Wykrywanie shadow IT

co naprawdę oznacza wykrywanie shadow IT

Wykrywanie shadow IT to uporządkowany proces znajdowania technologii, która istnieje w środowisku firmy poza nadzorem IT. Efektem jest spis: aplikacje, integracje, konta, urządzenia i narzędzia AI, które są w użyciu, ale niezarządzane.

Wykrywanie to coś innego niż naprawa. Celem na tym etapie jest widoczność: wiedza o tym, co tam jest, zanim zdecydujesz, co z tym zrobić. Dokładny spis to warunek konieczny dla każdej kolejnej kontroli, czy to przeglądu dostępów, aktualizacji polityki, procesu offboardingu, czy audytu compliance.

Ćwiczenie wykrywające uchwytuje obraz w konkretnym momencie; shadow IT narasta nieprzerwanie, proporcjonalnie do aktywności organizacji. Trwała widoczność wymaga powtarzalnego procesu albo narzędzia, które automatycznie utrzymuje spis na bieżąco.

dlaczego shadow IT narasta szybciej, niż IT jest w stanie ręcznie śledzić

Shadow IT narasta, bo tarcie związane z wdrożeniem narzędzia jest dziś niższe niż tarcie związane ze złożeniem wniosku zakupowego. Zespół, który potrzebuje trackera projektów, narzędzia do transkrypcji czy asystenta AI, może mieć je uruchomione w kilka minut na koncie prywatnym albo próbnym.

Zespoły IT zostają w tyle, bo wzorce wdrażania zmieniły się pod nimi. SaaS sprawiło, że dodawanie narzędzi jest bezwysiłkowe. AI sprawiło, że jest niewidoczne. Rozszerzenia przeglądarki nie pojawiają się w rejestrach zakupowych. Prywatne konta nie pojawiają się w katalogu. Uprawnienia OAuth nie wymagają zgody IT, żeby powstać.

Zanim dojdzie do formalnego ćwiczenia wykrywającego, w większości rosnących firm luka między listą zatwierdzoną a faktycznym stackiem jest znacząca.

to, czego nie znajdziesz, wciąż może znaleźć ktoś inny

Niezmapowane shadow IT tworzy ekspozycję, którą trudno oszacować przed wystąpieniem incydentu. Aktywne konto należące do byłego pracownika to powierzchnia ataku, o której nie wiesz, że masz. Uprawnienie OAuth połączone z aplikacją shadow SaaS daje tej aplikacji dostęp do twoich skrzynek albo dokumentów, dopóki ktoś go nie sprawdzi i nie odbierze.

Badania IBM wskazują średni czas identyfikacji i opanowania naruszenia na 241 dni. Im dłużej twoje środowisko pozostaje niezmapowane, tym więcej czasu ma każda dana ekspozycja na to, żeby zostać wykorzystana.

Poza ryzykiem naruszenia, niewykryte shadow IT tworzy luki compliance. RODO wymaga, żeby wiedzieć, gdzie przetwarzane są dane osobowe. NIS2 i DORA rozszerzają wymogi kontroli na relacje ze stronami trzecimi. Jeśli nie potrafisz przedstawić dokładnego spisu, nie potrafisz wykazać zgodności ani odpowiedzieć na ankietę bezpieczeństwa, którą klient enterprise przysyła przed podpisaniem umowy.

co działa

Żadna pojedyncza metoda nie jest kompletna, więc wykrywanie, które ma sens, łączy kilka spojrzeń i pozwala im się wzajemnie weryfikować. Najbardziej wartościowym źródłem w środowisku cloud-first jest wyliczenie uprawnień OAuth: połączenie tylko do odczytu z IdP wymienia każdą zewnętrzną aplikację, której przyznano dostęp, wyłapując w jednym przebiegu połączenia shadow SaaS, narzędzia AI i zapomniane integracje. Ruch sieciowy dokłada to, czego nie pokaże katalog. Wychodzące logi DNS i proxy pokazują domeny, które pracownicy regularnie odwiedzają; wszystko spoza zatwierdzonej listy to kandydat do zbadania, i tak właśnie wyłapuje się narzędzia działające w przeglądarce, które nie zostawiają śladu w katalogu.

Ślad wydatków wyłapuje trzecią populację. Wyciągi z kart firmowych i wnioski o zwrot kosztów, zestawione z listą zatwierdzoną, wyłapują subskrypcje, których IT nigdy nie zatwierdziło, jako bezpośredni dowód, a nie wnioskowanie. Tam, gdzie istnieje MDM albo narzędzie do zarządzania urządzeniami końcowymi, pokazuje ono, co jest zainstalowane na zarejestrowanych urządzeniach, choć rozszerzenia przeglądarki potrzebują własnej polityki albo narzędzia, żeby wypłynąć na powierzchnię. A ustrukturyzowane rozmowy z liderami zespołów, przedstawione jako wsparcie, a nie audyt, wyłapują narzędzia, które w ogóle nie zostawiają śladu finansowego ani technicznego; zespoły wymienią oprogramowanie, bez którego nie mogą pracować, a te nazwy regularnie obejmują narzędzia, których IT nigdy nie widziało.

To porównanie między listami jest tym, co sprawia, że wykrywanie się opłaca. Narzędzie na liście OAuth, ale nieobecne w finansach, działa na darmowym planie albo na prywatnej karcie. Narzędzie, za które płacą finanse, bez żadnego połączenia OAuth, to samodzielne konto, do którego offboarding nigdy nie dotrze. Narzędzie z zatwierdzonej listy, które nie pojawia się w żadnym z pozostałych, to licencja, za którą ktoś płaci, a nikt jej nie używa. Każda z tych rozbieżności to finding, i żadnej z nich nie widać z poziomu jednej pojedynczej listy.