Stínové IT: Rizika, příklady a jak je řídit

Informatec Digital » Zdroje » Stínové IT: Rizika, příklady a jak je řídit

Stínové IT se vplížilo téměř do každé organizace, aniž by se ozvalo jakékoliv zvuky: cloudové aplikace smluvně vázané na firemní kartu, skupiny WhatsApp pro pracovní záležitosti, osobní úložné účty používané pro soubory klientů… To vše je součástí reality, která se den ode dne rozrůstá a pokud se s ní nepořádá, může se stát pořádnou bolestí hlavy.

Zároveň toto „neoficiální“ IT vzniká i z velmi reálných potřeb: zaměstnanců, kteří chtějí pracovat rychleji, lépe spolupracovat nebo kompenzovat nedostatky firemních nástrojů. Problém není ani tak v jeho existenci, jako spíše v tom, že funguje mimo radar IT a bezpečnostních oddělení. Důkladné pochopení toho, co to je, proč vzniká, jaká rizika s sebou nese a jak to řídit, je klíčové pro každou organizaci, která chce být agilní, aniž by ztratila kontrolu.

Co je stínové IT a proč existuje?

Když mluvíme o stínovém IT, máme na mysli používání softwaru, hardwaru, cloudových služeb, aplikací nebo zařízení ve společnosti, které nebyly schváleny, monitorovány nebo často ani známy IT oddělení. Může se jednat o jednoduchou bezplatnou aplikaci pro správu úkolů až po kompletní cloudovou platformu pro spolupráci, kterou si najala obchodní jednotka.

Tuto technologii lze nainstalovat na firemní počítače, osobní notebooky, osobní mobilní zařízení (BYOD), tablety, USB disky nebo přímo na externí cloudové služby. Společným jmenovatelem je, že se používá pro pracovní účely, ale mimo formální procesy organizace v oblasti zadávání veřejných zakázek, zabezpečení a dodržování předpisů.

V posledních letech tento fenomén prudce vzrostl z několika důvodů: konzumerizace technologií (výkonné, levné a snadno použitelné nástroje dostupné každému), exploze SaaS, rozsáhlá práce na dálku a možnost poskytovat cloudové služby jen několika kliknutími. Podle různých studií již v roce 2022 přibližně 41 % zaměstnanců používalo řešení mimo kontrolu IT a očekává se, že toto číslo bude i nadále růst.

Koncept stínového IT nemá ve své podstatě pozitivní ani negativní konotaci. Problém je v tom, že jelikož je mimo působnost IT oddělení, neprochází bezpečnostními, licenčními a řídicími kontrolami , které se vztahují na oficiální technologie společnosti, což otevírá dveře rizikům v oblasti kybernetické bezpečnosti, dodržování předpisů, nákladů a provozu.

Běžné příklady stínového IT

Stínové IT není abstraktní koncept: projevuje se ve velmi konkrétním, každodenním chování. Pochopení těchto příkladů pomáhá lépe jej identifikovat a navrhovat realistické zásady.

První kategorii tvoří cloudové aplikace , ke kterým uživatelé přistupují přímo z podnikové sítě nebo ze svých osobních zařízení: nástroje pro řízení projektů, jako je Trello nebo Asana, úložná řešení, jako je Google Drive nebo Dropbox, alternativní sady pro produktivitu, CRM systémy specifické pro dané oddělení atd.

Za druhé, máme software jako službu (SaaS) smluvně uzavíraný obchodními jednotkami bez nutnosti nákupu nebo IT: licence na marketingové nástroje, analytické platformy, designová nebo editační řešení, necertifikované aplikace pro videokonference atd. Ty jsou obvykle hrazeny firemními kreditními kartami používanými samotnými manažery jednotek nebo prostřednictvím osobních předplatných, která jsou později proplacena.

Další běžnou formou je používání osobních zařízení v práci (BYOD) bez řádné správy: osobní mobilní telefony používané pro firemní e-maily, osobní tablety s daty zákazníků, domácí notebooky připojené k síti organizace, nešifrované USB disky pro přenos citlivých informací… To vše zvyšuje expozici, aniž by nad tím IT mělo jakoukoli skutečnou kontrolu.

Patří sem i software nainstalovaný zaměstnancem na jeho pracovním počítači: pluginy prohlížeče, doplňky pro produktivitu, vývojářské nástroje stažené samotnými techniky, neoprávněné aplikace pro zasílání zpráv nebo videohovory a dokonce i vlastní kód spouštěný na firemním notebooku mimo oficiální repozitáře.

Konečně nesmíme zapomenout na používání osobních komunikačních platforem , jako je WhatsApp, Telegram, Signal nebo Discord, k řešení pracovních záležitostí, stejně jako používání osobních e-mailových účtů k odesílání klientské dokumentace nebo sdílení souborů s dodavateli, což tato data pro organizaci činí zcela neprůhlednými.

