CASESTUDY NAAR HET MANAGEN VAN DE IMPLEMENTATIE EN DE EFFECTEN Bring Your Own Device BBring Your Own Device (BYOD) is een term die menig CIO en IT-manager maar al te bekend voorkomt. Steeds vaker worden zij geconfronteerd met vragen over strategie en beleid rondom BYOD. Inmiddels is BYOD in Nederland een trend; het inzetten van privéapparaten door werknemers voor werkdoeleinden is dagelijkse realiteit geworden. Over de effecten hiervan op organisaties is momenteel echter nog weinig bekend. Door middel van een casestudy onder vier bedrijven brengen wij in dit artikel de effecten van BYOD op zowel organisaties als werknemers in kaart en formuleren wij op basis hiervan een aantal beleidsaanbevelingen. BRIGIT PEEK EN THOMAS ADELAAR In de afgelopen jaren is het gebruik van mobiele technologie en applicaties sterk toegenomen. Dit heeft de basis gelegd voor de recente trend BYOD, waarbij werknemers persoonlijke mobiele apparaten meenemen naar het werk, of deze thuis en onderweg inzetten voor werkgerelateerde doeleinden. Over de betekenis van de term BYOD bestaat nog enige discussie en in de literatuur is geen eenduidige definitie te vinden. In het kader van ons onderzoek is de volgende definitie van BYOD geformuleerd: het fenomeen waarbij een organisatie het voor haar werknemers mogelijk maakt hun privé-mobiele apparaten, zoals smartphones, tablets of laptops, voor het werk te gebruiken en te verbinden met het bedrijfsnetwerk en zo toegang te krijgen tot bedrijfsapplicaties, -gegevens en -resources zoals email, fileservers, databases en intranet. De snelle opmars van BYOD is het resultaat van de volgende ontwikkelingen: De consumerization van mobiele IT. De opkomst van het nieuwe werken (HNW). De veranderende motivaties en verwachtingen van werknemers. Ten eerste is de consumerization van mobiele IT een belangrijke aanleiding voor BYOD. Dit is de toenemende tendens waarbij nieuwe mobiele apparaten eerst op de consumentenmarkt verschijnen alvorens zij zich verspreiden naar de werkvloer. Het lijkt er steeds meer op dat de consumentenmarkt mobiele IT- innovaties drijft in plaats van de IT-enterprisesector. Gartner voorspelt dat de verkoop van tablets en smartphones in 2013 oploopt tot 1,2 miljard stuks wereldwijd. Ten tweede vervaagt de scheiding tussen privé en werk door de voortgaande uitrol van Het Nieuwe Werken (HNW). HNW maakt het mogelijk om plaats- en tijdonafhankelijk te werken. BYOD ligt in het verlengde van HNW, maar het is geen voorwaarde hiervoor [WAUT12]. BYOD vraagt tevens van werkgevers om het mogelijk te maken voor hun werknemers om device- of platformonafhankelijk te kunnen werken en overal en altijd toegang te hebben tot het bedrijfsnetwerk. Uit onderzoek onder 250 Nederlandse bedrijven blijkt dat meer dan de helft HNW geheel of gedeeltelijk ingevoerd heeft en dat nog eens 42 procent bezig is met oriëntatie op en voorbereiding voor de invoering hiervan [RSM12]. In 2011 werkte al bijna de helft van de Nederlandse werknemers (gedeeltelijk) vanuit huis en steeg het gemiddeld aantal thuiswerkuren naar 13 per week [ERNS11]. Ten slotte veranderen de verwachtingen die jonge werknemers hebben ten aanzien van beschikbaarheid van de IT-Auditor nummer 1 2013 15
(mobiele) IT. Deze jonge generatie, ook wel Generation Y of Millennials genoemd, is opgegroeid met technologie en hun sociale leven speelt zich voor een belangrijk deel af op sociale netwerken. Daarnaast hebben ze andere motivaties en verwachtingen bij de keuze van een baan. Onderzoek onder studenten en young professionals wereldwijd toont bijvoorbeeld aan dat 80 procent van hen BYOD als vanzelfsprekend ziet, terwijl 60 procent van hen vindt dat zij het recht hebben om remote te werken. Nog eens 51 procent verwacht toegang te verkrijgen tot bedrijfsnetwerken en bedrijfsinformatie met hun mobiele apparaten [CISC11]. BYOD wordt dus primair gedreven door technologische en sociale