Shadow IT to korzystanie z aplikacji, kont chmurowych i narzędzi do pracy bez wiedzy i akceptacji działu IT lub bezpieczeństwa. To zjawisko rzadko wynika ze złej woli, zwykle ktoś po prostu szuka szybszego albo wygodniejszego sposobu na rozwiązanie bieżącego problemu i nie myśli o tym, że omija przy tym ustalone zasady.

 

 

Typowe scenariusze

Najczęstszy przypadek to założenie konta w darmowym narzędziu do zarządzania zadaniami albo komunikacji, bo firmowe rozwiązanie wydaje się zbyt wolne albo skomplikowane. Innym wariantem jest przesyłanie plików firmowych przez prywatny dysk w chmurze, żeby łatwiej udostępnić je komuś spoza organizacji. Zdarza się też instalowanie wtyczek i aplikacji na komputerze służbowym bez zgłoszenia tego do IT, bo akurat przyspieszają jakąś czynność.

Dlaczego to problem

Narzędzia wdrożone poza oficjalną ścieżką nie przechodzą żadnej weryfikacji pod kątem bezpieczeństwa. Nikt nie sprawdza, jak dostawca przechowuje dane, gdzie znajdują się serwery ani czy w ogóle spełnia wymogi, którym podlega organizacja. Dane firmowe trafiają poza obszar, który dział IT jest w stanie monitorować, zabezpieczać i odzyskać w razie incydentu. Problem ujawnia się często dopiero przy odejściu pracownika, kiedy okazuje się, że dane służbowe trafiły na prywatnie założone konto, o którym nikt inny nie wiedział.

Na co zwracać uwagę

Sygnałem ostrzegawczym jest każda sytuacja, w której dane firmowe trafiają do narzędzia nieujętego w rejestrze zatwierdzonego oprogramowania. Podobnie korzystanie z prywatnych kont w usługach chmurowych do celów służbowych albo udostępnianie plików przez linki spoza firmowej infrastruktury.

Reakcja i procedury

Każde narzędzie przetwarzające dane firmowe powinno przejść przez ustaloną ścieżkę zgłoszenia i akceptacji, niezależnie od tego, jak niewielka i tymczasowa wydaje się potrzeba, dla której miałoby być użyte. Stosowanie się do polityki bezpieczeństwa informacji obowiązującej w organizacji oraz przechodzenie przez standardowe procedury, zamiast samodzielnego wdrażania rozwiązań na własną rękę, pozwala uniknąć sytuacji, w której dane firmowe znajdują się poza kontrolą organizacji.