ছায়া আইটি: ঝুঁকি, উদাহরণ এবং এটি কীভাবে পরিচালনা করবেন

ইনফরমটেক ডিজিটাল » মানে » ছায়া আইটি: ঝুঁকি, উদাহরণ এবং এটি কীভাবে পরিচালনা করবেন

শ্যাডো আইটি প্রায় প্রতিটি প্রতিষ্ঠানেই নিঃশব্দে ঢুকে পড়েছে : কোম্পানির কার্ড দিয়ে চুক্তিবদ্ধ ক্লাউড অ্যাপ্লিকেশন, কাজের জন্য হোয়াটসঅ্যাপ গ্রুপ, ক্লায়েন্টের ফাইল রাখার জন্য ব্যক্তিগত স্টোরেজ অ্যাকাউন্ট… এই সবই এমন এক বাস্তবতার অংশ যা দিন দিন বেড়েই চলেছে এবং যা সঠিকভাবে পরিচালনা না করলে এক গুরুতর মাথাব্যথার কারণ হয়ে দাঁড়াতে পারে।

একই সাথে, এই "অনানুষ্ঠানিক" আইটি খুব বাস্তব কিছু প্রয়োজন থেকেও উদ্ভূত হয়: যেমন কর্মীরা আরও দ্রুত কাজ করতে, আরও ভালোভাবে সহযোগিতা করতে, বা প্রাতিষ্ঠানিক সরঞ্জামের ঘাটতি পূরণ করতে চান। সমস্যাটি এর অস্তিত্বে ততটা নয়, বরং এটি আইটি এবং নিরাপত্তা বিভাগের নজরের বাইরে থেকে কাজ করে। এটি কী, কেন এর উদ্ভব হয়, এর সাথে কী কী ঝুঁকি জড়িত, এবং কীভাবে এটি পরিচালনা করতে হয়—এই বিষয়গুলো সম্পর্কে একটি পুঙ্খানুপুঙ্খ ধারণা থাকা যেকোনো প্রতিষ্ঠানের জন্য অত্যন্ত গুরুত্বপূর্ণ, যারা নিয়ন্ত্রণ না হারিয়ে কর্মচঞ্চল হতে চায়।

ছায়া আইটি কী এবং কেন এটি বিদ্যমান?

যখন আমরা শ্যাডো আইটি নিয়ে কথা বলি, তখন আমরা কোনো কোম্পানির মধ্যে এমন সফটওয়্যার, হার্ডওয়্যার, ক্লাউড পরিষেবা, অ্যাপ্লিকেশন বা ডিভাইসের ব্যবহারকে বোঝাই , যা আইটি বিভাগ দ্বারা অনুমোদিত, নিরীক্ষিত বা প্রায়শই এমনকি জ্ঞাতও নয়। এগুলি একটি সাধারণ বিনামূল্যের টাস্ক ম্যানেজমেন্ট অ্যাপ থেকে শুরু করে কোনো ব্যবসায়িক ইউনিটের চুক্তিবদ্ধ একটি সম্পূর্ণ ক্লাউড-ভিত্তিক কোলাবোরেশন প্ল্যাটফর্ম পর্যন্ত হতে পারে।

এই প্রযুক্তি কর্পোরেট কম্পিউটার, ব্যক্তিগত ল্যাপটপ, ব্যক্তিগত মোবাইল ডিভাইস (BYOD), ট্যাবলেট, ইউএসবি ড্রাইভ অথবা সরাসরি বাহ্যিক ক্লাউড পরিষেবাগুলিতে ইনস্টল করা যেতে পারে। এদের মধ্যে সাধারণ মিল হলো, এটি কাজের উদ্দেশ্যে ব্যবহৃত হয়, কিন্তু প্রতিষ্ঠানের আনুষ্ঠানিক ক্রয়, নিরাপত্তা এবং সম্মতি প্রক্রিয়ার বাইরে।

সাম্প্রতিক বছরগুলোতে বেশ কিছু কারণে এই প্রবণতাটি ব্যাপকভাবে বৃদ্ধি পেয়েছে: প্রযুক্তির সহজলভ্যতা (শক্তিশালী, সাশ্রয়ী এবং সহজে ব্যবহারযোগ্য টুলস সকলের জন্য উপলব্ধ), SaaS-এর ব্যাপক প্রসার, দূর থেকে কাজ করার ব্যাপক প্রচলন এবং মাত্র কয়েকটি ক্লিকে ক্লাউড পরিষেবা পাওয়ার সুবিধা। বিভিন্ন সমীক্ষা অনুযায়ী, ২০২২ সালে প্রায় ৪১% কর্মী ইতিমধ্যেই আইটি বিভাগের নিয়ন্ত্রণের বাইরের সমাধান ব্যবহার করছিলেন এবং এই সংখ্যা আরও বাড়বে বলে আশা করা হচ্ছে।