veranderingen in de maatschappij die hun weg vinden naar de werkvloer en professionele praktijk. Er zijn echter ook bedrijfseconomische redenen voor organisaties om BYOD te implementeren. Met de implementatie van mobiele IT-oplossingen verwachten organisaties specifieke doelen te kunnen realiseren. Voorbeelden hiervan zijn strategische waardencreatie, comparatief voordeel opbouwen, bedrijfsprocessen verbeteren, kosten besparen, omzet verhogen en productiviteitstijging. Organisaties kiezen op basis van deze potentiële voordelen bewust voor een BYODstrategie, al dan niet met het oog op de veranderende verwachtingen van hun (jonge) werknemers. Organisaties worden echter ook geconfronteerd met uitdagingen bij het ontwerp, de implementatie en het beheer van BYOD. Deze spelen op het gebied van technologie, strategie en organisatie. Momenteel is er evenwel nog weinig bekend over de effecten van BYOD op organisaties en zijn er verder nog weinig richtlijnen en tools om deze effecten en uitdagingen te managen. Het doel van ons onderzoek was het in kaart brengen van de effecten van BYOD op organisaties en individuele medewerkers en beleidsontwerp ten aanzien van BYOD. Onze onderzoeksresultaten bieden organisaties relevante informatie over de implementatie van BYOD en praktische inzichten in de effecten op organisaties en individuele medewerkers. Op basis van deze inzichten formuleren we aanbevelingen om een zorgvuldige implementatie van BYOD mogelijk te maken. ONDERZOEKSMETHODE Dit artikel is gebaseerd op een afstudeeronderzoek aan de Universiteit van Amsterdam dat in september 2012 is afgerond [PEEK12]. Het onderzoek is opgezet als een vergelijkende kwalitatieve casestudy onder vier bedrijven. Er is een pilotcase gehouden bij één bedrijf om inzicht te krijgen in hoe werknemers en organisaties dachten over BYOD. De drie overige bedrijven zijn geselecteerd omdat zij BYOD geheel of gedeeltelijk toestaan, actief zijn in de ITbranche en zowel opereren in Nederland als in het buitenland. Tabel 1 geeft een overzicht van de vier cases. Verspreid over de vier organisaties zijn er in totaal tien semi-gestructureerde persoonlijke interviews gehouden zoals met product-, service en innovationmanagers, business consultants, technical directors, senior teamleaders ICT, senior en junior IT-auditors en een stagiair. De geïnterviewde personen hebben verschillende functies, verantwoordelijkheden, leeftijden en werkervaring. Deze opzet maakte het mogelijk om een breed scala aan perspectieven ten opzichte van BYOD te onderzoeken. Naast het houden van interviews is er additionele data verzameld zoals documenten, observaties en informatie verkregen uit bedrijfsenquêtes, -onderzoeken en -rapporten. De data is eerst per case geanalyseerd en vervolgens tussen de cases onderling vergeleken. De cases en de resultaten worden in de volgende paragrafen nader beschreven. Case 1: Pilot De organisatie waar de pilot casestudy is uitgevoerd, is actief in de accountancybranche en levert adviesdiensten. Ten tijde van het onderzoek was BYOD niet toegestaan, alhoewel er wel over werd nagedacht en er onderzoek naar werd gedaan. De organisatie voorziet werknemers van een standaard bedrijfslaptop en smartphone, waarbij zij kunnen kiezen uit een iphone of Blackberry. Het beschikbaar stellen van iphones werd primair gedreven door de personeelsafdeling vanuit het oogpunt van recruitment. Behalve e-mail en agendafunctionaliteiten waren er geen bedrijfsapplicaties beschikbaar op deze smartphones. Aangezien BYOD bij dit bedrijf in het geheel niet was toegestaan, diende deze organisatie als een pilot case die kan worden beschouwd als een verkennend vooronderzoek. Case 2 Het tweede onderzochte bedrijf bedient zowel de zakelijke markt als de consumentenmarkt op het gebied Case 1: Pilot Case 2 Case 3 Case 4 Industrie Accountancy Informatie Technologie & Services Informatie Technologie & Services Computer Networking Aantal medewerkers 10.000+ 10.000+ 100-500 10.000+ Geografisch Bereik Wereldwijd Nederland BENELUX, Frankrijk, GB en Ierland Wereldwijd BYOD Toegestaan Niet toegestaan Organisatiebreed toegestaan Deels toegestaan Organisatiebreed toegestaan Tabel 1: Overzicht cases 16 de IT-Auditor nummer 1 2013
