Sjena IT: Rizici, primjeri i kako njima upravljati

Informatec Digital » Sredstva » Sjena IT: Rizici, primjeri i kako njima upravljati

Shadow IT se uvukao u gotovo svaku organizaciju bez ikakvog glasa: aplikacije u oblaku ugovorene s poslovnom karticom, WhatsApp grupe za poslovne stvari, osobni računi za pohranu koji se koriste za klijentske datoteke... Sve je to dio stvarnosti koja svakim danom sve više raste i koja, ako se ne upravlja, može postati ozbiljna glavobolja.

Istovremeno, ovaj "neslužbeni" IT proizlazi i iz vrlo stvarnih potreba: zaposlenika koji žele brže raditi, bolje surađivati ​​ili kompenzirati nedostatke u korporativnim alatima. Problem nije toliko u njegovom postojanju, koliko u tome što djeluje izvan radara IT i sigurnosnih odjela. Temeljito razumijevanje što je to, zašto se pojavljuje, koje rizike nosi i kako njime upravljati ključno je za svaku organizaciju koja želi biti agilna bez gubitka kontrole.

Što je shadow IT i zašto postoji?

Kada govorimo o shadow IT-u, mislimo na korištenje softvera, hardvera, usluga u oblaku, aplikacija ili uređaja unutar tvrtke koji nisu odobreni, nadzirani ili, često, čak ni poznati IT odjelu. To može biti od jednostavne besplatne aplikacije za upravljanje zadacima do potpune platforme za suradnju u oblaku koju je ugovorila poslovna jedinica.

Ova se tehnologija može instalirati na korporativna računala, osobna prijenosna računala, osobne mobilne uređaje (BYOD), tablete, USB pogone ili izravno na vanjske usluge u oblaku. Zajednički nazivnik je da se koristi u poslovne svrhe, ali izvan formalnih procesa nabave, sigurnosti i usklađenosti organizacije.

Posljednjih godina ovaj je fenomen naglo porastao iz nekoliko razloga: konzumerizacija tehnologije (moćni, jeftini i jednostavni alati dostupni svima), eksplozija SaaS-a, široko rasprostranjeni rad na daljinu i mogućnost pružanja usluga u oblaku sa samo nekoliko klikova. Prema raznim studijama, oko 41% zaposlenika već je 2022. koristilo rješenja izvan IT kontrole, a očekuje se da će ta brojka nastaviti rasti.

Koncept shadow IT-a sam po sebi nema pozitivnu ili negativnu konotaciju. Problem je u tome što, budući da je izvan dosega IT odjela, ne prolazi kroz sigurnosne, licencne i upravljačke kontrole koje se primjenjuju na službenu tehnologiju tvrtke, otvarajući vrata kibernetičkoj sigurnosti, usklađenosti, troškovima i operativnim rizicima.

Uobičajeni primjeri shadow IT-a

Sjenilo IT nije apstraktan koncept: manifestira se u vrlo konkretnim, svakodnevnim ponašanjima. Razumijevanje ovih primjera pomaže u boljem prepoznavanju i osmišljavanju realističnih politika.

Prva kategorija sastoji se od cloud aplikacija kojima korisnici pristupaju izravno iz korporativne mreže ili sa svojih osobnih uređaja: alati za upravljanje projektima poput Trello ili Asana, rješenja za pohranu podataka poput Google Drive ili Dropbox, alternativni paketi za produktivnost, CRM-ovi specifični za odjele itd.

Drugo, imamo softver kao uslugu (SaaS) koju ugovaraju poslovne jedinice bez kupnje ili IT-a: licence za marketinške alate, analitičke platforme, rješenja za dizajn ili uređivanje, necertificirane aplikacije za videokonferencije itd. Obično se plaćaju korporativnim kreditnim karticama koje koriste sami voditelji jedinica ili putem osobnih pretplata koje se kasnije nadoknađuju.

