Ryzyka shadow IT

ryzyko shadow IT: krótki przegląd

Ryzyko shadow IT to zbiorcza ekspozycja tworzona przez technologię działającą poza zarządzaniem IT. To luka w widoczności, która utrudnia mierzenie i ograniczanie istniejących kategorii ryzyka, a nie jedna nowa kategoria ryzyka.

Ryzyko wygląda inaczej w zależności od tego, gdzie żyje shadow IT. W tożsamości to konta i dane logowania, których nikt nie pilnuje. W SaaS to uprawnienia OAuth dające zewnętrznym aplikacjom dostęp do wrażliwych systemów. W AI to przepływy danych do zewnętrznych modeli, których nikt nie sklasyfikował ani nie nadzorował. Każdy obszar ma własny profil, ale wszystkie trzy mają tę samą pierwotną przyczynę: brak widoczności oznacza brak kontroli.

dlaczego ryzyko shadow IT narasta z czasem

Ryzyko shadow IT rośnie proporcjonalnie do czasu, jaki minął od ostatniego ćwiczenia wykrywającego, i do tempa zmian w organizacji.

Każda osoba, która dołącza i wdraża narzędzia, dokłada do niewidocznego stacku. Każda osoba, która odchodzi i zachowuje dostęp, dokłada uśpioną daną logowania. Każde nieprzejrzane uprawnienie OAuth narasta. Po roku bez systematycznej kontroli większość rosnących środowisk ma profil ryzyka wyraźnie większy niż jakikolwiek nieformalny szacunek.

Badania IBM wskazują średni czas identyfikacji i opanowania naruszenia na 241 dni. Dla shadow IT istotny jest czas, przez jaki ekspozycja istniała, zanim ktoś na nią spojrzał, a nie tylko czas wykrycia po incydencie.

gdzie siedzi ryzyko shadow IT

Ryzyko danych logowania i kont. Byli pracownicy i kontraktorzy zachowujący aktywne dane logowania. Konta w narzędziach SaaS, do których katalog nigdy nie dotarł. Współdzielone loginy do portali dostawców, których używało wiele osób i których nikt nie śledził. Każde z nich to potencjalna ścieżka uwierzytelnienia, która nie pojawia się w standardowym przeglądzie dostępów.

Ryzyko OAuth i dostępu stron trzecich. Każda zewnętrzna aplikacja z połączeniem OAuth do twojego IdP ma jakiś zakres dostępu. Niektóre zakresy są wąskie. Niektóre dają dostęp do odczytu skrzynek, dokumentów albo kalendarzy. Większość tych aplikacji jest w pełni legalna. Ryzyko polega na tym, że są niewidoczne, nienadzorowane i same w sobie potencjalnie podatne.

Ryzyko ekspozycji danych. Shadow IT tworzy przepływy danych, które omijają kontrole klasyfikacji i obsługi stosowane w zarządzanym środowisku. Pracownik używający prywatnego narzędzia AI do streszczania wewnętrznych dokumentów przenosi te dane do zewnętrznego systemu bez umowy powierzenia przetwarzania, bez klasyfikacji danych i bez twojej wiedzy.

Ryzyko luki compliance. RODO wymaga, żeby wiedzieć, gdzie przetwarzane są dane osobowe. NIS2 i DORA rozszerzają wymogi kontroli na łańcuch dostaw i relacje ze stronami trzecimi. Shadow IT tworzy relacje przetwarzania, na które się nie zgadzałeś i których nie potrafisz poddać audytowi. Sprawia też, że strukturalnie trudno odpowiedzieć na pytania, jakie zada zewnętrzny audytor.

Ryzyko operacyjne. Shadow IT tworzy zależności operacyjne, które są niewidoczne, dopóki się nie zepsują. Krytyczna integracja zbudowana przez kogoś, kto odszedł. Narzędzie, bez którego zespół nie może funkcjonować, a o którym nikt inny nie wie. Relacja z dostawcą bez umowy i bez procesu odnowienia. Każda z nich to kruchość.

Ryzyko łańcucha dostaw. Sami dostawcy SaaS są celami naruszeń. Gdy dochodzi do naruszenia narzędzia shadow SaaS, twoje dane mogą się w nim znajdować. Jeśli nie wiedziałeś, że narzędzie jest w użyciu, nie znajdziesz się na liście powiadomień o naruszeniu, a twoja reakcja się opóźni.

co działa

Zarządzanie ryzykiem shadow IT zaczyna się od dokładnego spisu, bo priorytetyzacja wobec nieznanej populacji to zgadywanie. W środowiskach chmurowych pierwszym, najbardziej wartościowym krokiem jest audyt uprawnień OAuth przez IdP, który w jednym przebiegu wyłapuje połączenia stron trzecich, konta byłych pracowników i shadow SaaS.

Mając spis w ręku, segregacja przebiega według logiki, która sprawdza się w każdym środowisku. Na szczycie, w warstwie „zamknij dziś", są konta należące do osób, które odeszły z firmy, ale wciąż mają aktywny dostęp, bo łączą znaną ekspozycję z zerową wartością biznesową. Warstwę „oceń w tym kwartale" tworzą uprawnienia OAuth z szerokimi zakresami i bez zapisu przeglądu. Aplikacje używane przez jeden zespół, z wąskim zakresem i bez danych osobowych, mogą poczekać do kolejnego zaplanowanego cyklu przeglądu. Firmy, które utrzymują ryzyko w ryzach, traktują tę segregację jako rytm, a nie jednorazowy projekt, bo populacja, w której żyje to ryzyko, jest stale uzupełniana przez zwykłe zatrudnianie, odejścia i wdrażanie narzędzi.