Skugg-IT: Risker, exempel och hur man hanterar det

Informatec Digital » Resurser » Skugg-IT: Risker, exempel och hur man hanterar det

Skugg-IT har smugit sig in i nästan alla organisationer utan att ge ifrån sig ett ljud: molnapplikationer bundna till ett företagskort, WhatsApp-grupper för arbetsrelaterade ärenden, personliga lagringskonton som används för klientfiler… Allt detta är en del av en verklighet som växer mer och mer för varje dag och som, om den inte hanteras, kan bli en allvarlig huvudvärk.

Samtidigt uppstår denna "inofficiella" IT också ur mycket verkliga behov: anställda som vill arbeta snabbare, samarbeta bättre eller kompensera för brister i företagets verktyg. Problemet är inte så mycket dess existens, utan snarare att den opererar utanför IT- och säkerhetsavdelningarnas radar. En grundlig förståelse för vad den är, varför den uppstår, vilka risker den medför och hur man hanterar den är nyckeln för alla organisationer som vill vara agila utan att tappa kontrollen.

Vad är skugg-IT och varför finns det?

När vi pratar om skugg-IT syftar vi på användningen av programvara, hårdvara, molntjänster, applikationer eller enheter inom ett företag som inte har godkänts, övervakats eller ofta ens känts till av IT-avdelningen. Dessa kan variera från en enkel gratis app för uppgiftshantering till en komplett molnbaserad samarbetsplattform som kontrakterats av en affärsenhet.

Denna teknik kan installeras på företagsdatorer, personliga bärbara datorer, personliga mobila enheter (BYOD), surfplattor, USB-minnen eller direkt på externa molntjänster. Den gemensamma nämnaren är att den används för arbetsändamål, men utanför organisationens formella upphandlings-, säkerhets- och efterlevnadsprocesser.

Under senare år har detta fenomen skjutit i höjden av flera anledningar: konsumtionen av teknik (kraftfulla, billiga och lättanvända verktyg tillgängliga för alla), explosionen av SaaS, utbrett distansarbete och möjligheten att tillhandahålla molntjänster med bara några få klick. Enligt olika studier använde cirka 41 % av de anställda redan lösningar utanför IT-kontrollen år 2022, och denna siffra förväntas fortsätta att öka.

Konceptet skugg-IT har inte i sig en positiv eller negativ klang. Problemet är att det, eftersom det ligger utanför IT-avdelningens räckvidd, inte går igenom de säkerhets-, licens- och styrningskontroller som gäller för företagets officiella teknik, vilket öppnar dörren för cybersäkerhets-, efterlevnads-, kostnads- och operativa risker.

Vanliga exempel på skugg-IT

Skugg-IT är inte ett abstrakt koncept: det manifesterar sig i mycket konkreta, vardagliga beteenden. Att förstå dessa exempel hjälper till att bättre identifiera det och utforma realistiska policyer.

Den första kategorin består av molnapplikationer som användare har direkt åtkomst till från företagets nätverk eller från sina personliga enheter: projektledningsverktyg som Trello eller Asana, lagringslösningar som Google Drive eller Dropbox, alternativa produktivitetssviter, avdelningsspecifika CRM-system etc.

För det andra har vi Software as a Service (SaaS) som avtalas av affärsenheter utan att gå via inköp eller IT: licenser för marknadsföringsverktyg, analysplattformar, design- eller redigeringslösningar, icke-certifierade videokonferensapplikationer etc. Dessa betalas vanligtvis med företagskreditkort som används av enhetscheferna själva eller genom personliga prenumerationer som senare återbetalas.

En annan vanlig form är användning av personliga enheter på jobbet (BYOD) utan ordentlig hantering: personliga mobiltelefoner som används för företags-e-post, personliga surfplattor med kunddata, bärbara datorer anslutna till organisationens nätverk, okrypterade USB-enheter för att överföra känslig information… Allt detta ökar exponeringen utan att IT-avdelningen har någon verklig kontroll.

Detta inkluderar även programvara som installerats av den anställde på sin arbetsdator: webbläsartillägg, produktivitetstillägg, utvecklingsverktyg som laddats ner av teknikerna själva, obehöriga meddelande- eller videosamtalsprogram och till och med anpassad kod som körs på företagets bärbara dator utanför officiella databaser.

Slutligen får vi inte glömma användningen av personliga kommunikationsplattformar som WhatsApp, Telegram, Signal eller Discord för att hantera arbetsrelaterade ärenden, samt användningen av personliga e-postkonton för att skicka kunddokumentation eller dela filer med leverantörer, något som gör den informationen helt ogenomskinlig för organisationen.

