Skygge-IT: Risikoer, eksempler og hvordan man håndterer det

Informatec Digital » Ressurser » Skygge-IT: Risikoer, eksempler og hvordan man håndterer det

Skygge-IT har sneket seg inn i nesten alle organisasjoner uten å lage en lyd: skyapplikasjoner bundet av et bedriftskort, WhatsApp-grupper for arbeidsrelaterte saker, personlige lagringskontoer brukt til klientfiler ... Alt dette er en del av en virkelighet som vokser mer og mer hver dag, og som, hvis den ikke håndteres, kan bli en alvorlig hodepine.

Samtidig oppstår denne «uoffisielle» IT-en også fra svært reelle behov: ansatte som ønsker å jobbe raskere, samarbeide bedre eller kompensere for mangler i bedriftens verktøy. Problemet er ikke så mye dens eksistens, men snarere at den opererer utenfor radaren til IT- og sikkerhetsavdelingene. En grundig forståelse av hva den er, hvorfor den dukker opp, hvilke risikoer den medfører og hvordan man håndterer den er nøkkelen for enhver organisasjon som ønsker å være smidig uten å miste kontroll.

Hva er skygge-IT og hvorfor eksisterer det?

Når vi snakker om skygge-IT, refererer vi til bruk av programvare, maskinvare, skytjenester, applikasjoner eller enheter i et selskap som ikke er godkjent, overvåket eller ofte engang kjent av IT-avdelingen. Disse kan variere fra en enkel gratis oppgavebehandlingsapp til en komplett skybasert samarbeidsplattform som er avtalt av en forretningsenhet.

Denne teknologien kan installeres på bedriftsdatamaskiner, personlige bærbare datamaskiner, personlige mobile enheter (BYOD), nettbrett, USB-stasjoner eller direkte på eksterne skytjenester. Fellesnevneren er at den brukes til arbeidsformål, men utenfor organisasjonens formelle anskaffelses-, sikkerhets- og samsvarsprosesser.

De siste årene har dette fenomenet skutt i været av flere grunner: forbrukeriseringen av teknologi (kraftige, rimelige og brukervennlige verktøy tilgjengelig for alle), eksplosjonen av SaaS, utbredt fjernarbeid og muligheten til å tilby skytjenester med bare noen få klikk. I følge ulike studier brukte rundt 41 % av de ansatte allerede løsninger utenfor IT-kontroll i 2022, og dette tallet forventes å fortsette å stige.

Konseptet skygge-IT har ikke iboende en positiv eller negativ klang. Problemet er at det, siden det ligger utenfor IT-avdelingens virkeområde, ikke går gjennom sikkerhets-, lisensierings- og styringskontrollene som gjelder for selskapets offisielle teknologi, noe som åpner døren for risikoer knyttet til cybersikkerhet, samsvar, kostnader og drift.

Vanlige eksempler på skygge-IT

Skygge-IT er ikke et abstrakt konsept: det manifesterer seg i svært konkret, hverdagslig atferd. Å forstå disse eksemplene hjelper til med å bedre identifisere det og utforme realistiske retningslinjer.

Den første kategorien består av skyapplikasjoner som brukere har direkte tilgang til fra bedriftsnettverket eller fra sine personlige enheter: prosjektstyringsverktøy som Trello eller Asana, lagringsløsninger som Google Drive eller Dropbox, alternative produktivitetspakker, avdelingsspesifikke CRM-er, osv.

For det andre har vi programvare som en tjeneste (SaaS) som kontrakteres av forretningsenheter uten å gå gjennom innkjøp eller IT: lisenser for markedsføringsverktøy, analyseplattformer, design- eller redigeringsløsninger, ikke-sertifiserte videokonferanseapplikasjoner, osv. Disse betales vanligvis med bedriftskredittkort som brukes av enhetslederne selv eller gjennom personlige abonnementer som senere refunderes.

