Shadow IT a compliance

problem compliance, jaki tworzy shadow IT

Shadow IT tworzy strukturalny problem compliance. Organizacja wdraża technologię bez procesów, jakich wymagają regulacje: wcześniejszej oceny, zabezpieczeń umownych, kontroli dostępu i dokumentacji. Nikt konkretny nie złamał żadnej zasady, po prostu brakowało samej ścieżki.

Luka compliance ujawnia się najostrzej podczas audytów, ankiet bezpieczeństwa od klientów enterprise, procesów due diligence i kontroli regulacyjnych. W każdym przypadku pytanie brzmi w jakiejś wersji: jakie systemy przetwarzają twoje dane, kto ma do nich dostęp i jakie masz kontrole. Shadow IT utrudnia udzielenie na te pytania dokładnej odpowiedzi.

Ryzyko compliance z shadow IT powstaje w momencie, gdy narzędzie zostaje wdrożone bez wymaganych zabezpieczeń, długo zanim jakikolwiek audytor zada pytanie.

dlaczego nadzór wciąż zostaje w tyle

Ramy regulacyjne zostały zaprojektowane pod środowiska, w których nowa technologia wchodziła przez proces zakupowy, była przeglądana przed wdrożeniem i dokumentowana jako rzecz oczywista. Ten model opisuje tylko ułamek tego, jak technologia faktycznie wchodzi dziś do większości rosnących firm.

Narzędzia SaaS można wdrożyć w przeglądarce. Narzędzia AI wychodzą co tydzień. Rozszerzenie przeglądarki można zainstalować na zarządzanym urządzeniu bez wywołania jakiegokolwiek powiadomienia zakupowego. Ramy regulacyjne nie zmieniły się, żeby to odzwierciedlić. Obowiązek compliance istnieje od momentu, gdy narzędzie zaczyna przetwarzać dane osobowe albo łączyć się z regulowanym systemem, niezależnie od tego, jak zostało wdrożone.

konkretna ekspozycja compliance według regulacji

RODO. Na gruncie RODO każde narzędzie, które przetwarza dane osobowe w twoim imieniu, musi działać na podstawie ważnej umowy powierzenia przetwarzania (DPA). Shadow IT z definicji tworzy procesorów bez DPA, bo narzędzia wdrożone poza formalnym procesem przeglądu nie przechodzą przez krok, w którym DPA zostaje ustalone.

Praktyczna ekspozycja jest w trzech miejscach: brak DPA tworzy odpowiedzialność od momentu rozpoczęcia przetwarzania; brak dokumentacji oznacza, że nie potrafisz wykazać zgodności przed organem nadzorczym; a brak widoczności oznacza, że nie potrafisz dokładnie odpowiedzieć na wniosek o dostęp do danych ani na obowiązek zgłoszenia naruszenia, jeśli to narzędzie okaże się później zamieszane.

NIS2. NIS2 wymaga od organizacji objętych zakresem zarządzania bezpieczeństwem łańcucha dostaw i relacji ze stronami trzecimi ICT. Shadow SaaS i shadow AI tworzą relacje ze stronami trzecimi, których nie ma w twoim rejestrze dostawców, które nie zostały ocenione pod kątem ryzyka bezpieczeństwa i których nie da się uwzględnić w dokumentacji zgodności z NIS2. Obowiązek zarządzania tymi relacjami istnieje niezależnie od tego, czy o nich wiedziałeś.

DORA. DORA dotyczy podmiotów finansowych i ich dostawców usług ICT jako stron trzecich. Wymaga rejestru zależności od stron trzecich ICT, wymagań umownych wobec tych dostawców i analizy ryzyka koncentracji. Shadow IT tworzy nieudokumentowane zależności, które nie pojawiają się w rejestrze DORA i których nie da się objąć analizą ryzyka koncentracji wymaganą przez regulację.

SOC 2 i ISO 27001. Obie normy wymagają dowodów na to, że dostęp do systemów jest kontrolowany i okresowo przeglądany, a relacje z dostawcami są zarządzane. Shadow IT tworzy dostęp, który nie został przejrzany, i dostawców, którzy nie zostali ocenieni. Kontrole dostępu należą do najczęstszych obszarów niezgodności w tych audytach.

co działa

Zamykanie luki compliance przebiega tą samą sekwencją co zamykanie luki bezpieczeństwa, bo obie mają tę samą pierwotną przyczynę. Dokumentacja nie może zacząć się przed identyfikacją, a najskuteczniejszą identyfikacją w środowisku chmurowym jest audyt uprawnień OAuth przez IdP, który w jednym przebiegu wyłapuje połączenia stron trzecich, konta byłych pracowników i shadow SaaS.

Segregacja działa potem według rodzaju danych. Narzędzia przetwarzające dane osobowe bez DPA to najostrzejsza odpowiedzialność i pierwsze do rozwiązania przed kolejnym audytem czy oceną; narzędzia bez ekspozycji na dane osobowe trafiają na wolniejszy pas, ale i tak w końcu wchodzą pod nadzór. Dla wszystkiego, co zostaje w środowisku, regulacje schodzą się w tej samej papierologii: DPA tam, gdzie przetwarzanie tego wymaga, wpis w rejestrze dostawców albo stron trzecich ICT, nazwany wewnętrzny właściciel i data przeglądu.

To, co utrzymuje lukę zamkniętą, to ścieżka zatwierdzania, która w momencie wdrożenia obejmuje sprawdzenie DPA i krok klasyfikacji danych. Przegląd może być lekki, o ile istnieje i jest stosowany konsekwentnie, bo dług compliance jest dużo tańszy do zapobieżenia przy rejestracji niż do naprawienia przy audycie.