Skygge-IT: Risici, eksempler og hvordan man håndterer det

Informatic Digital » Recursos » Skygge-IT: Risici, eksempler og hvordan man håndterer det

Skygge-IT har sneget sig ind i næsten alle organisationer uden at give lyd fra sig: cloud-applikationer, der er tilknyttet et virksomhedskort, WhatsApp-grupper til arbejdsrelaterede anliggender, personlige lagerkonti, der bruges til klientfiler ... Alt dette er en del af en virkelighed, der vokser mere og mere hver dag, og som, hvis den ikke håndteres, kan blive en alvorlig hovedpine.

Samtidig udspringer denne "uofficielle" IT også af meget reelle behov: medarbejdere, der ønsker at arbejde hurtigere, samarbejde bedre eller kompensere for mangler i virksomhedens værktøjer. Problemet er ikke så meget dens eksistens, men snarere at den opererer uden for IT- og sikkerhedsafdelingernes radar. En grundig forståelse af, hvad den er, hvorfor den opstår, hvilke risici den indebærer, og hvordan man håndterer den, er nøglen til enhver organisation, der ønsker at være agil uden at miste kontrollen.

Hvad er skygge-IT, og hvorfor findes det?

Når vi taler om skygge-IT, refererer vi til brugen af ​​software, hardware, cloud-tjenester, applikationer eller enheder i en virksomhed, som ikke er blevet godkendt, overvåget eller ofte endda kendt af IT-afdelingen. Disse kan variere fra en simpel gratis opgavestyringsapp til en komplet cloudbaseret samarbejdsplatform, der er kontraktligt indgået af en forretningsenhed.

Denne teknologi kan installeres på virksomhedscomputere, personlige bærbare computere, personlige mobile enheder (BYOD), tablets, USB-drev eller direkte på eksterne cloud-tjenester. Fællesnævneren er, at den bruges til arbejdsformål, men uden for organisationens formelle indkøbs-, sikkerheds- og compliance-processer.

I de senere år er dette fænomen steget voldsomt af flere årsager: forbrugeriseringen af ​​teknologi (kraftfulde, billige og brugervenlige værktøjer tilgængelige for alle), eksplosionen af ​​SaaS, udbredt fjernarbejde og muligheden for at levere cloud-tjenester med blot et par klik. Ifølge forskellige undersøgelser brugte omkring 41 % af medarbejderne allerede løsninger uden for IT-kontrol i 2022, og dette tal forventes at fortsætte med at stige.

Begrebet skygge-IT har ikke i sig selv en positiv eller negativ klang. Problemet er, at det, da det ligger uden for IT-afdelingens ansvarsområde, ikke gennemgår de sikkerheds-, licens- og styringskontroller , der gælder for virksomhedens officielle teknologi, hvilket åbner døren for cybersikkerheds-, compliance-, omkostnings- og driftsrisici.

Almindelige eksempler på skygge-IT

Skygge-IT er ikke et abstrakt begreb: det manifesterer sig i meget konkrete, dagligdags adfærdsmønstre. Forståelse af disse eksempler hjælper med bedre at identificere det og udforme realistiske politikker.

Den første kategori består af cloud-applikationer , som brugerne tilgår direkte fra virksomhedens netværk eller fra deres personlige enheder: projektstyringsværktøjer som Trello eller Asana, lagringsløsninger som Google Drive eller Dropbox, alternative produktivitetspakker, afdelingsspecifikke CRM-systemer osv.

For det andet har vi Software as a Service (SaaS), som forretningsenheder kontraherer uden at skulle gennemgå indkøb eller IT: licenser til marketingværktøjer, analyseplatforme, design- eller redigeringsløsninger, ikke-certificerede videokonferenceapplikationer osv. Disse betales normalt med virksomhedskreditkort, der anvendes af enhedslederne selv, eller gennem personlige abonnementer, der senere refunderes.

