IT në Hije: Rreziqet, Shembuj dhe Si ta Menaxhoni Atë

Informatec Digital » Burime » IT në Hije: Rreziqet, Shembuj dhe Si ta Menaxhoni Atë

Shadow IT është futur fshehurazi në pothuajse çdo organizatë pa bërë asnjë zhurmë: aplikacione cloud të kontraktuara me një kartë kompanie, grupe WhatsApp për çështje që lidhen me punën, llogari personale ruajtjeje të përdorura për skedarët e klientëve… E gjithë kjo është pjesë e një realiteti që rritet gjithnjë e më shumë çdo ditë dhe që, nëse nuk menaxhohet, mund të shndërrohet në një dhimbje koke serioze.

Në të njëjtën kohë, kjo IT "jozyrtare" lind gjithashtu nga nevoja shumë reale: punonjës që duan të punojnë më shpejt, të bashkëpunojnë më mirë ose të kompensojnë mangësitë në mjetet e korporatës. Problemi nuk është aq shumë ekzistenca e saj, por më tepër se ajo vepron jashtë radarit të departamenteve të IT-së dhe sigurisë. Një kuptim i plotë i asaj që është, pse shfaqet, çfarë rreziqesh përfshin dhe si ta menaxhojë atë është thelbësor për çdo organizatë që dëshiron të jetë e shkathët pa humbur kontrollin.

Çfarë është IT në hije dhe pse ekziston?

Kur flasim për IT-në në hije, i referohemi përdorimit të softuerëve, pajisjeve, shërbimeve cloud, aplikacioneve ose pajisjeve brenda një kompanie që nuk janë miratuar, monitoruar ose, shpesh, as të njohura nga departamenti i IT-së. Këto mund të variojnë nga një aplikacion i thjeshtë falas për menaxhimin e detyrave deri te një platformë e plotë bashkëpunimi e bazuar në cloud të kontraktuar nga një njësi biznesi.

Kjo teknologji mund të instalohet në kompjuterë të korporatave, laptopë personalë, pajisje personale mobile (BYOD), tableta, disqe USB ose direkt në shërbime të jashtme cloud. Emëruesi i përbashkët është se përdoret për qëllime pune, por jashtë proceseve formale të prokurimit, sigurisë dhe pajtueshmërisë së organizatës.

Në vitet e fundit, ky fenomen është rritur ndjeshëm për disa arsye: konsumizimi i teknologjisë (mjete të fuqishme, të lira dhe të lehta për t’u përdorur, të disponueshme për të gjithë), shpërthimi i SaaS, puna në distancë në shkallë të gjerë dhe aftësia për të ofruar shërbime cloud vetëm me disa klikime. Sipas studimeve të ndryshme, rreth 41% e punonjësve tashmë përdornin zgjidhje jashtë kontrollit të IT-së në vitin 2022, dhe kjo shifër pritet të vazhdojë të rritet.

Koncepti i IT-së në hije nuk ka në thelb një konotacion pozitiv ose negativ. Problemi është se, duke qenë jashtë fushëveprimit të departamentit të IT-së, nuk kalon nëpër kontrollet e sigurisë, licencimit dhe qeverisjes që zbatohen për teknologjinë zyrtare të kompanisë, duke hapur derën për rreziqet kibernetike, pajtueshmërinë, koston dhe operacionale.

Shembuj të zakonshëm të IT-së në hije

IT-ja në hije nuk është një koncept abstrakt: ajo manifestohet në sjellje shumë konkrete dhe të përditshme. Të kuptuarit e këtyre shembujve ndihmon për ta identifikuar më mirë atë dhe për të hartuar politika realiste.

Kategoria e parë përbëhet nga aplikacione cloud që përdoruesit i qasen direkt nga rrjeti i korporatës ose nga pajisjet e tyre personale: mjete për menaxhimin e projekteve si Trello ose Asana, zgjidhje për ruajtjen e të dhënave si Google Drive ose Dropbox, paketa alternative të produktivitetit, CRM specifike për departamente, etj.