van IT en services. Het bedrijf had BYOD recent officieel uitgerold. De uitrol werd voorbereid door het organiseren van een succesvolle pilot om de software voor mobile device management te testen voor beheer. Voorafgaand aan de pilot en algehele uitrol vond BYOD al onofficieel plaats. Werknemers deden veelal toch al aan BYOD zonder daarvoor toestemming te hebben en/of het bedrijf in te lichten. Deze situatie stelde het bedrijf bloot aan ongewenste risico s, bijvoorbeeld op het gebied van weten regelgeving en de veiligheid van bedrijfsgegevens. BYOD werd officieel en op een gecontroleerde manier uitgerold met een speciaal ontworpen beleid. Zo kreeg het bedrijf meer controle en grip op de situatie. Werknemers registreren hun privé mobiele apparaten nu officieel en het bedrijf beheert deze op het netwerk. Ten tijde van het onderzoek was BYOD net officieel uitgerold. Destijds rapporteerde het bedrijf 2000 geregistreerde BYOD-apparaten op het netwerk. Dit maakte ongeveer 25 procent van het totale aantal mobiele apparaten uit. De verwachting was dat dit aantal snel zal toenemen. Case 3 Het derde onderzochte bedrijf is ook actief in de IT-sector waar het producten en diensten aanbiedt. Ten tijde van het onderzoek was BYOD in de Nederlandse vestiging van het bedrijf deels mogelijk gemaakt, maar nog niet officieel toegestaan. In de Nederlandse vestiging was namelijk een apart draadloos netwerk beschikbaar gesteld voor werknemers met eigen smartphones en tablets, zodat zij hiermee het internet op konden. Toegang tot bedrijfsapplicaties en -gegevens was echter onmogelijk, omdat het draadloze netwerk los stond van het bedrijfsnetwerk. Het bedrijf verwacht dat BYOD de toekomst is. Ten tijde van het onderzoek was een BYOD-pilot gaande op het hoofkantoor in het buitenland. Deze verliep succesvol en BYOD is daar inmiddels ingevoerd. Op basis van deze resultaten denkt het bedrijf BYOD snel te kunnen formaliseren en uit te rollen op de andere vestigingen. Case 4 Het vierde bedrijf uit dit onderzoek levert producten en diensten op het gebied van computer networking. Bij dit bedrijf zijn de werknemers vrij om de mobiele apparaten van hun keuze te gebruiken. Het bedrijf streeft ernaar om haar werknemers met elk gewenst apparaat en platform te kunnen laten werken. Daartoe stelt zij haar diensten via het netwerk beschikbaar. Het bedrijf realiseerde zich dat BYOD toch al onofficieel plaatsvond binnen de organisatie en besloot deze trend te omarmen. Zo kon zij BYOD op een veilige manier controleren en uitdragen. De IT-afdeling heeft een aantal pilots uitgevoerd om bepaalde applicaties en apparaten te testen. Hierbij zijn ook de werknemers als eindgebruikers betrokken. Gedurende de laatste twee jaar is het totale aantal mobiele apparaten, zoals smartphones en tablets, op het netwerk met 80 procent toegenomen. de IT-Auditor nummer 1 2013 17
RESULTATEN In deze paragraaf worden de uitkomsten van de vergelijkende analyse tussen de cases beschreven. Hierbij gaan we in op de ervaringen met BYOD, de effecten van BYOD en beleidsontwerp voor BYOD. Gezien het kwalitatieve karakter van het onderzoek zijn de meeste geobserveerde effecten niet gekwantificeerd. Toekomstig onderzoek zal de lange termijn effecten van BYOD moeten kwantificeren. Ervaringen met BYOD De onderzochte organisaties hebben BYOD geheel of gedeeltelijk ingevoerd of bevinden zich in een voorbereidende fase. De bedrijven in de laatstgenoemde groep verwachten binnen twaalf maanden tot implementatie over te gaan. De vier organisaties zien BYOD voornamelijk als een extensie van