Narzędzia AI wchodzą do firm przez konta prywatne. Uporządkowanie dostępów jest zwykle pierwszym realnym działaniem w obszarze zgodności.
Konta firmowe
Zakładane na adresy firmowe, w wersji dla organizacji. To warunek zarówno kontroli danych, jak i odebrania dostępu przy odejściu pracownika.
Wersja dla organizacji daje panel administracyjny, a razem z nim widok na to, kto z narzędzia korzysta, i możliwość ustawienia reguł dla wszystkich naraz. Bez tego panelu każde ustawienie zależy od pojedynczego pracownika. Powody, dla których konta prywatne są problemem, sprowadzają się w dużej części właśnie do braku takiego widoku.
Nadawanie dostępu
Powiązane ze stanowiskiem, nie z prośbą. Dostęp nadany wszystkim na wszelki wypadek to koszt bez pokrycia i rozszerzone ryzyko.
Prosta reguła: lista stanowisk, przy każdym narzędzia, do których dostęp jest domyślny. Wniosek spoza listy rozpatruje jedna osoba i zapisuje decyzję. Dzięki temu nikt nie musi negocjować dostępu przy każdym zatrudnieniu.
Odbieranie
Wpisane w procedurę zakończenia współpracy razem z pocztą i systemami. Konta AI są przy tej okazji pomijane najczęściej.
Powód jest prozaiczny. Poczta i system handlowy są na liście od dawna, a narzędzia AI doszły później i nikt listy nie uzupełnił. Wystarczy dopisać je raz. Warto przy tym ustalić, co dzieje się z historią zapytań odchodzącej osoby — przeniesienie, usunięcie albo zachowanie na czas ustalony.
Rozliczanie kosztów
Podział opłat na działy pokazuje, gdzie narzędzie jest realnie używane. To także podstawa decyzji o rozszerzeniu albo ograniczeniu.
Bez tego podziału faktura jest jedną pozycją i nie da się z niej niczego wyczytać. Z podziałem widać, że jeden dział używa narzędzia codziennie, a inny kupił licencje i o nich zapomniał.
Narzędzia nieautoryzowane
Pracownicy będą próbowali nowości. Lepiej mieć ścieżkę zgłoszenia i szybkiej oceny niż zakaz, który zamienia użycie w niewidoczne.
Ścieżka może być bardzo prosta: zgłoszenie do jednej osoby, sprawdzenie warunków usługi, decyzja w kilka dni. Ważne, żeby odpowiedź przychodziła szybko, bo pracownik czekający tygodniami znajdzie sposób obok. Każde dopuszczone narzędzie trafia potem do rejestru zastosowań.
Przegląd
Raz na pół roku: kto ma dostęp, kto z niego korzysta, komu można go odebrać. Zwykle okazuje się, że część licencji jest nieużywana.
Przegląd dostępów jest też najtańszym sposobem sprawdzenia, czy spisane zasady mają jeszcze związek z rzeczywistością. Lista kont mówi o tym więcej niż ankieta.
Kiedy porządkowanie dostępów wystarcza
W małej firmie, która korzysta z jednego albo dwóch narzędzi, uporządkowanie kont załatwia większość tematu zgodności. Powstaje panel administracyjny, wiadomo kto z czego korzysta, da się ustawić reguły centralnie i odebrać dostęp przy odejściu. Budowanie wokół tego rozbudowanych procedur, zanim pojawi się trzecie narzędzie, jest pracą na zapas. Lepiej zacząć od kont, a resztę dopisywać wtedy, gdy pojawi się do tego powód.