Drugi uobičajeni oblik je korištenje osobnih uređaja na poslu (BYOD) bez odgovarajućeg upravljanja: osobni mobilni telefoni koji se koriste za korporativnu e-poštu, osobni tableti s podacima o kupcima, kućna prijenosna računala spojena na mrežu organizacije, nešifrirani USB pogoni za prijenos osjetljivih informacija… Sve to povećava izloženost bez ikakve stvarne kontrole IT odjela.

To također uključuje softver koji je zaposlenik instalirao na svoje radno računalo: dodatke za preglednik, dodatke za produktivnost, alate za razvoj koje su sami tehničari preuzeli, neovlaštene aplikacije za razmjenu poruka ili videopozive, pa čak i prilagođeni kod koji se izvršava na korporativnom prijenosnom računalu izvan službenih repozitorija.

Konačno, ne smijemo zaboraviti korištenje osobnih komunikacijskih platformi poput WhatsAppa, Telegrama, Signala ili Discorda za rješavanje radnih pitanja, kao ni korištenje osobnih e-mail računa za slanje dokumentacije klijentima ili dijeljenje datoteka s dobavljačima, što te podatke čini potpuno netransparentnima za organizaciju.

Zašto se IT toliko širi u sjeni?

Sjena IT se ne pojavljuje slučajno, već kao odgovor na kombinaciju organizacijskih, tehnoloških i ljudskih čimbenika. Ako želimo učinkovito upravljati njome, moramo se pozabaviti tim temeljnim uzrocima.

Jedan od najznačajnijih problema je percepcija sporosti i rigidnosti unutar IT odjela . Kada su procesi odobravanja novih alata dugotrajni, birokratski ili netransparentni, zaposlenici smatraju da je zahtjev za nešto novo gotovo nemoguće, posebno ako imaju kratke rokove koje moraju ispuniti.

Nezadovoljstvo službenim rješenjima također igra ulogu . Neintuitivni, ograničeni ili loše prilagođeni korporativni alati navode timove da traže bolje alternative. Ako odjel otkrije da im određena aplikacija može pomoći da rade dvostruko brže, iskušenje da je samostalno usvoje je ogromno.

Jednostavnost pristupa tehnologiji sama po sebi igra odlučujuću ulogu. Danas, s jednostavnom kreditnom karticom i malo znanja, svatko može postaviti napredne usluge u oblaku za suradnju, upravljanje zadacima, razvoj softvera ili pohranu velikih razmjera podataka, bez potrebe da ikada pita IT odjel.

Svemu tome dodaje se i nedostatak svijesti o rizicima . Mnogi zaposlenici koriste ova rješenja s dobrim namjerama i bez zlobe, vjerujući da se "ništa neće dogoditi" dijeljenjem dokumenata s njihovog osobnog računa ili instaliranjem besplatne aplikacije koja im je preporučena, a da nisu svjesni što to može značiti u smislu curenja podataka, zlonamjernog softvera ili neusklađenosti s propisima.

Konačno, do izražaja dolaze i ljudski čimbenici, poput nedostatka kulture povjerenja i komunikacije . Neki ljudi, iz straha da će biti doživljeni kao problematični ili da će priznati da proces ne funkcionira, odlučuju se "snaći" sami s neodobrenim alatima umjesto da otvoreno istaknu potrebu za promjenom.

Potencijalne koristi shadow IT-a

Iako se često povezuje s problemima, shadow IT ima i pozitivnu stranu koju treba prepoznati kako bi se pravilno kanalizirao umjesto da se pokušava iskorijeniti silom.

U mnogim slučajevima, ovi alati pružaju puno brži pristup rješenjima koja se bave specifičnim, svakodnevnim problemima. Tim može početi raditi s novom aplikacijom u roku od nekoliko sati, bez čekanja tjedana da se dovrši formalni proces nabave i implementacije.

Shadow IT je također izvor inovacija i eksperimentiranja . Korisnici istražuju nove tehnologije, testiraju nove načine suradnje ili automatizacije zadataka, a ponekad otkrivaju i rješenja koja se kasnije mogu službeno usvojiti jer pružaju jasnu vrijednost cijeloj organizaciji.