Së dyti, kemi Softuerin si Shërbim (SaaS) të kontraktuar nga njësitë e biznesit pa kaluar nëpër blerje ose IT: licenca për mjete marketingu, platforma analitike, zgjidhje dizajni ose redaktimi, aplikacione video konferencash të pacertifikuara, etj. Këto zakonisht paguhen me karta krediti të korporatave të përdorura nga vetë menaxherët e njësive ose përmes abonimeve personale që më vonë rimbursohen.

Një formë tjetër e zakonshme është përdorimi i pajisjeve personale në punë (BYOD) pa menaxhim të duhur: telefona celularë personalë të përdorur për email-in e korporatës, tableta personale me të dhëna të klientëve, laptopë shtëpiakë të lidhur me rrjetin e organizatës, disqe USB të pakriptuara për të transferuar informacione të ndjeshme… E gjithë kjo rrit ekspozimin pa pasur ndonjë kontroll të vërtetë nga IT-ja.

Kjo përfshin gjithashtu softuerë të instaluar nga punonjësi në kompjuterin e tij të punës: shtojca shfletuesish, shtesa produktiviteti, mjete zhvillimi të shkarkuara nga vetë teknikët, aplikacione të paautorizuara për mesazhe ose video thirrje, madje edhe kod të personalizuar të ekzekutuar në laptopin e korporatës jashtë depove zyrtare.

Së fundmi, nuk duhet të harrojmë përdorimin e platformave të komunikimit personal si WhatsApp, Telegram, Signal ose Discord për t'u marrë me çështje pune, si dhe përdorimin e llogarive personale të email-it për të dërguar dokumentacion klientëve ose për të ndarë skedarë me furnizuesit, diçka që i bën këto të dhëna plotësisht të paqarta për organizatën.

Pse IT-ja po përhapet kaq shumë në hije?

IT-ja në hije nuk shfaqet rastësisht, por më tepër si një përgjigje ndaj një kombinimi faktorësh organizativë, teknologjikë dhe njerëzorë. Nëse duam ta menaxhojmë atë në mënyrë efektive, duhet t'i adresojmë këto shkaqe rrënjësore.

Një nga çështjet më të rëndësishme është perceptimi i ngadalësisë dhe ngurtësisë brenda departamentit të IT-së . Kur proceset e miratimit për mjete të reja janë të gjata, burokratike ose jo transparente, punonjësit mendojnë se kërkimi i diçkaje të re është pothuajse i pamundur, veçanërisht nëse kanë afate të shkurtra për të përmbushur.

Pakënaqësia me zgjidhjet zyrtare luan gjithashtu një rol . Mjetet e korporatave jo intuitive, të kufizuara ose të papërshtatura dobët i bëjnë ekipet të kërkojnë alternativa më të mira. Nëse një departament zbulon se një aplikacion i caktuar mund ta bëjë atë të punojë dy herë më shpejt, tundimi për ta përvetësuar atë në mënyrë të pavarur është i madh.

Vetë lehtësia e aksesit në teknologji luan një rol vendimtar. Sot, me një kartë krediti të thjeshtë dhe pak njohuri, kushdo mund të krijojë shërbime të përparuara cloud për bashkëpunim, menaxhim detyrash, zhvillim softuerësh ose ruajtje të dhënash në shkallë të gjerë, pa pasur nevojë të pyesë kurrë IT-në.

Shtohet edhe mungesa e ndërgjegjësimit për rreziqet . Shumë punonjës i përdorin këto zgjidhje me qëllime të mira dhe pa keqdashje, duke besuar se "asgjë nuk do të ndodhë" me ndarjen e dokumenteve nga llogaria e tyre personale ose instalimin e një aplikacioni falas që u është rekomanduar, pa qenë të vetëdijshëm për atë që mund të nënkuptojë kjo në aspektin e rrjedhjeve të të dhënave, programeve keqdashëse ose mosrespektimit të rregulloreve.

