Nessuno nella sede centrale poteva dire chi era in grado di inviare come azienda.

Non si trattava di una società priva di processo, bensì di una società il cui processo si è arrestato ai confini di ciascun mercato.

Undici mercati hanno gestito la propria presenza sociale, che era la chiamata giusta — un post su un nuovo terminale in un paese non è interessante in un altro, e le squadre locali conoscevano il loro pubblico. Ogni mercato ha scelto il proprio strumento di pianificazione, o non ha usato. Ogni mercato ha tenuto i propri login.

Il team centrale del marchio nelle linee guida della sede centrale, ha distribuito un pacchetto di attività trimestrale, e poi ha scoperto che cosa era stato pubblicato guardando i canali come qualsiasi altro membro del pubblico. Quando un posto regionale è necessario correggere, la correzione è andata via e-mail a una lista di distribuzione ed è stata applicata a qualsiasi velocità il mercato lo ha applicato.

Le credenziali erano la parte che ha reso il team di sicurezza a disagio. L'accesso a un canale aziendale era un nome utente e una password in un foglio di calcolo su un'unità condivisa, distribuiti a chiunque ne avesse bisogno quel trimestre. Sei di questi fogli di calcolo esistevano in tutto il gruppo. Quando qualcuno ha lasciato l'azienda, il loro computer portatile è stato recuperato e la loro e-mail è stata disabilitata, e la password che sapevano è rimasta esattamente come era stata la settimana prima.

L’esposizione non è stata ipotetica e la segnalazione è stata di sei settimane per disegno.

È stato tentato un audit di accesso interno e non è stato possibile completarlo. Tre canali sono stati trovati senza alcun proprietario corrente identificabile — account creato per una campagna anni prima, ancora in vita, ancora con il nome dell'azienda, ancora raggiungibile da chiunque fosse stato consegnato il foglio. L'audit non ha potuto stabilire quante persone detenevano credenziali di lavoro, perché il foglio registrato a chi era stato dato accesso, mai chi lo aveva perso.

La governance aveva la stessa forma: due degli undici mercati operano sotto i vincoli normativi sulla formulazione dei reclami di servizio. La verifica della conformità dei contenuti sociali è avvenuta via e-mail, prima della pubblicazione, in linea di principio. Non c'era alcun record di ciò che era stato rivisto da chi, in modo da dimostrare che era accaduto si è affidato a qualcuno che trova il thread della posta giusta.

Il quadro delle prestazioni globali è stato assemblato trimestralmente da due analisti nell'arco di circa tre settimane: undici esportazioni, intervalli di date incoerenti, metriche che non sono state definite allo stesso modo in ogni strumento. Nel momento in cui il consiglio di amministrazione ha visto il numero descritto un quarto che era terminato sei settimane prima, e nessuno poteva praticare in esso senza commissionare di nuovo il lavoro.

L'accesso ha smesso di essere qualcosa che una persona sa e divenne qualcosa di un ruolo ha.

Gli undici mercati hanno mantenuto la loro autonomia su cosa dire: la sede principale ha ottenuto una risposta difendibile a chi può dirlo.

Useful whether or not you ever open NOWScale — these are the parts that generalise.