Shadow IT в клубах

Shadow IT в клубах редко начинается с желания нарушить правила. Администратор заводит личную таблицу, потому что так быстрее вести очередь. Тренер создает чат с клиентами, потому что официальная CRM неудобная. Управляющий ставит «свой» Wi-Fi роутер, потому что в кабинете плохо ловит сеть. Маркетолог выгружает базу в личное облако, чтобы срочно отправить рассылку подрядчику.

Проблема в том, что удобные обходные пути быстро становятся невидимой инфраструктурой. В них появляются персональные данные клиентов, доступы, договоренности и рабочие процессы, о которых ИТ и владелец бизнеса не знают. Пока все спокойно, это кажется гибкостью. При увольнении, утечке или проверке выясняется, что бизнес не контролирует важную часть своих данных.

Где Shadow IT встречается чаще всего

Первое место - мессенджеры. В чатах оказываются телефоны клиентов, фотографии документов, скриншоты оплат, списки детей, медицинские ограничения, договоренности по абонементам. Часть таких данных может относиться к персональным, а иногда и чувствительным. Если чат личный, компания не управляет доступом и не знает, кто сохранил историю.

Второе место - личные облака и таблицы. Сотруднику надо быстро поделиться расписанием, выгрузкой из 1С или базой лидов, и он использует привычный аккаунт. Потом сотрудник увольняется, ссылка остается открытой, а файл продолжает жить вне компании.

Третье - сетевое оборудование. «Свой» роутер в кабинете администратора, усилитель Wi-Fi от маркетплейса, непонятная точка доступа для тренеров. Такие устройства могут обходить гостевую сеть, открывать лишний доступ во внутреннюю сеть или просто создавать помехи.

Четвертое - сервисы без согласования: формы записи, рассылки, мини-CRM, боты, конструкторы лендингов. Они могут быть полезны, но если никто не проверил доступы, договоры и обработку данных, риск остается на бизнесе.

Почему запреты не работают

Можно выпустить приказ «ничего не использовать без согласования». На практике это редко помогает. Люди обходят правила не потому, что любят риск, а потому что официальный процесс медленный или неудобный. Если клиент ждет ответа, сотрудник выберет рабочий способ, даже если он небезопасен.

Поэтому начинать лучше не с наказаний, а с вопросов: какие задачи сотрудники закрывают обходными инструментами, почему официальные системы не помогают, где процесс тормозит. Иногда решение простое: добавить шаблон в CRM, настроить доступ к общей папке, сделать нормальный гостевой Wi-Fi, подключить телефонию к карточкам клиентов.

Без удобной альтернативы Shadow IT возвращается. Запретили личное облако - файлы ушли в другой мессенджер. Заблокировали роутер - сотрудники раздают интернет с телефона. Безопасность должна поддерживать работу, а не только закрывать двери.

Как провести мягкую инвентаризацию

Хороший первый шаг - не аудит с обвинениями, а спокойный опрос по площадкам. Какие таблицы ведете? Где храните документы? Какие чаты есть с клиентами? Кто ведет рассылки? Какие устройства подключены к сети? Какие сервисы используете для записи, оплат, расписаний?

Важно заранее сказать, что цель - не наказать, а понять реальность. Иначе сотрудники скроют самое интересное. После сбора списка можно разделить инструменты на группы: оставить и оформить, заменить безопасной альтернативой, закрыть сразу, разобрать отдельно.

Параллельно стоит обновить инвентаризацию ПК и серверов и сетевую схему. Неизвестное устройство в сети - такой же Shadow IT, как неизвестная таблица с клиентами.

Персональные данные: зона особого внимания

Клубы и фитнес часто работают с данными клиентов: ФИО, телефон, дата рождения, абонементы, посещения, иногда медицинские ограничения или данные детей. Поэтому личные облака и мессенджеры с такими данными опасны не только технически, но и юридически.

Не надо превращать каждого администратора в юриста. Достаточно понятных правил: какие данные нельзя отправлять в личные чаты, где хранить документы, как передавать файлы подрядчикам, кто имеет доступ к выгрузкам, что делать при увольнении. Подробнее о базовой теме мы писали в статье про 152-ФЗ для фитнеса и SPA.

Если подрядчик получает данные клиентов, нужна проверка договоров и каналов передачи. Ссылка «у кого есть URL, тот видит файл» не должна быть стандартным способом обмена.

Wi-Fi и личные роутеры

Сетевой Shadow IT особенно неприятен, потому что его сложно заметить без осмотра. Личный роутер может создать вторую сеть с простым паролем, соединить гостевой сегмент с внутренним или оставить старую прошивку с уязвимостями.

Решение - нормальная Wi-Fi-архитектура: гостевая сеть отдельно от внутренних сервисов, сеть для сотрудников с контролем доступа, понятное покрытие в кабинетах, запрет на самостоятельное подключение оборудования. Если людям нужен интернет в конкретной зоне, лучше решить проблему покрытия, чем воевать с роутерами.

Здесь помогают услуги по сетям и инфраструктуре и регулярные обходы площадок. Иногда достаточно один раз привести шкаф и точки доступа в порядок, чтобы половина обходных решений исчезла.

Вместо заключения

Shadow IT - это сигнал, что официальные инструменты не закрывают реальные задачи или закрывают их неудобно. Навести порядок можно без охоты на ведьм: найти обходные процессы, дать безопасные альтернативы, оформить нужные сервисы, закрыть опасные исключения и объяснить правила простым языком.

Если хотите провести такую ревизию по клубу или сети площадок, напишите нам. Поможем отделить полезные инициативы сотрудников от рисков, которые лучше убрать сразу.