শ্যাডো আইটি ধারণাটির সহজাতভাবে কোনো ইতিবাচক বা নেতিবাচক অর্থ নেই। সমস্যাটি হলো, আইটি বিভাগের আওতার বাইরে থাকায় এটি কোম্পানির আনুষ্ঠানিক প্রযুক্তির ক্ষেত্রে প্রযোজ্য নিরাপত্তা, লাইসেন্সিং এবং গভর্নেন্স নিয়ন্ত্রণের মধ্য দিয়ে যায় না , যা সাইবার নিরাপত্তা, কমপ্লায়েন্স, খরচ এবং পরিচালনগত ঝুঁকির পথ খুলে দেয়।

ছায়া আইটির সাধারণ উদাহরণ

শ্যাডো আইটি কোনও বিমূর্ত ধারণা নয়: এটি খুব সুনির্দিষ্ট, দৈনন্দিন আচরণে নিজেকে প্রকাশ করে। এই উদাহরণগুলি বোঝা এটিকে আরও ভালভাবে সনাক্ত করতে এবং বাস্তবসম্মত নীতিমালা তৈরি করতে সহায়তা করে।

প্রথম ক্যাটাগরিতে রয়েছে সেইসব ক্লাউড অ্যাপ্লিকেশন, যেগুলো ব্যবহারকারীরা সরাসরি কর্পোরেট নেটওয়ার্ক থেকে অথবা তাদের ব্যক্তিগত ডিভাইস থেকে ব্যবহার করেন: যেমন—ট্রেলো বা আসানার মতো প্রজেক্ট ম্যানেজমেন্ট টুল, গুগল ড্রাইভ বা ড্রপবক্সের মতো স্টোরেজ সলিউশন, বিকল্প প্রোডাক্টিভিটি স্যুট, বিভাগ-ভিত্তিক সিআরএম, ইত্যাদি।

দ্বিতীয়ত, ব্যবসায়িক ইউনিটগুলো ক্রয় বা আইটি বিভাগের মধ্য দিয়ে না গিয়েই সফটওয়্যার অ্যাজ আ সার্ভিস (SaaS) চুক্তি করে থাকে; যেমন মার্কেটিং টুলস, অ্যানালিটিক্স প্ল্যাটফর্ম, ডিজাইন বা এডিটিং সলিউশন, নন-সার্টিফাইড ভিডিও কনফারেন্সিং অ্যাপ্লিকেশন ইত্যাদির লাইসেন্স। এগুলোর মূল্য সাধারণত ইউনিট ম্যানেজারদের নিজেদের ব্যবহৃত কর্পোরেট ক্রেডিট কার্ডের মাধ্যমে অথবা ব্যক্তিগত সাবস্ক্রিপশনের মাধ্যমে পরিশোধ করা হয়, যা পরবর্তীতে পরিশোধ করা হয়।

এর আরেকটি সাধারণ রূপ হলো যথাযথ ব্যবস্থাপনা ছাড়া কর্মক্ষেত্রে ব্যক্তিগত ডিভাইস (BYOD) ব্যবহার করা : যেমন—কর্পোরেট ইমেইলের জন্য ব্যবহৃত ব্যক্তিগত মোবাইল ফোন, গ্রাহকের তথ্যসহ ব্যক্তিগত ট্যাবলেট, প্রতিষ্ঠানের নেটওয়ার্কের সাথে সংযুক্ত বাড়ির ল্যাপটপ, সংবেদনশীল তথ্য স্থানান্তরের জন্য এনক্রিপ্ট করা নয় এমন ইউএসবি ড্রাইভ… এই সবকিছুই ঝুঁকি বাড়িয়ে তোলে, যার ওপর আইটি বিভাগের কোনো প্রকৃত নিয়ন্ত্রণ থাকে না।

এর মধ্যে কর্মচারীর নিজের অফিসের কম্পিউটারে ইনস্টল করা সফটওয়্যারও অন্তর্ভুক্ত : যেমন—ব্রাউজার প্লাগইন, প্রোডাক্টিভিটি অ্যাড-অন, টেকনিশিয়ানদের নিজেদের ডাউনলোড করা ডেভেলপমেন্ট টুল, অননুমোদিত মেসেজিং বা ভিডিও কলিং অ্যাপ্লিকেশন, এবং এমনকি অফিসিয়াল রিপোজিটরির বাইরে কর্পোরেট ল্যাপটপে চালানো কাস্টম কোড।

পরিশেষে, আমাদের অবশ্যই মনে রাখতে হবে যে, কাজের বিষয়াদি সামলানোর জন্য হোয়াটসঅ্যাপ, টেলিগ্রাম, সিগন্যাল বা ডিসকর্ডের মতো ব্যক্তিগত যোগাযোগ প্ল্যাটফর্ম ব্যবহার করা হয় । এছাড়াও, ক্লায়েন্টের কাছে নথি পাঠানো বা সরবরাহকারীদের সাথে ফাইল শেয়ার করার জন্য ব্যক্তিগত ইমেল অ্যাকাউন্ট ব্যবহার করা হয়, যা সেই তথ্যকে প্রতিষ্ঠানের কাছে সম্পূর্ণ অস্বচ্ছ করে তোলে।

কেন তথ্যপ্রযুক্তি এত গোপনে ছড়িয়ে পড়ছে?