Proč se IT tolik šíří ve stínu?

Stínové IT se neobjevuje náhodně, ale spíše jako reakce na kombinaci organizačních, technologických a lidských faktorů. Pokud ho chceme efektivně řídit, musíme se zabývat těmito základními příčinami.

Jedním z nejvýznamnějších problémů je vnímání pomalosti a nepružnosti v rámci IT oddělení . Pokud jsou schvalovací procesy pro nové nástroje zdlouhavé, byrokratické nebo neprůhledné, zaměstnanci mají pocit, že požádat o něco nového je téměř nemožné, zejména pokud mají napjaté termíny.

Svou roli hraje i nespokojenost s oficiálními řešeními . Neintuitivní, omezené nebo špatně přizpůsobené firemní nástroje vedou týmy k hledání lepších alternativ. Pokud oddělení zjistí, že určitá aplikace mu může zrychlit práci dvakrát, je pokušení ji přijmout samostatně obrovské.

Snadný přístup k technologiím hraje rozhodující roli. Dnes si kdokoli může s jednoduchou kreditní kartou a trochou znalostí nastavit pokročilé cloudové služby pro spolupráci, správu úkolů, vývoj softwaru nebo rozsáhlé ukládání dat, aniž by se musel ptát IT oddělení.

K tomu všemu se přidává nedostatečné povědomí o rizicích . Mnoho zaměstnanců používá tato řešení s dobrými úmysly a bez zlých úmyslů v domnění, že se sdílením dokumentů z jejich osobního účtu nebo instalací bezplatné aplikace, která jim byla doporučena, „nic nestane“, aniž by si byli vědomi toho, co to může znamenat z hlediska úniků dat, malwaru nebo nedodržování předpisů.

Nakonec vstupují do hry i další lidské faktory, jako je nedostatek kultury důvěry a komunikace . Někteří lidé se ze strachu, že budou vnímáni jako problematičtí nebo že přiznají, že proces nefunguje, rozhodnou „vystačit si“ s neschválenými nástroji, místo aby otevřeně upozornili na potřebu změny.

Potenciální výhody stínového IT

Ačkoli je stínové IT často spojováno s problémy, má i svou pozitivní stránku, kterou je třeba rozpoznat, abychom ho mohli správně usměrňovat, místo abychom se ho snažili násilím vymýtit.

V mnoha případech tyto nástroje poskytují mnohem rychlejší přístup k řešením , která řeší specifické každodenní problémy. Tým může začít pracovat s novou aplikací během několika hodin, aniž by musel čekat týdny na dokončení formálního procesu pořízení a nasazení.

Stínové IT je také zdrojem inovací a experimentování . Uživatelé zkoumají nově vznikající technologie, testují nové způsoby spolupráce nebo automatizace úkolů a někdy objevují řešení, která mohou být později oficiálně přijata, protože poskytují jasnou hodnotu celé organizaci.

Další jasnou výhodou je zlepšení produktivity a pohodlí zaměstnanců . Práce s nástroji, které dokonale odpovídají jejich pracovním postupům, které dobře znají a které si mohou přizpůsobit, se obvykle promítá do menšího tření, menší ztráty času a většího zaměření na úkoly s přidanou hodnotou.

Nesmíme zapomínat na psychologický faktor: povolení určité flexibility v používaných nástrojích podporuje posílenější a soběstačnější týmy s kulturou vynalézavosti a nezávislého řešení problémů. Při správném řízení může být tento přístup velmi pozitivní pro agilitu společnosti.

Všechny tyto výhody však obvykle přicházejí s jedním důležitým háčkem: pokud tato technologie nepodléhá řádné kontrole, dočasné zvýšení efektivity se může snadno vymstít v podobě bezpečnostních incidentů, regulačních sankcí, datového chaosu nebo skrytých nákladů.

Hlavní rizika stínového IT

Druhou stranou mince stínového IT je soubor rizik, která s sebou přináší. Mnohá ​​z nich nejsou zpočátku zřejmá, ale hromadí se a mohou explodovat v nejhorší možný okamžik.

Prvním a nejviditelnějším důsledkem je zvýšená plocha pro útok . Každá nová neoprávněná aplikace, každá externí cloudová služba, každé osobní zařízení připojené k síti je dalším bodem, který se kyberzločinci mohou pokusit zneužít. Protože nejsou integrovány do firemní bezpečnostní architektury, často představují perfektní zadní vrátka.

V souvislosti s výše uvedeným stínové IT zvyšuje zranitelnosti a potenciál pro malware . Mnoho bezplatných nebo málo známých aplikací postrádá robustní bezpečnostní mechanismy, jsou aktualizovány pozdě nebo obsahují závažné chyby. V případě mobilních zařízení a aplikací třetích stran studie ukázaly, že velmi vysoké procento z nich má bezpečnostní chyby, které mohou útočníci zneužít.

