Сенчена ИТ: Ризици, примери и како њима управљати

Информатек Дигитал » Средства » Сенчена ИТ: Ризици, примери и како њима управљати

Shadow IT се увукао у скоро сваку организацију без икаквог гласа: cloud апликације уговорене са пословном картицом, WhatsApp групе за пословне ствари, лични налози за складиштење који се користе за клијентске датотеке… Све је то део стварности која сваким даном све више расте и која, ако се не управља, може постати озбиљна главобоља.

Истовремено, овај „незванични“ ИТ такође произилази из веома стварних потреба: запослених који желе да раде брже, боље сарађују или надокнаде недостатке у корпоративним алатима. Проблем није толико у његовом постојању, већ у томе што функционише ван радара ИТ и безбедносних одељења. Темељно разумевање шта је то, зашто се појављује, које ризике носи са собом и како се њиме управља је кључно за сваку организацију која жели да буде агилна без губитка контроле.

Шта је shadow IT и зашто постоји?

Када говоримо о shadow IT-у, мислимо на коришћење софтвера, хардвера, cloud сервиса, апликација или уређаја унутар компаније који нису одобрени, праћени или, често, чак ни познати ИТ одељењу. То може бити од једноставне бесплатне апликације за управљање задацима до комплетне cloud-базиране платформе за сарадњу коју је уговорила пословна јединица.

Ова технологија се може инсталирати на корпоративним рачунарима, личним лаптоповима, личним мобилним уређајима (BYOD), таблетима, УСБ дисковима или директно на екстерним клауд сервисима. Заједнички именилац је да се користи у пословне сврхе, али ван формалних процеса набавке, безбедности и усклађености организације.

Последњих година, овај феномен је нагло порастао из неколико разлога: конзумеризација технологије (моћни, јефтини и једноставни алати доступни свима), експлозија SaaS-а, широко распрострањеност рада на даљину и могућност пружања услуга у облаку уз само неколико кликова. Према различитим студијама, око 41% запослених је већ користило решења ван ИТ контроле 2022. године, а очекује се да ће ова бројка наставити да расте.

Концепт информационих технологија у сенци нема сам по себи позитивну или негативну конотацију. Проблем је у томе што, будући да је ван делокруга ИТ одељења, не пролази кроз безбедносне, лиценцне и управљачке контроле које се примењују на званичну технологију компаније, отварајући врата ризицима у вези са сајбер безбедности, усклађености, трошковима и оперативним ризицима.

Уобичајени примери ИТ-а у сенци

Сенчена ИТ није апстрактни концепт: она се манифестује у веома конкретним, свакодневним понашањима. Разумевање ових примера помаже да се боље идентификује и осмисле реалне политике.

Прва категорија се састоји од клауд апликација којима корисници приступају директно из корпоративне мреже или са својих личних уређаја: алати за управљање пројектима као што су Trello или Asana, решења за складиштење података као што су Google Drive или Dropbox, алтернативни пакети за продуктивност, CRM-ови специфични за одељења итд.

Друго, имамо софтвер као услугу (SaaS) који пословне јединице уговарају без куповине или ИТ-а: лиценце за маркетиншке алате, аналитичке платформе, решења за дизајн или уређивање, несертификоване апликације за видео конференције итд. Обично се плаћају корпоративним кредитним картицама које користе сами менаџери јединица или путем личних претплата које се касније надокнађују.

Још један уобичајени облик је коришћење личних уређаја на послу (BYOD) без одговарајућег управљања: лични мобилни телефони који се користе за корпоративну е-пошту, лични таблети са подацима о клијентима, кућни лаптопови повезани на мрежу организације, нешифровани УСБ дискови за пренос осетљивих информација… Све ово повећава изложеност без икакве стварне контроле ИТ одељења.

Ово такође укључује софтвер који је запослени инсталирао на свој радни рачунар: додатке за прегледач, додатке за продуктивност, алате за развој које су сами техничари преузели, неовлашћене апликације за размену порука или видео позиве, па чак и прилагођени код извршан на корпоративном лаптопу ван званичних репозиторијума.

Коначно, не смемо заборавити коришћење платформи за личну комуникацију као што су WhatsApp, Telegram, Signal или Discord за решавање пословних питања, као и коришћење личних имејл налога за слање документације клијентима или дељење датотека са добављачима, нешто што те податке чини потпуно нетранспарентним за организацију.

