- Ēnu IT rodas, kad darbinieki un nodaļas izmanto neapstiprinātas tehnoloģijas, lai apmierinātu reālas produktivitātes vajadzības.
- Tās paplašināšanās palielina uzbrukuma virsmu, datu atkarību, atbilstības riskus un slēptās izmaksas.
- Lai to atklātu, ir nepieciešama tehniskā pārredzamība (auditi, CASB, MDM) un iekšējā kultūra, kas veicina pārredzamību.
- Tās pārvaldība ietver drošu alternatīvu piedāvāšanu, apstiprinātu lietotņu katalogus, apmācību un elastīgus validācijas procesus.
Ēnu IT ir ielavījusies gandrīz katrā organizācijā, neizdodot nemaz skaņu: mākoņlietojumprogrammas, kas nolīgtas ar uzņēmuma karti, WhatsApp grupas darba jautājumiem, personīgie krātuves konti, ko izmanto klientu failiem… Tas viss ir daļa no realitātes, kas katru dienu kļūst arvien spēcīgāka un kas, ja netiek pārvaldīta, var kļūt par nopietnām galvassāpēm.
Vienlaikus šī "neoficiālā" IT rodas arī no ļoti reālām vajadzībām: darbiniekiem, kuri vēlas strādāt ātrāk, labāk sadarboties vai kompensēt trūkumus korporatīvajos rīkos. Problēma nav tik daudz tās esamība, bet gan tā, ka tā darbojas ārpus IT un drošības nodaļu redzesloka. Rūpīga izpratne par to, kas tā ir, kāpēc tā rodas, kādus riskus tā rada un kā to pārvaldīt, ir būtiska jebkurai organizācijai, kas vēlas būt elastīga, nezaudējot kontroli.
Kas ir ēnu IT un kāpēc tā pastāv?
Runājot par ēnu IT, mēs domājam programmatūras, aparatūras, mākoņpakalpojumu, lietojumprogrammu vai ierīču izmantošanu uzņēmumā, ko IT nodaļa nav apstiprinājusi, uzraudzījusi vai bieži vien pat nav zinājusi. Tās var būt gan vienkārša bezmaksas uzdevumu pārvaldības lietotne, gan pilnīga mākonī balstīta sadarbības platforma, ko nolīgusi biznesa vienība.
Šo tehnoloģiju var instalēt korporatīvajos datoros, personālajos klēpjdatoros, personālajās mobilajās ierīcēs (BYOD), planšetdatoros, USB diskdziņos vai tieši ārējos mākoņpakalpojumos. Kopīgā iezīme ir tā, ka tā tiek izmantota darba vajadzībām, bet ārpus organizācijas oficiālajiem iepirkumu, drošības un atbilstības procesiem.
Pēdējos gados šī parādība ir strauji pieaugusi vairāku iemeslu dēļ: tehnoloģiju patēriņa (jaudīgu, lētu un viegli lietojamu rīku, kas pieejami ikvienam), SaaS eksplozija, plaši izplatīts attālinātais darbs un iespēja nodrošināt mākoņpakalpojumus tikai ar dažiem klikšķiem. Saskaņā ar dažādiem pētījumiem aptuveni 41% darbinieku 2022. gadā jau izmantoja risinājumus ārpus IT kontroles, un paredzams, ka šis skaitlis turpinās pieaugt.
Ēnu IT koncepcijai pēc savas būtības nav ne pozitīvas, ne negatīvas konotācijas. Problēma ir tā, ka, atrodoties ārpus IT nodaļas darbības jomas, tā netiek pakļauta drošības, licencēšanas un pārvaldības kontrolei , kas attiecas uz uzņēmuma oficiālo tehnoloģiju, paverot durvis kiberdrošības, atbilstības, izmaksu un darbības riskiem.