Së fundmi, hyjnë në lojë faktorë më njerëzorë, siç është mungesa e një kulture besimi dhe komunikimi . Disa njerëz, nga frika se mos shihen si problematikë ose pranojnë se një proces nuk po funksionon, zgjedhin të "ia dalin mbanë" vetë me mjete të pamiratuara në vend që të ngrenë hapur nevojën për ndryshim.

Përfitimet e mundshme të IT-së në hije

Edhe pse shpesh shoqërohet me probleme, IT-ja në hije ka edhe një anë pozitive që duhet të njihet në mënyrë që ta kanalizojmë siç duhet në vend që të përpiqemi ta zhdukim me forcë.

Në shumë raste, këto mjete ofrojnë akses shumë më të shpejtë në zgjidhje që adresojnë probleme specifike të përditshme. Një ekip mund të fillojë të punojë me një aplikacion të ri brenda pak orësh, pa pasur nevojë të presë me javë që të përfundojë një proces formal blerjeje dhe vendosjeje.

IT në hije është gjithashtu një burim inovacioni dhe eksperimentimi . Përdoruesit eksplorojnë teknologjitë në zhvillim, testojnë mënyra të reja për të bashkëpunuar ose automatizuar detyrat dhe ndonjëherë zbulojnë zgjidhje që më vonë mund të miratohen zyrtarisht sepse ato ofrojnë vlerë të qartë për të gjithë organizatën.

Një tjetër përfitim i qartë është përmirësimi i produktivitetit dhe komoditetit të punonjësve . Puna me mjete që i përshtaten në mënyrë të përkryer rrjedhave të tyre të punës, që ata i njohin mirë dhe që mund t'i personalizojnë, zakonisht përkthehet në më pak vështirësi, më pak kohë të humbur dhe më shumë fokus në detyrat me vlerë të shtuar.

Nuk duhet të harrojmë faktorin psikologjik: lejimi i një farë fleksibiliteti në mjetet e përdorura nxit ekipe më të fuqizuara dhe të vetëmjaftueshme , me një kulturë të zgjuarsisë dhe zgjidhjes së pavarur të problemeve. Kur menaxhohet siç duhet, kjo mund të jetë shumë pozitive për shkathtësinë e kompanisë.

Megjithatë, të gjitha këto përfitime zakonisht vijnë me një pengesë të rëndësishme: nëse kjo teknologji nuk i nënshtrohet kontrolleve të duhura, fitimi i përkohshëm në efikasitet mund të përfundojë lehtësisht duke u paguar në formën e incidenteve të sigurisë, sanksioneve rregullatore, kaosit të të dhënave ose kostove të fshehura.

Rreziqet kryesore të IT-së në hije

Ana tjetër e medaljes së IT-së në hije është tërësia e rreziqeve që ajo sjell. Shumë prej tyre nuk janë të dukshme në fillim, por ato grumbullohen dhe mund të shpërthejnë në momentin më të keq të mundshëm.

Pasoja e parë dhe më e dukshme është rritja e sipërfaqes së sulmit . Çdo aplikacion i ri i paautorizuar, çdo shërbim i jashtëm cloud, çdo pajisje personale e lidhur me rrjetin është një pikë shtesë që kriminelët kibernetikë mund të përpiqen ta shfrytëzojnë. Meqenëse nuk janë të integruar në arkitekturën e sigurisë së korporatës, ato shpesh përfaqësojnë derën e pasme të përsosur.

Lidhur me sa më sipër, IT në hije rrit dobësitë dhe potencialin për programe keqdashëse . Shumë aplikacione falas ose pak të njohura nuk kanë mekanizma të fuqishëm sigurie, përditësohen vonë ose përmbajnë gabime serioze. Në rastin e pajisjeve mobile dhe aplikacioneve të palëve të treta, studimet kanë treguar se një përqindje shumë e lartë kanë të meta sigurie që sulmuesit mund t'i shfrytëzojnë.