En anden almindelig form er brugen af ​​personlige enheder på arbejdspladsen (BYOD) uden ordentlig administration: personlige mobiltelefoner, der bruges til virksomhedens e-mail, personlige tablets med kundedata, bærbare computere tilsluttet organisationens netværk, ukrypterede USB-drev til overførsel af følsomme oplysninger… Alt dette øger eksponeringen uden at IT har nogen reel kontrol.

Dette omfatter også software installeret af medarbejderen på deres arbejdscomputer: browser-plugins, produktivitets-tilføjelser, udviklingsværktøjer downloadet af teknikerne selv, uautoriserede besked- eller videoopkaldsapplikationer og endda brugerdefineret kode udført på virksomhedens bærbare computer uden for officielle lagre.

Endelig må vi ikke glemme brugen af ​​personlige kommunikationsplatforme som WhatsApp, Telegram, Signal eller Discord til at håndtere arbejdssager, samt brugen af ​​personlige e-mailkonti til at sende klientdokumentation eller dele filer med leverandører, noget der gør disse data fuldstændig uigennemsigtige for organisationen.

Hvorfor spreder IT sig så meget i skyggerne?

Skygge-IT opstår ikke tilfældigt, men snarere som en reaktion på en kombination af organisatoriske, teknologiske og menneskelige faktorer. Hvis vi vil håndtere det effektivt, skal vi adressere disse grundlæggende årsager.

Et af de mest betydningsfulde problemer er opfattelsen af ​​langsommelighed og rigiditet i IT-afdelingen . Når godkendelsesprocesserne for nye værktøjer er langvarige, bureaukratiske eller uigennemsigtige, føler medarbejderne, at det er næsten umuligt at anmode om noget nyt, især hvis de har stramme deadlines at overholde.

Utilfredshed med officielle løsninger spiller også en rolle . Uintuitive, begrænsede eller dårligt tilpassede virksomhedsværktøjer får teams til at søge bedre alternativer. Hvis en afdeling opdager, at en bestemt app kan få dem til at arbejde dobbelt så hurtigt, er fristelsen til at implementere den selvstændigt enorm.

Den lette adgang til teknologi spiller i sig selv en afgørende rolle. I dag kan alle med et simpelt kreditkort og lidt knowhow oprette avancerede cloud-tjenester til samarbejde, opgavestyring, softwareudvikling eller storstilet datalagring uden nogensinde at skulle spørge IT.

Derudover kommer der en manglende bevidsthed om risiciene . Mange medarbejdere bruger disse løsninger med gode intentioner og uden ondskab, i den tro, at "der ikke vil ske noget" ved at dele dokumenter fra deres personlige konto eller installere en gratis app, der er blevet anbefalet til dem, uden at være klar over, hvad det kan betyde i form af datalækager, malware eller manglende overholdelse af lovgivningen.

Endelig spiller flere menneskelige faktorer ind, såsom mangel på en kultur præget af tillid og kommunikation . Nogle mennesker vælger, af frygt for at blive set som problematiske eller indrømme, at en proces ikke fungerer, at "klare sig" på egen hånd med ikke-godkendte værktøjer i stedet for åbent at rejse behovet for forandring.

Potentielle fordele ved skygge-IT

Selvom det ofte er forbundet med problemer, har skygge-IT også en positiv side, som bør anerkendes for at kanalisere den korrekt i stedet for at forsøge at udrydde den med magt.

I mange tilfælde giver disse værktøjer meget hurtigere adgang til løsninger , der adresserer specifikke, daglige problemer. Et team kan begynde at arbejde med en ny applikation på få timer uden at skulle vente uger på, at en formel anskaffelses- og implementeringsproces er afsluttet.

Shadow IT er også en kilde til innovation og eksperimentering . Brugere udforsker nye teknologier, tester nye måder at samarbejde på eller automatisere opgaver og opdager nogle gange løsninger, der senere officielt kan implementeres, fordi de giver en klar værdi til hele organisationen.

