Rozmowa z Maciejem Zajączkowskim, ekspertem VECTO o migracji systemów ERP do chmury, bezpieczeństwie danych i wyzwaniach, które często pojawiają się dopiero po wdrożeniu.
Coraz więcej firm mówi dziś o migracji ERP do chmury. Skąd właściwie bierze się ten trend?
W mojej ocenie, przede wszystkim z oczekiwania większej elastyczności i szybszego reagowania na zmiany biznesowe, ale nie tylko. Duża rolę odgrywa też zmiana modelu kosztowego z CAPEX na OPEX, co dla wielu organizacji, szczególnie tych dynamicznie rosnących, jest istotne z perspektywy finansowej. Ważna jest również możliwość szybszego wdrażania nowych funkcjonalności, w tym rozwiązań opartych o AI czy automatyzację procesów, które w modelu on-premise często wymagają długich i kosztownych aktualizacji. Poza tym, wiele firm rozwija sprzedaż online, integruje wiele systemów i pracuje w środowiskach rozproszonych i z oczywistych względów oczekuje wysokiej dostępności do danych i usług. Cloud ERP, w kontekście tych potrzeb, jawi się naturalnym kierunkiem rozwoju. Warto przy tym jednak pamiętać, że ERP
to system krytyczny – jego migracja wpływa nie tylko na IT, ale na cały model operacyjny organizacji.
Wokół cloud ERP narosło też sporo mitów. Który z nich jest dziś najbardziej niebezpieczny?
Jest ich co najmniej kilka. Zasadniczy błąd polega na przekonaniu, że po migracji problem bezpieczeństwa po prostu znika. Nic bardziej mylnego, w rzeczywistości mamy do czynienia z tzw. shared responsibility model, czyli modelem współdzielonej odpowiedzialnością między dostawcą chmury a klientem. Dostawca odpowiada za infrastrukturę, natomiast organizacja nadal musi zarządzać dostępami, tożsamością użytkowników (IAM), politykami bezpieczeństwa, backupem czy reakcją na incydenty.
Oczywiście zakres tej odpowiedzialności może się różnić w zależności od przyjętego w tej organizacji modelu w przypadku SaaS ERP jest on mniejszy, natomiast przy IaaS czy PaaS znacznie większy. Z naszej perspektywy, mówię tu o ekspertach VECTO, obserwujemy, że część firm migruje systemy szybciej, niż rozwija kompetencje w zakresie cyberbezpieczeństwa, a to zwiększa realne ryzyko.
Czyli sama migracja nie wystarczy?
Absolutnie nie. Powiem więcej, źle przygotowana migracja może wręcz zwiększyć obszary ryzyka. Jeśli przenosimy do chmury nieuporządkowane procesy, nadmiarowe uprawnienia czy brak procedur odtwarzania odtwarzania danych, te stare problemy nie znikają, tylko trafiają do nowego środowiska. W chmurze często rośnie tzw. attack surface, czyli powierzchnia potencjalnego ataku, szczególnie jeśli nie zadbamy o kontrolę dostępu i segmentację środowiska. Powiedzmy sobie szczerze, w takiej sytuacji rozwiązania cloud;owe nie naprawią chaosu organizacyjnego – one go uwidaczniają, a nierzadko eskalują.
Dużo mówi się dziś o odporności organizacji. Jak ERP wpisuje się w ten temat?
Uważam, że ERP jest dziś jednym z fundamentów odporności operacyjnej, gdyż jego dostępność ma bezpośrednie przełożenie
na funkcjonowanie produkcji, logistyki czy finansów.
Jak powinny przygotować się organizacje, które dopiero rozważają migrację?
W VECTO stosujemy zasadę przeprowadzenia audytu lub analizy procesów, ryzyk i dojrzałości organizacji. Taka procedura daje gwarancję wdrożenia rozwiązań, które faktycznie są odpowiedzią na wyzwania wynikające z kultury organizacji, stopnia jej cyfryzacji, w końcu samych procesów IT. To najwłaściwszy kierunek, precyzyjnie wskazujący, które obszary naprawdę są krytyczne i jak firma funkcjonuje w przypadku niedostępności systemu. Dopiero w kolejnym kroku warto podejmować decyzje technologiczne. Moje doświadczenie wskazuje, że najbardziej efektywne projekty to te, które od początku łączą perspektywę biznesową, infrastrukturalną i bezpieczeństwa.
Co powiedziałby Pan firmom, które nadal odkładają tę decyzję?
Największym ryzykiem często nie jest sama migracja, ale brak strategii. Środowiska ERP będą się zmieniać niezależnie od tego, czy organizacja jest na to gotowa. Jeśli taką migrację dobrze zaplanujemy w oparciu o przeprowadzoną analizę i realne potrzeby, możemy nie tylko uporządkować środowisko IT, ale również znacząco zwiększyć bezpieczeństwo i odporność całej organizacji. Warto zacząć tę rozmowę odpowiednio wcześnie, zanim będziemy zmuszeni podejmować działania pod presją awarii, cyberataku czy innych ograniczeń obecnej infrastruktury.