Зашто се ИТ толико шири у сенци?

Сенчена ИТ технологија се не појављује насумично, већ као одговор на комбинацију организационих, технолошких и људских фактора. Ако желимо да је ефикасно управљамо, морамо се позабавити овим основним узроцима.

Један од најзначајнијих проблема је перцепција спорости и крутости унутар ИТ одељења . Када су процеси одобравања нових алата дуги, бирократски или непрозирни, запослени сматрају да је захтевање нечег новог готово немогуће, посебно ако имају кратке рокове које морају да поштују.

Незадовољство званичним решењима такође игра улогу . Неинтуитивни, ограничени или лоше прилагођени корпоративни алати наводе тимове да траже боље алтернативе. Ако одељење открије да одређена апликација може да им омогући да раде двоструко брже, искушење да је усвоје самостално је огромно.

Лакоћа приступа технологији сама по себи игра одлучујућу улогу. Данас, са једноставном кредитном картицом и мало знања, свако може да подеси напредне cloud сервисе за сарадњу, управљање задацима, развој софтвера или складиштење података великих размера, а да никада не мора да пита ИТ стручњаке.

Свему томе додаје се недостатак свести о ризицима . Многи запослени користе ова решења са добрим намерама и без злобе, верујући да се „ништа неће десити“ дељењем докумената са њиховог личног налога или инсталирањем бесплатне апликације која им је препоручена, а да нису свесни шта то може да значи у смислу цурења података, злонамерног софтвера или непоштовања прописа.

Коначно, долазе до изражаја и људски фактори, као што је недостатак културе поверења и комуникације . Неки људи, из страха да ће бити виђени као проблематични или да признају да процес не функционише, бирају да се сами „сналазе“ са неодобреним алатима уместо да отворено истакну потребу за променом.

Потенцијалне предности сенчених ИТ система

Иако је често повезан са проблемима, информационе технологије у сенци имају и позитивну страну коју треба препознати како би се правилно каналисале уместо да се покушавају искоренити силом.

У многим случајевима, ови алати пружају много бржи приступ решењима која се баве специфичним, свакодневним проблемима. Тим може почети да ради са новом апликацијом за неколико сати, без потребе да чека недељама да се заврши формални процес набавке и имплементације.

Сенчена ИТ технологија је такође извор иновација и експериментисања . Корисници истражују нове технологије, тестирају нове начине за сарадњу или аутоматизацију задатака, а понекад откривају и решења која касније могу бити званично усвојена јер пружају јасну вредност целој организацији.

Још једна јасна предност је побољшање продуктивности и удобности запослених . Рад са алатима који савршено одговарају њиховим радним процесима, које добро познају и које могу прилагодити, обично се претвара у мање трења, мање изгубљеног времена и већи фокус на задатке који додају вредност.

Не смемо заборавити психолошки фактор: омогућавање извесне флексибилности у коришћеним алатима подстиче оснаженије и самосталније тимове , са културом сналажљивости и независног решавања проблема. Када се правилно управља, ово може бити веома позитивно за агилност компаније.

Међутим, све ове предности обично долазе са једном важном зачкољицом: ако ова технологија није подвргнута одговарајућој контроли, привремени добитак у ефикасности може лако бити плаћен у облику безбедносних инцидената, регулаторних санкција, хаоса у подацима или скривених трошкова.

Главни ризици сенчених ИТ система

Друга страна медаље информационих технологија у сенци је скуп ризика које оне уносе. Многи од њих нису очигледни на први поглед, али се акумулирају и могу експлодирати у најгорем могућем тренутку.

Прва и највидљивија последица је повећана површина напада . Свака нова неовлашћена апликација, свака екстерна услуга у облаку, сваки лични уређај повезан на мрежу је додатна тачка коју сајбер криминалци могу покушати да искористе. Пошто нису интегрисани у архитектуру корпоративне безбедности, често представљају савршена задња врата.

У вези са горе наведеним, шанка ИТ повећава рањивости и потенцијал за злонамерни софтвер . Многе бесплатне или мало познате апликације немају робусне безбедносне механизме, ажурирају се касно или садрже озбиљне грешке. У случају мобилних уређаја и апликација трећих страна, студије су показале да веома висок проценат има безбедносне пропусте које нападачи могу да искористе.

