Co zalicza się do Shadow IT
Cechą definiującą shadow IT nie jest rodzaj technologii, lecz brak wiedzy i zgody działu IT. To samo konto w chmurze jest zatwierdzonym zasobem, gdy dział IT je udostępnił. Staje się shadow IT, gdy pracownik otworzył je samodzielnie, żeby szybciej wykonać zadanie.
Shadow IT obejmuje trzy warstwy: sprzęt, taki jak prywatny nośnik USB, niezarządzany laptop czy router przyniesiony z domu; oprogramowanie zainstalowane na firmowym komputerze bez zgłoszenia; oraz usługi chmurowe lub SaaS, na które zarejestrowano się służbowym adresem e-mail i kartą płatniczą, poza zakupami.
Shadow AI to węższe i nowsze pojęcie, oznaczające korzystanie przez pracowników z publicznych chatbotów AI lub narzędzi AI bez zgody. Zwykle traktuje się je jako część szerszego problemu shadow IT. Warto o nim wspomnieć osobno, bo darmowe narzędzia AI szybko się rozprzestrzeniają i mogą wchłonąć wrażliwy tekst wklejony przez użytkownika.
Dlaczego powstaje Shadow IT
Shadow IT rzadko jest celową próbą obejścia zabezpieczeń. Wynika z codziennych utrudnień:
| Przyczyna | Co ją napędza |
|---|---|
| Szybkość | Darmowe konto w pięć minut, zgłoszenie czeka w kolejce |
| Znajomość narzędzia | Pracownicy przynoszą narzędzia znane z poprzednich prac |
| Luki w zatwierdzonym zestawie | Gdy firmowy program zawodzi, ludzie szukają innego |
| Praca zdalna i hybrydowa | Prywatne urządzenia zacierają granicę z technologią firmową |
| Niski widoczny koszt | Tanie narzędzia SaaS można rozliczyć bez zakupu inwestycyjnego |
Co widzi dział IT na stacji roboczej
Zakładka Aplikacje w karcie stacji roboczej pokazuje zainstalowane programy, czyli warstwę, w której inwentaryzacja oprogramowania ujawnia programy bez zgłoszenia.
Typowe przykłady
Shadow IT przybiera wiele form. Najczęstsze z nich to:
- Prywatne konta w chmurze lub usługi udostępniania plików, używane do przenoszenia plików służbowych między domem a biurem.
- Konsumenckie komunikatory używane do rozmów służbowych zamiast zatwierdzonej platformy firmowej.
- Zespół, który na własny budżet wykupuje narzędzie SaaS do zarządzania projektami lub projektowania, bez udziału działu IT.
- Prywatne nośniki USB, zewnętrzne dyski twarde albo prywatny laptop lub telefon podłączony do sieci firmowej.
- Rozszerzenia przeglądarki lub małe aplikacje narzędziowe, zainstalowane po to, by zaoszczędzić czas przy rutynowym zadaniu.
- Niezatwierdzone publiczne narzędzia AI używane do tworzenia, streszczania lub analizowania treści służbowych (shadow AI).
Dlaczego Shadow IT jest ryzykowne
Shadow IT znajduje się poza ewidencją działu IT, więc nie obejmują go standardowe zabezpieczenia:
| Ryzyko | Co może pójść źle |
|---|---|
| Brak nadzoru bezpieczeństwa | Aktualizacje i antywirus nie obejmują niezatwierdzonego oprogramowania |
| Niekontrolowany przepływ danych | Dane wychodzą poza kontrolę dostępu i ślad audytowy |
| Ekspozycja na wymogi zgodności | Nie da się egzekwować zasad przechowywania danych regulowanych |
| Zdublowane wydatki | Zespoły płacą za narzędzia pokrywające się z licencjami firmy |
| Brak wsparcia | Po odejściu osoby, która je wdrożyła, IT nie ma o nim wiedzy |
Jak organizacje wykrywają Shadow IT i zarządzają nim
Skoro shadow IT polega na braku widoczności działu IT, zarządzanie zaczyna się od jej odzyskania: przez automatyczne wykrywanie i aktualny rejestr zasobów IT. Potem usuń przyczyny:
- 1
Automatyczna ewidencja
Agenty na punktach końcowych i skanowanie sieci pokazują, jaki sprzęt i oprogramowanie są w użyciu, także te, których nigdy nie wpisano do rejestru.