Një rrezik tjetër kritik është humbja, rrjedhja ose ekspozimi i papërshtatshëm i të dhënave . Kur punonjësit ruajnë informacione të korporatës në llogari personale, te shitës të paverifikuar ose në pajisje të pakriptuara , organizata humbet dukshmërinë dhe kontrollin mbi ato të dhëna. Nëse vetëm një person largohet nga kompania ose humbet një pajisje, i gjithë informacioni i ruajtur në të humbet.

IT në hije gjithashtu e ndërlikon shumë pajtueshmërinë rregullatore . Rregullore të tilla si GDPR, HIPAA, PCI DSS dhe standarde si NIST kërkojnë të dihet se ku ndodhen të dhënat, si mbrohen ato dhe kush ka qasje në to. Nëse disa nga ato informacione kalojnë nëpër kanale të panjohura, sigurimi i pajtueshmërisë është praktikisht i pamundur, gjë që mund të çojë në penalitete financiare, detyrime ligjore dhe dëmtime serioze të reputacionit.

Nga një perspektivë operacionale, përhapja e mjeteve të paautorizuara çon në joefikasitet, izolime dhe rrjedha pune të fragmentuara . Çdo ekip mund të përfundojë duke përdorur kombinimin e vet të aplikacioneve për të menaxhuar detyrat, për të komunikuar ose për të ndarë skedarë, duke penguar ndërveprimin, duke rritur dyfishimin dhe duke e bërë shumë të vështirë të kesh një pamje të unifikuar të të dhënave.

Ndikimi në kosto nuk duhet të neglizhohet. Ndërsa në afat të shkurtër mund të duket sikur po bëhen kursime duke kaluar nga blerja e një zgjidhjeje të madhe për korporatat në përdorimin e disa shërbimeve të lira ose falas, në afat të gjatë, IT-ja në hije shpesh gjeneron shpenzime të fshehura : abonime të dyfishta, licenca të papërdorura, ndërprerje të punës për shkak të incidenteve, mbështetje shtesë dhe përpjekje për korrigjim, lidhje me ofrues të pacertifikuar, etj.

Çështje të dukshmërisë, kontrollit dhe pajtueshmërisë

Një efekt anësor i IT-së në hije është se departamenti i IT-së humbet rolin e tij si burimi qendror i së vërtetës në lidhje me teknologjinë e organizatës. Nëse nuk e di se çfarë po përdoret, ku ndodhen të dhënat ose çfarë varësish ekzistojnë midis sistemeve, bëhet shumë e vështirë të hartohet një strategji koherente për sigurinë, vazhdimësinë dhe evolucionin.

Mungesa e dukshmërisë ka pasoja të shumëfishta. Nga njëra anë, ajo pengon mbrojtjen e asaj që nuk mund të shihet : zgjidhjet e monitorimit, kopjimit rezervë, enkriptimit ose reagimit ndaj incidenteve nuk mbulojnë sisteme që as nuk janë të listuara në inventarin zyrtar. Nga ana tjetër, ajo gjeneron mospërputhje në informacion, pasi disa versione të të njëjtave të dhëna mund të ekzistojnë të shpërndara nëpër mjete të ndryshme dhe të palidhura.

Në fushën e pajtueshmërisë, mjedisi në hije e ndërlikon si menaxhimin e provave (regjistrat, historikun e aksesit, gjurmueshmërinë e ndryshimeve) ashtu edhe reagimin ndaj auditimeve ose incidenteve. Nëse një autoritet rregullator kërkon prova se ku ruhen të dhëna të caktuara personale, kush i ka përpunuar ato dhe me çfarë masash sigurie, boshllëqet e lëna nga IT-ja e pakontrolluar mund të jenë të mëdha.

Ekziston gjithashtu një ndikim i drejtpërdrejtë në aftësinë e kompanisë për të menaxhuar ciklin jetësor të të dhënave : ruajtja, arkivimi, shkatërrimi i sigurt, etj. Nëse disa informacione ruhen në depo jozyrtare, kur një punonjës largohet ose kur informacione të caktuara duhet të fshihen, është e lehtë që kopjet aktive të mbeten, me rrezikun që rrjedh nga kjo.