En anden klar fordel er forbedringen af ​​medarbejdernes produktivitet og komfort . At arbejde med værktøjer, der passer perfekt til deres arbejdsgange, som de kender godt, og som de kan tilpasse, resulterer normalt i mindre friktion, mindre spildtid og mere fokus på værdiskabende opgaver.

Vi må ikke glemme den psykologiske faktor: At tillade en vis fleksibilitet i de anvendte værktøjer fremmer mere styrkede og selvstændige teams med en kultur præget af ressourcefuldhed og uafhængig problemløsning. Når det håndteres korrekt, kan dette være meget positivt for virksomhedens smidighed.

Men alle disse fordele kommer normalt med en vigtig hage: Hvis denne teknologi ikke er underlagt ordentlig kontrol, kan den midlertidige effektivitetsgevinst nemt ende med at blive betalt i form af sikkerhedshændelser, lovgivningsmæssige sanktioner, datakaus eller skjulte omkostninger.

De vigtigste risici ved skygge-IT

Den anden side af medaljen med skygge-IT er de risici, den introducerer. Mange af disse er ikke synlige i starten, men de akkumuleres og kan eksplodere i det værst tænkelige øjeblik.

Den første og mest synlige konsekvens er den øgede angrebsflade . Enhver ny uautoriseret applikation, enhver ekstern cloud-tjeneste, enhver personlig enhed, der er forbundet til netværket, er et ekstra punkt, som cyberkriminelle kan forsøge at udnytte. Fordi de ikke er integreret i virksomhedens sikkerhedsarkitektur, repræsenterer de ofte den perfekte bagdør.

I forbindelse med ovenstående øger skygge-IT sårbarheder og potentialet for malware . Mange gratis eller mindre kendte applikationer mangler robuste sikkerhedsmekanismer, opdateres sent eller indeholder alvorlige fejl. I tilfælde af mobile enheder og tredjepartsapps har undersøgelser vist, at en meget høj procentdel har sikkerhedshuller, som angribere kan udnytte.

En anden kritisk risiko er tab, lækage eller ukorrekt eksponering af data . Når medarbejdere opbevarer virksomhedsoplysninger på personlige konti, hos ukontrollerede leverandører eller på ukrypterede enheder , mister organisationen synlighed og kontrol over disse data. Hvis blot én person forlader virksomheden eller mister en enhed, går alle de oplysninger, der er gemt på den, tabt.

Shadow IT komplicerer også i høj grad overholdelse af regler . Regler som GDPR, HIPAA, PCI DSS og standarder som NIST kræver viden om, hvor data befinder sig, hvordan de er beskyttet, og hvem der har adgang til dem. Hvis nogle af disse oplysninger bevæger sig gennem ukendte kanaler, er det praktisk talt umuligt at sikre overholdelse, hvilket kan føre til økonomiske sanktioner, juridiske forpligtelser og alvorlig omdømmeskade.

Fra et operationelt perspektiv fører spredningen af ​​uautoriserede værktøjer til ineffektivitet, siloer og fragmenterede arbejdsgange . Hvert team kan ende med at bruge sin egen kombination af apps til at administrere opgaver, kommunikere eller dele filer, hvilket hindrer interoperabilitet, øger dobbeltarbejde og gør det meget vanskeligt at have et samlet overblik over dataene.

Omkostningspåvirkningen bør ikke overses. Selvom det på kort sigt kan synes som om, at der opnås besparelser ved at skifte fra at købe en stor virksomhedsløsning til at bruge flere billige eller gratis tjenester, genererer skygge-IT i det lange løb ofte skjulte udgifter : duplikerede abonnementer, ubrugte licenser, nedetid på grund af hændelser, ekstra support og afhjælpningsindsats, bindinger til ikke-certificerede udbydere osv.