Još jedna jasna prednost je poboljšanje produktivnosti i udobnosti zaposlenika . Rad s alatima koji savršeno odgovaraju njihovim tijekovima rada, koje dobro poznaju i koje mogu prilagoditi, obično se prevodi u manje trenja, manje gubitka vremena i veći fokus na zadatke koji dodaju vrijednost.

Ne smijemo zaboraviti psihološki faktor: dopuštanje određene fleksibilnosti u korištenim alatima potiče osnaženije i samostalnije timove , s kulturom snalažljivosti i neovisnog rješavanja problema. Uz pravilno upravljanje, to može biti vrlo pozitivno za agilnost tvrtke.

Međutim, sve te prednosti obično dolaze s važnom kvakom: ako ova tehnologija nije podložna odgovarajućim kontrolama, privremeni dobitak u učinkovitosti lako se može platiti u obliku sigurnosnih incidenata, regulatornih sankcija, kaosa podataka ili skrivenih troškova.

Glavni rizici shadow IT-a

Druga strana medalje shadow IT-a je skup rizika koje on uvodi. Mnogi od njih nisu očiti na prvi pogled, ali se akumuliraju i mogu eksplodirati u najgorem mogućem trenutku.

Prva i najvidljivija posljedica je povećana površina napada . Svaka nova neovlaštena aplikacija, svaka vanjska usluga u oblaku, svaki osobni uređaj spojen na mrežu dodatna je točka koju kibernetički kriminalci mogu pokušati iskoristiti. Budući da nisu integrirani u korporativnu sigurnosnu arhitekturu, često predstavljaju savršena stražnja vrata.

Vezano uz navedeno, shadow IT povećava ranjivosti i potencijal za zlonamjerni softver . Mnogim besplatnim ili malo poznatim aplikacijama nedostaju robusni sigurnosni mehanizmi, ažuriraju se kasno ili sadrže ozbiljne greške. U slučaju mobilnih uređaja i aplikacija trećih strana, studije su pokazale da vrlo visok postotak ima sigurnosne nedostatke koje napadači mogu iskoristiti.

Još jedan kritičan rizik je gubitak, curenje ili nepravilno izlaganje podataka . Kada zaposlenici pohranjuju korporativne podatke na osobnim računima, kod neprovjerenih dobavljača ili na nešifriranim uređajima , organizacija gubi vidljivost i kontrolu nad tim podacima. Ako samo jedna osoba napusti tvrtku ili izgubi uređaj, svi podaci pohranjeni na njemu bit će izgubljeni.

Sjena IT također uvelike komplicira usklađenost s propisima . Propisi poput GDPR-a, HIPAA-e, PCI DSS-a i standardi poput NIST-a zahtijevaju poznavanje mjesta na kojem se podaci nalaze, kako su zaštićeni i tko im ima pristup. Ako se neke od tih informacija kreću nepoznatim kanalima, osiguranje usklađenosti je praktički nemoguće, što može dovesti do financijskih kazni, pravnih obveza i ozbiljne štete na ugledu.

S operativnog gledišta, širenje neovlaštenih alata dovodi do neučinkovitosti, silosa i fragmentiranih tijekova rada . Svaki tim može na kraju koristiti vlastitu kombinaciju aplikacija za upravljanje zadacima, komunikaciju ili dijeljenje datoteka, što ometa interoperabilnost, povećava dupliciranje i uvelike otežava jedinstveni prikaz podataka.

Ne treba zanemariti utjecaj na troškove. Iako se kratkoročno može činiti da se ostvaruju uštede prelaskom s kupnje velikog korporativnog rješenja na korištenje nekoliko jeftinih ili besplatnih usluga, dugoročno shadow IT često generira skrivene troškove : duplicirane pretplate, neiskorištene licence, zastoje zbog incidenata, dodatne napore za podršku i sanaciju, vezanost uz necertificirane pružatelje usluga itd.

