Pojęcie Shadow IT to wykorzystywanie zasobów IT, przez pracownika a nawet cały dział, bez wiedzy i autoryzacji Działu IT lub Działu Bezpieczeństwa w organizacji. Może obejmować sprzęt, oprogramowanie i usługi, m.in. w chmurze.
Obecnie głównym obszarem zagrożenia dla firm jest szybkie wdrażanie, łatwo dostępnych usług i aplikacji w chmurze. Rozwój Shadow IT przyspieszył wraz z konsumeryzacją technologii informacyjnej. Swój wkład miała również pandemia oraz coraz szersze przejście do pracy w formacie home office. Użytkownicy czują się komfortowo podczas pobierania i używania aplikacji i usług z chmury, które mają pomóc im w pracy. Korzystanie z tego typu zasobów powinno być również sygnałem dla firmy, że nie dostarcza ona wszystkich niezbędnych narzędzi pracy i właśnie to zmusza pracowników do szukania „obejścia” tego problemu. Nie robią oni tego przeciwko firmie, ale robią to w dobrej wierze dla firmy – w dużej mierze nieświadomie o ewentualnych konsekwencjach dla bezpieczeństwa IT.
Jakie są różne aspekty Shadow IT?
Shadow IT obejmuje wszystkie formy działań i zakupów związanych z IT, w które nie jest zaangażowany Dział IT ani Dział Bezpieczeństwa. Zakupy te mogą obejmować:
– Sprzęt: serwery, komputery PC, laptopy, tablety i smartfony
– Gotowe oprogramowanie w pakiecie
– Usługi w chmurze: w tym oprogramowanie jako usługa (SaaS), infrastruktura jako usługa (IaaS) i platforma jako usługa (PaaS)
Jaka jest najbardziej rozpowszechniona forma ukrytego IT?
Usługi w chmurze, zwłaszcza SaaS, stały się największą kategorią ukrytego IT. Liczba usług i aplikacji wzrosła, a pracownicy rutynowo je instalują i używają bez angażowania działu IT.
Jakie wyzwania stwarza Shadow IT?
Poważne luki w zabezpieczeniach mogą wystąpić, gdy dział IT nie wie, jakie usługi i aplikacje są wdrażane. „Rozrost aplikacji”, strata czasu i pieniędzy oraz nieefektywna współpraca to inne częste problemy.
Jakie jest ryzyko związane z aplikacjami typu Shadow IT, do których dostęp jest uzyskiwany z sieci?
Wraz z konsumeryzacją IT setki takich aplikacji jest używanych w typowym przedsiębiorstwie. Brak wglądu w nie stanowi lukę w zabezpieczeniach. Chociaż niektóre aplikacje są nieszkodliwe, inne obejmują funkcje, takie jak udostępnianie i przechowywanie plików lub współpraca, co może stanowić duże zagrożenie dla organizacji i jej poufnych danych. Działy IT i bezpieczeństwa muszą wiedzieć, jakie aplikacje są używane i jakie stwarzają zagrożenia.
Największym ryzykiem dla organizacji w ramach pojęcia Shadow IT jest tworzenie kont przez użytkowników w usługach poza organizacją w ramach pełnionych obowiązków służbowych Bez wiedzy kogokolwiek z organizacji. Stwarza to poważne luki w zabezpieczeniach, gdyż bardzo często użytkownicy używają firmowego adresu email i często domenowego hasła.
A jak wiadomo, ataki socjotechniczne na użytkowników to najczęstszy i najłatwiejszy sposób na uzyskanie przyczółka w organizacji.
Co zyska organizacja wdrażając rozwiązanie Scirge?
Rozwiązanie Scirge zapewnia unikalne podejście do ujawnienia i uzyskania kontroli nad niezarządzanymi kontami internetowymi stron trzecich. Scirge śledzi strony internetowe, na których pracownicy używają firmowych adresów e-mail do rejestracji i logowania. Posiadanie centralnego pulpitu nawigacyjnego z odkrytymi kontami pomaga zmniejszyć ryzyko zagrożeń związanych z danymi uwierzytelniającymi, takich jak credential stuffing, ponowne użycie hasła lub przejęcie konta. Scirge daje poziom kontroli nad korzystaniem z SaaS, aby pokonać Shadow IT. Pomaga również zapewnić zgodność firmy z GDPR i innymi wymogami audytowymi lub regulacyjnymi.