HNW, dat zij allen reeds ingevoerd hebben. In eerste instantie richten de organisaties hun BYOD-beleid op het beschikbaar maken van smartphones en tablets. In de toekomst wordt dit mogelijk uitgebreid voor laptops. Bij de onderzochte bedrijven wordt de BYOD-trend gedreven door zowel de jongere generatie werknemers als het hoger management. Bijna iedere werknemer heeft één van de nieuwste mobiele apparaten. Het is dan ook niet vreemd dat vanuit alle lagen van de organisaties een roep om BYOD komt. Dat resulteert in zowel een bottom-up als top-downbenadering van de BYOD- implementatie. Het belang van BYOD wordt ook in de directe externe omgeving van de onderzochte organisaties herkend, zoals bij klanten, leveranciers, en concurrenten. Dit vormde een extra stimulans om met BYOD aan de slag te gaan. Effecten op organisaties Uit de vergelijking tussen alle cases is een aantal positieve en negatieve effecten van BYOD op organisaties naar voren gekomen. De volgende positieve effecten of (potentiële) voordelen van BYOD zijn in alle cases aangetroffen of verwacht en het meest expliciet benoemd door de respondenten: Recruitment De organisaties verwachten met een BYOD-programma gemakkelijker getalenteerde jonge werknemers te kunnen aantrekken en te behouden. Tevredenheid werknemers De tevredenheid van werknemers is toegenomen omdat ze meer keuzevrijheid en flexibiliteit hebben gekregen om met de mobiele technologie van hun voorkeur te kunnen werken. Productiviteit De productiviteit van de werknemers is tevens toegenomen omdat zij optimaal gebruik kunnen maken van de functionaliteiten en personalisatie van hun mobiele apparaat waarmee zij gewend zijn te werken. De toename van productiviteit is ook gerelateerd aan de toegenomen tevredenheid onder werknemers. De volgende negatieve effecten en uitdagingen van BYOD zijn in alle cases aangetroffen of verwacht en het meest expliciet benoemd door de respondenten. Bedrijfsrisico Uit alle cases komt naar voren dat BYOD de organisaties blootstelt aan een toename van risico s. Kwetsbaarheden zijn inherent aan het gebruik van mobiele technologie in een bedrijfsomgeving en kunnen mogelijk door derden geëxploiteerd worden, zoals kwetsbaarheden in softwareapplicaties. Informatiebeveiliging De handhaving van de informatiebeveiliging is ook een uitdaging voor de onderzochte bedrijven. Dit betreft voornamelijk het waarborgen van de vertrouwelijkheid, integriteit en beschikbaarheid van bedrijfsdata op verschillende mobiele apparaten en platformen in een BYOD-situatie. IT-beheer en ondersteuning De inrichting van IT-beheer en ondersteuning voor BYOD omvat meer mobiele apparaten en platformen. Ook dit wordt gezien als een uitdaging op het gebied van beheer. De onderzochte bedrijven zoeken naar een geschikt en flexibel IT- beheermodel, waarbij de verantwoordelijkheid voor beheer wellicht gedeeltelijk naar de werknemer zal verschuiven. Kostenbesparingen en -stijgingen De verwachting van de onderzochte bedrijven is dat BYOD op de korte termijn de IT-kosten zal verhogen, zoals de kosten voor ontwikkeling, migratie en implementatie. Men verwacht dat op de langere termijn de totale IT-kosten kunnen dalen dankzij kostenbesparingen op het gebied van beheer en exploitatie. Vervolgonderzoek zou moeten uitwijzen of BYOD daadwerkelijk kostenbesparend is op de lange termijn [GART12-2] en of dit opweegt tegen de moeilijker te kwantificeren voordelen. Effecten op werknemers De volgende effecten zijn door de werknemers als positief ervaren. Ze werden in alle cases aangetroffen of verwacht en het meest of expliciet benoemd door de respondenten. Tevredenheid met baan Werknemers gaven aan dat zij meer tevreden zijn met hun baan als gevolg van BYOD. Productiviteit Werknemers verwachten dat hun productiviteit zal toenemen wanneer zij met hun eigen mobiele apparaten kunnen werken. Mobiliteit Mobiliteit werd door de meeste werknemers ook als een voordeel van BYOD gezien. Aangezien met BYOD device- of platformonafhan- 18 de IT-Auditor nummer 1 2013
