Personne au siège social ne peut dire qui a été en mesure de poster comme l'entreprise.
Onze équipes de marché, onze ensembles d’outils et une feuille de calcul de mots de passe partagés qui avaient survécu à trois personnes sur elle.
Snapshot
- Segment
- EntrepriseLogistique mondiale
- Taille de l'équipe
- 31Partout sur 11 marchés + équipe de marque centrale
- Canaux
- 44LinkedIn, YouTube, X, Facebook, Instagram local
- Temps avant la valeur
- 12 semainesContrôle de sécurité, pilote, déploiement complet
Accès par rôles sur 11 espaces de travail du marché
01 — La situation
Avant
Ce n'est pas une entreprise qui manquait de procédé, c'est une entreprise dont le processus s'est arrêté à la frontière de chaque marché.
Onze marchés avaient chacun leur propre présence sociale, qui était le bon appel — un message à propos d'un nouveau terminal dans un pays n'est pas intéressant dans un autre, et les équipes locales connaissaient leur public. Chaque marché a choisi son propre outil de planification, ou utilisé aucun. Chaque marché détenait ses propres identifiants.
L'équipe centrale de la marque des lignes directrices du siège social, a distribué une trousse d'actifs trimestriels, puis découvre ce qui a été publié en regardant les chaînes comme tout autre membre du public. Quand un poste régional a besoin de correction, la correction est sortie par courriel à une liste de distribution et a été appliquée à quelle vitesse le marché l'a appliqué.
Les informations d'identification ont rendu l'équipe de sécurité mal à l'aise. L'accès à un canal d'entreprise était un nom d'utilisateur et un mot de passe dans une feuille de calcul sur un disque partagé, distribué à ceux qui en avaient besoin. Six feuilles de calcul existaient à travers le groupe. Quand quelqu'un a quitté l'entreprise, son ordinateur portable a été récupéré et son e-mail a été désactivé, et le mot de passe qu'ils savaient être restés tout aussi valides que la semaine précédente.
02 — La friction
Ce que cela coûtait
L'exposition n'était pas hypothétique et le rapport était obsolète de six semaines par conception.
Un audit d'accès interne a été tenté et n'a pas pu être terminé. Trois canaux ont été trouvés sans propriétaire actuel identifiable — comptes créés depuis des années de campagne toujours en vie, toujours portant le nom de la société, toujours accessible par tous ceux qui avaient déjà reçu la feuille. La vérification n'a pas pu déterminer le nombre de personnes détenant des titres de travail, parce que la feuille enregistrée qui avait reçu l'accès, jamais qui l'avait perdue.
Deux des onze marchés opèrent sous des contraintes réglementaires sur la manière dont les allégations de service sont formulées. L'examen de la conformité du contenu social a eu lieu par courrier électronique, avant publication, en principe. Il n'y a eu aucun enregistrement par la suite de ce qui avait été révisé par qui, démontrant ainsi que cela s'est passé a compté sur quelqu'un qui a trouvé le bon fil de courrier.
Le tableau de la performance globale a été assemblé trimestriellement par deux analystes sur environ trois semaines: onze exportations, intervalles de dates incohérents, métriques qui n'étaient pas définies de la même manière dans chaque outil. Au moment où le conseil a vu le numéro qu'il a décrit un trimestre qui s'était terminé six semaines plus tôt, et personne ne pouvait y aller sans recommencer les travaux.
What this was costing
- Feuilles de calcul des identifiants partagés6
- Chaînes sans propriétaire identifiable3
- Temps de l'analyste par rapport trimestriel3 semaines
- Dossier de vérification de la conformitéAucun
03 — Ce qui a changé
Le workflow retravaillé
L'accès a cessé d'être quelque chose qu'une personne connaît et est devenu quelque chose d'un rôle.