Dalším kritickým rizikem je ztráta, únik nebo neoprávněné zveřejnění dat . Když zaměstnanci ukládají firemní informace na osobních účtech, u neprověřených dodavatelů nebo na nešifrovaných zařízeních , organizace ztrácí přehled o těchto datech a kontrolu nad nimi. Pokud jen jeden člověk opustí společnost nebo ztratí zařízení, všechny informace na něm uložené se ztratí.

Stínové IT také značně komplikuje dodržování předpisů . Předpisy jako GDPR, HIPAA, PCI DSS a standardy jako NIST vyžadují vědět, kde se data nacházejí, jak jsou chráněna a kdo k nim má přístup. Pokud se některé z těchto informací pohybují neznámými kanály, je zajištění dodržování předpisů prakticky nemožné, což může vést k finančním sankcím, právním závazkům a vážnému poškození pověsti.

Z provozního hlediska vede šíření neautorizovaných nástrojů k neefektivitě, odděleným systémům a fragmentovaným pracovním postupům . Každý tým může nakonec používat vlastní kombinaci aplikací pro správu úkolů, komunikaci nebo sdílení souborů, což brání interoperabilitě, zvyšuje duplicitu a velmi ztěžuje jednotný pohled na data.

Dopad na náklady by neměl být přehlížen. Zatímco se z krátkodobého hlediska může zdát, že přechodem z nákupu velkého firemního řešení na používání několika levných nebo bezplatných služeb se dosahují úspory, z dlouhodobého hlediska stínové IT často generuje skryté výdaje : duplicitní předplatné, nevyužité licence, prostoje v důsledku incidentů, dodatečné úsilí o podporu a nápravu, vazby na necertifikované poskytovatele atd.

Problémy s viditelností, kontrolou a dodržováním předpisů

Vedlejším účinkem stínového IT je, že IT oddělení ztrácí svou roli ústředního zdroje pravdivých informací o technologiích v organizaci. Pokud neví, co se používá, kde se data nacházejí nebo jaké závislosti existují mezi systémy, je velmi obtížné navrhnout ucelenou strategii pro zabezpečení, kontinuitu a vývoj.

Nedostatek přehledu má několik důsledků. Na jedné straně brání ochraně toho, co vidět není : řešení pro monitorování, zálohování, šifrování ani reakci na incidenty nepokrývají systémy, které ani nejsou uvedeny v oficiálním inventáři. Na druhé straně to generuje nekonzistence v informacích, protože několik verzí stejných dat může existovat rozptýlených v různých, nepropojených nástrojích.

V oblasti dodržování předpisů komplikuje stínové prostředí jak správu důkazů (logy, historie přístupů, sledovatelnost změn), tak i reakci na audity nebo incidenty. Pokud regulační orgán požaduje důkaz o tom, kde jsou určité osobní údaje uloženy, kdo je zpracoval a s jakými bezpečnostními opatřeními, mohou být mezery zanechané nekontrolovaným IT obrovské.

Existuje také přímý dopad na schopnost společnosti řídit životní cyklus dat : uchovávání, archivaci, bezpečné zničení atd. Pokud jsou některé informace uloženy v neoficiálních úložištích, je snadné, aby aktivní kopie zůstaly v případě, že zaměstnanec odejde nebo je třeba určité informace smazat, s následným rizikem.

Ztráta kontroly nakonec vytváří potíže při plánování investic a zdrojů . Firemní licence na nedostatečně využívané nástroje mohou být hrazeny, zatímco určité týmy si podobné nástroje platí samy, nebo mohou být funkce duplikovány, aniž by si to uvědomovaly. Bez ucelené představy je optimalizace výdajů na IT téměř nemožná.

Jak odhalit stínové IT ve vaší organizaci

Prvním krokem v řízení stínového IT není zákaz, ale získání viditelnosti . Mnoho organizací je překvapeno, když při tomto cvičení objeví desítky nebo stovky služeb, které nikdo formálně nedeklaroval.

Základní technika zahrnuje provádění pravidelných auditů sítě a koncových bodů za účelem identifikace neoprávněných aplikací, cloudových služeb a připojení. To zahrnuje kontrolu softwaru nainstalovaného v počítačích, pluginů prohlížeče, mobilních aplikací připojených k firemnímu e-mailu a vzorců provozu do domén SaaS.

Je také velmi užitečné analyzovat záznamy o výdajích a nákupech , zda se neobjevují platby poskytovatelům technologií, které neprocházejí obvyklými kanály. Předplatné cloudových služeb kreditními kartami, opakující se drobné poplatky nebo faktury za software vystavené konkrétním oddělením mohou být jasným znakem stínového IT.