শ্যাডো আইটি এলোমেলোভাবে আবির্ভূত হয় না, বরং সাংগঠনিক, প্রযুক্তিগত এবং মানবিক কারণের সংমিশ্রণের প্রতিক্রিয়া হিসাবে দেখা দেয়। আমরা যদি এটি কার্যকরভাবে পরিচালনা করতে চাই, তাহলে আমাদের অবশ্যই এই মূল কারণগুলি মোকাবেলা করতে হবে।

সবচেয়ে গুরুত্বপূর্ণ সমস্যাগুলোর মধ্যে একটি হলো আইটি বিভাগের মধ্যে ধীরগতি এবং অনমনীয়তার ধারণা । যখন নতুন টুলসের অনুমোদন প্রক্রিয়া দীর্ঘ, আমলাতান্ত্রিক বা অস্বচ্ছ হয়, তখন কর্মচারীরা মনে করেন যে নতুন কিছুর জন্য অনুরোধ করা প্রায় অসম্ভব, বিশেষ করে যদি তাদের নির্দিষ্ট সময়সীমার মধ্যে কাজ শেষ করার তাড়া থাকে।

প্রাতিষ্ঠানিক সমাধান নিয়ে অসন্তোষও এক্ষেত্রে একটি ভূমিকা পালন করে । দুর্বোধ্য, সীমিত বা অনুপযুক্ত প্রাতিষ্ঠানিক সরঞ্জামগুলো দলগুলোকে আরও ভালো বিকল্প খুঁজতে উৎসাহিত করে। যদি কোনো বিভাগ জানতে পারে যে একটি নির্দিষ্ট অ্যাপ তাদের কাজের গতি দ্বিগুণ করে দিতে পারে, তবে স্বাধীনভাবে সেটি গ্রহণ করার প্রলোভন প্রবল হয়ে ওঠে।

প্রযুক্তিতে সহজলভ্যতা নিজেই একটি নির্ণায়ক ভূমিকা পালন করে। আজ, একটি সাধারণ ক্রেডিট কার্ড এবং সামান্য জ্ঞান থাকলেই যে কেউ আইটি বিভাগের সাহায্য ছাড়াই সহযোগিতা, টাস্ক ম্যানেজমেন্ট, সফটওয়্যার ডেভেলপমেন্ট বা বৃহৎ পরিসরে ডেটা সংরক্ষণের জন্য উন্নত ক্লাউড পরিষেবা চালু করতে পারে।

এই সবকিছুর সাথে যুক্ত হয়েছে ঝুঁকি সম্পর্কে সচেতনতার অভাব । অনেক কর্মচারী ভালো উদ্দেশ্য নিয়ে এবং কোনো খারাপ উদ্দেশ্য ছাড়াই এই সমাধানগুলো ব্যবহার করেন, এই ভেবে যে তাদের ব্যক্তিগত অ্যাকাউন্ট থেকে নথি শেয়ার করা বা তাদের কাছে সুপারিশ করা কোনো বিনামূল্যের অ্যাপ ইনস্টল করার ফলে "কিছুই হবে না"। অথচ তারা এ বিষয়ে সচেতন নন যে ডেটা ফাঁস, ম্যালওয়্যার বা নিয়ন্ত্রক বিধি লঙ্ঘনের ক্ষেত্রে এর পরিণতি কী হতে পারে।

অবশেষে, আরও কিছু মানবিক বিষয় সামনে আসে, যেমন আস্থা ও যোগাযোগের সংস্কৃতির অভাব । কিছু লোক, সমস্যা সৃষ্টিকারী হিসেবে বিবেচিত হওয়ার ভয়ে অথবা কোনো প্রক্রিয়া যে কাজ করছে না তা স্বীকার করতে নারাজ হয়ে, পরিবর্তনের প্রয়োজনীয়তা খোলাখুলিভাবে তুলে ধরার পরিবর্তে অননুমোদিত সরঞ্জাম দিয়ে নিজেরাই কাজ চালিয়ে নেওয়ার পথ বেছে নেয়।

ছায়া আইটির সম্ভাব্য সুবিধা

যদিও এটি প্রায়শই সমস্যার সাথে যুক্ত, ছায়া আইটির একটি ইতিবাচক দিকও রয়েছে যা জোর করে নির্মূল করার চেষ্টা করার পরিবর্তে এটিকে সঠিকভাবে চ্যানেল করার জন্য স্বীকৃতি দেওয়া উচিত।