Biežāk sastopamie ēnu IT piemēri
Ēnu IT nav abstrakts jēdziens: tā izpaužas ļoti konkrētā, ikdienas uzvedībā. Šo piemēru izpratne palīdz to labāk identificēt un izstrādāt reālistisku politiku.
Pirmo kategoriju veido mākoņlietojumprogrammas , kurām lietotāji piekļūst tieši no korporatīvā tīkla vai no savām personīgajām ierīcēm: projektu vadības rīki, piemēram, Trello vai Asana, krātuves risinājumi, piemēram, Google Drive vai Dropbox, alternatīvi produktivitātes komplekti, konkrētām nodaļām paredzētas klientu attiecību pārvaldības sistēmas (CRM) utt.
Otrkārt, mums ir programmatūra kā pakalpojums (SaaS), ko biznesa vienības slēdz līgumus bez iepirkumiem vai IT: licences mārketinga rīkiem, analītikas platformām, dizaina vai rediģēšanas risinājumiem, nesertificētām videokonferenču lietojumprogrammām utt. Par tām parasti tiek maksāts ar korporatīvajām kredītkartēm, ko izmanto paši vienību vadītāji, vai ar personīgajiem abonementiem, kas vēlāk tiek atmaksāti.
Vēl viena izplatīta forma ir personīgo ierīču lietošana darbā (BYOD) bez pienācīgas pārvaldības: personīgie mobilie tālruņi, ko izmanto korporatīvajam e-pastam, personīgās planšetdatori ar klientu datiem, mājas klēpjdatori, kas pieslēgti organizācijas tīklam, nešifrēti USB diski sensitīvas informācijas pārsūtīšanai… Tas viss palielina atkarību, un IT komandai nav reālas kontroles.
Tas ietver arī programmatūru, ko darbinieks instalējis savā darba datorā: pārlūkprogrammas spraudņus, produktivitātes pievienojumprogrammas, izstrādes rīkus, ko lejupielādējuši paši tehniķi, neatļautas ziņojumapmaiņas vai videozvanu lietojumprogrammas un pat pielāgotu kodu, kas tiek izpildīts uzņēmuma klēpjdatorā ārpus oficiālajām krātuvēm.
Visbeidzot, nedrīkst aizmirst par personisko saziņas platformu , piemēram, WhatsApp, Telegram, Signal vai Discord, izmantošanu darba jautājumu risināšanai, kā arī personīgo e-pasta kontu izmantošanu klientu dokumentācijas nosūtīšanai vai failu koplietošanai ar piegādātājiem, kas padara šos datus organizācijai pilnīgi necaurspīdīgus.
Kāpēc IT tik ļoti izplatās ēnā?
Ēnu IT nerodas nejauši, bet gan kā reakcija uz organizatorisku, tehnoloģisku un cilvēcisku faktoru kombināciju. Ja vēlamies to efektīvi pārvaldīt, mums ir jānovērš šie pamatcēloņi.
Viena no būtiskākajām problēmām ir lēnuma un neelastības uztvere IT nodaļā . Ja jaunu rīku apstiprināšanas procesi ir ilgi, birokrātiski vai neskaidri, darbinieki uzskata, ka pieprasīt kaut ko jaunu ir gandrīz neiespējami, īpaši, ja viņiem ir jāievēro stingri termiņi.
Arī neapmierinātība ar oficiālajiem risinājumiem spēlē lomu . Neintuitīvi, ierobežoti vai slikti pielāgoti korporatīvie rīki liek komandām meklēt labākas alternatīvas. Ja nodaļa atklāj, ka konkrēta lietotne var likt tai strādāt divreiz ātrāk, kārdinājums to ieviest patstāvīgi ir milzīgs.
Izšķirošu lomu spēlē arī tehnoloģiju pieejamības vienkāršība. Mūsdienās ikviens, izmantojot vienkāršu kredītkarti un nelielas zināšanas, var iestatīt uzlabotus mākoņpakalpojumus sadarbībai, uzdevumu pārvaldībai, programmatūras izstrādei vai liela mēroga datu glabāšanai, nekad nekonsultējoties ar IT speciālistu.