Další metoda detekce zahrnuje integraci informací od poskytovatelů identity a jednotného přihlašování (jako je Azure AD, Google Workspace a další), aby se zjistilo, ke kterým aplikacím uživatelé přistupují s firemními přihlašovacími údaji. I když ne všechny tyto aplikace jsou schváleny, tato vrstva viditelnosti pomáhá mapovat vzorce aktivit v organizaci.

Existují také specifické nástroje pro detekci stínového IT a CASB (Cloud Access Security Broker), které monitorují provoz cloudových služeb, klasifikují aplikace podle úrovně rizika a umožňují automatickou identifikaci nově příchozích aplikací během několika sekund a generují upozornění, když se objeví něco neoprávněného.

A konečně, detekce by neměla být pouze technická. Je zásadní podporovat kulturu transparentnosti , kde jsou zaměstnanci povzbuzováni k diskusi o tom, které nástroje používají a proč, bez obav z pokárání. Interní průzkumy, rozhovory s vedoucími oddělení a otevřené komunikační kanály mohou odhalit více stínového IT než mnoho skenerů.

Nejlepší postupy pro prevenci a kontrolu stínových IT

Jakmile je pochopen celkový obraz a odhaleno, co se skrývá pod povrchem, je čas navrhnout strategii pro snížení rizika, aniž by to potlačilo inovace . Klíčem je kombinace procesů, technologií a kultury.

Z organizačního hlediska je klíčové zlepšit spolupráci mezi IT a obchodními jednotkami . Místo toho, aby se IT chovalo jako pouhé oddělení, které „ne“ plní své povinnosti, mělo by se s týmy setkat, pochopit jejich skutečné potřeby a navrhnout bezpečné alternativy, které je řeší. Když se uživatelé cítí slyšet, je méně pravděpodobné, že budou hledat zkratky.

Velmi také pomáhá nabídnout přehledný, aktuální a snadno použitelný katalog autorizovaných služeb a aplikací . Pokud zaměstnanci vědí, které nástroje mohou použít pro každý případ použití (spolupráce, řízení projektů, sdílení souborů, zasílání zpráv atd.), snižuje se pokušení opustit společnost.

Z technického hlediska je vhodné nasadit řešení pro správu mobilních zařízení (MDM) a robustní zásady BYOD, které umožňují kontrolu nad tím, které aplikace jsou nainstalovány na osobních zařízeních a přistupují k firemním datům, používají šifrování, oddělují osobní a pracovní prostory a blokují používání neoprávněných služeb.

Ve vývojových prostředích je zásadní řešit tzv. stínový kód integrací nástrojů pro bezpečnostní analýzu (SAST, DAST, IAST) do životního cyklu aplikace, kontrolou používaných knihoven a frameworků a zajištěním toho, aby veškerý kód, který se dostane do oficiálních repozitářů, byl vyhodnocen a zdokumentován.

Řízení přístupu a princip nejnižších oprávnění se musí vztahovat i na cloud: definovat, kdo může poskytovat nové služby, s jakými výchozími konfiguracemi zabezpečení, jak jsou zdroje označovány pro jejich sledování a jaké požadavky musí splňovat před spuštěním.

Na druhou stranu je automatizace upozornění a reakcí na anomální chování vysoce efektivní : detekce předplatného nových SaaS služeb, prudkých nárůstů v přenosech dat k externím poskytovatelům, intenzivního používání neklasifikovaných aplikací atd. Čím dříve je detekována nová instance stínového IT, tím více času je na její řešení.

Školení a informovanost jsou základními pilíři. Nestačí jen zavést politiku a očekávat, že bude dodržována: musíte jasně a prakticky vysvětlit, co je stínové IT, jaká rizika s sebou nese, jaké bezpečné alternativy existují a jak si vyžádat nové nástroje. Pravidelné workshopy, školicí moduly, simulace a interní kampaně mohou mít zásadní význam.

Konečně je vhodné provádět pravidelné IT audity , kontrolovat oficiální i neobjevené prostředky, posuzovat jejich soulad s bezpečnostními a compliance politikami a definovat plány regularizace: od formální integrace nástrojů, které přidávají hodnotu, až po odstranění těch, které představují nepřijatelné riziko, a navrhování vhodných náhrad.

Řízení IT v zákulisí nespočívá v mikromanagementu zaměstnanců ani v zavedení přísné kontroly nad každým jejich kliknutím, ale spíše v nasměrování jejich iniciativy, snižování slepých míst a vyvažování produktivity a bezpečnosti . Čím transparentnější je komunikace, tím pružnější je proces schvalování nových řešení a čím jasnější jsou pravidla zapojení, tím méně budou lidé muset „jít do zákulisí“, aby mohli dobře vykonávat svou práci.