অনেক ক্ষেত্রে, এই টুলগুলো দৈনন্দিন নির্দিষ্ট সমস্যার সমাধানে অনেক দ্রুত অ্যাক্সেস দেয়। একটি দল আনুষ্ঠানিক অধিগ্রহণ এবং স্থাপন প্রক্রিয়া সম্পন্ন হওয়ার জন্য সপ্তাহ ধরে অপেক্ষা না করেই, কয়েক ঘণ্টার মধ্যেই একটি নতুন অ্যাপ্লিকেশন নিয়ে কাজ শুরু করতে পারে।

শ্যাডো আইটি উদ্ভাবন এবং পরীক্ষা-নিরীক্ষারও একটি উৎস । এর ব্যবহারকারীরা উদীয়মান প্রযুক্তি অন্বেষণ করেন, সহযোগিতা বা কাজ স্বয়ংক্রিয় করার নতুন উপায় পরীক্ষা করেন এবং কখনও কখনও এমন সমাধান আবিষ্কার করেন যা পরবর্তীতে আনুষ্ঠানিকভাবে গ্রহণ করা যেতে পারে, কারণ সেগুলো পুরো প্রতিষ্ঠানের জন্য সুস্পষ্ট উপযোগিতা প্রদান করে।

এর আরেকটি সুস্পষ্ট সুবিধা হলো কর্মীদের উৎপাদনশীলতা ও স্বাচ্ছন্দ্যের উন্নতি । এমন সব টুল ব্যবহার করা, যা তাদের কাজের ধারার সাথে পুরোপুরি খাপ খায়, যা তারা ভালোভাবে জানে এবং যা তারা নিজেদের মতো করে সাজিয়ে নিতে পারে, তার ফলে সাধারণত কাজের জটিলতা ও সময়ের অপচয় কমে আসে এবং মূল্য সংযোজনকারী কাজগুলোর ওপর বেশি মনোযোগ দেওয়া যায়।

আমাদের মনস্তাত্ত্বিক দিকটি ভুলে গেলে চলবে না: ব্যবহৃত সরঞ্জামগুলিতে কিছুটা নমনীয়তা রাখলে তা আরও ক্ষমতায়িত ও স্বনির্ভর দল তৈরি করে , যেখানে উদ্ভাবনী ক্ষমতা এবং স্বাধীনভাবে সমস্যা সমাধানের সংস্কৃতি গড়ে ওঠে। সঠিকভাবে পরিচালিত হলে, এটি কোম্পানির কর্মচঞ্চলতার জন্য অত্যন্ত ইতিবাচক হতে পারে।

তবে, এই সমস্ত সুবিধাগুলি সাধারণত একটি গুরুত্বপূর্ণ বিষয় নিয়ে আসে: যদি এই প্রযুক্তিটি যথাযথ নিয়ন্ত্রণের অধীন না হয়, তাহলে দক্ষতার অস্থায়ী লাভ সহজেই নিরাপত্তা ঘটনা, নিয়ন্ত্রক নিষেধাজ্ঞা, ডেটা বিশৃঙ্খলা বা লুকানো খরচের আকারে পরিশোধ করা যেতে পারে।

ছায়া আইটির প্রধান ঝুঁকি

ছায়া তথ্যপ্রযুক্তির মুদ্রার অন্য দিক হল এটি যে ঝুঁকিগুলি নিয়ে আসে তার সমষ্টি। এর মধ্যে অনেকগুলি প্রথমে স্পষ্ট হয় না, তবে এগুলি জমা হয় এবং সবচেয়ে খারাপ মুহূর্তে বিস্ফোরিত হতে পারে।

এর প্রথম এবং সবচেয়ে দৃশ্যমান পরিণতি হলো আক্রমণের ক্ষেত্র বৃদ্ধি পাওয়া । প্রতিটি নতুন অননুমোদিত অ্যাপ্লিকেশন, প্রতিটি বাহ্যিক ক্লাউড পরিষেবা, নেটওয়ার্কের সাথে সংযুক্ত প্রতিটি ব্যক্তিগত ডিভাইস হলো একটি অতিরিক্ত সুযোগ, যা সাইবার অপরাধীরা কাজে লাগানোর চেষ্টা করতে পারে। যেহেতু এগুলো কর্পোরেট নিরাপত্তা কাঠামোর সাথে সমন্বিত নয়, তাই এগুলো প্রায়শই নিখুঁত ব্যাকডোর হিসেবে কাজ করে।

উপরোক্ত বিষয়ের সাথে সম্পর্কিতভাবে, শ্যাডো আইটি দুর্বলতা এবং ম্যালওয়্যারের ঝুঁকি বাড়িয়ে তোলে । অনেক বিনামূল্যের বা স্বল্প পরিচিত অ্যাপ্লিকেশনে শক্তিশালী নিরাপত্তা ব্যবস্থার অভাব থাকে, সেগুলো দেরিতে আপডেট করা হয়, অথবা সেগুলোতে গুরুতর বাগ থাকে। মোবাইল ডিভাইস এবং থার্ড-পার্টি অ্যাপের ক্ষেত্রে, গবেষণায় দেখা গেছে যে এগুলোর একটি বিশাল অংশে নিরাপত্তা ত্রুটি থাকে, যা আক্রমণকারীরা কাজে লাগাতে পারে।

