Shadow IT: rischi, esempi e come gestirlo

Informatec Digital » Risorse » Shadow IT: rischi, esempi e come gestirlo

L'IT ombra si è insinuato in quasi tutte le organizzazioni senza lasciare traccia: applicazioni cloud attivate tramite carta aziendale, gruppi WhatsApp per questioni lavorative, account di archiviazione personali utilizzati per i file dei clienti... Tutto ciò fa parte di una realtà che cresce di giorno in giorno e che, se non gestita, può diventare un serio problema.

Allo stesso tempo, questa IT "non ufficiale" nasce anche da esigenze molto concrete: dipendenti che desiderano lavorare più velocemente, collaborare meglio o sopperire alle carenze degli strumenti aziendali. Il problema non è tanto la sua esistenza, quanto piuttosto il fatto che operi al di fuori del radar dei reparti IT e di sicurezza. Una comprensione approfondita di cosa sia, perché emerga, quali rischi comporti e come gestirla è fondamentale per qualsiasi organizzazione che voglia essere agile senza perdere il controllo.

Cos'è l'IT ombra e perché esiste?

Quando parliamo di IT ombra, ci riferiamo all'utilizzo all'interno di un'azienda di software, hardware, servizi cloud, applicazioni o dispositivi che non sono stati approvati, monitorati o, spesso, nemmeno noti al reparto IT. Si può trattare di una semplice app gratuita per la gestione delle attività o di una piattaforma di collaborazione completa basata sul cloud, commissionata da una specifica unità aziendale.

Questa tecnologia può essere installata su computer aziendali, laptop personali, dispositivi mobili personali (BYOD), tablet, unità USB o direttamente su servizi cloud esterni. Il denominatore comune è che viene utilizzata per scopi lavorativi, ma al di fuori dei processi formali di approvvigionamento, sicurezza e conformità dell'organizzazione.

Negli ultimi anni, questo fenomeno è cresciuto vertiginosamente per diverse ragioni: la consumerizzazione della tecnologia (strumenti potenti, economici e facili da usare accessibili a tutti), l'esplosione del SaaS, la diffusione del lavoro da remoto e la possibilità di attivare servizi cloud con pochi clic. Secondo vari studi, già nel 2022 circa il 41% dei dipendenti utilizzava soluzioni al di fuori del controllo IT, e si prevede che questa percentuale continuerà ad aumentare.

Il concetto di IT ombra non ha di per sé una connotazione positiva o negativa. Il problema è che, essendo al di fuori dell'ambito del dipartimento IT, non è soggetto ai controlli di sicurezza, licenza e governance che si applicano alla tecnologia ufficiale dell'azienda, aprendo la porta a rischi per la sicurezza informatica, la conformità, i costi e l'operatività.

Esempi comuni di IT ombra

L'IT ombra non è un concetto astratto: si manifesta in comportamenti molto concreti e quotidiani. Comprendere questi esempi aiuta a identificarlo meglio e a progettare politiche realistiche.

La prima categoria comprende le applicazioni cloud a cui gli utenti accedono direttamente dalla rete aziendale o dai propri dispositivi personali: strumenti di gestione dei progetti come Trello o Asana, soluzioni di archiviazione come Google Drive o Dropbox, suite di produttività alternative, CRM specifici per reparto, ecc.

In secondo luogo, abbiamo il Software as a Service (SaaS) sottoscritto dalle unità aziendali senza passare attraverso gli uffici acquisti o IT: licenze per strumenti di marketing, piattaforme di analisi, soluzioni di progettazione o editing, applicazioni di videoconferenza non certificate, ecc. Questi servizi vengono solitamente pagati con carte di credito aziendali utilizzate dai responsabili delle unità o tramite abbonamenti personali che vengono poi rimborsati.