Varför sprider sig IT så mycket i skuggorna?

Skugg-IT uppstår inte slumpmässigt, utan snarare som en reaktion på en kombination av organisatoriska, tekniska och mänskliga faktorer. Om vi ​​vill hantera det effektivt måste vi ta itu med dessa bakomliggande orsaker.

Ett av de viktigaste problemen är uppfattningen om långsamhet och stelhet inom IT-avdelningen . När godkännandeprocesserna för nya verktyg är långdragna, byråkratiska eller ogenomskinliga, känner anställda att det är nästan omöjligt att begära något nytt, särskilt om de har snäva deadlines att uppfylla.

Missnöje med officiella lösningar spelar också en roll . Ointuitiva, begränsade eller dåligt anpassade företagsverktyg leder till att team söker bättre alternativ. Om en avdelning upptäcker att en viss app kan få dem att arbeta dubbelt så snabbt är frestelsen att anamma den självständigt enorm.

Den enkla tillgången till teknik spelar i sig en avgörande roll. Idag kan vem som helst, med ett enkelt kreditkort och lite kunskap, sätta upp avancerade molntjänster för samarbete, uppgiftshantering, mjukvaruutveckling eller storskalig datalagring, utan att någonsin behöva fråga IT-avdelningen.

Till allt detta kommer en bristande medvetenhet om riskerna . Många anställda använder dessa lösningar med goda avsikter och utan illvilja, i tron ​​att "ingenting kommer att hända" om de delar dokument från deras personliga konto eller installerar en gratisapp som har rekommenderats till dem, utan att vara medvetna om vad det kan innebära i form av dataläckor, skadlig kod eller bristande efterlevnad av regelverk.

Slutligen spelar fler mänskliga faktorer in, såsom brist på en kultur av förtroende och kommunikation . Vissa människor, av rädsla för att bli sedda som problematiska eller erkänna att en process inte fungerar, väljer att "klara sig" på egen hand med icke godkända verktyg snarare än att öppet ta upp behovet av förändring.

Potentiella fördelar med skugg-IT

Även om det ofta är förknippat med problem, har skugg-IT också en positiv sida som bör erkännas för att kanalisera den på rätt sätt istället för att försöka utrota den med våld.

I många fall ger dessa verktyg mycket snabbare tillgång till lösningar som åtgärdar specifika, dagliga problem. Ett team kan börja arbeta med en ny applikation på bara några timmar, utan att behöva vänta i veckor på att en formell förvärvs- och driftsättningsprocess ska slutföras.

Skugg-IT är också en källa till innovation och experiment . Användare utforskar nya tekniker, testar nya sätt att samarbeta eller automatisera uppgifter och upptäcker ibland lösningar som senare kan antas officiellt eftersom de ger ett tydligt värde för hela organisationen.

En annan tydlig fördel är förbättringen av medarbetarnas produktivitet och komfort . Att arbeta med verktyg som passar deras arbetsflöden perfekt, som de känner väl till och som de kan anpassa, leder vanligtvis till mindre friktion, mindre slöseri med tid och mer fokus på värdeskapande uppgifter.

Vi får inte glömma den psykologiska faktorn: att tillåta viss flexibilitet i de verktyg som används främjar mer självständiga och stärkta team , med en kultur av resursstarkhet och självständig problemlösning. När det hanteras på rätt sätt kan detta vara mycket positivt för företagets flexibilitet.

Men alla dessa fördelar kommer vanligtvis med en viktig hake: om denna teknik inte kontrolleras ordentligt kan den tillfälliga effektivitetsvinsten lätt betalas i form av säkerhetsincidenter, regulatoriska sanktioner, datakaus eller dolda kostnader.

De viktigaste riskerna med skugg-IT

Den andra sidan av myntet med skugg-IT är de risker den medför. Många av dessa är inte uppenbara till en början, men de ackumuleras och kan explodera i värsta möjliga ögonblick.

Den första och mest synliga konsekvensen är den ökade attackytan . Varje ny obehörig applikation, varje extern molntjänst, varje personlig enhet som är ansluten till nätverket är en extra punkt som cyberbrottslingar kan försöka utnyttja. Eftersom de inte är integrerade i företagets säkerhetsarkitektur representerar de ofta den perfekta bakdörren.

Relaterat till ovanstående ökar skugg-IT sårbarheter och potentialen för skadlig kod . Många gratis eller mindre kända applikationer saknar robusta säkerhetsmekanismer, uppdateras sent eller innehåller allvarliga buggar. När det gäller mobila enheter och tredjepartsappar har studier visat att en mycket hög andel har säkerhetsbrister som angripare kan utnyttja.

