Czym jest shadow IT

shadow IT prostym językiem

Shadow IT to ta część twojego środowiska technologicznego, która działa poza formalnym zarządzaniem IT. Obejmuje każdą aplikację, w której pracownik się zarejestrował bez udziału IT albo zakupów, każde urządzenie połączone z systemami firmowymi bez rejestracji, każdą integrację OAuth autoryzowaną bez przeglądu bezpieczeństwa i każde narzędzie AI obsługujące dane biznesowe bez podpisanej umowy powierzenia przetwarzania.

Słowo „shadow" opisuje lukę w widoczności, a nie intencję. Pracownik, który zarejestrował się w narzędziu projektowym, żeby rozwiązać realny problem, nie zamierzał stworzyć ryzyka bezpieczeństwa. Rozwiązał problem. Konsekwencją dla IT jest to, że narzędzie, jego dostęp i jego przepływy danych są teraz niewidoczne dla osób odpowiedzialnych za bezpieczeństwo środowiska.

Shadow IT wykracza daleko poza aplikacje konsumenckie. Obejmuje próbne subskrypcje SaaS, o których anulowaniu zespół zapomniał, integracje zbudowane między narzędziami przez dewelopera, który od tego czasu odszedł, współdzielone dane logowania do portalu dostawcy oraz rozszerzenia AI w przeglądarce zainstalowane na zarządzanych urządzeniach bez przeglądu pod kątem polityki.

shadow IT to problem wzrostu

Shadow IT najtrafniej rozumieć jako strukturalny efekt wzrostu organizacji. Im szybciej firma się skaluje, tym szersza luka między tym, czym zarządza IT, a tym, czego używa biznes.

Małe zespoły zarządzają narzędziami nieformalnie. Jedna osoba zna każdą aplikację, potrafi przeprowadzić offboarding w jedno popołudnie i trzyma pełny obraz w głowie. Ten model pęka przy progu, który jest inny dla każdej firmy, ale pęka dla wszystkich.

Wraz ze wzrostem zatrudnienia decyzje zakupowe się rozpraszają. Zespoły wdrażają narzędzia, żeby rozwiązać własne problemy. Zakup może się odbyć na firmowej karcie bez przeglądu IT. Narzędzie może przejść od „czyjegoś pomysłu" do „przepływu pracy całego zespołu" w kilka dni. Tak działają rosnące firmy, i nic w tym lekkomyślnego.

Problemem jest to, co narasta niewidocznie: konta, które przeżywają osoby, które je otworzyły, uprawnienia OAuth trzymające dostęp do wrażliwych systemów, narzędzia AI przetwarzające dane, których nikt nie sklasyfikował. Luka między tym, czym zarządza IT, a tym, czego używa biznes, nie zamyka się sama.

ile naprawdę kosztuje shadow IT

Koszt shadow IT osadza się w trzech miejscach: ekspozycja bezpieczeństwa, odpowiedzialność compliance i operacyjne obciążenie.

Bezpieczeństwo. Każda niezatwierdzona aplikacja to potencjalna ścieżka naruszenia. Uprawnienia OAuth dają zewnętrznym narzędziom dostęp do twojego katalogu, skrzynek i dokumentów. Gdy pracownik autoryzuje uprawnienie, akceptuje luźne warunki obsługi danych albo używa prywatnego konta do pracy, ekspozycja jest niewidoczna, dopóki coś się nie wydarzy. Dane IBM wskazują średni czas identyfikacji i opanowania naruszenia na 241 dni.

Compliance. RODO wymaga, żeby wiedzieć, gdzie i przez kogo przetwarzane są dane osobowe. NIS2 i DORA rozszerzają te wymogi na łańcuch dostaw i dostęp stron trzecich. Shadow IT tworzy przepływy danych, których nie potrafisz poddać audytowi, relacje ze stronami trzecimi, na które się nie zgadzałeś, i dostęp, którego nie potrafisz rozliczyć.

Operacje. Zdublowane narzędzia, nadmiarowe licencje i shadow subskrypcje dokładają bezpośredni koszt. Co ważniejsze, tworzą środowisko, które trudno zahartować. Nie da się wyegzekwować spójnej polityki bezpieczeństwa wobec narzędzi, o których nie wiesz.

co działa

Żadna pojedyncza metoda nie wyłapuje wszystkiego, więc wykrywanie, które ma sens, nakłada na siebie kilka spojrzeń na to samo środowisko. Najbardziej wartościowym punktem startu w firmach cloud-first jest lista uprawnień OAuth: spojrzenie tylko do odczytu na IdP wylicza każdą zewnętrzną aplikację, której przyznano dostęp, wraz z jej zakresami i osobą, która ją autoryzowała. Firmy robiące to po raz pierwszy rutynowo znajdują dziesiątki aplikacji, których nikt nie przejrzał, część wciąż z zakresami nadanymi lata temu.

Ruch sieciowy dokłada warstwę, której katalog nie widzi. Wychodzące logi DNS i proxy pokazują domeny, które pracownicy regularnie odwiedzają, a wszystko spoza zatwierdzonej listy to kandydat do zbadania; to tutaj wypływają narzędzia działające w przeglądarce i prywatne konta AI. Pieniądze zostawiają trzeci ślad: wnioski o zwrot kosztów i wyciągi z kart firmowych, zestawione z zatwierdzoną listą oprogramowania, zamieniają nierozpoznane pozycje w bezpośredni dowód niezatwierdzonych wydatków.

Narzędzia, które nie zostawiają żadnego śladu technicznego ani finansowego, wciąż odpowiadają na jedną metodę. Zanonimizowana ankieta wśród pracowników, przedstawiona jako wsparcie, a nie audyt, pyta, na jakich narzędziach polega każdy zespół i bez czego nie może pracować, a odpowiedzi regularnie obejmują oprogramowanie, którego IT nigdy nie widziało. Firmy, które utrzymują aktualny obraz, traktują wykrywanie jako powtarzalny cykl, a nie jednorazowy projekt, bo spis zaczyna się starzeć od dnia, w którym zostaje ukończony.