kelijk gewerkt kan worden, zullen factoren als de plaats en het tijdstip van werk er nog minder toe doen dan bij HNW reeds het geval is. Uit de analyse zijn daarnaast additionele factoren naar voren gekomen die werknemers als positief ervaren, zoals het gebruiksgemak en verbeterde functionaliteit van persoonlijke mobiele apparaten, een grotere flexibiliteit en onafhankelijkheid en het feit dat men minder mobiele apparaten bij zich hoeft te dragen. De volgende negatieve effecten en uitdagingen van BYOD voor werknemers zijn in alle cases aangetroffen of verwacht en het meest of expliciet benoemd door de respondenten. IT-support De vraag over hoe hardware- en softwaresupport rond BYOD geregeld wordt, staat bij de werknemers centraal. Privacy Werknemers maken zich zorgen om de privacy van het persoonlijk gebruik van het mobiele apparaat en de privacy van hun persoonlijke data op het apparaat. Beveiliging Zorgen om de veiligheid van persoonlijke data en de fysieke veiligheid van het mobiele apparaat werden tevens genoemd. Immers, de werknemer gebruikt eenzelfde device voor zowel werk- als privédoeleinden. Mocht de data of het apparaat zelf verloren gaan, dan verliest de werknemer tevens persoonlijke data en de mogelijkheid van het persoonlijk gebruik van zijn/haar apparaat. Verder uitten de geïnterviewde werknemers ook hun bezorgdheid over de toenemende verschuiving van verantwoordelijkheid naar de werknemer vanwege BYOD. Dit wordt ook in de literatuur herkend [WAUT12]. Tevens werden toegenomen kosten en de steeds meer vervagende grens tussen werk en privé genoemd. De toegenomen kosten voor de werknemers hebben betrekking op de aanschaf- en abonnementskosten, de kosten rond het aankoopproces zoals het zoeken en vergelijken van de mobiele apparatuur en het zelf regelen van het beheer van de hardware en software. Cijfers omtrent BYOD-beleid Onderzoek onder eindgebruikers en IT-beslissers uit Noord-Europese landen (België, Denemarken, Noorwegen, Zweden en Nederland) wees uit dat acht op de tien werknemers privéapparaten inzetten voor werkdoeleinden. In Nederland is dat zelfs 85 procent. Opvallend was dat het volgens de helft van deze Nederlandse werknemers niet officieel is toegestaan om privéapparatuur te gebruiken om data op het bedrijfsnetwerk te benaderen [CISC12]. Uit hetzelfde onderzoek van Cisco bleek tevens dat bijna de helft van de Nederlandse bedrijven wel bezig is om de organisatie en de IT-infrastructuur in te richten voor mobiel werken en BYOD. Onderzoek naar de toepassing van BYOD in organisaties van KPN wees uit dat slechts 30 procent van de organisaties reeds beleid rondom BYOD heeft opgesteld, bij 55 procent is dit nog in ontwikkeling [KPN12]. Opvallend was dat van de organisaties die geen BYOD- beleid hebben opgesteld, 41 procent al wel bezig is met projecten om BYOD te faciliteren [KPN12]. Beide onderzoeken onderstrepen de noodzaak van strategie en beleidsontwikkeling rondom BYOD, waar organisaties vooralsnog moeite mee lijken te ondervinden in de praktijk. Beleidsontwerp Als gevolg van de BYOD-trend worden CIO s, IT-managers en andere IT-beslissers geconfronteerd met vraagstukken rondom het BYODbeleid. Voorbeelden hiervan zijn vragen omtrent de beheersbaarheid van BYOD, de kosten en de risico s en hoe veilig en succesvol een BYODprogramma kan worden gefaciliteerd en gemanaged. De bevindingen uit de onderzochte cases worden hieronder beschreven om inzicht te verschaffen in de strategische, organisatorische en technologische uitdagingen rondom BYOD. Op basis van deze inzichten doen we een aantal beleidsaanbevelingen die een BYOD-implementatie kunnen vergemakkelijken. Alle onderzochte bedrijven zien een beleid als voorwaarde om BYOD succesvol te kunnen implementeren. Om het beleid rond BYOD vorm te geven