Shadow cloud

czym jest

Shadow cloud to infrastrukturalna odmiana shadow IT: konta AWS, Azure albo GCP założone poza organizacją firmy, projekt proof-of-concept na kredytach próbnych, baza danych postawiona przez kontraktora, żeby dowieźć szybciej, środowisko staging, które stało się produkcją, nigdy formalnie się tym nie stając.

Różni się od shadow SaaS tym, co trzyma. Shadow aplikacja trzyma wycinek danych przez kontrole dostawcy; shadow konto chmurowe trzyma surową infrastrukturę: kubełki storage, bazy danych, dane logowania maszyn i klucze API, skonfigurowane przez tego, kto je stworzył, według standardu, na jaki akurat miał czas.

dlaczego narasta

Inżynierowie tworzą środowiska, bo tworzenie środowisk to ich praca. Organizacja firmowa ma bariery ochronne i ścieżkę zgłoszenia; prywatne konto nie ma żadnej, a demo jest na czwartek. Kredyty próbne, hackathony, dostawy od agencji i przejęcia, każde z nich zostawia po sobie konta, a rozliczenie często chowa się na prywatnej karcie rozliczanej co miesiąc jako wydatek, gdzie żaden spis nigdy nie zagląda.

Efekt końcowy jest udokumentowany w danych o naruszeniach: raport IBM Cost of a Data Breach z 2024 roku wykazał, że 35% naruszeń dotyczyło danych shadow, czyli danych w niezarządzanych magazynach, a te naruszenia zajmowały około 26% dłużej do zidentyfikowania i 20% dłużej do opanowania. Niezarządzana infrastruktura to dokładnie miejsce, gdzie dane leżą nieszyfrowane, niezałatane i niezalogowane.

co to kosztuje

Klasyczny incydent to otwarty kubełek: dane klientów w magazynie, którego nikt nie zabezpieczył, znalezione przez skaner, zanim jakikolwiek audyt znalazł to konto. Shadow cloud generuje też dane logowania z prędkością maszyny, klucze i tożsamości serwisowe, które nigdy nie wchodzą do żadnej rotacji ani przeglądu, i hostuje obciążenia, które działają dalej po odejściu ich twórcy, rozliczane na kartę, której nikt nie uzgadnia.

Kąt compliance ma kształt spisu: obowiązki zarządzania aktywami w NIS2 i rejestr czynności przetwarzania w RODO zakładają, że potrafisz wymienić, gdzie żyją dane firmowe. Konto poza organizacją jest z definicji poza listą, a jego istnienie zwykle wychodzi na jaw w najgorszym możliwym momencie: podczas incydentu, audytu albo due diligence.

co działa

Pieniądze to najbardziej wiarygodny detektor. Shadow cloud gdzieś się rozlicza, a comiesięczny wydatek AWS na prywatnej karcie to jego sygnatura; raporty wydatków i wyciągi z kart wyłapują konta, których żadne narzędzie oparte na katalogu nie zobaczy. Drugim najlepszym źródłem są ludzie, którzy je stworzyli. Krótka ankieta amnestyjna wśród zespołów inżynieryjnych i danych, przedstawiona jako spis, a nie egzekwowanie, wyłapuje większość kont w ciągu tygodnia, bo cel w postaci migracji, a nie obwiniania, to cel, na który ludzie odpowiadają szczerze.

Techniczne szwy dokładają resztę. Rejestracje na domenę firmową pojawiają się w logach poczty, a shadow konta często gdzieś dotykają warstwy tożsamości: konsola sfederowana z IdP dla wygody, uprawnienie OAuth z platformy chmurowej, konto serwisowe albo klucz łączący środowisko zatwierdzone z niezatwierdzonym. Konta bez żadnego powiązania z katalogiem pozostają niewidoczne dla wykrywania opartego na tożsamości, dlatego ślad wydatków i ankieta wyznaczają granice poszukiwań, a nie jakikolwiek pojedynczy przegląd techniczny.

Po wykryciu następuje segregacja konto po koncie. Realne obciążenia migrują do organizacji, za SSO i centralnym rozliczaniem, z kluczami rotowanymi przy okazji przeprowadzki; eksperymenty zostają wyeksportowane i zamknięte. Strukturalną naprawą jest szybkość, bo bariery ochronne wolniejsze niż karta kredytowa zawsze przegrywają. Konto sandboxowe, które inżynierowie mogą sami uruchomić wewnątrz organizacji w kilka minut, usuwa powód, dla którego shadow konto w ogóle powstało.