Un'altra forma comune è l'utilizzo di dispositivi personali sul posto di lavoro (BYOD) senza un'adeguata gestione: telefoni cellulari personali utilizzati per la posta elettronica aziendale, tablet personali con dati dei clienti, computer portatili domestici collegati alla rete aziendale, unità USB non crittografate per il trasferimento di informazioni sensibili... Tutto ciò aumenta l'esposizione al rischio senza che il reparto IT abbia un reale controllo.

Ciò include anche il software installato dal dipendente sul proprio computer di lavoro: plugin del browser, componenti aggiuntivi per la produttività, strumenti di sviluppo scaricati dagli stessi tecnici, applicazioni di messaggistica o videochiamata non autorizzate e persino codice personalizzato eseguito sul laptop aziendale al di fuori dei repository ufficiali.

Infine, non dobbiamo dimenticare l'utilizzo di piattaforme di comunicazione personali come WhatsApp, Telegram, Signal o Discord per gestire questioni lavorative, così come l'uso di account di posta elettronica personali per inviare documentazione ai clienti o condividere file con i fornitori, un aspetto che rende tali dati completamente opachi per l'organizzazione.

Perché l'IT si sta diffondendo così tanto nell'ombra?

Lo Shadow IT non emerge in modo casuale, ma è piuttosto la conseguenza di una combinazione di fattori organizzativi, tecnologici e umani. Per gestirlo efficacemente, è necessario affrontare queste cause profonde.

Uno dei problemi più significativi è la percezione di lentezza e rigidità all'interno del reparto IT . Quando i processi di approvazione per i nuovi strumenti sono lunghi, burocratici o poco trasparenti, i dipendenti ritengono che richiedere qualcosa di nuovo sia quasi impossibile, soprattutto se hanno scadenze ravvicinate da rispettare.

Anche l'insoddisfazione per le soluzioni ufficiali gioca un ruolo importante . Strumenti aziendali poco intuitivi, limitati o mal adattati spingono i team a cercare alternative migliori. Se un reparto scopre che una particolare applicazione può fargli lavorare due volte più velocemente, la tentazione di adottarla autonomamente è enorme.

La facilità di accesso alla tecnologia stessa gioca un ruolo decisivo. Oggi, con una semplice carta di credito e un po' di competenza, chiunque può configurare servizi cloud avanzati per la collaborazione, la gestione dei progetti, lo sviluppo di software o l'archiviazione di grandi quantità di dati, senza dover mai chiedere l'intervento del reparto IT.

A tutto ciò si aggiunge la scarsa consapevolezza dei rischi . Molti dipendenti utilizzano queste soluzioni con buone intenzioni e senza malizia, credendo che "non succederà nulla" condividendo documenti dal proprio account personale o installando un'app gratuita che è stata loro consigliata, senza essere consapevoli di ciò che questo può implicare in termini di fughe di dati, malware o non conformità normativa.

Infine, entrano in gioco ulteriori fattori umani, come la mancanza di una cultura di fiducia e comunicazione . Alcune persone, per paura di essere considerate problematiche o di ammettere che un processo non funziona, scelgono di "arrangiarsi" da sole con strumenti non approvati piuttosto che sollevare apertamente la necessità di un cambiamento.

Potenziali vantaggi dell'IT ombra

Sebbene sia spesso associata a problemi, l'IT ombra ha anche un lato positivo che dovrebbe essere riconosciuto per poterlo canalizzare correttamente anziché tentare di sradicarlo con la forza.

In molti casi, questi strumenti offrono un accesso molto più rapido a soluzioni per problemi specifici di tutti i giorni. Un team può iniziare a lavorare con una nuova applicazione in poche ore, senza dover attendere settimane per il completamento di un processo formale di acquisizione e implementazione.

Lo Shadow IT è anche una fonte di innovazione e sperimentazione . Gli utenti esplorano le tecnologie emergenti, testano nuovi modi di collaborare o automatizzare le attività e talvolta scoprono soluzioni che possono poi essere adottate ufficialmente perché apportano un valore evidente all'intera organizzazione.