Së fundmi, humbja e kontrollit krijon vështirësi në planifikimin e investimeve dhe burimeve . Licencat e korporatave për mjete të pashfrytëzuara sa duhet mund të paguhen, ndërsa ekipe të caktuara paguajnë vetë për mjete të ngjashme, ose funksionalitetet mund të dyfishohen pa e kuptuar. Pa një pamje të plotë, optimizimi i shpenzimeve të IT-së bëhet pothuajse i pamundur.

Si të zbuloni IT-në në hije në organizatën tuaj

Hapi i parë në menaxhimin e IT-së në hije nuk është ndalimi, por fitimi i dukshmërisë . Shumë organizata habiten kur, duke bërë këtë ushtrim, zbulojnë dhjetëra ose qindra shërbime që askush nuk i kishte deklaruar zyrtarisht.

Një teknikë bazë përfshin kryerjen e auditimeve të rregullta të rrjetit dhe të pikave fundore për të identifikuar aplikacione, shërbime cloud dhe lidhje të paautorizuara. Kjo përfshin shqyrtimin e softuerëve të instaluar në kompjuterë, shtojcave të shfletuesve, aplikacioneve celularë të lidhura me email-in e korporatës dhe modeleve të trafikut në domenet SaaS.

Është gjithashtu shumë e dobishme të analizohen të dhënat e shpenzimeve dhe blerjeve për pagesat ndaj ofruesve të teknologjisë që nuk kalojnë nëpër kanalet e zakonshme. Abonimet me karta krediti në shërbimet cloud, tarifat e vogla të përsëritura ose faturat e softuerëve të lëshuara për departamente specifike mund të jenë një shenjë e qartë e IT-së në hije.

Një metodë tjetër zbulimi përfshin integrimin e informacionit nga ofruesit e identitetit dhe SSO-së (si Azure AD, Google Workspace dhe të tjerë) për të parë se cilat aplikacione po i qasen përdoruesit me kredencialet e korporatës. Ndërsa jo të gjitha këto aplikacione janë miratuar, kjo shtresë dukshmërie ndihmon në hartëzimin e modeleve të aktivitetit të organizatës.

Ekzistojnë gjithashtu mjete specifike zbulimi Shadow IT dhe CASB (Cloud Access Security Broker) që monitorojnë trafikun drejt shërbimeve cloud, klasifikojnë aplikacionet sipas nivelit të tyre të rrezikut dhe lejojnë identifikimin automatik të shtesave të reja brenda pak sekondash, duke gjeneruar alarme kur shfaqet diçka e paautorizuar.

Së fundmi, zbulimi nuk duhet të jetë vetëm teknik. Është thelbësore të nxitet një kulturë transparence ku punonjësit inkurajohen të diskutojnë se cilat mjete përdorin dhe pse, pa frikën e qortimit. Sondazhet e brendshme, intervistat me drejtuesit e departamenteve dhe kanalet e hapura të komunikimit mund të zbulojnë më shumë IT në hije sesa shumë skanerë.

Praktikat më të mira për parandalimin dhe kontrollin e IT-së në hije

Pasi të kuptohet pamja e përgjithshme dhe të zbulohet ajo që fshihet nën sipërfaqe, është koha për të hartuar një strategji për të zvogëluar rrezikun pa penguar inovacionin . Çelësi është të kombinohen proceset, teknologjia dhe kultura.

Nga pikëpamja organizative, përmirësimi i bashkëpunimit midis IT-së dhe njësive të biznesit është thelbësor . Në vend që të veprojë thjesht si një departament "jo", IT-ja duhet të ulet me ekipet, të kuptojë nevojat e tyre reale dhe të propozojë alternativa të sigurta që i adresojnë ato. Kur përdoruesit ndihen të dëgjuar, ata kanë më pak gjasa të kërkojnë rrugë të shkurtra.