Tam visam klāt nāk risku neapzināšanās . Daudzi darbinieki šos risinājumus izmanto ar labiem nodomiem un bez ļaunprātības, uzskatot, ka "nekas nenotiks", ja kopīgos dokumentus no sava personīgā konta vai instalēs viņiem ieteiktu bezmaksas lietotni, neapzinoties, ko tas var nozīmēt datu noplūdes, ļaunprogrammatūras vai neatbilstības noteikumiem ziņā.
Visbeidzot, spēlē lomu vairāk cilvēcisko faktoru, piemēram, uzticības un komunikācijas kultūras trūkums . Daži cilvēki, baidoties tikt uzskatīti par problemātiskiem vai atzīt, ka process nedarbojas, izvēlas "iztikt" paši ar neapstiprinātiem rīkiem, nevis atklāti piemin nepieciešamību pēc pārmaiņām.
Ēnu IT potenciālie ieguvumi
Lai gan ēnu IT bieži tiek saistīta ar problēmām, tai ir arī pozitīvā puse, kas būtu jāatzīst, lai to pareizi novirzītu, nevis mēģinātu izskaust ar varu.
Daudzos gadījumos šie rīki nodrošina daudz ātrāku piekļuvi risinājumiem , kas risina konkrētas ikdienas problēmas. Komanda var sākt strādāt ar jaunu lietojumprogrammu dažu stundu laikā, negaidot nedēļām ilgi, līdz tiks pabeigts oficiāls iegādes un ieviešanas process.
Ēnu IT ir arī inovāciju un eksperimentu avots . Lietotāji pēta jaunākās tehnoloģijas, testē jaunus sadarbības vai uzdevumu automatizācijas veidus un dažreiz atklāj risinājumus, kurus vēlāk var oficiāli ieviest, jo tie sniedz skaidru vērtību visai organizācijai.
Vēl viens nepārprotams ieguvums ir darbinieku produktivitātes un komforta uzlabošanās . Darbs ar rīkiem, kas lieliski atbilst viņu darbplūsmām, kurus viņi labi pārzina un kurus var pielāgot, parasti nozīmē mazāku berzi, mazāk laika izšķērdēšanu un lielāku koncentrēšanos uz pievienotās vērtības uzdevumiem.
Mēs nedrīkstam aizmirst par psiholoģisko faktoru: zināma elastība izmantotajos rīkos veicina spēcīgākas un pašpietiekamākas komandas ar atjautības un neatkarīgas problēmu risināšanas kultūru. Pareizi pārvaldīta, tas var būt ļoti pozitīvi uzņēmuma elastībai.
Tomēr visām šīm priekšrocībām parasti ir kāds svarīgs āķis: ja šī tehnoloģija netiek pienācīgi kontrolēta, īslaicīgais efektivitātes pieaugums var viegli beigties ar kompensāciju drošības incidentu, normatīvo sankciju, datu haosa vai slēptu izmaksu veidā.
Ēnu IT galvenie riski
Ēnu IT monētas otra puse ir risku kopums, ko tā rada. Daudzi no tiem sākumā nav redzami, taču tie uzkrājas un var eksplodēt vissliktākajā iespējamajā brīdī.
Pirmās un visredzamākās sekas ir palielinātā uzbrukuma virsma . Katra jauna neatļauta lietojumprogramma, katrs ārējais mākoņpakalpojums, katra tīklam pievienotā personīgā ierīce ir papildu punkts, ko kibernoziedznieki var mēģināt izmantot. Tā kā tie nav integrēti korporatīvās drošības arhitektūrā, tie bieži vien ir ideālas aizmugurējās durvis.