আরেকটি গুরুতর ঝুঁকি হলো ডেটার ক্ষতি, ফাঁস হওয়া বা অনুপযুক্তভাবে প্রকাশ পাওয়া । যখন কর্মচারীরা ব্যক্তিগত অ্যাকাউন্টে, যাচাইবিহীন বিক্রেতাদের কাছে বা এনক্রিপ্ট করা নয় এমন ডিভাইসে প্রাতিষ্ঠানিক তথ্য সংরক্ষণ করেন , তখন প্রতিষ্ঠানটি সেই ডেটার ওপর থেকে দৃশ্যমানতা এবং নিয়ন্ত্রণ হারায়। যদি মাত্র একজন ব্যক্তিও কোম্পানি ছেড়ে চলে যান বা একটি ডিভাইস হারিয়ে ফেলেন, তবে তাতে সংরক্ষিত সমস্ত তথ্য হারিয়ে যায়।

শ্যাডো আইটি নিয়ন্ত্রক সম্মতিকেও ব্যাপকভাবে জটিল করে তোলে । GDPR, HIPAA, PCI DSS-এর মতো প্রবিধান এবং NIST-এর মতো মানগুলির জন্য ডেটা কোথায় থাকে, কীভাবে এটি সুরক্ষিত থাকে এবং কার কাছে এর অ্যাক্সেস আছে, তা জানা প্রয়োজন। যদি সেই তথ্যের কিছু অংশ অজানা চ্যানেলের মাধ্যমে আদান-প্রদান হয়, তবে সম্মতি নিশ্চিত করা কার্যত অসম্ভব হয়ে পড়ে, যার ফলে আর্থিক জরিমানা, আইনি বাধ্যবাধকতা এবং সুনামের গুরুতর ক্ষতি হতে পারে।

কার্যকরী দৃষ্টিকোণ থেকে, অননুমোদিত সরঞ্জামের ব্যাপক ব্যবহার অদক্ষতা, বিচ্ছিন্নতা এবং খণ্ডিত কর্মপ্রবাহের জন্ম দেয় । প্রতিটি দল কাজ পরিচালনা, যোগাযোগ বা ফাইল শেয়ার করার জন্য নিজস্ব অ্যাপের সংমিশ্রণ ব্যবহার করতে পারে, যা আন্তঃকার্যক্ষমতাকে বাধাগ্রস্ত করে, কাজের পুনরাবৃত্তি বাড়ায় এবং ডেটার একটি সমন্বিত চিত্র পাওয়া অত্যন্ত কঠিন করে তোলে।

খরচের উপর এর প্রভাব উপেক্ষা করা উচিত নয়। স্বল্প মেয়াদে একটি বড় কর্পোরেট সলিউশন কেনার পরিবর্তে কয়েকটি সস্তা বা বিনামূল্যের পরিষেবা ব্যবহার করলে খরচ সাশ্রয় হচ্ছে বলে মনে হলেও, দীর্ঘমেয়াদে শ্যাডো আইটি প্রায়শই লুকানো খরচ তৈরি করে : যেমন ডুপ্লিকেট সাবস্ক্রিপশন, অব্যবহৃত লাইসেন্স, কোনো ঘটনার কারণে ডাউনটাইম, অতিরিক্ত সাপোর্ট ও প্রতিকারের প্রচেষ্টা, নন-সার্টিফাইড প্রোভাইডারদের সাথে চুক্তিতে আবদ্ধ হওয়া ইত্যাদি।

দৃশ্যমানতা, নিয়ন্ত্রণ এবং সম্মতি সংক্রান্ত সমস্যা

শ্যাডো আইটি-র একটি পার্শ্বপ্রতিক্রিয়া হলো, প্রতিষ্ঠানের প্রযুক্তি বিষয়ে তথ্যের কেন্দ্রীয় উৎস হিসেবে আইটি বিভাগ তার ভূমিকা হারায় । যদি বিভাগটি না জানে যে কী ব্যবহৃত হচ্ছে, ডেটা কোথায় রয়েছে, বা সিস্টেমগুলোর মধ্যে কী ধরনের নির্ভরশীলতা বিদ্যমান, তবে নিরাপত্তা, ধারাবাহিকতা এবং বিবর্তনের জন্য একটি সুসংহত কৌশল প্রণয়ন করা খুব কঠিন হয়ে পড়ে।

দৃশ্যমানতার অভাবের একাধিক পরিণতি রয়েছে। একদিকে, এটি যা দেখা যায় না তার সুরক্ষায় বাধা দেয় : মনিটরিং, ব্যাকআপ, এনক্রিপশন বা ইনসিডেন্ট রেসপন্স সলিউশনগুলো এমন সিস্টেমগুলোকে অন্তর্ভুক্ত করে না, যেগুলো আনুষ্ঠানিক তালিকায় তালিকাভুক্তই নয়। অন্যদিকে, এটি তথ্যে অসামঞ্জস্য তৈরি করে, কারণ একই ডেটার একাধিক সংস্করণ বিভিন্ন, সম্পর্কহীন টুলে ছড়িয়ে-ছিটিয়ে থাকতে পারে।

