O que conta como Shadow IT
O que define o shadow IT não é o tipo de tecnologia, e sim a ausência de conhecimento e aprovação da TI. A mesma conta de armazenamento em nuvem é uma ferramenta autorizada quando o departamento a disponibiliza. Ela passa a ser shadow IT quando um funcionário a abre por conta própria para concluir uma tarefa mais rápido.
O shadow IT aparece em três camadas: hardware, como um pendrive pessoal, um notebook não gerenciado ou um roteador trazido de casa; software instalado diretamente em um computador da empresa sem solicitação; e serviços em nuvem ou SaaS contratados com e-mail corporativo e cartão de crédito, fora das compras.
Shadow AI é um termo mais recente e mais restrito, que descreve o uso de chatbots de IA públicos ou ferramentas com IA por funcionários sem aprovação. Costuma ser tratado como parte do problema maior do shadow IT. Vale mencioná-lo à parte, porque ferramentas de IA gratuitas se espalham rápido e podem absorver textos sensíveis colados por usuários.
Por que o Shadow IT acontece
O shadow IT raramente é uma tentativa deliberada de contornar a segurança. Ele surge de atritos do dia a dia:
| Causa | O que a impulsiona |
|---|---|
| Velocidade | Uma conta gratuita sai em cinco minutos; a solicitação formal demora |
| Familiaridade | Funcionários trazem ferramentas que já conhecem de outros empregos |
| Lacunas no conjunto aprovado | Quando o software da empresa não resolve, as pessoas buscam outro |
| Trabalho remoto e híbrido | Dispositivos pessoais apagam a linha entre tecnologia da empresa e pessoal |
| Custo aparente baixo | Ferramentas SaaS baratas entram como despesa, sem análise de compra grande |
O que a TI vê em uma estação de trabalho
A aba Aplicativos do cartão de uma estação de trabalho mostra os programas instalados, a camada em que o inventário de software revela programas que ninguém solicitou.
Exemplos comuns
O shadow IT aparece de várias formas. Estes são os casos mais comuns:
- Contas pessoais de armazenamento em nuvem ou de compartilhamento de arquivos usadas para levar arquivos de trabalho entre casa e escritório.
- Aplicativos de mensagens de uso pessoal para conversas de trabalho, no lugar da plataforma corporativa aprovada.
- Uma equipe que assina, com orçamento próprio, uma ferramenta SaaS de gestão de projetos ou design, sem envolver a TI.
- Pendrives pessoais, HDs externos ou um notebook ou celular pessoal conectado à rede da empresa.
- Extensões de navegador ou pequenos aplicativos utilitários instalados para economizar tempo em uma tarefa rotineira.
- Ferramentas públicas de IA não autorizadas, usadas para redigir, resumir ou analisar conteúdo de trabalho (shadow AI).
Por que o Shadow IT é arriscado
Como o shadow IT fica fora do inventário da TI, as proteções habituais não se aplicam a ele:
| Risco | O que pode dar errado |
|---|---|
| Sem supervisão de segurança | Atualizações e antivírus não cobrem softwares não aprovados |
| Fluxo de dados descontrolado | Dados saem dos controles de acesso e da trilha de auditoria |
| Exposição de conformidade | Regras sobre onde guardar dados regulados não podem ser aplicadas |
| Gastos duplicados | Equipes pagam por ferramentas que se sobrepõem a licenças existentes |
| Sem suporte | Se quem configurou sair, a TI não tem registro nem como ajudar |
Como as organizações encontram e gerenciam o Shadow IT
Como o shadow IT é definido pela falta de visibilidade da TI, a gestão começa por recuperá-la, com descoberta automatizada e um registro de ativos de TI atualizado. Depois, trate as causas:
- 1
Inventário e descoberta automatizados
Agentes de endpoint e varreduras de rede mostram o hardware conectado e o software instalado, inclusive itens que nunca entraram no registro de ativos.
- 2
Linhas de base de configuração
Comparar o que está ligado a um computador com a configuração aprovada aponta os dispositivos fora dela.
- 3
Visibilidade do tráfego
Monitorar para quais serviços em nuvem o tráfego vai revela usos de SaaS que nunca passaram pelas compras.
- 4
Aprovação mais rápida
Um processo claro e ágil para pedir ferramentas reduz a vontade de contornar a TI.
- 5
Conscientização dos funcionários
Explicar o risco em termos simples, e não apenas proibir ferramentas, faz as pessoas perguntarem antes de instalar.
Como isso aparece no Anexet
O Anexet Inventory dá à TI uma visão do que está instalado e conectado em cada estação de trabalho.
1 / 4
Comece pela visibilidade
O shadow IT é definido pela falta de visibilidade da TI, então o primeiro passo é recuperá-la. Depois, elimine as causas, como aprovações lentas e lacunas nas ferramentas autorizadas.
Leitura adicional: Segurança corporativa da empresa; Top 10 mitos que impedem sua empresa de investir em segurança da informação.
Gerenciar o shadow IT começa por recuperar a visibilidade da TI e depois eliminar as causas.
Anexet TeamComo a Anexet resolve isto
A Anexet não rotula um único recurso como "detecção de shadow IT", mas seu módulo Inventory dá à TI a visibilidade que o shadow IT normalmente esconde:
Como a plataforma é implantada on-premise, os dados de hardware e software descobertos permanecem dentro da própria infraestrutura da organização.
Inventário completo de software por computador
a aba Applications lista todo programa instalado em cada estação de trabalho, com editor, data de instalação, tamanho, versão e caminho, dando à TI uma visão completa do que realmente está em execução, em vez do que foi formalmente solicitado.
Alertas de desvio de configuração
uma configuração de referência pode ser fixada para cada computador; um dispositivo conectado que fica fora dela, ou um dispositivo esperado que não é mais encontrado, é sinalizado e relatado ao responsável de segurança, revelando hardware que chegou à rede fora dos canais aprovados.
Sites e aplicativos não categorizados
o monitoramento de atividade agrupa sites visitados e aplicativos usados em categorias, e itens que ficam fora das categorias conhecidas se destacam como destinos não reconhecidos que merecem revisão.
Gerenciador de dispositivos e mapa do escritório
dispositivos podem ser revisados, associados a fichas de computador e localizados em um mapa visual do escritório, facilitando identificar equipamentos que nunca foram inseridos na configuração aprovada.
Trilha de auditoria
toda adição, alteração ou reclassificação de um dispositivo ou configuração é registrada, de modo que um item de shadow hardware recém-descoberto já tem um histórico registrado desde o momento em que foi encontrado.
Anexet Inventory
Saiba mais