Saistībā ar iepriekš minēto ēnu IT palielina ievainojamību un ļaunprogrammatūras potenciālu . Daudzām bezmaksas vai mazpazīstamām lietotnēm trūkst spēcīgu drošības mehānismu, tās tiek atjauninātas novēloti vai satur nopietnas kļūdas. Mobilo ierīču un trešo pušu lietotņu gadījumā pētījumi liecina, ka ļoti lielam procentuālajam daudzumam ir drošības trūkumi, ko uzbrucēji var izmantot.
Vēl viens būtisks risks ir datu zudums, noplūde vai nepareiza izpaušana . Kad darbinieki glabā uzņēmuma informāciju personīgajos kontos, nepārbaudītos piegādātājos vai nešifrētās ierīcēs , organizācija zaudē redzamību un kontroli pār šiem datiem. Ja tikai viena persona pamet uzņēmumu vai pazaudē ierīci, visa tajā saglabātā informācija tiek zaudēta.
Ēnu IT arī ievērojami sarežģī atbilstību normatīvajiem aktiem . Tādi noteikumi kā GDPR, HIPAA, PCI DSS un standarti, piemēram, NIST, pieprasa zināt, kur atrodas dati, kā tie tiek aizsargāti un kam ir piekļuve tiem. Ja daļa no šīs informācijas pārvietojas pa nezināmiem kanāliem, atbilstības nodrošināšana ir praktiski neiespējama, kas var izraisīt finansiālas sankcijas, juridiskas saistības un nopietnu reputācijas kaitējumu.
No operacionālā viedokļa neatļautu rīku izplatība noved pie neefektivitātes, izolētiem resursiem un sadrumstalotām darbplūsmām . Katra komanda var sākt izmantot savu lietotņu kombināciju uzdevumu pārvaldībai, saziņai vai failu koplietošanai, kavējot sadarbspēju, palielinot dublēšanos un apgrūtinot vienota datu pārskata iegūšanu.
Nedrīkst ignorēt ietekmi uz izmaksām. Lai gan īstermiņā var šķist, ka, pārejot no liela korporatīvā risinājuma iegādes uz vairāku lētu vai bezmaksas pakalpojumu izmantošanu, tiek gūti ietaupījumi, ilgtermiņā ēnu IT bieži rada slēptus izdevumus : dublētus abonementus, neizmantotas licences, dīkstāvi incidentu dēļ, papildu atbalstu un koriģējošus pasākumus, saikni ar nesertificētiem pakalpojumu sniedzējiem utt.
Redzamības, kontroles un atbilstības problēmas
Ēnu IT blakusparādība ir tāda, ka IT nodaļa zaudē savu lomu kā centrālais patiesības avots par organizācijas tehnoloģijām. Ja tā nezina, kas tiek izmantots, kur atrodas dati vai kādas atkarības pastāv starp sistēmām, kļūst ļoti grūti izstrādāt saskaņotu drošības, nepārtrauktības un attīstības stratēģiju.
Neredzamībai ir vairākas sekas. No vienas puses, tā neļauj aizsargāt to, ko nevar redzēt : uzraudzības, dublēšanas, šifrēšanas vai incidentu reaģēšanas risinājumi neaptver sistēmas, kas pat nav uzskaitītas oficiālajā inventārā. No otras puses, tā rada neatbilstības informācijā, jo vairākas viena un tā paša datu versijas var pastāvēt izkaisītas dažādos, nesaistītos rīkos.
Atbilstības jomā ēnu vide sarežģī gan pierādījumu (žurnālu, piekļuves vēstures, izmaiņu izsekojamības) pārvaldību , gan reaģēšanu uz auditiem vai incidentiem. Ja regulatīvā iestāde pieprasa pierādījumus par to, kur tiek glabāti konkrēti personas dati, kas tos ir apstrādājis un ar kādiem drošības pasākumiem, nekontrolētas IT radītās nepilnības var būt milzīgas.