কমপ্লায়েন্সের ক্ষেত্রে, শ্যাডো এনভায়রনমেন্ট প্রমাণ ব্যবস্থাপনা (লগ, অ্যাক্সেস হিস্ট্রি, পরিবর্তনের সন্ধানযোগ্যতা) এবং অডিট বা ঘটনার প্রতিক্রিয়া উভয়কেই জটিল করে তোলে। যদি কোনো নিয়ন্ত্রক কর্তৃপক্ষ নির্দিষ্ট ব্যক্তিগত ডেটা কোথায় সংরক্ষিত আছে, কে তা প্রসেস করেছে এবং কী নিরাপত্তা ব্যবস্থার মাধ্যমে করা হয়েছে তার প্রমাণ চায়, তবে অনিয়ন্ত্রিত আইটি-র কারণে সৃষ্ট ফাঁকগুলো বিশাল হতে পারে।

ডেটা লাইফসাইকেল ( যেমন: ডেটা সংরক্ষণ, আর্কাইভ করা, সুরক্ষিতভাবে ডেটা ধ্বংস করা ইত্যাদি) পরিচালনা করার ক্ষেত্রে কোম্পানির সক্ষমতার উপরও এর সরাসরি প্রভাব পড়ে । যদি কিছু তথ্য অনানুষ্ঠানিক সংগ্রহস্থলে সংরক্ষিত থাকে, তাহলে কোনো কর্মী চাকরি ছেড়ে দিলে বা নির্দিষ্ট কোনো তথ্য মুছে ফেলার প্রয়োজন হলে, তার সক্রিয় অনুলিপি থেকে যাওয়ার সম্ভাবনা থাকে, যা ঝুঁকি তৈরি করে।

অবশেষে, নিয়ন্ত্রণের অভাব বিনিয়োগ এবং সম্পদের পরিকল্পনা করার সময় অসুবিধা তৈরি করে । অব্যবহৃত টুলের জন্য কর্পোরেট লাইসেন্সের অর্থ প্রদান করা হতে পারে, অথচ কিছু দল একই ধরনের টুলের জন্য নিজেদের খরচে অর্থ প্রদান করে, অথবা অজান্তেই একই ধরনের কার্যকারিতার পুনরাবৃত্তি ঘটতে পারে। একটি সম্পূর্ণ চিত্র ছাড়া, আইটি ব্যয়কে সর্বোত্তমভাবে ব্যবহার করা প্রায় অসম্ভব হয়ে পড়ে।

আপনার প্রতিষ্ঠানে ছায়া আইটি কীভাবে সনাক্ত করবেন

শ্যাডো আইটি ব্যবস্থাপনার প্রথম ধাপ হলো নিষেধাজ্ঞা আরোপ করা নয়, বরং এর দৃশ্যমানতা অর্জন করা । অনেক প্রতিষ্ঠানই এই কাজটি করতে গিয়ে অবাক হয়ে যায়, যখন তারা এমন কয়েক ডজন বা শত শত সার্ভিসের সন্ধান পায়, যা কেউই আনুষ্ঠানিকভাবে ঘোষণা করেনি।

একটি মৌলিক কৌশলের মধ্যে রয়েছে অননুমোদিত অ্যাপ্লিকেশন, ক্লাউড পরিষেবা এবং সংযোগ শনাক্ত করার জন্য নিয়মিত নেটওয়ার্ক ও এন্ডপয়েন্ট অডিট পরিচালনা করা । এর মধ্যে কম্পিউটারে ইনস্টল করা সফটওয়্যার, ব্রাউজার প্লাগইন, কর্পোরেট ইমেলের সাথে সংযুক্ত মোবাইল অ্যাপ এবং SaaS ডোমেইনের ট্র্যাফিক প্যাটার্ন পর্যালোচনা করা অন্তর্ভুক্ত।

প্রযুক্তি সরবরাহকারীদেরকে করা সেইসব পেমেন্টের খরচ এবং ক্রয়ের রেকর্ড বিশ্লেষণ করাও খুব দরকারি, যেগুলো প্রচলিত পদ্ধতির বাইরে করা হয়। ক্লাউড পরিষেবার জন্য ক্রেডিট কার্ড সাবস্ক্রিপশন, বারবার হওয়া ছোট ছোট চার্জ, বা নির্দিষ্ট বিভাগের নামে ইস্যু করা সফটওয়্যারের ইনভয়েস শ্যাডো আইটি-র একটি স্পষ্ট লক্ষণ হতে পারে।

