Zanim kupisz kolejne narzędzie — pięć pytań o to, które masz

Rozmowa o nowym narzędziu zaczyna się zwykle od objawu: coś nie działa, ktoś czegoś nie widzi, coś się gubi. Wniosek pada szybko i brzmi „potrzebujemy systemu do…”.

W większości przypadków, które oglądam, firma ma już narzędzie, które to robi. Nie zostało tylko dokończone: włączono je w trybie próbnym, żeby niczego nie zablokować, i tak zostało. Albo skonfigurowano połowę funkcji, bo reszta wymagała decyzji, których nikt nie podjął.

Nowe narzędzie w takim środowisku trafia dokładnie w to samo miejsce.

Pięć pytań

1. Czy narzędzie, które mamy, jest skończone?

Najczęstszy przypadek: system bezpieczeństwa działający wyłącznie w trybie monitorowania. Włączono go „na próbę”, żeby nie zablokować pracy, i nikt nie wrócił do przełączenia na blokowanie.

Formalnie firma ma ochronę. Realnie ma powiadomienia, których nikt nie czyta.

Sprawdzenie zajmuje kwadrans: wejść do konsoli i zobaczyć, w jakim trybie działa oraz kiedy ostatnio ktoś reagował na wykrycie.

2. Czy ktokolwiek do tego zagląda?

Narzędzie, które raportuje do skrzynki, do której nikt nie zagląda, nie jest zabezpieczeniem — jest kosztem.

Pytanie praktyczne: kto konkretnie ma obowiązek zareagować i w jakim czasie. Jeżeli odpowiedź brzmi „no, wszyscy widzą”, to znaczy, że nikt.

3. Czy problem jest technologiczny, czy organizacyjny?

To pytanie ratuje najwięcej pieniędzy.

„Gubią się zgłoszenia” bywa problemem braku systemu zgłoszeń — ale znacznie częściej jest problemem tego, że zgłoszenia przychodzą pięcioma kanałami naraz: telefonem, mailem, komunikatorem, na korytarzu i przez osobę trzecią. System nie naprawi kanału, którym się go omija.

Podobnie „nie wiemy, kto co ma” bywa problemem braku ewidencji, ale częściej problemem tego, że sprzęt kupuje ktoś inny niż ten, kto go konfiguruje, i nikt nie przekazuje informacji.

4. Czy to nie robi się już w czymś, za co płacimy?

Pakiety biurowe zawierają dziś znacznie więcej, niż firmy z nich biorą: uwierzytelnianie wieloskładnikowe, podstawowe reguły ochrony danych, zarządzanie urządzeniami, archiwizację poczty, proste obiegi dokumentów.

Zanim dojdzie kolejna subskrypcja, warto sprawdzić, czy funkcja nie jest już opłacona. Zdarza się to częściej, niż wygodnie przyznać sprzedającemu.

5. Kto będzie tym administrował za rok?

Każde narzędzie ma koszt utrzymania: aktualizacje, konta, przeglądy, reakcja na alerty. Jeżeli nie ma odpowiedzi na pytanie, kto to robi, narzędzie po pół roku dołącza do listy rzeczy działających w połowie.

To pytanie eliminuje więcej zakupów niż cztery poprzednie razem.

Kiedy zakup jest właściwy

Nie chodzi o to, żeby nie kupować. Chodzi o kolejność. Zakup ma sens, gdy:

• to, co jest, zostało skończone i nadal brakuje konkretnej rzeczy,
• brakująca rzecz jest nazwana czynnością, a nie kategorią produktu („chcemy widzieć, kto pobrał plik z dysku” zamiast „chcemy DLP”),
• wiadomo, kto będzie tego używał i kto administrował,
• da się powiedzieć, po czym poznamy, że narzędzie działa.

Ostatni punkt jest testem na całość. Jeżeli nie da się opisać, jak wygląda sukces, to nie da się też zauważyć porażki — a narzędzie będzie działać w połowie przez kolejne trzy lata.

Jak to wygląda w praktyce

Typowa rozmowa kończy się jednym z trzech wyników:

Zakup odpada, bo funkcja jest w czymś, co już mamy — tylko wyłączona.

Zakup zostaje odłożony, bo najpierw trzeba dokończyć to, co jest, i dopiero wtedy widać, czego naprawdę brakuje.

Zakup zostaje, ale w innym zakresie niż pierwotnie — zwykle mniejszym, czasem zupełnie innym produktem.

Każdy z tych trzech wyników jest lepszy od kupienia czegoś, co za pół roku będzie działać w trybie próbnym obok trzech innych rzeczy w trybie próbnym.