En annen vanlig form er bruk av personlige enheter på jobb (BYOD) uten skikkelig administrasjon: personlige mobiltelefoner brukt til bedrifts-e-post, personlige nettbrett med kundedata, bærbare datamaskiner koblet til organisasjonens nettverk, ukrypterte USB-stasjoner for å overføre sensitiv informasjon ... Alt dette øker eksponeringen uten at IT-avdelingen har noen reell kontroll.

Dette inkluderer også programvare installert av den ansatte på arbeidsdatamaskinen deres: nettleserprogramtillegg, produktivitetstillegg, utviklingsverktøy lastet ned av teknikerne selv, uautoriserte meldings- eller videosamtaleprogrammer, og til og med tilpasset kode utført på bedriftens bærbare datamaskin utenfor offisielle databaser.

Til slutt må vi ikke glemme bruken av personlige kommunikasjonsplattformer som WhatsApp, Telegram, Signal eller Discord for å håndtere arbeidssaker, samt bruken av personlige e-postkontoer for å sende klientdokumentasjon eller dele filer med leverandører, noe som gjør disse dataene fullstendig ugjennomsiktige for organisasjonen.

Hvorfor sprer IT seg så mye i skyggene?

Skygge-IT oppstår ikke tilfeldig, men snarere som en respons på en kombinasjon av organisatoriske, teknologiske og menneskelige faktorer. Hvis vi ønsker å håndtere det effektivt, må vi ta tak i disse underliggende årsakene.

Et av de viktigste problemene er oppfatningen av treghet og rigiditet i IT-avdelingen . Når godkjenningsprosessene for nye verktøy er lange, byråkratiske eller ugjennomsiktige, føler ansatte at det er nesten umulig å be om noe nytt, spesielt hvis de har stramme tidsfrister å overholde.

Misnøye med offisielle løsninger spiller også en rolle . Uintuitive, begrensede eller dårlig tilpassede bedriftsverktøy fører til at team søker bedre alternativer. Hvis en avdeling oppdager at en bestemt app kan få dem til å jobbe dobbelt så raskt, er fristelsen til å ta den i bruk selvstendig enorm.

Den enkle tilgangen til teknologi spiller i seg selv en avgjørende rolle. I dag kan hvem som helst sette opp avanserte skytjenester for samarbeid, oppgavebehandling, programvareutvikling eller storskala datalagring, uten å måtte spørre IT-avdelingen, med et enkelt kredittkort og litt kunnskap.

I tillegg til alt dette kommer manglende bevissthet om risikoene . Mange ansatte bruker disse løsningene med gode intensjoner og uten ondsinnet hensikt, i den tro at «ingenting vil skje» med deling av dokumenter fra den personlige kontoen deres eller installasjon av en gratisapp som har blitt anbefalt til dem, uten å være klar over hva det kan innebære når det gjelder datalekkasjer, skadelig programvare eller manglende overholdelse av regelverk.

Til slutt spiller flere menneskelige faktorer inn, som mangel på en kultur preget av tillit og kommunikasjon . Noen velger å «klare seg» på egenhånd med ikke-godkjente verktøy i stedet for åpent å ta opp behovet for endring, av frykt for å bli sett på som problematiske eller innrømme at en prosess ikke fungerer.

Potensielle fordeler med skygge-IT

Selv om det ofte er forbundet med problemer, har skygge-IT også en positiv side som bør anerkjennes for å kanalisere den riktig i stedet for å prøve å utrydde den med makt.

I mange tilfeller gir disse verktøyene mye raskere tilgang til løsninger som adresserer spesifikke, daglige problemer. Et team kan begynne å jobbe med en ny applikasjon i løpet av få timer, uten å måtte vente i flere uker på at en formell anskaffelses- og utrullingsprosess skal fullføres.

Skygge-IT er også en kilde til innovasjon og eksperimentering . Brukere utforsker nye teknologier, tester nye måter å samarbeide på eller automatisere oppgaver, og oppdager noen ganger løsninger som senere kan tas i bruk offisielt fordi de gir tydelig verdi til hele organisasjonen.