En annan kritisk risk är förlust , läckage eller felaktig exponering av data . När anställda lagrar företagsinformation på personliga konton, hos okontrollerade leverantörer eller på okrypterade enheter förlorar organisationen insyn och kontroll över dessa data. Om bara en person lämnar företaget eller förlorar en enhet går all information som lagras på den förlorad.

Skugg-IT komplicerar också regelefterlevnaden avsevärt . Regler som GDPR, HIPAA, PCI DSS och standarder som NIST kräver att man vet var data finns, hur de skyddas och vem som har tillgång till dem. Om en del av informationen rör sig genom okända kanaler är det praktiskt taget omöjligt att säkerställa efterlevnad, vilket kan leda till ekonomiska påföljder, rättsliga skyldigheter och allvarliga anseendeskador.

Ur ett operativt perspektiv leder spridningen av obehöriga verktyg till ineffektivitet, silos och fragmenterade arbetsflöden . Varje team kan sluta med att använda sin egen kombination av appar för att hantera uppgifter, kommunicera eller dela filer, vilket hindrar interoperabilitet, ökar dubbelarbete och gör det mycket svårt att få en enhetlig bild av data.

Kostnadspåverkan bör inte förbises. Även om det på kort sikt kan verka som att besparingar görs genom att byta från att köpa en stor företagslösning till att använda flera billiga eller gratis tjänster, genererar skugg-IT på lång sikt ofta dolda kostnader : dubbla prenumerationer, oanvända licenser, driftstopp på grund av incidenter, extra support och åtgärdsinsatser, inlåsningar hos icke-certifierade leverantörer, etc.

Problem med synlighet, kontroll och efterlevnad

En bieffekt av skugg-IT är att IT-avdelningen förlorar sin roll som den centrala källan till sanning om organisationens teknologi. Om den inte vet vad som används, var informationen finns eller vilka beroenden som finns mellan system blir det mycket svårt att utforma en sammanhängande strategi för säkerhet, kontinuitet och utveckling.

Bristen på insyn har flera konsekvenser. Å ena sidan förhindrar den skyddet av det som inte kan ses : övervakning, säkerhetskopiering, kryptering eller incidenthanteringslösningar täcker inte system som inte ens finns med i den officiella inventeringen. Å andra sidan skapar den inkonsekvenser i informationen, eftersom flera versioner av samma data kan finnas utspridda över olika, osammanhängande verktyg.

Inom området compliance komplicerar skuggmiljön både bevishantering (loggar, åtkomsthistorik, spårbarhet av ändringar) och hanteringen av revisioner eller incidenter. Om en tillsynsmyndighet begär bevis på var vissa personuppgifter lagras, vem som har behandlat dem och med vilka säkerhetsåtgärder, kan luckorna som lämnas av okontrollerad IT vara enorma.

Det finns också en direkt inverkan på företagets förmåga att hantera datalivscykeln : lagring, arkivering, säker destruktion etc. Om viss information lagras i inofficiella databaser, när en anställd slutar eller när viss information behöver raderas, är det lätt att levande kopior finns kvar, med den risk som följer.

Slutligen skapar kontrollförlusten svårigheter vid planering av investeringar och resurser . Företagslicenser för underutnyttjade verktyg kan betalas medan vissa team betalar för liknande verktyg på egen hand, eller så kan funktioner dupliceras utan att man inser det. Utan en komplett bild blir det nästan omöjligt att optimera IT-utgifterna.

Så här upptäcker du skugg-IT i din organisation

Det första steget i att hantera skugg-IT är inte att förbjuda, utan att få synlighet . Många organisationer blir förvånade när de, genom att göra denna övning, upptäcker dussintals eller hundratals tjänster som ingen formellt har deklarerat.

En grundläggande teknik innebär att regelbundna nätverks- och slutpunktsgranskningar genomförs för att identifiera obehöriga applikationer, molntjänster och anslutningar. Detta inkluderar granskning av programvara installerad på datorer, webbläsartillägg, mobilappar kopplade till företagets e-post och trafikmönster till SaaS-domäner.

Det är också mycket användbart att analysera utgifts- och inköpsregister för betalningar till teknikleverantörer som inte går via de vanliga kanalerna. Kreditkortsprenumerationer på molntjänster, återkommande små avgifter eller programfakturor utfärdade till specifika avdelningar kan vara ett tydligt tecken på skugg-IT.

