Cosa rientra nello Shadow IT
La caratteristica che definisce lo shadow IT non è il tipo di tecnologia, ma l'assenza di conoscenza e approvazione da parte dell'IT. Lo stesso account di archiviazione cloud è una risorsa autorizzata quando il reparto IT la fornisce. Diventa shadow IT quando un dipendente lo apre di propria iniziativa per fare un lavoro più in fretta.
Lo shadow IT si manifesta su tre livelli: hardware, come una chiavetta USB personale, un laptop non gestito o un router portato da casa; software installato direttamente su un computer aziendale senza richiesta; e servizi cloud o SaaS sottoscritti con un'email aziendale e una carta di credito, al di fuori degli acquisti.
Lo shadow AI è un termine più recente e più circoscritto, che indica l'uso da parte dei dipendenti di chatbot IA pubblici o strumenti basati sull'IA senza approvazione. Di solito è considerato un sottoinsieme del problema più ampio dello shadow IT. Merita una menzione a parte, perché gli strumenti IA gratuiti si diffondono in fretta e possono assorbire testi sensibili incollati dagli utenti.
Perché nasce lo Shadow IT
Lo shadow IT è raramente un tentativo deliberato di aggirare la sicurezza. Nasce da attriti quotidiani:
| Causa | Che cosa la alimenta |
|---|---|
| Velocità | Un account gratuito si apre in cinque minuti, una richiesta formale attende |
| Familiarità | I dipendenti portano strumenti già noti da lavori precedenti |
| Lacune nel set approvato | Quando il software aziendale non basta, si cerca un'alternativa |
| Lavoro da remoto e ibrido | I dispositivi personali sfumano il confine con la tecnologia aziendale |
| Basso costo apparente | Strumenti SaaS economici vengono rimborsati senza un grande acquisto |
Cosa vede l'IT su una postazione
La sezione Applicazioni della postazione mostra i programmi installati, il livello in cui l'inventario del software rivela i programmi che nessuno ha richiesto.
Esempi comuni
Lo shadow IT assume molte forme. Ecco le più comuni:
- Account personali di archiviazione cloud o condivisione file usati per spostare documenti di lavoro tra casa e ufficio.
- App di messaggistica consumer usate per le conversazioni di lavoro al posto della piattaforma aziendale approvata.
- Un team che sottoscrive con il proprio budget uno strumento SaaS di gestione progetti o design, senza coinvolgere l'IT.
- Chiavette USB personali, dischi rigidi esterni, o un laptop o telefono personale collegato alla rete aziendale.
- Estensioni del browser o piccole applicazioni di utilità installate per risparmiare tempo su un'attività di routine.
- Strumenti IA pubblici non autorizzati usati per redigere, riassumere o analizzare contenuti di lavoro (shadow AI).
Perché lo Shadow IT è rischioso
Poiché lo shadow IT resta fuori dall'inventario dell'IT, nessuna delle protezioni consuete vi si applica:
| Rischio | Cosa può andare storto |
|---|---|
| Nessuna supervisione di sicurezza | Patch e antivirus non coprono software e dispositivi non approvati |
| Flusso di dati incontrollato | I dati escono dai controlli di accesso e dalla traccia di audit |
| Esposizione alla conformità | Non si possono far rispettare le norme sui dati regolamentati |
| Spesa duplicata | Team diversi pagano strumenti che si sovrappongono a licenze già in essere |
| Nessun supporto | Se il configuratore se ne va, IT non ha traccia né aiuto |
Come le organizzazioni individuano e gestiscono lo Shadow IT
Poiché lo shadow IT si definisce per la mancanza di visibilità dell'IT, gestirlo significa prima recuperarla, con la discovery automatizzata e un registro degli asset IT aggiornato. Poi si affrontano le cause di fondo:
- 1
Inventario e discovery automatizzati
Agenti endpoint e scansioni di rete segnalano l'hardware realmente collegato e il software realmente installato, anche elementi mai inseriti nel registro degli asset.
- 2
Configurazioni di riferimento
Confrontare ciò che è collegato a un computer con la configurazione approvata segnala i dispositivi che ne escono.
- 3
Visibilità del traffico di rete e cloud
Monitorare verso quali servizi cloud va il traffico rivela l'uso di SaaS mai passato dagli acquisti.
- 4
Policy e approvazione più rapida
Un processo chiaro e veloce per richiedere strumenti riduce la spinta ad aggirare l'IT.
- 5
Consapevolezza dei dipendenti
Spiegare il rischio in termini semplici, e non solo vietare gli strumenti, rende più probabile che i dipendenti chiedano prima di installare.
Come appare in Anexet
Anexet Inventory offre all'IT una visione di ciò che è installato e collegato su ogni postazione.
1 / 4
Partire dalla visibilità
Lo shadow IT si definisce per la mancanza di visibilità dell'IT, quindi il primo passo è recuperarla. Poi si affrontano le cause, come le approvazioni lente e le lacune negli strumenti approvati.
Per approfondire: Corporate security dell'azienda; Top 10 miti che impediscono alla tua azienda di occuparsi di sicurezza delle informazioni.
Gestire lo shadow IT significa prima recuperare la visibilità dell'IT e poi affrontare le cause.
Anexet TeamCome Anexet affronta questo
Anexet non etichetta nessuna singola funzione come "rilevamento dello shadow IT", ma il suo modulo Inventory offre all'IT la visibilità che lo shadow IT normalmente nasconde:
Poiché la piattaforma è distribuita on-premise, i dati hardware e software scoperti restano all'interno dell'infrastruttura stessa dell'organizzazione.
Inventario software completo per ogni computer
la scheda Applications elenca ogni programma installato su ogni postazione, con editore, data di installazione, dimensione, versione e percorso, offrendo all'IT un quadro completo di ciò che sta effettivamente girando, invece di ciò che è stato formalmente richiesto.
Avvisi di deviazione della configurazione
per ogni computer può essere fissata una configurazione di riferimento; un dispositivo collegato che ne esce, o un dispositivo atteso che non viene più trovato, viene segnalato e comunicato al responsabile della sicurezza, rivelando hardware giunto in rete al di fuori dei canali approvati.
Siti e applicazioni non categorizzati
il monitoraggio dell'attività raggruppa in categorie i siti visitati e le applicazioni usate, e gli elementi che restano fuori dalle categorie note risaltano come destinazioni non riconosciute meritevoli di revisione.
Device manager e mappa dell'ufficio
i dispositivi possono essere esaminati, associati alle schede dei computer e localizzati su una mappa visiva dell'ufficio, facilitando l'individuazione di apparecchiature mai inserite nella configurazione approvata.
Traccia di audit
ogni aggiunta, modifica o riclassificazione di un dispositivo o di una configurazione viene registrata, così un elemento di hardware ombra appena scoperto ha già uno storico registrato fin dal momento in cui è stato trovato.
Anexet Inventory
Scopri di più