আরেকটি শনাক্তকরণ পদ্ধতিতে আইডেন্টিটি এবং এসএসও প্রোভাইডারদের (যেমন অ্যাজুর এডি, গুগল ওয়ার্কস্পেস এবং অন্যান্য) থেকে তথ্য একত্রিত করা হয়, যার মাধ্যমে দেখা যায় ব্যবহারকারীরা কর্পোরেট ক্রেডেনশিয়াল ব্যবহার করে কোন অ্যাপ্লিকেশনগুলো অ্যাক্সেস করছে। যদিও এই অ্যাপ্লিকেশনগুলোর সবগুলো অনুমোদিত নয়, দৃশ্যমানতার এই স্তরটি প্রতিষ্ঠানের কার্যকলাপের ধরণগুলো চিহ্নিত করতে সাহায্য করে।

এছাড়াও নির্দিষ্ট শ্যাডো আইটি ডিটেকশন টুল এবং সিএএসবি (ক্লাউড অ্যাক্সেস সিকিউরিটি ব্রোকার) রয়েছে , যেগুলো ক্লাউড সার্ভিসে আসা ট্র্যাফিক নিরীক্ষণ করে, অ্যাপ্লিকেশনগুলোকে তাদের ঝুঁকির মাত্রা অনুযায়ী শ্রেণিবদ্ধ করে এবং কয়েক সেকেন্ডের মধ্যে নতুন সংযোজন স্বয়ংক্রিয়ভাবে শনাক্ত করতে পারে ও কোনো অননুমোদিত কিছু দেখা গেলে সতর্কবার্তা জারি করে।

পরিশেষে, শনাক্তকরণ শুধুমাত্র প্রযুক্তিগত হওয়া উচিত নয়। স্বচ্ছতার এমন একটি সংস্কৃতি গড়ে তোলা অত্যন্ত গুরুত্বপূর্ণ, যেখানে কর্মচারীরা তিরস্কারের ভয় ছাড়াই তারা কোন টুল ব্যবহার করেন এবং কেন করেন, তা নিয়ে আলোচনা করতে উৎসাহিত হন। অভ্যন্তরীণ সমীক্ষা, বিভাগীয় প্রধানদের সাক্ষাৎকার এবং উন্মুক্ত যোগাযোগ ব্যবস্থা অনেক স্ক্যানারের চেয়েও বেশি শ্যাডো আইটি উন্মোচন করতে পারে।

ছায়া আইটি প্রতিরোধ এবং নিয়ন্ত্রণের জন্য সর্বোত্তম অনুশীলন

একবার সামগ্রিক চিত্রটি বোঝা গেলে এবং গভীরে কী আছে তা প্রকাশিত হলে, উদ্ভাবনকে বাধা না দিয়ে ঝুঁকি কমানোর জন্য একটি কৌশল প্রণয়নের সময় আসে । এর মূল চাবিকাঠি হলো প্রক্রিয়া, প্রযুক্তি এবং সংস্কৃতির সমন্বয় ঘটানো।

সাংগঠনিক দৃষ্টিকোণ থেকে, আইটি এবং ব্যবসায়িক বিভাগগুলোর মধ্যে সহযোগিতা উন্নত করা অত্যন্ত গুরুত্বপূর্ণ । শুধুমাত্র একটি 'না' বলার বিভাগ হিসেবে কাজ না করে, আইটি বিভাগের উচিত দলগুলোর সাথে বসে তাদের প্রকৃত চাহিদাগুলো বোঝা এবং সেগুলোর সমাধান করে এমন নিরাপদ বিকল্প প্রস্তাব করা। ব্যবহারকারীরা যখন মনে করেন যে তাদের কথা শোনা হচ্ছে, তখন তারা শর্টকাট খোঁজার সম্ভাবনা কম রাখেন।

অনুমোদিত পরিষেবা এবং অ্যাপ্লিকেশনগুলির একটি স্পষ্ট, হালনাগাদ এবং সহজে ব্যবহারযোগ্য ক্যাটালগ প্রদান করাও অনেক সহায়ক । কর্মচারীরা যদি জানেন যে প্রতিটি কাজের জন্য (যেমন সহযোগিতা, প্রকল্প ব্যবস্থাপনা, ফাইল শেয়ারিং, মেসেজিং ইত্যাদি) তারা কোন টুলগুলো ব্যবহার করতে পারবেন, তাহলে কোম্পানি ছেড়ে যাওয়ার প্রবণতা কমে যায়।

প্রযুক্তিগত দৃষ্টিকোণ থেকে, মোবাইল ডিভাইস ম্যানেজমেন্ট (MDM) সলিউশন এবং শক্তিশালী BYOD পলিসি প্রয়োগ করা বাঞ্ছনীয়, যা কর্পোরেট ডেটা অ্যাক্সেস করে এমন ব্যক্তিগত ডিভাইসে কোন অ্যাপ ইনস্টল করা হবে তা নিয়ন্ত্রণ করে, এনক্রিপশন প্রয়োগ করে, ব্যক্তিগত ও কর্মক্ষেত্রকে পৃথক রাখে এবং অননুমোদিত পরিষেবার ব্যবহার ব্লক করে।