En annan detekteringsmetod innebär att integrera information från identitets- och SSO-leverantörer (som Azure AD, Google Workspace med flera) för att se vilka applikationer användare har åtkomst till med företagsuppgifter. Även om inte alla dessa applikationer är godkända, hjälper detta lager av synlighet till att kartlägga organisationens aktivitetsmönster.

Det finns också specifika verktyg för Shadow IT-detektering och CASB (Cloud Access Security Broker) som övervakar trafik till molntjänster, klassificerar applikationer efter deras risknivå och möjliggör automatisk identifiering av nya tillägg på några sekunder, vilket genererar varningar när något obehörigt dyker upp.

Slutligen bör upptäckt inte vara enbart tekniskt. Det är avgörande att främja en kultur av transparens där anställda uppmuntras att diskutera vilka verktyg de använder och varför, utan rädsla för tillrättavisning. Interna undersökningar, intervjuer med avdelningschefer och öppna kommunikationskanaler kan avslöja mer skugg-IT än många skannrar.

Bästa praxis för att förebygga och kontrollera skugg-IT

När helhetsbilden är förstådd och vad som finns under ytan avslöjas är det dags att utforma en strategi för att minska risken utan att hämma innovation . Nyckeln är att kombinera processer, teknik och kultur.

Ur ett organisatoriskt perspektiv är det avgörande att förbättra samarbetet mellan IT och affärsenheter . Istället för att agera som en ren "nej"-avdelning bör IT-avdelningen sätta sig ner med teamen, förstå deras verkliga behov och föreslå säkra alternativ som tillgodoser dem. När användare känner sig hörda är det mindre troligt att de letar efter genvägar.

Det hjälper också mycket att erbjuda en tydlig, aktuell och lättöverskådlig katalog över auktoriserade tjänster och applikationer . Om anställda vet vilka verktyg de kan använda för varje användningsfall (samarbete, projektledning, fildelning, meddelanden etc.) minskar frestelsen att lämna företaget.

Ur teknisk synvinkel är det lämpligt att implementera lösningar för hantering av mobila enheter (MDM) och robusta BYOD-policyer som möjliggör kontroll över vilka appar som installeras på personliga enheter som har åtkomst till företagsdata, tillämpar kryptering, separerar personliga och arbetsytor och blockerar användningen av obehöriga tjänster.

I utvecklingsmiljöer är det avgörande att hantera så kallad skuggkod genom att integrera säkerhetsanalysverktyg (SAST, DAST, IAST) i applikationens livscykel, granska vilka bibliotek och ramverk som används och säkerställa att all kod som når officiella arkiv har utvärderats och dokumenterats.

Åtkomstkontroller och principen om minsta möjliga behörighet måste också omfatta molnet: definiera vem som kan tillhandahålla nya tjänster, med vilka standardsäkerhetskonfigurationer, hur resurser är märkta för att spåra dem och vilka krav de måste uppfylla innan de går i produktion.

Å andra sidan är automatisering av varningar och svar på avvikande beteenden mycket effektivt : det kan upptäcka prenumerationer på nya SaaS-tjänster, toppar i dataöverföringar till externa leverantörer, intensiv användning av oklassificerade appar, etc. Ju tidigare en ny instans av skugg-IT upptäcks, desto mer tid finns det att åtgärda den.

Utbildning och medvetenhet är viktiga grundpelare. Det räcker inte att lansera en policy och förvänta sig att den ska följas: man måste tydligt och praktiskt förklara vad skugg-IT är, vilka risker det medför, vilka säkra alternativ som finns och hur man begär nya verktyg. Regelbundna workshops, utbildningsmoduler, simuleringar och interna kampanjer kan göra hela skillnaden.

Slutligen är det lämpligt att genomföra återkommande IT-revisioner , granska både officiella och oupptäckta tillgångar, bedöma deras överensstämmelse med säkerhets- och efterlevnadspolicyer och definiera legaliseringsplaner: från att formellt integrera de verktyg som ger mervärde till att ta bort de som utgör en oacceptabel risk och föreslå lämpliga ersättare.

Att hantera IT bakom kulisserna handlar inte om att detaljstyra anställda eller införa strikt kontroll över deras varje klick, utan snarare om att kanalisera deras initiativ, minska blinda fläckar och balansera produktivitet och säkerhet . Ju mer transparent kommunikationen är, desto smidigare processen för att godkänna nya lösningar och ju tydligare reglerna för engagemang är, desto mindre behov kommer människor att behöva "gå bakom kulisserna" för att göra sina jobb bra.