Shadow SaaS

czym jest

Shadow SaaS to aplikacje SaaS, których pracownicy albo zespoły używają bez przechodzenia przez formalny proces przeglądu czy zatwierdzenia przez IT. Te aplikacje niekoniecznie są zakazane. W większości przypadków IT po prostu o nich nie wie.

Pracownik znajduje narzędzie, które rozwiązuje problem szybciej niż firmowa alternatywa. Lider zespołu zapisuje się służbowym adresem e-mail. Narzędzie łączy się z jego kontem Google albo Microsoft do logowania. Zaczynają płynąć dane związane z pracą. IT nigdy się o tym nie dowiaduje.

To coś innego niż działanie w złej wierze. Pracownicy, którzy tak wdrażają narzędzia, po prostu radzą sobie sami. Problem w tym, że bez wglądu w to, co istnieje, nie da się sprawdzić, jakie dane do tego narzędzia trafiają, co dostawca z nimi robi ani jakie uprawnienia ma aplikacja w twoim środowisku.

dlaczego narasta

Shadow SaaS rośnie, bo warunki, które je tworzą, są strukturalne.

Czekanie na zatwierdzenie IT spowalnia pracę. Szefowie działów i poszczególni pracownicy wybierają narzędzia, które szybko rozwiązują dzisiejszy problem. Formalny proces, jeśli w ogóle istnieje, jest postrzegany jako zbędne obciążenie. Więc ten krok zostaje pominięty, raz, potem rutynowo.

Narzędzia freemium jeszcze bardziej obniżają barierę. Wiele narzędzi biznesowych oferuje darmowe plany, które wymagają tylko adresu e-mail. Bez zamówienia zakupowego, bez przeglądu dostawcy, bez zgłoszenia do IT. Narzędzie działa w kilka minut.

Gdy narzędzie jest już w użyciu, zostaje na dłużej. Nawet gdy zespół przechodzi na inne rozwiązanie, konta często zostają otwarte. Osoba, która założyła konto, zmieniła rolę albo odeszła. Nikt nie pilnuje subskrypcji. Aplikacja dalej istnieje w twoim środowisku bez aktualnego właściciela.

co to kosztuje

Ryzyko siedzi w niewidocznej powierzchni, którą tworzy każda nieznana aplikacja.

Ekspozycja danych. Dane klientów, rekordy pracowników, informacje finansowe, wewnętrzna komunikacja: wszystko to może trafić do aplikacji, której warunków dostawcy i postawy bezpieczeństwa nigdy nie sprawdziłeś. Nie masz podpisanego DPA. Możesz nie wiedzieć, gdzie przechowywane są dane ani kto ma do nich dostęp po stronie dostawcy.

Brak ścieżki offboardingu. Gdy odchodzi pracownik, który korzystał z niezatwierdzonego narzędzia, IT nie wie, że trzeba zamknąć konto. Konto zostaje otwarte. Jeśli było połączone z twoim IdP przez OAuth, uprawnienie pozostaje żywe. Jeśli działało na niezależnych danych logowania, były pracownik może logować się bezterminowo.

Luki w audycie i compliance. RODO wymaga, żeby wiedzieć, którzy zewnętrzni procesorzy przetwarzają dane osobowe, i mieć z nimi podpisane umowy. Audytor albo klient enterprise pytający o twoich subprocesorów danych oczekuje pełnej odpowiedzi. Shadow SaaS strukturalnie uniemożliwia udzielenie takiej odpowiedzi.

Ekspozycja na certyfikacje bezpieczeństwa. Zarówno ISO 27001, jak i SOC 2 pytają o zarządzanie dostawcami i przepływy danych do stron trzecich. Aplikacji spoza twojego spisu nie da się objąć kontrolami. Ta luka wychodzi na jaw podczas audytów.

co działa

Wykrywanie działa jak triangulacja, bo żadne pojedyncze źródło nie widzi całej powierzchni. Lista uprawnień OAuth z IdP, pobrana z Google Workspace, Okta albo Entra, pokazuje każdą zewnętrzną aplikację, która połączyła się przez katalog, ale nie pokaże narzędzi działających na niezależnych logowaniach, które w ogóle nigdy nie dotykają katalogu. Finanse wypełniają część tej martwej strefy: cykliczne opłaty na kartach działów i w raportach wydatków, skonfrontowane ze znaną listą aplikacji, wyłapują narzędzia, które są opłacane, ale niezarejestrowane. Zarządzane urządzenia końcowe dokładają warstwę przeglądarki, gdzie zainstalowane rozszerzenia często działają jak lekkie narzędzia SaaS i nie pojawiają się w żadnym innym spisie.

Reszta to wiedza ludzi, a ta reaguje na ton pytania. Krótka, nieoceniająca ankieta do szefów działów o to, czego regularnie używają ich zespoły, wyłapuje narzędzia, które nie istnieją w żadnym systemie, i działa właśnie dlatego, że wdrażanie shadow SaaS to zaradność, nie zła wola. Ankieta, która brzmi jak śledztwo, uczy ludzi, żeby przestali odpowiadać, a to kosztuje więcej niż jakakolwiek pojedyncza nieznana aplikacja.

To, co zamienia znaleziska w kontrolę, to lekki rejestr: nazwa aplikacji, właściciel albo zespół, rodzaje danych, czy istnieje DPA, czy aplikacja łączy się przez IdP. Arkusz kalkulacyjny spokojnie to udźwignie przy małej skali, a narzędzie SSPM przejmuje rolę, gdy środowisko wyrasta z tego, co arkusz może śledzić. Rejestr ma znaczenie, bo wykrycie bez zapisu natychmiast traci wartość; te same narzędzia zostaną odkryte na nowo przy kolejnym audycie, z tymi samymi lukami i rokiem więcej danych w środku.