Gjithashtu ndihmon shumë të ofrohet një katalog i qartë, i përditësuar dhe i lehtë për t’u konsultuar i shërbimeve dhe aplikacioneve të autorizuara . Nëse punonjësit e dinë se cilat mjete mund të përdorin për secilin rast përdorimi (bashkëpunim, menaxhim projektesh, ndarje skedarësh, shkëmbim mesazhesh, etj.), tundimi për t'u larguar nga kompania zvogëlohet.

Nga një këndvështrim teknik, këshillohet të vendosen zgjidhje për menaxhimin e pajisjeve mobile (MDM) dhe politika të fuqishme BYOD që lejojnë kontrollin mbi aplikacionet e instaluara në pajisjet personale që qasen në të dhënat e korporatave, aplikojnë enkriptimin, ndajnë hapësirat personale dhe të punës dhe bllokojnë përdorimin e shërbimeve të paautorizuara.

Në mjediset e zhvillimit, është thelbësore të trajtohet i ashtuquajturi kod hije duke integruar mjetet e analizës së sigurisë (SAST, DAST, IAST) në ciklin jetësor të aplikacionit, duke shqyrtuar se cilat biblioteka dhe korniza përdoren dhe duke u siguruar që i gjithë kodi që arrin në depot zyrtare është vlerësuar dhe dokumentuar.

Kontrollet e aksesit dhe parimi i privilegjit më të vogël duhet të shtrihen edhe në cloud: duke përcaktuar se kush mund të ofrojë shërbime të reja, me cilat konfigurime sigurie të paracaktuara, si etiketohen burimet për t'i gjurmuar ato dhe cilat kërkesa duhet të plotësojnë ato para se të hyjnë në prodhim.

Nga ana tjetër, automatizimi i alarmeve dhe përgjigjeve ndaj sjelljes anomale është shumë efektiv : zbulimi i abonimeve në shërbimet e reja SaaS, rritjet e mëdha në transferimet e të dhënave te ofruesit e jashtëm, përdorimi intensiv i aplikacioneve të paklasifikuara, etj. Sa më shpejt të zbulohet një instancë e re e IT-së në hije, aq më shumë kohë ka për ta adresuar atë.

Trajnimi dhe ndërgjegjësimi janë shtylla thelbësore. Nuk mjafton të lançosh një politikë dhe të presësh që ajo të ndiqet: duhet të shpjegosh qartë dhe praktikisht se çfarë është IT-ja në hije, çfarë rreziqesh sjell, cilat alternativa të sigurta ekzistojnë dhe si të kërkosh mjete të reja. Punëtoritë e rregullta, modulet e trajnimit, simulimet dhe fushatat e brendshme mund të bëjnë gjithë ndryshimin.

Së fundmi, këshillohet të kryhen auditime të përsëritura të IT-së , duke shqyrtuar asetet zyrtare dhe të pazbuluara, duke vlerësuar përputhshmërinë e tyre me politikat e sigurisë dhe pajtueshmërisë, dhe duke përcaktuar plane rregullimi: nga integrimi formal i atyre mjeteve që shtojnë vlerë, deri te heqja e atyre që paraqesin një rrezik të papranueshëm dhe propozimi i zëvendësimeve të përshtatshme.

Menaxhimi i IT-së prapa skenave nuk ka të bëjë me mikromenaxhimin e punonjësve ose me vendosjen e kontrollit të rreptë mbi çdo klikim të tyre, por më tepër me kanalizimin e iniciativës së tyre, zvogëlimin e pikave të verbëra dhe balancimin e produktivitetit dhe sigurisë . Sa më transparent të jetë komunikimi, aq më i shkathët procesi i miratimit të zgjidhjeve të reja dhe sa më të qarta të jenë rregullat e angazhimit, aq më pak nevojë do të kenë njerëzit të "shkojnë prapa skenave" për të bërë mirë punën e tyre.

Artikuj të ngjashëm:

Siguria e aplikacioneve mobile: rreziqet, mbrojtja dhe praktikat më të mira