Problemi s vidljivošću, kontrolom i usklađenošću

Nuspojava shadow IT-a je da IT odjel gubi svoju ulogu središnjeg izvora istine o tehnologiji organizacije. Ako ne zna što se koristi, gdje se podaci nalaze ili koje ovisnosti postoje između sustava, postaje vrlo teško osmisliti koherentnu strategiju za sigurnost, kontinuitet i evoluciju.

Nedostatak vidljivosti ima višestruke posljedice. S jedne strane, sprječava zaštitu onoga što se ne može vidjeti : rješenja za praćenje, sigurnosno kopiranje, šifriranje ili odgovor na incidente ne pokrivaju sustave koji nisu ni navedeni u službenom popisu. S druge strane, generira nedosljednosti u informacijama, budući da nekoliko verzija istih podataka može postojati raspršeno po različitim, nepovezanim alatima.

U području usklađenosti, shadow okruženje komplicira i upravljanje dokazima (logovi, povijest pristupa, sljedivost promjena) i odgovor na revizije ili incidente. Ako regulatorno tijelo zatraži dokaz o tome gdje su pohranjeni određeni osobni podaci, tko ih je obradio i s kojim sigurnosnim mjerama, praznine koje ostavlja nekontrolirana IT tehnologija mogu biti ogromne.

Također postoji izravan utjecaj na sposobnost tvrtke da upravlja životnim ciklusom podataka : zadržavanje, arhiviranje, sigurno uništavanje itd. Ako se neke informacije pohranjuju u neslužbenim spremištima, kada zaposlenik ode ili kada je određene informacije potrebno očistiti, lako je da žive kopije ostanu, s posljedičnim rizikom.

Konačno, gubitak kontrole stvara poteškoće pri planiranju ulaganja i resursa . Korporativne licence za nedovoljno iskorištene alate mogu se plaćati dok određeni timovi sami plaćaju slične alate ili se funkcionalnosti mogu duplicirati, a da toga nisu ni svjesni. Bez potpune slike, optimizacija IT potrošnje postaje gotovo nemoguća.

Kako otkriti shadow IT u vašoj organizaciji

Prvi korak u upravljanju shadow IT-om nije zabrana, već postizanje vidljivosti . Mnoge organizacije su iznenađene kada, radeći ovu vježbu, otkriju desetke ili stotine usluga koje nitko nije formalno deklarirao.

Osnovna tehnika uključuje provođenje redovitih revizija mreže i krajnjih točaka kako bi se identificirale neovlaštene aplikacije, usluge u oblaku i veze. To uključuje pregled softvera instaliranog na računalima, dodataka preglednika, mobilnih aplikacija povezanih s korporativnom e-poštom i obrazaca prometa prema SaaS domenama.

Također je vrlo korisno analizirati zapise o troškovima i kupnjama za plaćanja pružateljima tehnologije koja ne prolaze uobičajenim kanalima. Pretplate kreditnim karticama na usluge u oblaku, ponavljajući mali troškovi ili računi za softver izdani određenim odjelima mogu biti jasan znak shadow IT-a.

Druga metoda otkrivanja uključuje integraciju informacija od pružatelja usluga identiteta i SSO-a (kao što su Azure AD, Google Workspace i drugi) kako bi se vidjelo kojim aplikacijama korisnici pristupaju s korporativnim vjerodajnicama. Iako nisu sve te aplikacije odobrene, ovaj sloj vidljivosti pomaže u mapiranju obrazaca aktivnosti organizacije.

Postoje i specifični alati za detekciju Shadow IT-a i CASB (Cloud Access Security Broker) koji prate promet prema uslugama u oblaku, klasificiraju aplikacije prema njihovoj razini rizika i omogućuju automatsku identifikaciju novih dodataka u nekoliko sekundi, generirajući upozorenja kada se pojavi nešto neovlašteno.

Konačno, otkrivanje ne bi trebalo biti isključivo tehničko. Ključno je poticati kulturu transparentnosti u kojoj se zaposlenici potiču da raspravljaju o alatima koje koriste i zašto, bez straha od ukora. Interne ankete, intervjui s voditeljima odjela i otvoreni komunikacijski kanali mogu otkriti više skrivenih IT sustava nego mnogi skeneri.