Problemer med synlighed, kontrol og compliance

En bivirkning af skygge-IT er, at IT-afdelingen mister sin rolle som den centrale kilde til sandheden om organisationens teknologi. Hvis den ikke ved, hvad der bruges, hvor dataene befinder sig, eller hvilke afhængigheder der findes mellem systemer, bliver det meget vanskeligt at designe en sammenhængende strategi for sikkerhed, kontinuitet og udvikling.

Manglen på synlighed har flere konsekvenser. På den ene side forhindrer det beskyttelsen af ​​det, der ikke kan ses : overvågning, backup, kryptering eller incidentresponsløsninger dækker ikke systemer, der ikke engang er opført i den officielle fortegnelse. På den anden side skaber det uoverensstemmelser i informationen, da flere versioner af de samme data kan eksistere spredt på tværs af forskellige, uafhængige værktøjer.

Inden for compliance komplicerer skyggemiljøet både bevishåndtering (logfiler, adgangshistorik, sporbarhed af ændringer) og responsen på revisioner eller hændelser. Hvis en tilsynsmyndighed anmoder om bevis for, hvor bestemte personoplysninger er lagret, hvem der har behandlet dem, og med hvilke sikkerhedsforanstaltninger, kan hullerne efter ukontrolleret IT være enorme.

Der er også en direkte indvirkning på virksomhedens evne til at styre datalivscyklussen : opbevaring, arkivering, sikker destruktion osv. Hvis nogle oplysninger gemmes i uofficielle lagre, er det nemt, at livekopier forbliver, når en medarbejder forlader virksomheden, eller når visse oplysninger skal slettes, med den deraf følgende risiko.

Endelig skaber tabet af kontrol vanskeligheder ved planlægning af investeringer og ressourcer . Virksomhedslicenser til underudnyttede værktøjer kan blive betalt for, mens visse teams betaler for lignende værktøjer alene, eller funktionaliteter kan duplikeres uden at være klar over det. Uden et komplet overblik bliver det næsten umuligt at optimere IT-udgifter.

Sådan opdager du skygge-IT i din organisation

Det første skridt i håndteringen af ​​skygge-IT er ikke at forbyde, men at opnå synlighed . Mange organisationer bliver overraskede, når de ved at udføre denne øvelse opdager snesevis eller hundredvis af tjenester, som ingen formelt har deklareret.

En grundlæggende teknik involverer regelmæssige netværks- og endpoint-revisioner for at identificere uautoriserede applikationer, cloudtjenester og forbindelser. Dette omfatter gennemgang af software installeret på computere, browser-plugins, mobilapps forbundet til virksomhedens e-mail og trafikmønstre til SaaS-domæner.

Det er også meget nyttigt at analysere udgifts- og købsregistreringer for betalinger til teknologiudbydere, der ikke går gennem de sædvanlige kanaler. Kreditkortabonnementer på cloudtjenester, tilbagevendende små gebyrer eller softwarefakturaer udstedt til bestemte afdelinger kan være et tydeligt tegn på skygge-IT.

En anden detektionsmetode involverer integration af oplysninger fra identitets- og SSO-udbydere (såsom Azure AD, Google Workspace og andre) for at se, hvilke applikationer brugerne tilgår med virksomhedens legitimationsoplysninger. Selvom ikke alle disse applikationer er godkendt, hjælper dette synlighedslag med at kortlægge organisationens aktivitetsmønstre.

Der findes også specifikke Shadow IT-detektionsværktøjer og CASB (Cloud Access Security Broker), der overvåger trafik til cloud-tjenester, klassificerer applikationer efter deres risikoniveau og muliggør automatisk identifikation af nye tilføjelser på få sekunder, hvilket genererer advarsler, når der opstår noget uautoriseret.

Endelig bør detektion ikke udelukkende være teknisk. Det er afgørende at fremme en kultur af gennemsigtighed , hvor medarbejdere opfordres til at diskutere, hvilke værktøjer de bruger, og hvorfor, uden frygt for irettesættelse. Interne undersøgelser, interviews med afdelingsledere og åbne kommunikationskanaler kan afsløre mere skygge-IT end mange scannere.

