1 | Shadow IT
Pojęcie Shadow IT to wykorzystywanie zasobów IT, przez pracownika a nawet cały dział, bez wiedzy i autoryzacji Działu IT lub Działu Bezpieczeństwa w organizacji. Może obejmować sprzęt, oprogramowanie i usługi, m.in. w chmurze.
Obecnie głównym obszarem zagrożenia dla firm jest szybkie wdrażanie, łatwo dostępnych usług i aplikacji w chmurze. Rozwój Shadow IT przyspieszył wraz z konsumeryzacją technologii informacyjnej. Użytkownicy czują się komfortowo podczas pobierania i używania aplikacji i usług z chmury, które mają pomóc im w pracy. Korzystanie z tego typu zasobów powinno być również sygnałem dla firmy, że nie dostarcza ona wszystkich niezbędnych narzędzi pracy i właśnie to zmusza pracowników do szukania „obejścia” tego problemu. Nie robią oni tego przeciwko firmie, ale robią to w dobrej wierze dla firmy – w dużej mierze nieświadomie o ewentualnych konsekwencjach dla bezpieczeństwa IT.
2 | Aspekty
Jakie są różne aspekty Shadow IT?
Shadow IT obejmuje wszystkie formy działań i zakupów związanych z IT, w które nie jest zaangażowany dział IT ani dział bezpieczeństwa. Zakupy te mogą obejmować:
-
Sprzęt: serwery, komputery PC, laptopy, tablety i smartfony.
-
Gotowe oprogramowanie: pakiety oprogramowania, które nie zostały zatwierdzone przez dział IT.
-
Usługi w chmurze: w tym oprogramowanie jako usługa (SaaS), infrastruktura jako usługa (IaaS) i platforma jako usługa (PaaS).
Jaka jest najbardziej rozpowszechniona forma ukrytego IT?
Usługi w chmurze, zwłaszcza SaaS, stały się największą kategorią ukrytego IT. Liczba usług i aplikacji wzrosła, a pracownicy rutynowo je instalują i używają bez angażowania działu IT.
Jakie wyzwania stwarza Shadow IT?
Poważne luki w zabezpieczeniach mogą wystąpić, gdy dział IT nie wie, jakie usługi i aplikacje są wdrażane. „Rozrost aplikacji”, strata czasu i pieniędzy oraz nieefektywna współpraca to inne częste problemy.
Jakie jest ryzyko związane z aplikacjami typu Shadow IT, do których dostęp jest uzyskiwany z sieci?
Wraz z konsumpcją technologii informacyjnej w firmach, setki aplikacji są używane w typowych przedsiębiorstwach. Brak wglądu w te aplikacje stanowi lukę w zabezpieczeniach. Chociaż niektóre aplikacje są nieszkodliwe, inne oferują funkcje takie jak udostępnianie i przechowywanie plików czy współpraca, co może stanowić poważne zagrożenie dla organizacji i jej poufnych danych. Działy IT i bezpieczeństwa muszą być świadome, jakie aplikacje są używane oraz jakie stwarzają potencjalne zagrożenia.
Największym ryzykiem związanym z Shadow IT jest tworzenie kont przez użytkowników w usługach zewnętrznych, często w ramach obowiązków służbowych, bez wiedzy lub zgody kogokolwiek z organizacji. Takie działanie stwarza poważne luki w zabezpieczeniach, ponieważ użytkownicy często wykorzystują firmowe adresy e-mail oraz hasła związane z domeną organizacji.
Jak wiadomo, ataki socjotechniczne na użytkowników to najczęstszy i najłatwiejszy sposób zdobycia dostępu do zasobów organizacji.
Co zyska organizacja wdrażając rozwiązanie Scirge?
Rozwiązanie Scirge zapewnia unikalne podejście do ujawnienia i uzyskania kontroli nad niezarządzanymi kontami internetowymi stron trzecich. Scirge śledzi strony internetowe, na których pracownicy używają firmowych adresów e-mail do rejestracji i logowania. Posiadanie centralnego pulpitu nawigacyjnego z odkrytymi kontami pomaga zmniejszyć ryzyko zagrożeń związanych z danymi uwierzytelniającymi, takich jak credential stuffing, ponowne użycie hasła lub przejęcie konta. Scirge daje poziom kontroli nad korzystaniem z SaaS, aby pokonać Shadow IT. Pomaga również zapewnić zgodność firmy z GDPR i innymi wymogami audytowymi lub regulacyjnymi.