Najbolje prakse za sprječavanje i kontrolu shadow IT-a

Nakon što se shvati cjelokupna slika i otkrije što se krije ispod površine, vrijeme je za osmišljavanje strategije za smanjenje rizika bez gušenja inovacija . Ključno je kombinirati procese, tehnologiju i kulturu.

S organizacijskog stajališta, poboljšanje suradnje između IT odjela i poslovnih jedinica ključno je . Umjesto da djeluje kao puki "ne" odjel, IT odjel bi trebao sjesti s timovima, razumjeti njihove stvarne potrebe i predložiti sigurne alternative koje ih zadovoljavaju. Kada se korisnici osjećaju saslušanima, manje je vjerojatno da će tražiti prečace.

Također uvelike pomaže ponuditi jasan, ažuran i jednostavan za konzultaciju katalog ovlaštenih usluga i aplikacija . Ako zaposlenici znaju koje alate mogu koristiti za svaki slučaj upotrebe (suradnja, upravljanje projektima, dijeljenje datoteka, razmjena poruka itd.), smanjuje se iskušenje da napuste tvrtku.

S tehničkog gledišta, preporučljivo je implementirati rješenja za upravljanje mobilnim uređajima (MDM) i robusne BYOD politike koje omogućuju kontrolu nad time koje su aplikacije instalirane na osobnim uređajima koje pristupaju korporativnim podacima, primjenjuju enkripciju, odvajaju osobne i radne prostore i blokiraju korištenje neovlaštenih usluga.

U razvojnim okruženjima ključno je suočiti se s takozvanim shadow kodom integriranjem alata za sigurnosnu analizu (SAST, DAST, IAST) u životni ciklus aplikacije, pregledavanjem korištenih biblioteka i okvira te osiguravanjem da je sav kod koji stigne u službene repozitorije procijenjen i dokumentiran.

Kontrole pristupa i načelo najmanjih privilegija moraju se proširiti i na oblak: definiranje tko može pružati nove usluge, s kojim zadanim sigurnosnim konfiguracijama, kako se resursi označavaju radi praćenja i koje zahtjeve moraju ispunjavati prije nego što krenu u produkciju.

S druge strane, automatizacija upozorenja i odgovora na anomalno ponašanje vrlo je učinkovita : otkrivanje pretplata na nove SaaS usluge, skokovi u prijenosu podataka vanjskim pružateljima usluga, intenzivno korištenje neklasificiranih aplikacija itd. Što se prije otkrije nova instanca shadow IT-a, to ima više vremena za njezino rješavanje.

Obuka i osvješćivanje su ključni stupovi. Nije dovoljno uvesti politiku i očekivati ​​da će se ona slijediti: morate jasno i praktično objasniti što je shadow IT, koje rizike nosi, koje sigurne alternative postoje i kako zatražiti nove alate. Redovite radionice, moduli obuke, simulacije i interne kampanje mogu napraviti veliku razliku.

Konačno, preporučljivo je provoditi redovite IT revizije , pregledavajući i službenu i neotkrivenu imovinu, procjenjujući njihovu usklađenost sa sigurnosnim politikama i politikama usklađenosti te definirajući planove regularizacije: od formalne integracije alata koji dodaju vrijednost do uklanjanja onih koji predstavljaju neprihvatljiv rizik i predlaganja odgovarajućih zamjena.

Upravljanje IT-om iza kulisa ne odnosi se na mikroupravljanje zaposlenicima ili nametanje stroge kontrole nad svakim njihovim klikom, već na usmjeravanje njihove inicijative, smanjenje slijepih točaka i uravnoteženje produktivnosti i sigurnosti . Što je komunikacija transparentnija, proces odobravanja novih rješenja agilniji i pravila angažmana jasnija, to će ljudi imati manje potrebe da "idu iza kulisa" kako bi dobro obavljali svoj posao.