Shadow IT od dawna jest postrzegane jako zagrożenie dla bezpieczeństwa i zgodności z przepisami, ale obecnie coraz więcej firm zdaje sobie sprawę z jego zalet. Wielu szefów oprogramowania IT zadaje sobie pytanie: "Czy istnieje sposób na zachowanie bezpieczeństwa przy jednoczesnym zwiększeniu elastyczności?", ponieważ przetwarzanie w chmurze pochłania coraz większą część budżetu IT ich firm. Prawidłowo opracowana polityka shadow IT może pomóc zarówno działowi IT, jak i firmie. Wymaga to jednak znajomości jej znaczenia, możliwych wad i potencjalnych korzyści.
Co to jest shadow IT i dlaczego?
Termin "shadow IT" odnosi się do praktyki wykorzystywania zasobów informatycznych, oprogramowania lub aplikacji w przedsiębiorstwie bez wsparcia zespołu IT lub bezpieczeństwa. Może to dotyczyć zarówno oprogramowania i sprzętu, jak i zasobów opartych na chmurze. Szybki wzrost wykorzystania usług opartych na chmurze jest obecnie największym problemem: ponieważ coraz więcej osób korzysta z nich w takim samym stopniu, zwiększając zjawisko "shadow IT . "Użytkownicy przyzwyczaili się do dostępu i korzystania z oprogramowania i usług opartych na chmurze dla aplikacji lub narzędzi produktywności. Wprowadzenie shadow IT do organizacji może przybierać różne formy, ale zazwyczaj odbywa się poprzez jedną z dwóch metod:
- Zatrudnienie programu strony trzeciej w celu uzyskania dostępu, przechowywania lub dystrybucji informacji firmowych. Nawet jeśli korporacja oficjalnie zatwierdziła Google Workspace do udostępniania plików, pracownik może wprowadzić shadow IT, decydując się na korzystanie z Microsoft 365.
- Nielegalne korzystanie z usankcjonowanych zasobów. W ten sam sposób, nawet jeśli dział IT zezwolił na korzystanie z Google Workspace za pośrednictwem kont zarządzanych przez firmę, pracownik może wprowadzić shadow IT, uzyskując dostęp do Google Workspace za pomocą własnego, niemonitorowanego konta.
Jaki jest przykład shadow IT?
Używanie osobistych kont e-mail do celów służbowych, korzystanie z niezatwierdzonych urządzeń przenośnych (BYOD) lub wdrażanie usług SaaS (oprogramowanie jako usługa), którymi nie zarządza firmowy zespół IT, to typowe przykłady shadow IT. Poniżej przedstawiono bardziej szczegółowe przykłady shadow IT:
- Aplikacje lub narzędzia zwiększające produktywność, w tym oprogramowanie takie jak Trello i Asana.
- Microsoft Teams, Slack i Google Chat to przykłady aplikacji do przesyłania wiadomości i współpracy.
- Aplikacje lub narzędzia do telefonów komórkowych, tablety i inne urządzenia Internetu rzeczy (IoT).
- Usługi i aplikacje do przechowywania danych lub przesyłania plików w chmurze, w tym oprogramowanie Google Drive, Dropbox, Box i OneDrive.
- Aplikacje lub narzędzia do spotkań online, w tym Zoom, Skype, WebEx i GoToMeeting
- Oprogramowanie doplanowania i zarządzaniaspotkaniami lub narzędzia takie jak Calendly, ScheduleOnce i Bookafy.
Jakie są zagrożenia związane z korzystaniem z shadow IT?
Ryzyko związane z shadow IT jest również ukryte w cieniu. Chociaż pracownicy mogą szybciej i łatwiej wykonywać swoją pracę z pomocą narzędzi lub aplikacji shadow IT, to takie oprogramowanie lub aplikacje wiążą się z wieloma nowymi zagrożeniami, nieefektywnością i wydatkami dla firmy.
Utrata widoczności i kontroli
W momencie przeniesienia danych do nieoficjalnych systemów lub aplikacji tracisz nadzór i zarządzanie. Systemy Shadow IT niosą ze sobą takie zagrożenia, jak niezgodność z przepisami i zasadami bezpieczeństwa, naruszenie danych oraz niemożność podjęcia niezbędnych działań w zakresie odzyskiwania danych po awarii.
