- 当员工和部门使用未经批准的技术来满足实际的生产力需求时，就会出现影子 IT。
- 其扩张会增加攻击面、数据暴露、合规风险和隐性成本。
- 要发现它，需要技术可见性（审计、CASB、MDM）和促进透明度的内部文化。
- 管理它包括提供安全的替代方案、已批准的应用程序目录、培训和敏捷的验证流程。
影子IT已经悄无声息地渗透到几乎每个组织中：用公司信用卡购买云应用程序、用于工作相关事宜的WhatsApp群组、用于存储客户文件的个人存储帐户……所有这些都构成了一种日益严重的现实，如果不加以管理，可能会成为一个严重的难题。
与此同时，这种“非官方”IT也源于非常现实的需求：员工希望提高工作效率、更好地协作，或弥补企业工具的不足。问题不在于它的存在，而在于它游离于IT和安全部门的监管之外。对于任何希望在保持敏捷性的同时又不失控的组织而言，透彻理解它的本质、产生原因、潜在风险以及管理方法至关重要。
什么是影子IT？它为什么会存在？
我们所说的影子IT，指的是公司内部使用未经批准、监控，甚至通常连IT部门都不知道的软件、硬件、云服务、应用程序或设备。这些设备种类繁多，从简单的免费任务管理应用到业务部门外包的完整云端协作平台，应有尽有。
这项技术可以安装在公司电脑、个人笔记本电脑、个人移动设备（自带设备办公）、平板电脑、U盘，或直接安装在外部云服务上。它们的共同点在于都用于工作目的，但不受组织正式采购、安全和合规流程的约束。
近年来，这种现象呈爆炸式增长，原因有以下几点：技术的消费化（功能强大、价格低廉且易于使用的工具人人可用）、SaaS 的爆炸式增长、远程办公的普及以及只需点击几下鼠标即可配置云服务的能力。根据多项研究，到 2022 年，约有41% 的员工已经在使用不受 IT 部门控制的解决方案，而且预计这一数字还将继续上升。
影子IT的概念本身并无好坏之分。问题在于，由于它游离于IT部门的管辖范围之外，因此不受适用于公司正式技术的安全、许可和治理控制，从而带来网络安全、合规性、成本和运营方面的风险。
影子IT的常见例子
影子IT并非抽象概念，它会以非常具体、日常的行为形式表现出来。了解这些例子有助于更好地识别影子IT，并制定切实可行的策略。
第一类包括用户直接从公司网络或个人设备访问的云应用程序：项目管理工具（如 Trello 或 Asana）、存储解决方案（如 Google Drive 或 Dropbox）、其他生产力套件、部门特定的 CRM 等。
其次，我们还有一些业务部门无需通过采购或 IT 部门即可签订软件即服务 (SaaS)合同的情况：例如营销工具、分析平台、设计或编辑解决方案、未经认证的视频会议应用程序等的许可证。这些费用通常由部门经理自己使用公司信用卡支付，或者通过个人订阅支付，之后再报销。
另一种常见形式是员工在工作中使用个人设备（BYOD）而未进行妥善管理：个人手机用于公司电子邮件、个人平板电脑存储客户数据、家用笔记本电脑连接到公司网络、使用未加密的U盘传输敏感信息……所有这些都增加了风险敞口，而IT部门却无法真正控制。
这还包括员工在工作电脑上安装的软件：浏览器插件、生产力插件、技术人员自行下载的开发工具、未经授权的消息或视频通话应用程序，甚至是在公司笔记本电脑上执行的、官方存储库之外的自定义代码。
最后，我们不能忘记使用WhatsApp、Telegram、Signal 或 Discord 等个人通讯平台处理工作事务，以及使用个人电子邮件帐户发送客户文档或与供应商共享文件，这使得这些数据对组织而言完全不透明。
为什么信息技术会在暗中迅速蔓延？
影子IT并非偶然出现，而是组织、技术和人为因素共同作用的结果。如果我们想要有效管理影子IT，就必须解决这些根本原因。
其中一个最主要的问题是员工感觉IT部门效率低下且运作僵化。当新工具的审批流程冗长、繁琐或不透明时，员工会觉得提出新需求几乎是不可能的，尤其是在时间紧迫的情况下。
对官方解决方案的不满也是一个重要因素。不直观、功能有限或不适用的企业工具会促使团队寻求更佳替代方案。如果某个部门发现某个应用程序能让他们的工作效率提高一倍，那么他们自行采用该应用程序的诱惑力是巨大的。