Tāpat ir tieša ietekme uz uzņēmuma spēju pārvaldīt datu dzīves ciklu : saglabāšanu, arhivēšanu, drošu iznīcināšanu utt. Ja daļa informācijas tiek glabāta neoficiālās krātuvēs, piemēram, darbiniekam aizejot vai kad noteikta informācija ir jāizdzēš, ir viegli palikt tiešraides kopijas, radot no tā izrietošu risku.
Visbeidzot, kontroles zaudēšana rada grūtības, plānojot investīcijas un resursus . Var tikt apmaksātas korporatīvās licences nepietiekami izmantotiem rīkiem, kamēr atsevišķas komandas pašas maksā par līdzīgiem rīkiem, vai arī funkcijas var tikt dublētas, to neapzinoties. Bez pilnīga priekšstata IT izdevumu optimizācija kļūst gandrīz neiespējama.
Kā atpazīt ēnu IT jūsu organizācijā
Pirmais solis ēnu IT pārvaldībā nav aizliegums, bet gan redzamības iegūšana . Daudzas organizācijas ir pārsteigtas, kad, veicot šo vingrinājumu, tās atklāj desmitiem vai simtiem pakalpojumu, kurus neviens oficiāli nebija deklarējis.
Pamata metode ietver regulāru tīkla un galapunktu auditu veikšanu , lai identificētu neatļautas lietojumprogrammas, mākoņpakalpojumus un savienojumus. Tas ietver datoros instalētās programmatūras, pārlūkprogrammas spraudņu, ar korporatīvo e-pastu savienoto mobilo lietotņu un SaaS domēnu datplūsmas modeļu pārskatīšanu.
Ir arī ļoti noderīgi analizēt izdevumu un pirkumu ierakstus par maksājumiem tehnoloģiju pakalpojumu sniedzējiem, kas netiek veikti, izmantojot parastos kanālus. Kredītkaršu abonementi mākoņpakalpojumiem, atkārtoti nelieli maksājumi vai programmatūras rēķini, kas izrakstīti konkrētām nodaļām, var liecināt par ēnu IT klātbūtni.
Cita noteikšanas metode ietver informācijas integrēšanu no identitātes un SSO pakalpojumu sniedzējiem (piemēram, Azure AD, Google Workspace un citiem), lai redzētu, kurām lietojumprogrammām lietotāji piekļūst, izmantojot uzņēmuma akreditācijas datus. Lai gan ne visas šīs lietojumprogrammas ir apstiprinātas, šis redzamības līmenis palīdz kartēt organizācijas darbības modeļus.
Ir arī īpaši ēnu IT noteikšanas rīki un CASB (Cloud Access Security Broker), kas uzrauga datplūsmu uz mākoņpakalpojumiem, klasificē lietojumprogrammas atbilstoši to riska līmenim un ļauj dažu sekunžu laikā automātiski identificēt jaunus papildinājumus, ģenerējot brīdinājumus, kad parādās kaut kas neatļauts.
Visbeidzot, atklāšanai nevajadzētu būt tikai tehniskai. Ir svarīgi veicināt pārredzamības kultūru , kurā darbinieki tiek mudināti pārrunāt, kādus rīkus viņi izmanto un kāpēc, nebaidoties no aizrādījumiem. Iekšējās aptaujas, intervijas ar nodaļu vadītājiem un atvērti komunikācijas kanāli var atklāt vairāk ēnu IT nekā daudzi skeneri.
Labākā prakse ēnu IT novēršanai un kontrolei
Kad kopējā aina ir izprasta un atklāts, kas slēpjas zem virsmas, ir pienācis laiks izstrādāt stratēģiju riska mazināšanai, vienlaikus neierobežojot inovācijas . Galvenais ir apvienot procesus, tehnoloģijas un kultūru.
