SaaS-Stack Optimering (Fjernelse af Shadow IT)

Hvad er SaaS-Stack Optimering (Fjernelse af Shadow IT)? SaaS-Stack Optimering er arbejdet med at finde, vurdere og styre de cloudbaserede programmer, som en virksomhed betaler for eller bruger.

Shadow IT opstår typisk, når medarbejdere eller afdelinger køber software uden om virksomhedens normale indkøbs- og IT-processer. Det kan være et abonnement betalt med firmakort, en webtjeneste oprettet med arbejdsmail eller en app, som har fået adgang til virksomhedens data via login eller OAuth.

I danske virksomheder starter en SaaS-gennemgang derfor ofte med at samle data fra økonomisystem, firmakort, fakturaer, indkøb, identitetsplatforme og leverandørernes egne administrationsportaler. Netværks- og endpointdata kan supplere billedet ved at vise tjenester, som bruges uden at være registreret centralt.

Målet er ikke automatisk at blokere al Shadow IT. En ukendt tjeneste kan løse et reelt forretningsbehov. Opgaven er at afgøre, om tjenesten skal godkendes, erstattes, samles i en eksisterende platform eller udfases.

Typiske problemer er flere værktøjer med samme funktion, abonnementer uden en tydelig ejer, licenser til medarbejdere der er stoppet, premium-funktioner som ikke bruges og tjenester som automatisk bliver fornyet uden en ny vurdering.

Sikkerhed er en anden vigtig del. Ukendte SaaS-tjenester kan behandle virksomhedsdata uden at IT, informationssikkerhed eller jura har vurderet leverandøren. Derfor hænger SaaS-optimering ofte sammen med adgangsstyring, leverandørstyring, databeskyttelse og informationssikkerhed.

Microsoft Defender for Cloud Apps er et eksempel på et værktøj, der kan bruges til Shadow IT discovery. Microsoft beskriver Cloud Discovery som en metode til at identificere og analysere cloudapps, der bruges i organisationen. Økonomiske data er stadig nødvendige, hvis målet også er at finde skjulte abonnementer og reducere softwareforbruget.

En moden SaaS-stack har derfor både et økonomisk og et teknisk overblik. Virksomheden ved, hvilke tjenester der bruges, hvem der ejer dem, hvad de bruges til, hvordan de er købt, hvilke brugere der har adgang, og om de fortsat giver værdi.

Hvem arbejder med SaaS-Stack Optimering (Fjernelse af Shadow IT)? Fagområdet ligger mellem FinOps, Software Asset Management, IT Asset Management, indkøb, økonomi, informationssikkerhed og identity management.

En FinOps-specialist arbejder især med sammenhængen mellem SaaS-forbrug, omkostning og forretningsværdi. FinOps Foundation behandler SaaS og licenser som en del af moderne Technology Value Management og fremhæver blandt andet decentraliserede indkøb og køb via firmakort som en udfordring.

En Software Asset Management- eller IT Asset Management-specialist arbejder mere med softwarebeholdning, ejerskab, kontrakter, licensrettigheder og livscyklus. ISO/IEC 19770-1 er den centrale internationale standard for et struktureret IT Asset Management-system.

Informationssikkerhedsfolk bliver relevante, når ukendte tjenester skal risikovurderes. Identity- og Microsoft 365-specialister kan blandt andet analysere enterprise applications, OAuth-adgang og Cloud Discovery for at finde applikationer, som ikke indgår i den godkendte SaaS-portefølje.

Indkøb og vendor management bliver vigtige, når dublerende systemer skal konsolideres, kontrakter skal ændres, eller nye indkøbsregler skal forhindre, at Shadow IT vokser igen.

En selvstændig specialist passer ofte godt til en afgrænset kortlægning, analyse eller oprydning. Et større bureau eller konsulenthus er mere relevant, når opgaven samtidig kræver kontraktforhandling, sikkerhedsgennemgang, implementering af SaaS management-værktøjer eller etablering af en fælles governance-model på tværs af organisationen.

Kurser og uddannelser i SaaS-Stack Optimering Der findes ikke én enkelt uddannelse, som alene dækker SaaS-stack optimering og Shadow IT. Kompetencen bygges normalt ved at kombinere FinOps, Software Asset Management og cloud security.

FinOps Certified: Technology Value fra FinOps Foundation er et direkte relevant spor. Uddannelsen omfatter modulet FinOps for SaaS & Licensing, som kan tages som et selvstændigt træningsmodul eller indgå i den samlede certificering.

FinOps Certified Practitioner er et relevant fundament for personer, der skal arbejde med teknologiforbrug, økonomisk ansvar og samarbejdet mellem IT, økonomi og forretning.

IAITAM Certified Software Asset Manager, CSAM, er relevant for den klassiske Software Asset Management-del. Kurset fokuserer blandt andet på softwarelivscyklus, licenser, compliance og omkostningsstyring.

Microsoft Learn-modulet Secure your cloud apps and services with Microsoft Defender for Cloud Apps er relevant for den tekniske Shadow IT-del. Modulet gennemgår blandt andet Cloud Discovery og kontrol med cloudapps.

SC-900: Microsoft Security, Compliance, and Identity Fundamentals kan bruges som grundlæggende Microsoft-spor, hvis man mangler forståelse for identitet, adgang, sikkerhed og compliance. Det er ikke en SaaS-optimeringscertificering i sig selv.

Den vigtigste praktiske træning er at arbejde med virkelige SaaS-data. Man skal kunne sammenholde udgifter, kontrakter, brugerdata, loginaktivitet, ejerskab og forretningsbehov og derefter afgøre, hvilke tjenester der skal beholdes, konsolideres eller fjernes.

Standardværker og ressourcer om SaaS-Stack Optimering FinOps Framework og området Licensing & SaaS er blandt de mest relevante faglige ressourcer til den økonomiske del. FinOps Foundation beskriver konkret samarbejdet mellem FinOps, ITAM, SAM, indkøb, sikkerhed, jura og identity management omkring SaaS.

FinOps Foundations vejledning FinOps for SaaS er særlig relevant for Shadow IT. Den behandler decentraliserede softwareindkøb, firmakort, SaaS discovery, licensudnyttelse, kontrakter og rationalisering af applikationsporteføljen.

ISO/IEC 19770-1 er standardværket for den bredere IT Asset Management-disciplin. Standarden beskriver kravene til et ledelsessystem for styring af IT-aktiver gennem deres livscyklus.

CIS Controls er en praktisk sikkerhedsreference. CIS Control 2 handler om at etablere og vedligeholde et softwareinventar og håndtere ikke-godkendt software. CIS Control 15 handler om styring og registrering af eksterne service providers.

Microsoft Defender for Cloud Apps-dokumentationen er en central teknisk reference, når Shadow IT skal opdages via cloudaktivitet. Den beskriver Cloud Discovery, risikovurdering af cloudapps og håndtering af godkendte og ikke-godkendte tjenester.

Bogen Cloud FinOps af J.R. Storment og Mike Fuller er et anerkendt grundværk for FinOps-tankegangen. Til den konkrete SaaS- og Shadow IT-opgave er FinOps Foundations nyere SaaS-vejledninger dog mere direkte anvendelige, fordi området og indkøbsmodellerne ændrer sig løbende.