Теневое IT

Что это значит

Shadow IT, по-русски теневое IT, - приложения, облачные сервисы и устройства, которые сотрудники используют для работы без ведома и одобрения фирмы. Это может быть личное облачное хранилище для обмена документами, бесплатный инструмент перевода, личная почта или приложение для задач.

Сотрудники обращаются к таким инструментам обычно из лучших побуждений: хотят работать быстрее, а официальных инструментов не хватает или их нет. Проблема в том, что фирма не знает, где лежат её данные, у кого к ним доступ и защищены ли они, а это противоречит требованиям GDPR к контролю над персональными данными.

Shadow IT связано с концепцией BYOD, то есть использованием своих устройств. Разница в том, что BYOD может управляться и одобряться фирмой, а shadow IT по определению вне её контроля. С распространением инструментов ИИ появилась новая форма: загрузка корпоративных документов в публичные чат-боты.

Как это работает на практике

При ревизии IT у клиентов мы спрашиваем сотрудников, какими инструментами они реально пользуются, а не только какие официальные. Часто выясняется, что документы от поставщиков идут через личные хранилища или мессенджеры, а кто-то пересылает рабочую почту на личный ящик.

Решение - не только запрет, но и одобренная альтернатива, такая же удобная. Если фирма даёт общее хранилище с простым доступом и менеджер паролей, причина для личных решений обычно исчезает. Помогает и ясное правило, какими инструментами можно пользоваться.

При уходе сотрудника shadow IT усложняет закрытие доступов. Если корпоративные данные были в личном аккаунте, фирма не может их забрать или узнать, что он унёс. Поэтому в процесс приёма и увольнения стоит включить обзор используемых сервисов.

На что обратить внимание

Главный риск - утечка персональных данных или конфиденциальной информации через сервис, который фирма не контролирует. При утечке фирма как оператор отвечает и за данные, о которых не знала, и должна сообщить об инциденте ведомству, что без обзора используемых инструментов часто даже не может сделать.

Неодобренные приложения обычно не обновляются в рамках patch management и могут содержать уязвимости. Они же частая цель фишинга, потому что учётные данные к ним не защищает корпоративная аутентификация.