Un altro vantaggio evidente è il miglioramento della produttività e del comfort dei dipendenti . Lavorare con strumenti che si adattano perfettamente ai loro flussi di lavoro, che conoscono bene e che possono personalizzare, si traduce solitamente in meno attriti, meno sprechi di tempo e maggiore concentrazione su attività a valore aggiunto.

Non bisogna dimenticare il fattore psicologico: consentire una certa flessibilità negli strumenti utilizzati favorisce team più autonomi e responsabilizzati , con una cultura di intraprendenza e risoluzione indipendente dei problemi. Se gestito correttamente, questo può essere molto positivo per l'agilità aziendale.

Tuttavia, tutti questi vantaggi comportano solitamente un rovescio della medaglia: se questa tecnologia non è soggetta a controlli adeguati, il temporaneo aumento di efficienza può facilmente finire per essere pagato sotto forma di incidenti di sicurezza, sanzioni normative, caos dei dati o costi nascosti.

Principali rischi dell'IT ombra

L'altra faccia della medaglia dell'IT ombra è l'insieme dei rischi che introduce. Molti di questi non sono evidenti all'inizio, ma si accumulano e possono esplodere nel momento peggiore.

La prima e più evidente conseguenza è l' aumento della superficie di attacco . Ogni nuova applicazione non autorizzata, ogni servizio cloud esterno, ogni dispositivo personale connesso alla rete rappresenta un ulteriore punto di accesso che i criminali informatici possono tentare di sfruttare. Non essendo integrati nell'architettura di sicurezza aziendale, spesso costituiscono la porta d'accesso ideale.

In relazione a quanto sopra, l'IT ombra aumenta le vulnerabilità e il potenziale di diffusione di malware . Molte applicazioni gratuite o poco conosciute non dispongono di meccanismi di sicurezza robusti, vengono aggiornate tardivamente o contengono bug gravi. Nel caso di dispositivi mobili e app di terze parti, gli studi hanno dimostrato che un'altissima percentuale presenta falle di sicurezza che gli aggressori possono sfruttare.

Un altro rischio critico è la perdita, la divulgazione o l'esposizione impropria dei dati . Quando i dipendenti archiviano informazioni aziendali su account personali, presso fornitori non verificati o su dispositivi non crittografati , l'organizzazione perde visibilità e controllo su tali dati. Se anche una sola persona lascia l'azienda o perde un dispositivo, tutte le informazioni in esso contenute vanno perse.

L'IT ombra complica notevolmente anche la conformità normativa . Normative come il GDPR, l'HIPAA, il PCI DSS e standard come il NIST richiedono di sapere dove risiedono i dati, come vengono protetti e chi vi ha accesso. Se parte di queste informazioni transita attraverso canali sconosciuti, garantire la conformità diventa praticamente impossibile, il che può comportare sanzioni finanziarie, obblighi legali e gravi danni alla reputazione.

Dal punto di vista operativo, la proliferazione di strumenti non autorizzati porta a inefficienze, compartimenti stagni e flussi di lavoro frammentati . Ogni team potrebbe finire per utilizzare una propria combinazione di app per gestire le attività, comunicare o condividere file, ostacolando l'interoperabilità, aumentando la duplicazione e rendendo molto difficile avere una visione unificata dei dati.

L'impatto sui costi non va sottovalutato. Sebbene nel breve termine possa sembrare che si stiano realizzando risparmi passando dall'acquisto di una grande soluzione aziendale all'utilizzo di diversi servizi economici o gratuiti, nel lungo periodo l'IT ombra genera spesso spese nascoste : abbonamenti duplicati, licenze inutilizzate, tempi di inattività dovuti a incidenti, maggiore impegno per l'assistenza e la risoluzione dei problemi, vincoli con fornitori non certificati, ecc.