技术本身的易用性起着决定性作用。如今，只需一张信用卡和一些基本知识，任何人都可以搭建用于协作、任务管理、软件开发或大规模数据存储的高级云服务，而无需向IT部门寻求帮助。
除此之外，还存在风险意识不足的问题。许多员工出于好意使用这些解决方案，并无恶意，他们认为从个人账户共享文档或安装别人推荐的免费应用程序“不会有事”，却没有意识到这可能导致数据泄露、恶意软件感染或违反监管规定等问题。
最后，更多的人为因素也开始发挥作用，例如缺乏信任和沟通的文化。有些人害怕被视为有问题的人，或者害怕承认某个流程行不通，因此选择自行使用未经批准的工具“凑合着用”，而不是公开提出变革的必要性。
影子IT的潜在优势
虽然影子 IT 经常与各种问题联系在一起，但它也有积极的一面，应该认识到这一点，以便正确地引导它，而不是试图用武力根除它。
在许多情况下，这些工具能够更快地提供针对特定日常问题的解决方案。团队只需几个小时即可开始使用新的应用程序，而无需等待数周才能完成正式的采购和部署流程。
影子IT也是创新和实验的源泉。用户探索新兴技术，测试新的协作方式或任务自动化方法，有时还会发现一些解决方案，这些方案后来可以被正式采纳，因为它们能为整个组织带来明显的价值。
另一个显而易见的优势是员工生产力和舒适度的提升。使用与自身工作流程完美契合、他们熟悉且可定制的工具，通常意味着更少的摩擦、更少的时间浪费，以及更多专注于增值任务的精力。
我们不能忽视心理因素：在工具选择上保持一定的灵活性，能够培养出更有能力、更自主的团队，并形成一种善于利用资源和独立解决问题的文化。如果管理得当，这将对公司的敏捷性大有裨益。
然而，所有这些好处通常都伴随着一个重要的陷阱：如果这项技术没有得到适当的控制，暂时的效率提升很容易最终以安全事件、监管制裁、数据混乱或隐性成本的形式被抵消。
影子IT的主要风险
影子IT的另一面是它带来的一系列风险。其中许多风险起初并不明显，但它们会不断累积，并在最糟糕的时刻爆发。
最直接、最明显的后果是攻击面扩大。每一个未经授权的新应用程序、每一个外部云服务、每一个连接到网络的个人设备，都为网络犯罪分子提供了一个可乘之机。由于它们并未集成到企业安全架构中，因此往往成为完美的后门。
与上述情况相关，影子IT增加了安全漏洞和恶意软件感染的可能性。许多免费或鲜为人知的应用程序缺乏强大的安全机制，更新滞后，或存在严重漏洞。研究表明，移动设备和第三方应用程序存在相当高比例的安全漏洞，攻击者可以利用这些漏洞进行攻击。
另一个关键风险是数据丢失、泄露或不当暴露。当员工将公司信息存储在个人账户、未经审核的供应商处或未加密的设备上时，组织就会失去对这些数据的控制权和可见性。如果哪怕只有一个人离职或丢失设备，存储在设备上的所有信息都会丢失。
影子IT也极大地增加了合规的难度。诸如GDPR、HIPAA、PCI DSS等法规以及NIST等标准都要求了解数据存储位置、保护方式以及访问权限。如果部分信息通过未知渠道传输，则几乎不可能确保合规，这可能导致经济处罚、法律责任以及严重的声誉损害。
从运营角度来看，未经授权工具的泛滥会导致效率低下、信息孤岛和工作流程碎片化。每个团队最终可能都会使用自己的一套应用程序来管理任务、沟通或共享文件，这会阻碍互操作性，增加重复工作，并使统一的数据视图变得非常困难。
成本影响不容忽视。虽然短期来看，从购买大型企业解决方案转向使用多个廉价或免费服务似乎可以节省成本，但从长远来看，影子IT往往会产生隐性支出：重复订阅、未使用的许可证、因故障导致的停机、额外的支持和修复工作、与未经认证的供应商签订的锁定协议等等。
可见性、控制和合规性问题
影子IT的一个副作用是，IT部门失去了其作为组织技术信息中心权威的角色。如果它不知道正在使用什么技术、数据存储在哪里，以及系统之间存在哪些依赖关系，那么就很难制定一个连贯的安全、连续性和演进策略。
缺乏可见性会造成多重后果。一方面，它阻碍了对不可见内容的保护：监控、备份、加密或事件响应解决方案无法覆盖那些甚至未列入官方清单的系统。另一方面，它会导致信息不一致，因为同一数据的多个版本可能分散在不同的、互不相连的工具中。
在合规方面，影子环境不仅使证据管理（日志、访问历史、变更追溯）变得复杂，也使应对审计或事件变得更加困难。如果监管机构要求提供某些个人数据的存储位置、处理者以及安全措施方面的证明，那么不受控制的IT环境造成的漏洞可能非常巨大。