En annen klar fordel er forbedringen i de ansattes produktivitet og komfort . Å jobbe med verktøy som passer perfekt til arbeidsflytene deres, som de kjenner godt, og som de kan tilpasse, fører vanligvis til mindre friksjon, mindre bortkastet tid og mer fokus på verdiskapende oppgaver.

Vi må ikke glemme den psykologiske faktoren: å tillate litt fleksibilitet i verktøyene som brukes fremmer mer myndiggjorte og selvstendige team , med en kultur preget av ressurssterkhet og uavhengig problemløsning. Når det håndteres riktig, kan dette være svært positivt for bedriftens smidighet.

Imidlertid kommer alle disse fordelene vanligvis med en viktig hake: hvis denne teknologien ikke er underlagt skikkelig kontroll, kan den midlertidige effektivitetsgevinsten lett ende opp med å bli betalt i form av sikkerhetshendelser, regulatoriske sanksjoner, datakaos eller skjulte kostnader.

Hovedrisikoer ved skygge-IT

Den andre siden av mynten med skygge-IT er risikoene den introduserer. Mange av disse er ikke åpenbare i starten, men de hoper seg opp og kan eksplodere i verst tenkelige øyeblikk.

Den første og mest synlige konsekvensen er den økte angrepsflaten . Hver ny uautorisert applikasjon, hver ekstern skytjeneste, hver personlig enhet som er koblet til nettverket, er et ekstra punkt som nettkriminelle kan prøve å utnytte. Fordi de ikke er integrert i bedriftens sikkerhetsarkitektur, representerer de ofte den perfekte bakdøren.

Relatert til det ovennevnte øker skygge-IT sårbarheter og potensialet for skadelig programvare . Mange gratis eller lite kjente applikasjoner mangler robuste sikkerhetsmekanismer, oppdateres sent eller inneholder alvorlige feil. Når det gjelder mobile enheter og tredjepartsapper, har studier vist at en svært høy andel har sikkerhetsfeil som angripere kan utnytte.

En annen kritisk risiko er tap, lekkasje eller feil eksponering av data . Når ansatte lagrer bedriftsinformasjon på personlige kontoer, hos ukontrollerte leverandører eller på ukrypterte enheter , mister organisasjonen synlighet og kontroll over disse dataene. Hvis bare én person forlater bedriften eller mister en enhet, går all informasjonen som er lagret på den tapt.

Skygge-IT kompliserer også regeloverholdelse i stor grad . Forskrifter som GDPR, HIPAA, PCI DSS og standarder som NIST krever at man vet hvor data befinner seg, hvordan de er beskyttet og hvem som har tilgang til dem. Hvis noe av denne informasjonen beveger seg gjennom ukjente kanaler, er det praktisk talt umulig å sikre samsvar, noe som kan føre til økonomiske straffer, juridiske forpliktelser og alvorlig omdømmeskade.

Fra et operasjonelt perspektiv fører spredningen av uautoriserte verktøy til ineffektivitet, siloer og fragmenterte arbeidsflyter . Hvert team kan ende opp med å bruke sin egen kombinasjon av apper for å administrere oppgaver, kommunisere eller dele filer, noe som hindrer interoperabilitet, øker duplisering og gjør det svært vanskelig å ha et enhetlig bilde av dataene.

Kostnadspåvirkningen bør ikke overses. Selv om det på kort sikt kan virke som om man sparer penger ved å bytte fra å kjøpe en stor bedriftsløsning til å bruke flere billige eller gratis tjenester, genererer skygge-IT ofte skjulte utgifter på lang sikt : dupliserte abonnementer, ubrukte lisenser, nedetid på grunn av hendelser, ekstra støtte og utbedringsarbeid, binding til ikke-sertifiserte leverandører, osv.