- 2
Wzorce konfiguracji
Porównanie tego, co podłączono do komputera, z zatwierdzoną konfiguracją wskazuje urządzenia spoza niej.
- 3
Widoczność ruchu
Monitorowanie usług chmurowych i celów ruchu ujawnia użycie SaaS, które nigdy nie przeszło przez zakupy.
- 4
Szybsza ścieżka zatwierdzania
Jasny, szybki proces zgłaszania narzędzi zmniejsza pokusę omijania działu IT.
- 5
Świadomość pracowników
Wyjaśnianie ryzyka prostym językiem, a nie tylko zakazywanie narzędzi, zwiększa szansę, że pracownicy zapytają przed instalacją.
Jak to wygląda w Anexet
Anexet Inventory daje działowi IT wgląd w to, co jest zainstalowane i podłączone na każdej stacji roboczej.
1 / 4
Zacznij od widoczności
Shadow IT definiuje brak widoczności działu IT, więc pierwszym krokiem jest jej odzyskanie. Potem usuń przyczyny, takie jak wolne zatwierdzanie i braki w zatwierdzonych narzędziach.
Czytaj dalej: Bezpieczeństwo korporacyjne przedsiębiorstwa; Top 10 mitów, które powstrzymują firmę przed zajęciem się bezpieczeństwem informacji.
Zarządzanie shadow IT zaczyna się od odzyskania widoczności działu IT, a potem od usunięcia przyczyn.
Anexet TeamJak rozwiązuje to Anexet
Anexet nie nazywa żadnej pojedynczej funkcji „wykrywaniem shadow IT”, ale jego moduł Inventory daje działowi IT widoczność, którą shadow IT zwykle ukrywa:
Ponieważ platforma jest wdrażana on-premise, wykryte dane o sprzęcie i oprogramowaniu pozostają wewnątrz własnej infrastruktury organizacji.
Pełna ewidencja oprogramowania dla każdego komputera
zakładka Applications wyświetla każdy zainstalowany program na każdej stacji roboczej wraz z wydawcą, datą instalacji, rozmiarem, wersją i ścieżką, dając działowi IT pełny obraz tego, jakie oprogramowanie faktycznie działa, a nie tylko tego, o co formalnie wnioskowano.
Alerty o odchyleniach konfiguracji
dla każdego komputera można ustalić konfigurację referencyjną; podłączone urządzenie wykraczające poza nią lub oczekiwane urządzenie, którego już nie wykryto, jest oznaczane i zgłaszane oficerowi bezpieczeństwa, ujawniając sprzęt, który trafił do sieci poza zatwierdzonymi kanałami.
Niesklasyfikowane witryny i aplikacje
monitorowanie aktywności grupuje odwiedzane witryny i używane aplikacje w kategorie, a pozycje wykraczające poza znane kategorie wyróżniają się jako nierozpoznane cele warte przejrzenia.
Menedżer urządzeń i mapa biura
urządzenia można przeglądać, dopasowywać do kart komputerów i lokalizować na wizualnej mapie biura, co ułatwia wykrycie sprzętu, który nigdy nie został wpisany do zatwierdzonej konfiguracji.
Ślad audytowy
każde dodanie, zmiana lub przeklasyfikowanie urządzenia bądź konfiguracji jest rejestrowane, więc nowo ujawniony element shadow hardware ma zapisaną historię od chwili jego wykrycia.
Anexet Inventory
Dowiedz się więcej