Још један критичан ризик је губитак, цурење или неправилно откривање података . Када запослени чувају корпоративне информације на личним налозима, код непроверених добављача или на нешифрованим уређајима , организација губи видљивост и контролу над тим подацима. Ако само једна особа напусти компанију или изгуби уређај, све информације сачуване на њему се губе.

Сенчена ИТ технологија такође знатно компликује усклађеност са прописима . Прописи као што су GDPR, HIPAA, PCI DSS и стандарди попут NIST-а захтевају знање где се подаци налазе, како су заштићени и ко има приступ њима. Ако се неке од тих информација крећу непознатим каналима, обезбеђивање усклађености је практично немогуће, што може довести до финансијских казни, законских обавеза и озбиљне штете по репутацију.

Са оперативне перспективе, ширење неовлашћених алата доводи до неефикасности, силоса и фрагментираних токова рада . Сваки тим може на крају користити сопствену комбинацију апликација за управљање задацима, комуникацију или дељење датотека, што омета интероперабилност, повећава дуплирање и чини веома тешким јединствени преглед података.

Не треба занемарити утицај на трошкове. Иако се краткорочно може чинити да се остварују уштеде преласком са куповине великог корпоративног решења на коришћење неколико јефтиних или бесплатних услуга, дугорочно гледано, шавени ИТ често генерише скривене трошкове : дуплиране претплате, неискоришћене лиценце, застоје због инцидената, додатне напоре за подршку и санацију, везаност за несертификоване добављаче итд.

Проблеми видљивости, контроле и усклађености

Споредни ефекат информационих технологија у сенци је да ИТ одељење губи своју улогу централног извора истине о технологији организације. Ако не зна шта се користи, где се подаци налазе или које зависности постоје између система, постаје веома тешко осмислити кохерентну стратегију за безбедност, континуитет и еволуцију.

Недостатак видљивости има вишеструке последице. С једне стране, спречава заштиту онога што се не може видети : решења за праћење, прављење резервних копија, шифровање или реаговање на инциденте не покривају системе који нису ни наведени у званичном инвентару. С друге стране, генерише недоследности у информацијама, јер неколико верзија истих података може постојати раштркано по различитим, неповезаним алатима.

У области усклађености, окружење у сенци компликује и управљање доказима (логови, историја приступа, праћење промена) и реаговање на ревизије или инциденте. Ако регулаторно тело захтева доказ о томе где се одређени лични подаци чувају, ко их је обрадио и са којим безбедносним мерама, празнине које оставља неконтролисана ИТ технологија могу бити огромне.

Такође постоји директан утицај на способност компаније да управља животним циклусом података : задржавање, архивирање, безбедно уништавање итд. Ако се неке информације чувају у незваничним спремиштима, када запослени оде или када одређене информације треба обрисати, лако је да живе копије остану, са последичним ризиком.

Коначно, губитак контроле ствара потешкоће при планирању инвестиција и ресурса . Корпоративне лиценце за недовољно искоришћене алате могу се плаћати док одређени тимови сами плаћају за сличне алате, или се функционалности могу дуплирати, а да тога нису ни свесни. Без потпуне слике, оптимизација ИТ потрошње постаје готово немогућа.

Како открити ИТ системе у вашој организацији

Први корак у управљању информационим технологијама у сенци није забрана, већ стицање видљивости . Многе организације су изненађене када, радећи ову вежбу, открију десетине или стотине услуга које нико није формално декларисао.

Основна техника подразумева спровођење редовних ревизија мреже и крајњих тачака како би се идентификовале неовлашћене апликације, клауд сервиси и везе. Ово укључује преглед софтвера инсталираног на рачунарима, додатака за прегледаче, мобилних апликација повезаних са корпоративном е-поштом и образаца саобраћаја ка SaaS доменима.

Такође је веома корисно анализирати евиденцију трошкова и куповина за плаћања добављачима технологије која не пролазе кроз уобичајене канале. Претплате на кредитне картице за услуге у облаку, понављајуће мале наплате или фактуре за софтвер издате одређеним одељењима могу бити јасан знак „скритог“ ИТ-а.