Bedste praksis til forebyggelse og kontrol af skygge-IT

Når det overordnede billede er forstået, og hvad der gemmer sig under overfladen er afsløret, er det tid til at udforme en strategi for at reducere risiko uden at hæmme innovation . Nøglen er at kombinere processer, teknologi og kultur.

Fra et organisatorisk synspunkt er det afgørende at forbedre samarbejdet mellem IT og forretningsenheder . I stedet for blot at agere som en "nej"-afdeling, bør IT sætte sig ned med teams, forstå deres reelle behov og foreslå sikre alternativer, der imødekommer dem. Når brugerne føler sig hørt, er de mindre tilbøjelige til at lede efter genveje.

Det hjælper også meget at tilbyde et klart, opdateret og letforståeligt katalog over autoriserede tjenester og applikationer . Hvis medarbejderne ved, hvilke værktøjer de kan bruge til hver enkelt anvendelse (samarbejde, projektstyring, fildeling, beskeder osv.), reduceres fristelsen til at forlade virksomheden.

Fra et teknisk synspunkt er det tilrådeligt at implementere løsninger til administration af mobile enheder (MDM) og robuste BYOD-politikker, der giver kontrol over, hvilke apps der er installeret på personlige enheder, der tilgår virksomhedsdata, anvender kryptering, adskiller personlige områder og arbejdsområder og blokerer brugen af ​​uautoriserede tjenester.

I udviklingsmiljøer er det afgørende at håndtere såkaldt skyggekode ved at integrere sikkerhedsanalyseværktøjer (SAST, DAST, IAST) i applikationens livscyklus, gennemgå hvilke biblioteker og frameworks der bruges, og sikre, at al kode, der når officielle databaser, er blevet evalueret og dokumenteret.

Adgangskontrol og princippet om mindst mulig privilegium skal også omfatte skyen: definition af, hvem der kan levere nye tjenester, med hvilke standardsikkerhedskonfigurationer, hvordan ressourcer mærkes for at spore dem, og hvilke krav de skal opfylde, før de går i produktion.

På den anden side er automatisering af advarsler og reaktioner på unormal adfærd yderst effektivt : det detekterer abonnementer på nye SaaS-tjenester, stigninger i dataoverførsler til eksterne udbydere, intensiv brug af uklassificerede apps osv. Jo før en ny forekomst af skygge-IT opdages, jo mere tid er der til at håndtere den.

Træning og bevidstgørelse er essentielle søjler. Det er ikke nok at lancere en politik og forvente, at den bliver fulgt: du skal forklare klart og praktisk , hvad skygge-IT er, hvilke risici det indebærer, hvilke sikre alternativer der findes, og hvordan man anmoder om nye værktøjer. Regelmæssige workshops, træningsmoduler, simuleringer og interne kampagner kan gøre hele forskellen.

Endelig er det tilrådeligt at udføre tilbagevendende IT-revisioner , hvor man gennemgår både officielle og uopdagede aktiver, vurderer deres overensstemmelse med sikkerheds- og compliance-politikker og definerer legaliseringsplaner: fra formel integration af de værktøjer, der tilfører værdi, til fjernelse af dem, der udgør en uacceptabel risiko, og foreslår passende erstatninger.

At styre IT bag kulisserne handler ikke om at detaljestyre medarbejdere eller indføre streng kontrol over hvert eneste klik, men snarere om at kanalisere deres initiativ, reducere blinde vinkler og balancere produktivitet og sikkerhed . Jo mere gennemsigtig kommunikationen er, jo mere agil processen for godkendelse af nye løsninger er, og jo klarere reglerne for engagement er, jo mindre behov vil folk have for at "gå bag kulisserne" for at udføre deres arbejde godt.