volgen zij een holistische benadering door buiten de IT-afdeling ook andere bedrijfsonderdelen bij BYOD te betrekken zoals het management, HR, security, legal, finance, procurement, eindgebruikers en andere stakeholders. Criteria, aandachtpunten en uitdagingen De organisaties geven aan dat er tijdens de BYOD-ontwerpfase de volgende kritieke beleidscriteria geïdentificeerd werden: gebruikersovereenkomst, beschikbaar budget voor gebruiker, beveiligingsbeleid, selectie van toegestane mobiele apparaten en minimum technische eisen aan de apparaten en besturingssoftware. Tevens signaleren de onderzochte organisaties aandachtspunten bij het opstellen van het beleid, namelijk het betrekken van eindgebruikers, identificatie van stakeholders, segmentatie van gebruikers, management van applicaties en mobile device management (MDM). Daarnaast ondervinden de organisaties uitdagingen rond het BYODbeleidsontwerp, met name de implementatiestrategie, beveiliging, IT-beheer en ondersteuning. Deze uitdagingen worden hierna verder beschreven. BYOD implementatiestrategie Elke organisatie is uniek en er bestaat dus geen one size fits all BYOD-implementatiestrategie. De onderzochte organisaties hebben gekozen voor een verschillende implementatiestrategie van BYOD, namelijk behoudend, gedeeltelijk of volledig. De keuze hiervoor vloeide voort uit de behoeften en verwachtingen van zowel de organisatie zelf als haar medewerkers. de IT-Auditor nummer 1 2013 19
De verschillende varianten van BYOD-implementatiestrategieën laten ruimte over voor uiteenlopende gradaties van bijvoorbeeld controle en vrijheid, support en beheer, keuze van het apparaat, gebruiksregels en budget. Een gangbare indeling op basis van controle en vrijheid resulteert bijvoorbeeld in vier varianten [KPN12, BRIN12] (zie Figuur 1). In de pilot case en case 3 zagen we een typisch voorbeeld van de strategie Here s Your Own. Bij case 3 werd daarnaast echter ook een beperkte versie van Bring Your Own mogelijk gemaakt. De andere cases volgden combinaties van een gedeeltelijke en volledige implementatiestrategie. De strategie Here s Your Own werd in case 2 en 4 nog wel gehanteerd voor met name bestaande werknemers. Echter, deze cases laten zien dat voor nieuwe medewerkers de BYOD-strategie langzaam verschuift naar varianten van Choose Your Own en Bring Your Own. De On Your Own variant wordt vooral gehanteerd voor externe medewerkers, zoals externe consultants, die op contractbasis werkzaamheden verrichten en daarvoor hun eigen hard- en software gebruiken. BYOD Beveiliging Op het gebied van beleidsontwerp van BYOD is het beveiligingsvraagstuk de grootste uitdaging voor bedrijven [KPN12, GART12-1], zoals ook blijkt uit onze analyses. Echter, beveiliging is een complex en gelaagd vraagstuk en omvat mobiele apparaten, de netwerkomgeving, data en informatie. Voor elk niveau werden door de onderzochte bedrijven beveiligingsmaatregelen van technische en menselijke aard getroffen. De bedrijven uit case 2 en 4 hebben al veel technische maatregelen genomen, zoals authenticatie, encryptie, containerization, network access control (NAC), mobile device management (MDM), applicatie management, content en desktop virtualisatie, app store en file sharing systems. De bedrijven uit pilot case en case 3 bevonden zich nog in een voorbereidende fase op BYOD-securitygebied. Daarnaast legden de onderzochte bedrijven de nadruk op de communicatie van het beveiligingsbeleid zoals de opgestelde gebruikersregels, -richtlijnen en -overeenkomst. Hiermee wordt bijgedragen aan het bewustwordingsproces rond BYOD-beveiliging onder gebruikers. Het doel was om het veilige gebruik van mobiele apparaten onderdeel te maken van de dagelijkse routine. De bedrijven uit case 2 en 4 waren bijvoorbeeld actief bezig om over BYOD-beveiliging te communiceren via intranet en email. De bedrijven uit case 2 en 4 stelden ook minimum beveiligingscriteria