Још један метод откривања укључује интеграцију информација од добављача идентитета и SSO (као што су Azure AD, Google Workspace и други) како би се видело којим апликацијама корисници приступају са корпоративним акредитивима. Иако нису све ове апликације одобрене, овај слој видљивости помаже у мапирању образаца активности организације.

Постоје и специфични алати за детекцију Shadow IT-а и CASB (Cloud Access Security Broker) који прате саобраћај ка cloud сервисима, класификују апликације према нивоу ризика и омогућавају аутоматску идентификацију нових додавања за неколико секунди, генеришући упозорења када се појави нешто неовлашћено.

Коначно, откривање не би требало да буде искључиво техничко. Кључно је неговати културу транспарентности где се запослени подстичу да разговарају о томе које алате користе и зашто, без страха од опомене. Интерне анкете, интервјуи са руководиоцима одељења и отворени комуникациони канали могу открити више „скриве“ ИТ технологије него многи скенери.

Најбоље праксе за спречавање и контролу сенчених ИТ система

Када се схвати целокупна слика и открије шта се крије испод површине, време је да се осмисле стратегија за смањење ризика без гушења иновација . Кључ је у комбиновању процеса, технологије и културе.

Са организационог становишта, побољшање сарадње између ИТ и пословних јединица је кључно . Уместо да делује као само одељење које „не“ (или „не“), ИТ би требало да седне са тимовима, разуме њихове стварне потребе и предложи безбедне алтернативе које их задовољавају. Када се корисници осећају саслушаним, мање је вероватно да ће тражити пречице.

Такође много помаже понуда јасног, ажурираног и лако прегледаног каталога овлашћених услуга и апликација . Ако запослени знају које алате могу да користе за сваки случај употребе (сарадња, управљање пројектима, дељење датотека, размена порука итд.), смањује се искушење да напусте компанију.

Са техничке тачке гледишта, препоручљиво је применити решења за управљање мобилним уређајима (MDM) и робусне BYOD политике које омогућавају контролу над тим које су апликације инсталиране на личним уређајима које приступају корпоративним подацима, примењују шифровање, одвајају личне и радне просторе и блокирају коришћење неовлашћених услуга.

У развојним окружењима, кључно је решити проблем такозваног „ shadow code“ интегрисањем алата за безбедносну анализу (SAST, DAST, IAST) у животни циклус апликације, прегледајући које се библиотеке и оквири користе и осигуравајући да је сав код који стигне до званичних репозиторијума процењен и документован.

Контроле приступа и принцип најмањих привилегија морају се проширити и на облак: дефинисање ко може да пружа нове услуге, са којим подразумеваним безбедносним конфигурацијама, како се ресурси означавају да би се пратили и које захтеве морају да испуне пре него што крену у производњу.

С друге стране, аутоматизација упозорења и одговора на аномално понашање је веома ефикасна : откривање претплата на нове SaaS услуге, скокови у преносу података ка екстерним добављачима, интензивна употреба некласификованих апликација итд. Што се пре открије нова инстанца shadow IT-а, то ће бити више времена за њено решавање.

Обука и свест су суштински стубови. Није довољно само покренути политику и очекивати да се она поштује: морате јасно и практично објаснити шта је „shadow IT“, које ризике носи са собом, које безбедне алтернативе постоје и како захтевати нове алате. Редовне радионице, модули обуке, симулације и интерне кампање могу направити велику разлику.

Коначно, препоручљиво је спроводити редовне ИТ ревизије , прегледајући и званичну и неоткривену имовину, процењујући њихову усклађеност са безбедносним и усклађеним политикама и дефинишући планове регуларизације: од формалне интеграције оних алата који додају вредност, до уклањања оних који представљају неприхватљив ризик и предлагања одговарајућих замена.

Управљање ИТ-ом иза кулиса не односи се на микроменаџмент запослених или наметање строге контроле над сваким њиховим кликом, већ на усмеравање њихове иницијативе, смањење слепих тачака и балансирање продуктивности и безбедности . Што је комуникација транспарентнија, процес одобравања нових решења агилнији и што су правила ангажовања јаснија, мање ће људи морати да „иду иза кулиса“ да би добро обављали свој посао.