Problemi di visibilità, controllo e conformità

Un effetto collaterale dell'IT ombra è che il reparto IT perde il suo ruolo di fonte centrale di informazioni affidabili sulla tecnologia aziendale. Se non sa cosa viene utilizzato, dove risiedono i dati o quali dipendenze esistono tra i sistemi, diventa molto difficile progettare una strategia coerente per la sicurezza, la continuità operativa e l'evoluzione.

La mancanza di visibilità ha molteplici conseguenze. Da un lato, impedisce la protezione di ciò che non si vede : le soluzioni di monitoraggio, backup, crittografia o risposta agli incidenti non coprono i sistemi che non sono nemmeno elencati nell'inventario ufficiale. Dall'altro lato, genera incongruenze nelle informazioni, poiché diverse versioni degli stessi dati possono esistere sparse in strumenti diversi e non collegati tra loro.

Nell'ambito della compliance, l'ambiente ombra complica sia la gestione delle prove (log, cronologia degli accessi, tracciabilità delle modifiche) sia la risposta ad audit o incidenti. Se un'autorità di controllo richiede la prova di dove sono archiviati determinati dati personali, chi li ha trattati e con quali misure di sicurezza, le lacune lasciate da un sistema informatico non controllato possono essere enormi.

Vi è inoltre un impatto diretto sulla capacità dell'azienda di gestire il ciclo di vita dei dati : conservazione, archiviazione, distruzione sicura, ecc. Se alcune informazioni sono archiviate in repository non ufficiali, quando un dipendente lascia l'azienda o quando determinate informazioni devono essere eliminate, è facile che ne rimangano copie attive, con il conseguente rischio.

Infine, la perdita di controllo crea difficoltà nella pianificazione degli investimenti e delle risorse . Le licenze aziendali per strumenti sottoutilizzati potrebbero essere pagate mentre alcuni team acquistano autonomamente strumenti simili, oppure le funzionalità potrebbero essere duplicate senza che ce ne si renda conto. Senza un quadro completo, ottimizzare la spesa IT diventa pressoché impossibile.

Come individuare l'IT ombra nella tua organizzazione

Il primo passo nella gestione dell'IT ombra non è il divieto, ma l'acquisizione di visibilità . Molte organizzazioni rimangono sorprese quando, attraverso questo processo, scoprono decine o centinaia di servizi che nessuno aveva formalmente dichiarato.

Una tecnica di base prevede l'esecuzione di audit regolari di rete e degli endpoint per identificare applicazioni, servizi cloud e connessioni non autorizzati. Ciò include l'analisi del software installato sui computer, dei plugin del browser, delle app mobili connesse alla posta elettronica aziendale e dei modelli di traffico verso i domini SaaS.

È inoltre molto utile analizzare le registrazioni delle spese e degli acquisti per individuare i pagamenti ai fornitori di tecnologia che non passano attraverso i canali tradizionali. Abbonamenti a servizi cloud tramite carta di credito, piccoli addebiti ricorrenti o fatture software emesse a reparti specifici possono essere un chiaro segnale di IT ombra.

Un altro metodo di rilevamento prevede l'integrazione delle informazioni provenienti da provider di identità e SSO (come Azure AD, Google Workspace e altri) per individuare le applicazioni a cui gli utenti accedono con le credenziali aziendali. Sebbene non tutte queste applicazioni siano approvate, questo livello di visibilità aiuta a mappare i modelli di attività dell'organizzazione.

Esistono anche strumenti specifici per il rilevamento di Shadow IT e CASB (Cloud Access Security Broker) che monitorano il traffico verso i servizi cloud, classificano le applicazioni in base al loro livello di rischio e consentono l'identificazione automatica di nuove aggiunte in pochi secondi, generando avvisi quando viene rilevato qualcosa di non autorizzato.

Infine, l'individuazione non dovrebbe essere esclusivamente tecnica. È fondamentale promuovere una cultura di trasparenza in cui i dipendenti siano incoraggiati a discutere quali strumenti utilizzano e perché, senza timore di ritorsioni. Sondaggi interni, interviste con i responsabili di reparto e canali di comunicazione aperti possono smascherare un numero maggiore di attività IT non autorizzate rispetto a molti scanner.