这也会直接影响公司管理数据生命周期的能力：数据保留、归档、安全销毁等。如果某些信息存储在非官方存储库中，当员工离职或需要清除某些信息时，很容易留下实时副本，从而带来相应的风险。
最后，控制权的丧失会给投资和资源规划带来困难。例如，企业可能仍在为未充分利用的工具支付许可费用，而某些团队却自行购买了类似的工具；或者，某些功能可能在不知不觉中被重复使用。如果缺乏全面的信息，优化 IT 支出几乎是不可能的。
如何检测组织中的影子IT
管理影子IT的第一步不是禁止，而是提高其可见性。许多组织在进行这项工作时，惊讶地发现有几十甚至几百项服务此前从未被正式申报过。
一种基本方法是定期进行网络和终端审计，以识别未经授权的应用程序、云服务和连接。这包括审查计算机上安装的软件、浏览器插件、连接到企业电子邮件的移动应用程序以及流向 SaaS 域的流量模式。
分析那些未通过常规渠道支付给技术供应商的费用和采购记录也十分有用。例如，使用信用卡订阅云服务、定期小额收费或向特定部门开具的软件发票，都可能是影子IT的明显迹象。
另一种检测方法是整合来自身份和单点登录提供商（例如 Azure AD、Google Workspace 等）的信息，以查看用户正在使用企业凭据访问哪些应用程序。虽然并非所有这些应用程序都经过批准，但这种可见性有助于了解组织的活动模式。
此外，还有专门的影子 IT 检测工具和 CASB（云访问安全代理），它们监控云服务的流量，根据风险级别对应用程序进行分类，并允许在几秒钟内自动识别新增内容，并在出现未经授权的内容时生成警报。
最后，检测不应仅仅依靠技术手段。至关重要的是要营造一种透明的文化，鼓励员工畅所欲言地讨论他们使用的工具及其原因，而不必担心受到责备。内部调查、与部门主管的访谈以及开放的沟通渠道，比许多扫描器更能发现影子IT。
预防和控制影子IT的最佳实践
一旦掌握了全局情况，揭示了表面现象背后的原因，就该制定策略来降低风险，同时又不扼杀创新。关键在于将流程、技术和文化结合起来。
从组织角度来看，加强IT部门与业务部门之间的协作至关重要。IT部门不应仅仅扮演“否决者”的角色，而应与各团队坐下来，了解他们的真实需求，并提出切实可行的替代方案。当用户感到自己的意见被倾听时，他们就不太可能寻求捷径。
提供清晰、及时更新且易于查阅的授权服务和应用程序目录也大有裨益。如果员工知道在每种使用场景（协作、项目管理、文件共享、消息传递等）下可以使用哪些工具，那么他们离职的念头就会降低。
从技术角度来看，建议部署移动设备管理 (MDM)解决方案和强大的 BYOD 策略，以便控制哪些应用程序安装在可以访问公司数据的个人设备上，应用加密，分离个人空间和工作空间，并阻止使用未经授权的服务。
在开发环境中，通过将安全分析工具（SAST、DAST、IAST）集成到应用程序生命周期中，审查所使用的库和框架，并确保所有到达官方存储库的代码都经过评估和记录，来解决所谓的影子代码至关重要。
访问控制和最小权限原则也必须扩展到云：定义谁可以配置新服务，使用哪些默认安全配置，如何标记资源以跟踪它们，以及它们在投入生产之前必须满足哪些要求。
另一方面，自动发出警报并响应异常行为非常有效：例如，检测新 SaaS 服务的订阅、向外部提供商传输数据的激增、大量使用未分类应用程序等。越早发现新的影子 IT 实例，就越有时间来解决它。
培训和意识提升至关重要。仅仅推出一项政策并期望它得到执行是不够的：你必须清晰且切实地解释什么是影子IT，它会带来哪些风险，有哪些安全的替代方案，以及如何申请新的工具。定期举办研讨会、培训模块、模拟演练和内部宣传活动能够起到关键作用。
最后，建议定期进行 IT 审计，审查官方资产和未发现的资产，评估其与安全和合规政策的契合度，并制定规范化计划：从正式整合那些增加价值的工具，到移除那些构成不可接受风险的工具，并提出合适的替代方案。
幕后IT管理并非事无巨细地管理员工或严格控制他们的每一次点击，而是引导他们的主动性，减少盲点，并在生产力和安全性之间取得平衡。沟通越透明，新解决方案的审批流程越敏捷，协作规则越清晰，人们就越不需要“深入幕后”就能做好工作。