Problemer med synlighet, kontroll og samsvar

En bivirkning av skygge-IT er at IT-avdelingen mister sin rolle som den sentrale kilden til sannhet om organisasjonens teknologi. Hvis den ikke vet hva som brukes, hvor dataene befinner seg, eller hvilke avhengigheter som finnes mellom systemer, blir det svært vanskelig å utforme en sammenhengende strategi for sikkerhet, kontinuitet og utvikling.

Mangelen på synlighet har flere konsekvenser. På den ene siden hindrer det beskyttelsen av det som ikke kan sees : overvåking, sikkerhetskopiering, kryptering eller hendelsesresponsløsninger dekker ikke systemer som ikke engang er oppført i den offisielle inventarlisten. På den andre siden genererer det inkonsekvenser i informasjonen, ettersom flere versjoner av de samme dataene kan finnes spredt på tvers av forskjellige, ikke-tilkoblede verktøy.

Innen samsvarsområdet kompliserer skyggemiljøet både bevishåndtering (logger, tilgangshistorikk, sporbarhet av endringer) og responsen på revisjoner eller hendelser. Hvis en tilsynsmyndighet ber om bevis på hvor visse personopplysninger er lagret, hvem som har behandlet dem og med hvilke sikkerhetstiltak, kan hullene som etterlates av ukontrollert IT være enorme.

Det har også en direkte innvirkning på selskapets evne til å håndtere datalivssyklusen : oppbevaring, arkivering, sikker destruksjon osv. Hvis noe informasjon lagres i uoffisielle databaser, når en ansatt slutter eller når bestemt informasjon må slettes, er det lett at levende kopier blir liggende igjen, med den påfølgende risikoen.

Til slutt skaper tap av kontroll vanskeligheter når man planlegger investeringer og ressurser . Bedriftslisenser for underutnyttede verktøy kan bli betalt for mens enkelte team betaler for lignende verktøy på egenhånd, eller funksjonalitet kan dupliseres uten at man er klar over det. Uten et fullstendig bilde blir det nesten umulig å optimalisere IT-utgifter.

Slik oppdager du skygge-IT i organisasjonen din

Det første steget i å håndtere skygge-IT er ikke å forby, men å oppnå synlighet . Mange organisasjoner blir overrasket når de, ved å gjøre denne øvelsen, oppdager dusinvis eller hundrevis av tjenester som ingen formelt har deklarert.

En grunnleggende teknikk innebærer å gjennomføre regelmessige nettverks- og endepunktrevisjoner for å identifisere uautoriserte applikasjoner, skytjenester og tilkoblinger. Dette inkluderer gjennomgang av programvare installert på datamaskiner, nettlesertillegg, mobilapper koblet til bedrifts-e-post og trafikkmønstre til SaaS-domener.

Det er også veldig nyttig å analysere utgifts- og kjøpsregistreringer for betalinger til teknologileverandører som ikke går gjennom de vanlige kanalene. Kredittkortabonnementer på skytjenester, gjentakende små gebyrer eller programvarefakturaer utstedt til bestemte avdelinger kan være et tydelig tegn på skygge-IT.

En annen deteksjonsmetode innebærer å integrere informasjon fra identitets- og SSO-leverandører (som Azure AD, Google Workspace og andre) for å se hvilke applikasjoner brukere har tilgang til med bedriftslegitimasjon. Selv om ikke alle disse applikasjonene er godkjent, bidrar dette synlighetslaget til å kartlegge organisasjonens aktivitetsmønstre.

Det finnes også spesifikke verktøy for Shadow IT-deteksjon og CASB (Cloud Access Security Broker) som overvåker trafikk til skytjenester, klassifiserer applikasjoner i henhold til risikonivå og muliggjør automatisk identifisering av nye tillegg i løpet av sekunder, og genererer varsler når noe uautorisert dukker opp.