No organizācijas viedokļa ir ļoti svarīgi uzlabot sadarbību starp IT un biznesa vienībām . Tā vietā, lai vienkārši rīkotos kā "nē" nodaļa, IT nodaļai vajadzētu sēsties kopā ar komandām, izprast viņu patiesās vajadzības un piedāvāt drošas alternatīvas, kas tās risina. Kad lietotāji jūtas uzklausīti, viņi, visticamāk, nemeklēs īsceļus.
Ļoti palīdz arī skaidra, aktuāla un viegli pieejama autorizētu pakalpojumu un lietojumprogrammu kataloga piedāvāšana . Ja darbinieki zina, kādus rīkus viņi var izmantot katrā lietošanas gadījumā (sadarbība, projektu vadība, failu koplietošana, ziņojumapmaiņa utt.), kārdinājums pamest uzņēmumu samazinās.
No tehniskā viedokļa ieteicams ieviest mobilo ierīču pārvaldības (MDM) risinājumus un stabilas BYOD politikas, kas ļauj kontrolēt, kuras lietotnes tiek instalētas personīgajās ierīcēs, kuras piekļūst uzņēmuma datiem, piemērot šifrēšanu, atdalīt personisko un darba vidi un bloķēt neatļautu pakalpojumu izmantošanu.
Izstrādes vidēs ir kritiski svarīgi risināt tā saukto ēnu kodu, integrējot drošības analīzes rīkus (SAST, DAST, IAST) lietojumprogrammas dzīves ciklā, pārskatot, kuras bibliotēkas un ietvari tiek izmantoti, un nodrošinot, ka viss kods, kas nonāk oficiālajās krātuvēs, ir novērtēts un dokumentēts.
Piekļuves kontrolei un mazāko privilēģiju principam ir jāattiecas arī uz mākoņpakalpojumiem: jānosaka, kas var nodrošināt jaunus pakalpojumus, ar kādām noklusējuma drošības konfigurācijām, kā resursi tiek marķēti, lai tos izsekotu, un kādām prasībām tiem jāatbilst, pirms tie nonāk ražošanā.
No otras puses, brīdinājumu un reaģēšanas uz anomālu uzvedību automatizācija ir ļoti efektīva : jaunu SaaS pakalpojumu abonementu noteikšana, datu pārsūtīšanas ārējiem pakalpojumu sniedzējiem pieaugums, intensīva neklasificētu lietotņu izmantošana utt. Jo ātrāk tiek atklāts jauns ēnu IT gadījums, jo vairāk laika būs tā novēršanai.
Apmācība un informētība ir būtiski pīlāri. Nepietiek tikai ieviest politiku un sagaidīt, ka tā tiks ievērota: jums ir skaidri un praktiski jāpaskaidro , kas ir ēnu IT, kādus riskus tā rada, kādas drošas alternatīvas pastāv un kā pieprasīt jaunus rīkus. Regulāri semināri, apmācību moduļi, simulācijas un iekšējās kampaņas var radīt būtisku atšķirību.
Visbeidzot, ieteicams veikt regulāras IT revīzijas , pārskatot gan oficiālos, gan neatklātos aktīvus, novērtējot to atbilstību drošības un atbilstības politikām un nosakot legalizācijas plānus: sākot ar to rīku formālu integrēšanu, kas sniedz pievienoto vērtību, līdz to rīku noņemšanai, kas rada nepieņemamu risku, un atbilstošu aizstājēju ierosināšanai.
IT pārvaldība aizkulisēs nenozīmē darbinieku mikropārvaldību vai stingras kontroles ieviešanu pār katru klikšķi, bet gan viņu iniciatīvas virzīšanu, aklo zonu samazināšanu un produktivitātes un drošības līdzsvarošanu . Jo caurspīdīgāka ir komunikācija, jo elastīgāks ir jaunu risinājumu apstiprināšanas process un jo skaidrāki ir sadarbības noteikumi, jo mazāka ir nepieciešamība cilvēkiem "iet aizkulisēs", lai labi veiktu savu darbu.