ডেভেলপমেন্ট পরিবেশে, অ্যাপ্লিকেশন লাইফসাইকেলে সিকিউরিটি অ্যানালাইসিস টুলস (SAST, DAST, IAST) অন্তর্ভুক্ত করা, কোন লাইব্রেরি ও ফ্রেমওয়ার্ক ব্যবহার করা হচ্ছে তা পর্যালোচনা করা, এবং অফিশিয়াল রিপোজিটরিতে আসা সমস্ত কোড মূল্যায়ন ও ডকুমেন্টেশন করা হয়েছে কিনা তা নিশ্চিত করার মাধ্যমে তথাকথিত শ্যাডো কোড মোকাবেলা করা অত্যন্ত গুরুত্বপূর্ণ।

অ্যাক্সেস কন্ট্রোল এবং ন্যূনতম বিশেষাধিকারের নীতি ক্লাউড পর্যন্তও প্রসারিত হতে হবে: এর মাধ্যমে নির্ধারণ করতে হবে কারা নতুন পরিষেবা চালু করতে পারবে, কী ডিফল্ট নিরাপত্তা কনফিগারেশন সহ, রিসোর্সগুলোকে ট্র্যাক করার জন্য কীভাবে লেবেল করা হবে, এবং প্রোডাকশনে যাওয়ার আগে সেগুলোকে কী কী শর্ত পূরণ করতে হবে।

অন্যদিকে, অস্বাভাবিক আচরণের জন্য সতর্কতা এবং প্রতিক্রিয়া স্বয়ংক্রিয় করা অত্যন্ত কার্যকর : যেমন নতুন SaaS পরিষেবার সাবস্ক্রিপশন, বাহ্যিক সরবরাহকারীদের কাছে ডেটা স্থানান্তরের আকস্মিক বৃদ্ধি, অশ্রেণীবদ্ধ অ্যাপের নিবিড় ব্যবহার ইত্যাদি শনাক্ত করা। শ্যাডো আইটির একটি নতুন ঘটনা যত তাড়াতাড়ি শনাক্ত করা যায়, তার সমাধান করার জন্য তত বেশি সময় পাওয়া যায়।

প্রশিক্ষণ এবং সচেতনতা অপরিহার্য স্তম্ভ। শুধু একটি নীতি চালু করে তা অনুসরণ করা হবে বলে আশা করাই যথেষ্ট নয়: শ্যাডো আইটি কী, এর সাথে কী কী ঝুঁকি জড়িত, কী কী নিরাপদ বিকল্প রয়েছে এবং কীভাবে নতুন টুলের জন্য অনুরোধ করতে হয়, তা আপনাকে স্পষ্টভাবে এবং বাস্তবিকভাবে ব্যাখ্যা করতে হবে। নিয়মিত কর্মশালা, প্রশিক্ষণ মডিউল, সিমুলেশন এবং অভ্যন্তরীণ প্রচারণা ব্যাপক পরিবর্তন আনতে পারে।

অবশেষে, নিয়মিত আইটি অডিট পরিচালনা করার পরামর্শ দেওয়া হয় , যার মাধ্যমে আনুষ্ঠানিক ও অনাবিষ্কৃত উভয় ধরনের অ্যাসেট পর্যালোচনা করা, নিরাপত্তা ও কমপ্লায়েন্স নীতির সাথে সেগুলোর সামঞ্জস্য মূল্যায়ন করা এবং নিয়মিতকরণের পরিকল্পনা নির্ধারণ করা হয়। এই পরিকল্পনার আওতায় অন্তর্ভুক্ত থাকবে মূল্য সংযোজনকারী টুলগুলোকে আনুষ্ঠানিকভাবে একীভূত করা, অগ্রহণযোগ্য ঝুঁকি সৃষ্টিকারী টুলগুলোকে অপসারণ করা এবং উপযুক্ত বিকল্প প্রস্তাব করা।

নেপথ্যে থেকে আইটি পরিচালনা করার অর্থ কর্মীদের প্রতিটি ছোটখাটো কাজ তদারকি করা বা তাদের প্রতিটি ক্লিকের ওপর কঠোর নিয়ন্ত্রণ আরোপ করা নয়, বরং এর অর্থ হলো তাদের উদ্যোগকে সঠিক পথে চালিত করা, অজানা দিকগুলো কমিয়ে আনা এবং উৎপাদনশীলতা ও নিরাপত্তার মধ্যে ভারসাম্য রক্ষা করা । যোগাযোগ যত বেশি স্বচ্ছ হবে, নতুন সমাধান অনুমোদনের প্রক্রিয়া যত বেশি নমনীয় হবে এবং কাজের নিয়মকানুন যত স্পষ্ট হবে, নিজেদের কাজ ভালোভাবে করার জন্য কর্মীদের তত কম "নেপথ্যে যাওয়ার" প্রয়োজন হবে।