op voor mobiele apparaten om voor BYOD in aanmerking te komen. Voorbeelden hiervan zijn het toestaan van encryptie, remote lock en/of wipe, installatie van mobile device management (MDM) software, en het instellen van een PIN en lock screen timeout op het apparaat. De bedrijven uit case 3 en de pilot case verwachtten tevens minimum beveiligingscriteria in hun beleid op te nemen. BYOD IT-beheer en ondersteuning De inrichting van IT-beheer en -ondersteuning in een BYODsituatie is eveneens een beleidsmatige Figuur 1: Mogelijke varianten van een BYOD-implementatiestrategie uitdaging voor de onderzochte cases. BYOD vraagt om een open en flexibel beheermodel [BRIN12] waarbij de verantwoordelijkheid van beheer en ondersteuning gedeeltelijk verschuift naar de werknemer [WAUT12]. In eerste instantie lijkt het een onmogelijke opgave voor een traditionele IT-afdeling om tientallen verschillende mobiele apparaten volledig te kunnen ondersteunen en beheren. Daarom is het niet verassend dat de bedrijven uit case 2 en 4 hun strategie verschoven naar een self-support model, ofwel een model waarbij gedeeltelijke ondersteuning en beheer door de ITafdeling aangeboden wordt. Om de negatieve gevolgen van deze verschuiving te ondervangen, werden er door de bedrijven uit case 2 en 4 online informatie en handleidingen aangeboden terwijl er door het bedrijf uit case 4 tevens een online platform met Wiki-functionaliteiten werd ontwikkeld. Op dit sociale platform konden gebruikers informatie, vragen, tips en ervaringen met elkaar delen. De onderzochte bedrijven waren daarnaast bezig met het maken van duidelijke afspraken, het definiëren van verantwoordelijkheden en het stellen van grenzen voor de IT-afdeling. Met deze maatregelen konden de onderzochte IT-afdelingen de gedeeltelijke ondersteuning en beheer van BYOD apparaten blijven aanbieden. CONCLUSIE EN AANBEVELINGEN Het onderzoek laat zien dat BYOD zowel positieve als negatieve effecten kan hebben op organisaties en haar werknemers. Het is dus van belang om een solide effecten- en stakeholderanalyse uit te voeren rond de gewenste implementatie en exploitatie van BYOD. Uit de onderzoeksresultaten blijkt dat de meest opvallende positieve effecten voor organisaties de volgende zijn: verbetering recruitment, toegenomen 20 de IT-Auditor nummer 1 2013
tevredenheid werknemers en een productiviteitsstijging. De in het oog springende nadelen en uitdagingen zijn: toegenomen bedrijfsrisico s, toenemend belang informatiebeveiliging, kostenbesparingen en -stijgingen en de inrichting van IT-beheer en ondersteuning. BYOD-werknemers merken vooral de toegenomen productiviteit, mobiliteit en tevredenheid over hun baan als voordelen Beleidsaanbevelingen Gebruikersparticipatie: Geef werknemers als eindgebruikers de mogelijkheid deel te nemen in de ontwerpfase en fasering van BYOD implementatiestrategie. Beleidsformulering: Een formulering die wordt gedragen door de gehele organisatie en daarmee een succesvol BYOD beleid, is grotendeels afhankelijk van de actieve betrokkenheid van alle stakeholders. Ga uit van een beleidsformulering die tenminste datgene omvat wat van cruciaal belang is voor de organisatie. Grenzen en beperkingen vaststellen: Groepeer gebruikers en activiteiten aan de hand van criteria zoals locatie, tijd, technologie, functie, veiligheid, toegangsniveau, etc. De categorisatie wordt gebruikt om te bepalen wie, wanneer, waar en hoe toegang kan krijgen tot bepaalde informatie en applicaties met een BYOD-apparaat. Deze beperkingen moeten echter het delen van informatie, ervaringen en kennis, en het leren niet hinderen. Informatiebeschikbaarheid: Informatie moet beschikbaar zijn voor de persoon die deze nodig heeft op elk gewenst tijdstip, plaats en apparaat waar het nodig is zodat een geïnformeerde besluitvorming vergemakkelijkt wordt voor de eindgebruikers in het uitvoeren van hun (dagelijkse) functie