Integracja oprogramowania
Integracje systemów są powszechną cechą działów IT. Oprogramowanie Shadow IT stwarza ryzyko naruszenia danych, jeśli jakakolwiek część integracji zostanie naruszona. Jeśli użytkownicy nie instalują krytycznych aktualizacji oprogramowania, powaga takiego naruszenia znacznie wzrasta. Bardziej prawdopodobne jest to, że pracownicy mogą nawet nie wiedzieć, jak zaktualizować swoje narzędzia.
Kiedy IT przeprowadza aktualizację zintegrowanego systemu, nieznana wcześniej aplikacja lub oprogramowanie może stanowić backdoor dla atakującego, aby uzyskać dostęp do całej bazy danych. Z takiego naruszenia może wyniknąć każdy, od poważnych zakłóceń po zarzuty karne dla głównego informatyka.
Utracone dane
Dane z chmury cieni mogą stać się niedostępne dla firm, zwłaszcza jeśli osoba, która je stworzyła, opuści firmę. Umowy użytkowników, dokumenty projektowe i inne aplikacje lub narzędzia projektowe mogą być przechowywane na osobistym koncie Dropbox danego użytkownika. Możliwe, że w przypadku zwolnienia użytkownika firma nie będzie w stanie odzyskać istotnych danych klienta z jego osobistego konta. Kiedy użytkownik zostaje zwolniony i nie płaci już za usługi chmurowe oprogramowania Shadow IT, łatwo jest natychmiast dezaktywować takie usługi lub aplikacje.
Koszt
Według niektórych szacunków, prawie jedna trzecia wszystkich subskrypcji lub aplikacji SaaS jest niewykorzystywana lub niedostatecznie wykorzystywana, co prowadzi do nieefektywności i marnowania pieniędzy. Niektóre firmy, które chcą wzmocnić swoje oprogramowanie typu shadow IT, stosują nieefektywne metody ręczne, w tym długie arkusze kalkulacyjne do śledzenia swoich usług SaaS, co jest stratą czasu i pieniędzy.
Nieznane rozszerzenie powierzchni ataku
Przy większej ilości shadow IT istnieje więcej możliwości zaatakowania organizacji. Niezorganizowane systemy baz danych nie mieszczą się w granicach żadnego znanego protokołu bezpieczeństwa. Słabe lub domyślne dane uwierzytelniające stwarzają ryzyko wystawienia niezarządzanych zasobów na działanie Internetu. Zarządzanie dziennikami zagrożeń, oprogramowanie systemów bezpieczeństwa i zarządzania zdarzeniami (SIEM) oraz testy penetracyjne nie obejmują shadow IT.
Korzyści z Shadow IT
Shadow IT ma jednak również swoje zalety. Poniżej przedstawiamy główne zalety korzystania z Shadow IT:
Wyższy poziom produktywności
Według wyników ankiety przeprowadzonej przez Entrust Datacard, prawie wszyscy pracownicy zwiększają swoją wydajność, gdy mają możliwość korzystania z wybranych przez siebie technologii. Ponadto, w tej samej ankiecie stwierdzono, że 77% specjalistów ds. oprogramowania IT uważa, że ich firmy mogłyby zyskać przewagę konkurencyjną, gdyby kadra kierownicza była bardziej skłonna do współpracy w zakresie identyfikacji rozwiązań problemów z wykorzystaniem aplikacji. Po dokładnym przemyśleniu sprawy, zdajemy sobie sprawę, że te wnioski nie są zbyt szokujące. Na przykład, nie spodziewamy się, że fryzjer będzie w stanie wykonać taką samą ilość pracy przy użyciu zwykłych nożyczek, jak przy użyciu zestawu profesjonalnych nożyczek fryzjerskich.