Le migliori pratiche per prevenire e controllare l'IT ombra

Una volta compreso il quadro generale e svelato ciò che si cela sotto la superficie, è il momento di elaborare una strategia per ridurre i rischi senza soffocare l'innovazione . La chiave sta nel combinare processi, tecnologia e cultura.

Dal punto di vista organizzativo, migliorare la collaborazione tra IT e unità aziendali è fondamentale . Invece di limitarsi a dire "no", l'IT dovrebbe confrontarsi con i team, comprenderne le reali esigenze e proporre alternative sicure che le soddisfino. Quando gli utenti si sentono ascoltati, sono meno propensi a cercare scorciatoie.

È inoltre di grande aiuto offrire un catalogo chiaro, aggiornato e di facile consultazione dei servizi e delle applicazioni autorizzati . Se i dipendenti sanno quali strumenti possono utilizzare per ogni caso d'uso (collaborazione, gestione dei progetti, condivisione di file, messaggistica, ecc.), la tentazione di lasciare l'azienda si riduce.

Dal punto di vista tecnico, è consigliabile implementare soluzioni di gestione dei dispositivi mobili (MDM) e solide politiche BYOD che consentano di controllare quali app vengono installate sui dispositivi personali e che accedono ai dati aziendali, di applicare la crittografia, di separare gli spazi personali da quelli lavorativi e di bloccare l'utilizzo di servizi non autorizzati.

Negli ambienti di sviluppo, è fondamentale affrontare il cosiddetto " shadow code" integrando strumenti di analisi della sicurezza (SAST, DAST, IAST) nel ciclo di vita dell'applicazione, verificando quali librerie e framework vengono utilizzati e assicurandosi che tutto il codice che raggiunge i repository ufficiali sia stato valutato e documentato.

I controlli di accesso e il principio del minimo privilegio devono estendersi anche al cloud: definire chi può attivare nuovi servizi, con quali configurazioni di sicurezza predefinite, come vengono etichettate le risorse per tracciarle e quali requisiti devono soddisfare prima di essere messe in produzione.

D'altro canto, automatizzare gli avvisi e le risposte ai comportamenti anomali è estremamente efficace : rilevare le sottoscrizioni a nuovi servizi SaaS, i picchi nei trasferimenti di dati verso fornitori esterni, l'uso intensivo di app non classificate, ecc. Prima viene individuato un nuovo caso di IT ombra, più tempo si ha per affrontarlo.

Formazione e sensibilizzazione sono pilastri fondamentali. Non basta lanciare una politica e aspettarsi che venga rispettata: è necessario spiegare in modo chiaro e pratico cos'è l'IT ombra, quali rischi comporta, quali alternative sicure esistono e come richiedere nuovi strumenti. Workshop periodici, moduli formativi, simulazioni e campagne interne possono fare la differenza.

Infine, è consigliabile condurre audit IT periodici , esaminando sia le risorse ufficiali che quelle non rilevate, valutandone la conformità alle politiche di sicurezza e compliance e definendo piani di regolarizzazione: dall'integrazione formale degli strumenti che apportano valore aggiunto, alla rimozione di quelli che presentano un rischio inaccettabile e alla proposta di alternative adeguate.

Gestire l'IT "dietro le quinte" non significa microgestire i dipendenti o imporre un controllo rigido su ogni loro clic, ma piuttosto incanalare la loro iniziativa, ridurre i punti ciechi e bilanciare produttività e sicurezza . Quanto più trasparente è la comunicazione, tanto più agile è il processo di approvazione delle nuove soluzioni e tanto più chiare sono le regole di ingaggio, tanto meno le persone avranno bisogno di "operare dietro le quinte" per svolgere bene il proprio lavoro.