本社の誰も、誰が会社としての職に就けたのかを言うことができなかった。
11の市場チームに11の道具と3人以上のパスワードを共有したスプレッドシートがあります
Snapshot
- セグメント
- エンタープライズグローバルロジスティクス
- チームのサイズ
- 3111の市場+中央ブランドチーム
- チャンネル
- 44LinkedIn, YouTube, X, Facebook, Instagram
- 評価までの時間
- 12 週間セキュリティレビュー、パイロット、全展開
11のマーケットワークスペースにわたるロールベースアクセス
01 — 状況
前
プロセスがなかった会社ではなく、それぞれの市場の境界に立ち止まった会社でした。
11の市場それぞれが独自の社会的存在を実行しました ある国の新しいターミナルについての投稿は別の国では興味深いものではありません。 地元のチームは観客を知っていました 各市場は独自のスケジューリングツールを選びました, または使用されません.
本社のブランドチームはガイドラインを定め、四半期ごとにアセットパックを配布しました。 他のメンバーと同じようにチャンネルを見て何が公開されているのかを知ることができました 地域の投稿を修正する必要がある場合 訂正は電子メールで配布リストに載せられた 市場が適用した速度で 適用された
認証情報は、セキュリティチームを不快にさせた部分でした。 法人向けチャンネルへのアクセスは、共有ドライブ上のスプレッドシートのユーザー名とパスワードで、四半期ごとに必要とされる人に配布されました。 六つのスプレッドシートがグループ全体に存在していました。 誰かが会社を去ったとき、彼らのラップトップは回収され、彼らの電子メールは無効になりました。 彼らが知っていたパスワードは1週間前と同じくらい有効でした
02 — 摩擦
費用がかかったもの
暴露は、仮定ではなく、報告は、計画的に6週間古くなりました。
内部アクセス監査が試みられ、完了できませんでした。 現在の所有者を特定できない3つのチャネルが見つかりました — 数年前にキャンペーンが作成されたアカウントです。 まだ生きている会社の名前を持っている 今までに手渡された誰にでも連絡できる 監査は、アクセスを与えられたシートは、誰がそれを失ったことがなかったので、作業資格情報を保持する人数を確立することができませんでした。
ガバナンスの形は同じで、11の市場のうち2つは、サービス請求がどのように語られるかに関する規制上の制約の下で運営されています。 原則として、電子メールによるソーシャルコンテンツのコンプライアンス審査が行われました。 その後、誰がレビューしたものは記録されていない。 それが起きたことを証明するには適切なメールスレッドを見つけることに頼っていました
世界のパフォーマンス写真は、約3週間にわたって2人のアナリストによって四半期ごとに組み立てられました:11輸出。 不整合な日付の範囲、すべてのツールで同じ方法で定義されていなかったメトリック。 取締役会が6週間前に終了した4分の1の数字を見た時には、 もう一度試運転しないと誰もそこに穴をあけることができなかった
What this was costing
- 証明書の共有されたスプレッドシート6
- 特定可能な所有者がいないチャンネル3
- 四半期ごとのレポートごとのアナリスト時間≈3 週間
- コンプライアンスレビューの監査記録なし
03 — 変更内容
リワークされたワークフロー
アクセスは、人が知っているものでなくなり、役割を担うものになりました。
- マルチブランドのワークスペース + 高度な権限
1つのワークスペース、11のマーケットスペース、ロール別権限
各市場は、独自のスペース、独自のキュー、および独自の資産ライブラリを保持しています。 チャンネルパスワードを渡すのではなく、ワークスペースのロールにアクセス権が付与されます。 誰かのアクセスを削除することは即座に検証可能な効果を持つ行為の一つです 本社は11カ国全域で公開することなく可視性を保持しています。
- 承認ワークフロー
コンプライアンスは、道のステージであり、それは記録を残します
規制された2つの市場では、ドラフトとスケジュールの間にコンプライアンスステージがあります。 重要なことに、承認はポストに対して記録されます - 質問は「このレビューされました。 受信トレイを検索するのではなく、投稿を開くことによって「いつ」と答えられます。
- クロスプラットフォーム分析
四半期報告は立場となった。
ひとつの定義で11のすべての市場におけるリーチ、エンゲージメント、チャネルの成長を実現します。 アナリストは番号の組み立てを中止し、それを尋問し始めた。 本社は今、6週間後ではなく起こる週の市場パフォーマンスを見ています。
- API + webhooks
すでに存在するシステムにイベントを公開します
Webhooks はグループの内部ツールにパブリケーションと承認イベントをプッシュします 従って社会的記録は他の全ての記録と共に生きているのです サイロではなく、輸出されなければならないのです 中央資産システムからのキャンペーンコンテンツは、四半期ごとにメールで送信されるのではなく、プログラムでプッシュされます。
11の市場は、何を言うべきかについて自主性を保ち、本社は誰がそれを言うことができるかに防御的な答えを得ました。
04 — 結果
移動したもの
単一の管理されたワークスペース上の市場
0 / 1111/1112 週間
使用中の証明書表計算ドキュメント
6010週目までに
記録されたレビュー付きの規制された市場
レコードがありません100%6週目から
四半期ごとのレポートごとのアナリスト時間
≈3 週間≈2 日第1四半期は
これを運転したものについての正直なメモ
12週間は正直な数であり、そのほとんどは実装ではなかった。 セキュリティレビュー、データハンドリングのサインオフおよび市場ごとの変更管理は、およそ8週間かかりました。パイロット市場は11日間で稼働していました。 調達プロセスを持つ組織は、ロールアウトではなく、レビューの計画を立てる必要があります。 3つの孤立したチャネルは、各プラットフォームの復旧プロセスを通じて再生されました。ワークスペースは、アクセスできなかったアカウントを復元することはできません。
「誰が私たちとして投稿できるか」への正直な答えはスプレッドシートであり、スプレッドシートは私たちがこれまでに尋ねたすべての人のリストでした。
05 — これから取るべきこと
転送可能なレッスン
Useful whether or not you ever open NOWScale — these are the parts that generalise.
共有された資格情報はオフボーディングに失敗しました。
人のアクセスを取り消すには、他の人も使用するパスワードを変更する必要があるアクセスモデルは、即座に取り消されることはありません。 アクセスはアイデンティティに接続する必要がありますので、削除は単一の信頼性の高いアクションです。
完了できない監査はそれ自体が発見です
企業チャンネルへのアクセス権を保持している人を列挙できない場合、部分的な回答はありません — 管理されていないサーフェスがあります。 リストを生成できないことをリスクとして扱います。
コンプライアンスレビューには、ステップだけでなく記録が必要です
何ヶ月も後に質問された場合は、起こったが証拠にならないレビューは保護を提供しません。アーティファクトに承認を添付してください。
中央の可視性とローカルの出版権は分離可能です
本社は通常、すべてをコントロールするのではなく、すべてを見たいと思っています。 これらの2つの権限を分割することで、地域のチームはコンテンツを機能させる自律性を維持できます。