskonalić mechanizmy automatycznego wykrywania ryzyka w procesach, w których przetwarzane są dane osobowe. Konsulting ma to do siebie, że wymaga indywidualnego podejścia do każdego przypadku. To utrudnia automatyzację, ale jeśli uda się ją zastosować, efekty są znaczące. Warunkiem jest, by całość obsługiwanych procesów była dostępna w środowisku cyfrowym.

Czy są obszary działalności, w których współpracujecie z zewnętrznymi firmami informatycznymi, zamawiacie produkty lub usługi na rynku?

Zarówno nasze wewnętrzne potrzeby, jak i większość prac wykonywanych dla naszych klientów, są obsługiwane przez wspomnianą już spółkę pełniącą rolę naszego wewnętrznego działu IT. Natomiast zdarza nam się współpracować z firmami zewnętrznymi z branży IT przy projektach klienckich, w których musimy uzupełnić kompetencje naszego zespołu. Bywa tak, że część zadań jest realizowana przez nasze spółki, a część przez rynkowych partnerów technologicznych. Pomagamy klientom wybierać odpowiednie rozwiązania i dostawców, którzy je zrealizują. Szukamy wtedy odpowiednich partnerów do współpracy. Tak było na przykład niedawno w projekcie, w którym jeden z komponentów dotyczył rzeczywistości rozszerzonej.

Na co w pierwszym rzędzie zwracacie uwagę przy ocenie oferty?

Kluczowa jest kwestia rekomendacji oraz doświadczenia, jakim wykazuje się brany przez nas pod uwagę podmiot. Rzadko podejmujemy współpracę z kimś, kto dopiero zaczyna budować swoje portfolio. Wiem, że to może być krzywdzące dla firm, które dopiero startują, ale kryterium doświadczenia jest dla nas decydujące. Dlatego dokładnie weryfikujemy opinie o potencjalnym partnerze. Tym bardziej, że rzadko się zdarza, aby nie można było tego zrobić. Prawie zawsze możemy znaleźć wspólnych znajomych, którzy już mieli kontakt z oferentem lub wiedzą, kogo można o niego wypytać.

Czy są szczególne kryteria oceny bezpośrednio w kontaktach z oferentami?

Ważny jest dla nas sposób, w jaki firma podchodzi do konstruowania oferty. I nie chodzi tu wcale o cenę. Liczy się dla nas to, w jaki sposób zadaje pytania i zbiera informacje. Na tej podstawie możemy ocenić, czy zna się na rzeczy i czy wie, o co nam faktycznie chodzi, czy rozumie problem, dla którego potrzebujemy rozwiązania. Nierzadko jest tak, że oferent nas jeszcze dobrze nie poznał, a już składa propozycję swojego produktu czy usługi. Dla nas jest to propozycja bezwartościowa. Z drugiej strony jest też wiele ciekawych ofert, które trafiają do nas z rynku, ale nie jesteśmy w stanie z nich skorzystać, bo pojawiają się w nieodpowiednim czasie, kiedy akurat nie mamy potrzeb w tym zakresie.

Jak w takim razie można do was skutecznie trafić z ofertą?

Ważne jest pozycjonowanie firmy, budowanie jej wizerunku i odbioru wśród klientów. Gdy będziemy potrzebowali konkretnego rozwiązania, to wtedy będziemy wiedzieli do kogo się udać, kto jest godny zaufania. To lepsza droga niż zasypywanie nas ofertami.

Rozmawiał Andrzej Gontarz