Shadow IT

Čo to znamená

Shadow IT, po slovensky tieňové IT, označuje aplikácie, cloudové služby a zariadenia, ktoré zamestnanci používajú na prácu bez vedomia a schválenia firmy. Môže ísť o súkromné cloudové úložisko na zdieľanie dokladov, bezplatný nástroj na preklad dokumentov, osobný e-mail či aplikáciu na správu úloh.

Zamestnanci k takýmto nástrojom siahajú zvyčajne v dobrej viere: chcú pracovať rýchlejšie a oficiálne nástroje im nestačia alebo chýbajú. Problém je, že firma nevie, kde sa nachádzajú jej dáta, kto k nim má prístup a či sú chránené, čo je v rozpore s požiadavkami GDPR na kontrolu nad osobnými údajmi.

Shadow IT súvisí s konceptom BYOD, teda používaním vlastných zariadení. Rozdiel je v tom, že BYOD môže byť firmou riadený a schválený, kým shadow IT je z definície mimo jej dohľadu. S rozšírením nástrojov umelej inteligencie pribudla nová podoba: vkladanie firemných dokumentov do verejných chatbotov.

Ako to funguje v praxi

Pri revízii IT u klientov sa pýtame zamestnancov, aké nástroje reálne používajú, nie len aké sú oficiálne. Často sa ukáže, že doklady od dodávateľov putujú cez súkromné úložiská či chatovacie aplikácie a že niekto preposiela firemnú poštu na osobný e-mail.

Riešením nie je len zákaz, ale ponuka schválenej alternatívy, ktorá je rovnako pohodlná. Ak firma poskytne zdieľané úložisko s jednoduchým prístupom a správcu hesiel, dôvod na súkromné riešenia väčšinou zmizne. Zároveň pomáha jasné pravidlo, ktoré nástroje sa smú používať.

Pri odchode zamestnanca shadow IT komplikuje ukončenie prístupov. Ak mal firemné dáta v súkromnom účte, firma ich nevie odobrať ani zistiť, čo si odniesol. Súčasťou nástupného a výstupného procesu by preto mal byť prehľad používaných služieb.

Na čo si dať pozor

Najväčším rizikom je únik osobných údajov či dôverných informácií cez službu, ktorú firma nekontroluje. Pri úniku firma ako prevádzkovateľ zodpovedá aj za dáta, o ktorých nevedela, a musí incident oznámiť úradu, čo bez prehľadu o používaných nástrojoch často ani nedokáže.

Neschválené aplikácie sa zvyčajne neaktualizujú v rámci patch managementu a môžu obsahovať zraniteľnosti. Rovnako bývajú častým cieľom phishingu, lebo prihlasovacie údaje k nim nechráni firemné overovanie.