Til slutt bør ikke deteksjon utelukkende være teknisk. Det er avgjørende å fremme en kultur av åpenhet der ansatte oppfordres til å diskutere hvilke verktøy de bruker og hvorfor, uten frykt for irettesettelse. Interne undersøkelser, intervjuer med avdelingsledere og åpne kommunikasjonskanaler kan avdekke mer skygge-IT enn mange skannere.

Beste praksis for å forebygge og kontrollere skygge-IT

Når man forstår helhetsbildet og hva som ligger under overflaten er avslørt, er det på tide å utforme en strategi for å redusere risiko uten å kvele innovasjon . Nøkkelen er å kombinere prosesser, teknologi og kultur.

Fra et organisatorisk synspunkt er det avgjørende å forbedre samarbeidet mellom IT og forretningsenheter . I stedet for å opptre som en ren «nei»-avdeling, bør IT sette seg ned med teamene, forstå deres reelle behov og foreslå trygge alternativer som imøtekommer dem. Når brukere føler seg hørt, er det mindre sannsynlig at de leter etter snarveier.

Det hjelper også mye å tilby en tydelig, oppdatert og lett tilgjengelig katalog over autoriserte tjenester og applikasjoner . Hvis ansatte vet hvilke verktøy de kan bruke for hvert brukstilfelle (samarbeid, prosjektledelse, fildeling, meldinger osv.), reduseres fristelsen til å forlate bedriften.

Fra et teknisk synspunkt er det tilrådelig å implementere løsninger for administrasjon av mobile enheter (MDM) og robuste BYOD-policyer som gir kontroll over hvilke apper som er installert på personlige enheter som har tilgang til bedriftsdata, bruker kryptering, skiller personlige områder og arbeidsområder, og blokkerer bruk av uautoriserte tjenester.

I utviklingsmiljøer er det kritisk å håndtere såkalt skyggekode ved å integrere sikkerhetsanalyseverktøy (SAST, DAST, IAST) i applikasjonens livssyklus, gjennomgå hvilke biblioteker og rammeverk som brukes, og sørge for at all kode som når offisielle databaser har blitt evaluert og dokumentert.

Tilgangskontroller og prinsippet om minste privilegium må også utvides til skyen: definere hvem som kan tilby nye tjenester, med hvilke standard sikkerhetskonfigurasjoner, hvordan ressurser merkes for å spore dem, og hvilke krav de må oppfylle før de går i produksjon.

På den annen side er automatisering av varsler og responser på avvikende atferd svært effektivt : det oppdager abonnementer på nye SaaS-tjenester, økninger i dataoverføringer til eksterne leverandører, intensiv bruk av uklassifiserte apper, osv. Jo før en ny forekomst av skygge-IT oppdages, desto mer tid er det til å håndtere den.

Opplæring og bevisstgjøring er viktige grunnpilarer. Det er ikke nok å lansere en policy og forvente at den blir fulgt: du må forklare tydelig og praktisk hva skygge-IT er, hvilke risikoer det innebærer, hvilke sikre alternativer som finnes, og hvordan du kan be om nye verktøy. Regelmessige workshops, opplæringsmoduler, simuleringer og interne kampanjer kan utgjøre hele forskjellen.

Til slutt anbefales det å gjennomføre regelmessige IT-revisjoner , gjennomgå både offisielle og uoppdagede eiendeler, vurdere om de samsvarer med sikkerhets- og samsvarspolicyer, og definere regulariseringsplaner: fra formelt å integrere de verktøyene som tilfører verdi, til å fjerne de som utgjør en uakseptabel risiko og foreslå passende erstatninger.

Å administrere IT bak kulissene handler ikke om å detaljstyre ansatte eller innføre streng kontroll over hvert klikk de klikker på, men snarere om å kanalisere initiativet deres, redusere blindsoner og balansere produktivitet og sikkerhet . Jo mer transparent kommunikasjonen er, desto mer smidig prosessen for godkjenning av nye løsninger er, og jo tydeligere reglene for engasjement er, desto mindre må folk «gå bak kulissene» for å gjøre jobben sin bra.