- Espaces de travail multi-marques + autorisations avancées
Un espace de travail, onze espaces de marché, autorisations par rôle
Chaque marché conserve son propre espace, sa propre file d’attente et sa propre bibliothèque d’actifs. L'accès est accordé à un rôle dans l'espace de travail plutôt qu'en remettant un mot de passe du canal, La suppression de l'accès d'une personne est donc une action avec un effet immédiat et vérifiable. Le siège social est visible sur les onze sans avoir la possibilité de les publier.
- Flux de travail d'approbation
La conformité est une étape dans le chemin, et elle laisse un dossier
Pour les deux marchés réglementés, une phase de conformité se situe entre l'ébauche et le calendrier. Crucifiquement, l'approbation est enregistrée contre le poste — donc la question "a été examinée, par qui, quand' est répondu en ouvrant le message plutôt qu'en recherchant une boîte de réception.
- Analyses inter-plateformes
Le rapport trimestriel est devenu un point de vue permanent
Atteint, engagement et croissance des canaux à travers les onze marchés en un seul endroit avec un ensemble de définitions. Les analystes ont cessé d'assembler le numéro et ont commencé à l'interroger. Le siège social se penche maintenant sur la performance du marché dans la semaine où il se produit plutôt que six semaines plus tard.
- API + webhooks
Publication d'événements dans les systèmes qui existent déjà
Webhooks poussent les événements de publication et d'approbation dans l'outil interne du groupe, de sorte que le bilan social vit à côté de tous les autres records opérationnels plutôt que dans un silo qui doit être exporté. Le contenu de la campagne à partir du système central des actifs est poussé par programme au lieu d'être envoyé par courrier électronique sous la forme d'une zip.
Les onze marchés ont conservé leur autonomie sur quoi dire : le siège a obtenu une réponse défendable à qui peut le dire.
04 — Résultats
Ce qui a bougé, et par quand
Marchés sur un seul espace de travail géré
0 sur 1111 sur 1112 semaines
Feuilles de calcul des identifiants partagés en cours d'utilisation
60par semaine 10
Publications réglementées du marché avec examen enregistré
Aucun enregistrement100%de la semaine 6
Temps de l'analyste par rapport trimestriel
≈3 semaines≈2 jourspremier trimestre complet
Note honnête sur ce qui a motivé ceci
Douze semaines sont le nombre honnête et la plupart d'entre elles n'ont pas été mises en œuvre. L'examen de la sécurité, la signalisation de la gestion des données et la gestion des changements de marché par marché ont pris environ huit de ces semaines; le marché pilote était vivant en onze jours. Toute organisation ayant un processus de passation de marchés devrait planifier l’examen, et non le déploiement. Les trois canaux orphelins ont été récupérés à travers le processus de récupération de chaque plateforme. Un espace de travail ne peut pas récupérer un compte auquel il n'avait jamais accès.
La réponse honnête à "qui peut poster comme nous" était une feuille de calcul, et le chiffrier était une liste de tous ceux que nous avions jamais demandés.
05 — Que prendre de cela
Leçons transférables
Useful whether or not you ever open NOWScale — these are the parts that generalise.
Les identifiants partagés sont une erreur d'intégration en attente de se produire
Tout modèle d'accès où la révocation de l'accès à une personne nécessite de changer un mot de passe que d'autres personnes utilisent également ne sera pas révoqué rapidement. L'accès à l'identité, c'est pourquoi la suppression est une seule action fiable.
Un audit que vous ne pouvez pas compléter est lui-même la recherche
Si vous ne pouvez pas énumérer qui a accès aux canaux de votre entreprise, vous n'avez pas de réponse partielle — vous avez une surface non gérée. Traiter l'incapacité de produire la liste comme le risque.
La révision de la conformité nécessite un dossier, pas seulement une étape
Un examen qui s'est produit mais qui ne peut pas être prouvé ne fournit aucune protection quand il est interrogé des mois plus tard. Attachez l'approbation à l'artefact.
La visibilité centrale et les droits de publication locaux sont séparables
Le siège social veut généralement tout voir, ne pas tout contrôler. Séparer ces deux autorisations permet aux équipes régionales de conserver l'autonomie qui fait fonctionner leur contenu.