met een BYOD-apparaat. Sociaal ondersteuningssysteem: Creëer een open, ondersteunende, laagdrempelige en communicatierijke werkomgeving om het gewenste sociale gedrag en veilig gebruik van de BYOD technologie te stimuleren. Verbeter het werkklimaat en werkbaarheid: Zoek naar mogelijkheden om de organisatie en haar medewerkers maximaal te beschermen en te respecteren. Gebruik dit als richtlijn voor informatiebeveiliging, het waarborgen en respecteren van de privacy van werknemers en de grens tussen werk en privé. Tabel 2: Beleidsaanbevelingen [PEEK12] Foto: Petra Spiljard (http://www.petraspiljard.nl/) op, terwijl zij zich zorgen maken om IT-support, privacy en beveiliging. Uit de resultaten blijkt dat voor een succesvol beleidsontwerp van BYOD een holistische aanpak noodzakelijk is, waarbij niet alleen IT, maar ook de business, HR, legal, finance en eindgebruikers worden betrokken. De belangrijkste uitdagingen rondom BYOD-beleidsontwerp die uit het B. (Brigit) Peek MSc: is na de afronding van haar master Information Science aan de Universiteit van Amsterdam nu werkzaam als IT-analist bij Cisco Systems. Daarvoor is zij werkzaam geweest als consultant en support desk agent. Het artikel is op persoonlijke titel geschreven en is een bewerking van haar scriptie The Impact and Design of Bring Your Own Device a Multiple Case Study, die zij schreef in het kader van haar masteropleiding. Dr. Thomas Adelaar ontwikkelt mobiele applicaties, geeft advies en doet onderzoek. Hij richt zich op duurzaam ondernemen en het versterken van multichannel strategieën. Vanuit dit perspectief adviseert hij bedrijven en organisaties over de inzetbaarheid van online en mobiele tools om zo een bijdrage te leveren aan bedrijfsprestaties en de communicatie met klanten. Thomas promoveerde in 2005 aan Michigan State University op een proefschrift over de motivaties om gebruik te maken van e-commerce. onderzoek naar voren kwamen waren: BYOD-implementatiestrategie, beveiliging, IT-beheer en ondersteuning. Op basis van het onderzoek bieden we aanbevelingen aan om een succesvolle BYOD-implementatie voor te bereiden en te realiseren (zie Tabel 2). Tot slot, BYOD is een trend die de verhoudingen op de werkvloer aanzienlijk verandert qua beheer, inzet van technologie en de werk-privébalans. Het onderzoek laat zien dat BYOD voor smartphones en tablets zich in de toekomst uitbreidt naar laptops. Voor organisaties is het dan ook belangrijk dat zij inspelen op de potentiële impact van BYOD en hun huidige mobiele IT-strategie hierop aanpassen en verankeren in een toekomstbestendig beleidsontwerp. De implementatie en exploitatie van BYOD biedt kansen en voordelen voor organisaties maar brengt ook risico s met zich mee. Deze kansen en risico s bevinden zich op het werkterrein van de IT-auditor, die bij de identificatie, beheersing en mitigatie van deze risico s dan ook een rol zou kunnen spelen. Literatuur [BRIN12] Bring IT, Whitepaper Bring Your Own Device, 2012. Zie http://www.bring-it.nl/whitepaper_bring-it.pdf. [CISC11] Cisco, Connected World Technology Report, 2011. [CISC12] Cisco, Bring Your Own Device in Nederland al de dagelijkse realiteit, 2012. [ERNS11] Ernst & Young, ICT Barometer, 2011. [GART12-1] Gartner, Gartner Survey Shows BYOD is Top Concern for Enterprise Mobile Security, 2012. [GART12-2] Gartner, Bring Your Own Device: New Opportunities, New Challenges, 2012. [KPN12] KPN, Onderzoeksrapport naar de toepassing van Bring Your Own in organisaties, 2012. [PEEK12] Brigit Peek, The Impact and Design of Bring Your Own Device: a Multiple Case Study, Universiteit van Amsterdam, 2012. [RSM12] Rotterdam School of Management, Erasmus Universiteit, Nationale Nieuwe Werken Barometer 2012, 2012. [WAUT12] Chris Wauters en Lancelot Schellevis, De impact van bring your own,verschuivende verantwoordelijkheden in: de IT-Auditor nummer 3, 2012. de IT-Auditor nummer 1 2013 21