Wyzwalacz czy katalizator innowacji
Kiedy więcej osób patrzy, łatwiej jest zidentyfikować narzędzia, które są bardziej odpowiednie do danego zadania. Pracownicy sami najlepiej oceniają, które rozwiązania programowe i sprzętowe mogą być dla nich najbardziej przydatne, dlatego shadow IT ma sens, pozwalając im korzystać ze wszystkiego, co chcą, bez konieczności uzyskania wcześniejszego pozwolenia od kogokolwiek. Dlatego tym bardziej sensowne jest, aby kierownictwo dokładnie przeanalizowało oprogramowanie informatyczne lub aplikacje, których pracownicy zaczęli używać na własną rękę, i zbadało możliwość ich formalnego przyjęcia w całej firmie. Jest znacznie bardziej prawdopodobne, że rozwiązanie uzyskane w tym procesie będzie ściśle związane z pierwotnym zapotrzebowaniem biznesowym niż rozwiązanie wybrane bezpośrednio przez kierownictwo.
Sprowadzanie najlepszych i najzdolniejszych
Shadow IT to forma technologii informacyjnej, która może pomóc firmom, szczególnie tym działającym w branżach, które w dużym stopniu opierają się na oprogramowaniu informatycznym, w rekrutacji i utrzymaniu najlepszych pracowników. Kandydaci do pracy, którzy mają bogate doświadczenie, są zawsze wdzięczni, gdy pozwala się im korzystać z tych narzędzi, które najlepiej się u nich sprawdzają, zamiast zmuszać ich do uczenia się, jak korzystać z zupełnie innego zestawu narzędzi, które mogą, ale nie muszą być przestarzałe, tylko dlatego, że ktoś, kto przyszedł przed nimi, lubił ich używać. Podobnie, osoby osiągające wysokie wyniki są znacznie bardziej zaangażowane i produktywne, gdy mają dostęp do najnowocześniejszego dostępnego oprogramowania IT, i mogą nawet odrzucić oferty wyższego wynagrodzenia od konkurencji, której środowisko pracy nie jest dla nich odpowiednie.
Minimalizacja zapotrzebowania na Shadow IT i narażenia na nie
Możesz zmniejszyć zapotrzebowanie na shadow IT oraz ryzyko z nim związane, wykonując kilka z wymienionych powyżej czynności.
Komunikacja i współpraca
Dowiedz się, czego tak naprawdę chcą użytkownicy IT. Obalić silosy. Umożliwić działom IT i użytkownikom IT komunikację w sposób prosty, wygodny i efektywny, aby lepiej zrozumieć rzeczywiste wymagania, doświadczenia i uwagi użytkowników końcowych dotyczące obecnych i nowo potrzebnych technologii, na przykład platform low-code/no-code.
Szkolenie i edukacja
Informowanie użytkowników o zagrożeniach związanych z oprogramowaniem shadow IT oraz o tym, jak firma może pomóc w spełnieniu wymagań technologicznych bez obchodzenia zwykłych zasad zarządzania, to bardzo ważny krok w ograniczaniu tych zagrożeń. Pracownicy, którzy znają się na bezpieczeństwie i podzielają wizję organizacji dotyczącą bezpieczeństwa oprogramowania informatycznego, z większym prawdopodobieństwem zrozumieją zagrożenia związane z shadow IT i będą zachęcani do odkrywania akceptowalnych rozwiązań w celu zaspokojenia potrzeb technologicznych.
Ostatnie przemyślenia
Zwykła struktura biurowa ustępuje miejsca bardziej elastycznym, zdalnym i hybrydowym opcjom. Chmura pomaga w tej zmianie, ale nadal trzeba będzie radzić sobie z pewnymi istotnymi konsekwencjami. Zagrożenia związane z Shadow IT pozostaną problemem tak długo, jak długo usługi SaaS będą napędzać innowacje.
Ale co jeśli powiem Ci, że możesz rozwiązać wszystkie zagrożenia Shadow IT, używając platform o niskim kodzie / bez kodu? Te platformy mogą być pod kontrolą działu IT, ale pomogą też stworzyć narzędzia biznesowe potrzebne pracownikom. Wyobraź sobie, że możesz na przykład zbudować aplikację do planowania spotkań, która całkowicie pasuje do potrzeb Twojej firmy. A także nie obawiałbyś się tych wszystkich zagrożeń związanych z Shadow IT - bo byłaby ona rozwijana i kontrolowana przez Twój dział IT. AppMaster.io jest jedną z najnowocześniejszych platform no-code, które z radością pomogą Ci stworzyć najlepsze aplikacje internetowe i mobilne dla Twojej firmy bez konieczności pisania jakiegokolwiek kodu.
