Тіньове IT

Що це означає

Shadow IT, українською тіньове IT, - застосунки, хмарні сервіси й пристрої, які працівники використовують для роботи без відома й схвалення фірми. Це може бути особисте хмарне сховище для обміну документами, безкоштовний інструмент перекладу, особиста пошта чи застосунок для завдань.

Працівники звертаються до таких інструментів зазвичай із добрих намірів: хочуть працювати швидше, а офіційних інструментів бракує або їх немає. Проблема в тому, що фірма не знає, де лежать її дані, хто має до них доступ і чи захищені вони, а це суперечить вимогам GDPR щодо контролю над персональними даними.

Shadow IT пов’язане з концепцією BYOD, тобто використанням власних пристроїв. Різниця в тому, що BYOD може керуватися й схвалюватися фірмою, а shadow IT за визначенням поза її контролем. З поширенням інструментів ШІ з’явилася нова форма: завантаження корпоративних документів у публічні чат-боти.

Як це працює на практиці

Під час ревізії IT у клієнтів ми питаємо працівників, якими інструментами вони реально користуються, а не лише які офіційні. Часто з’ясовується, що документи від постачальників ідуть через особисті сховища чи месенджери, а хтось пересилає робочу пошту на особисту скриньку.

Рішення - не лише заборона, а й схвалена альтернатива, така ж зручна. Якщо фірма дає спільне сховище з простим доступом і менеджер паролів, причина для особистих рішень зазвичай зникає. Допомагає й ясне правило, якими інструментами можна користуватися.

Коли працівник іде, shadow IT ускладнює закриття доступів. Якщо корпоративні дані були в особистому обліковому записі, фірма не може їх забрати чи дізнатися, що він забрав. Тому до процесу прийняття й звільнення варто включити огляд використовуваних сервісів.

На що звернути увагу

Найбільший ризик - витік персональних даних чи конфіденційної інформації через сервіс, який фірма не контролює. У разі витоку фірма як контролер відповідає й за дані, про які не знала, і має повідомити про інцидент відомство, чого без огляду використовуваних інструментів часто навіть не може зробити.

Несхвалені застосунки зазвичай не оновлюються в межах patch management і можуть містити вразливості. Вони ж часта ціль фішингу, бо облікові дані до них не захищає корпоративна автентифікація.