Shadow IT как угроза

Использование разномастных сервисов и программ, о которых не знает ни IT-отдел, ни служба безопасности, может привести к множеству проблем. Рассказываем, как их избежать.

Практически невозможно подобрать программные инструменты так, чтобы они казались удобными всем. Наверняка найдется хоть один сотрудник, который знает бесплатный сервис «в десять раз удобнее» того, что предлагает использовать компания. Он устанавливает этот сервис и начинает активно рекомендовать его коллегам. Это явление называется «теневые ИТ» (Shadow IT). Иногда оно позволяет найти новые инструменты, действительно больше подходящие для вашего бизнеса, но чаще приводит к куче проблем.

Если бы все действовали, что называется, «по уму», то с такими предложениями приходили бы в первую очередь к тем, кто отвечает за безопасность компании. Но мы живем в неидеальном мире, поэтому люди часто сначала используют в работе какие-нибудь посторонние средства для обмена файлами, почтовые веб-интерфейсы, социальные сети, мессенджеры, и только потом (иногда) задумываются, а безопасно ли это.

И дело даже не в том, что таким инструментом может оказаться написанный на коленке бесплатный мессенджер. Бывает, что это вполне себе известные сервисы, использование которых из своего бюджета оплачивают руководители отдельных подразделений. Плохо то, что о них не знают ни безопасники (если они есть), ни айтишники. А значит, не могут учитывать их при построении модели угроз, при создании диаграмм потоков данных в компании, при планировании, в конце концов. А это все как раз и чревато серьезными проблемами.

Вероятность утечки

Самое очевидное. Кто знает, какие подводные камни могут обнаружиться при использовании посторонних инструментов? В любом приложении — облачное оно или локальное — может быть множество неочевидных настроек, отвечающих за конфиденциальность. А сотрудники далеко не все одинаково хорошо разбираются в программном обеспечении. Типичный пример: случаи, когда сотрудники компаний забывали таблицы с персональными данными клиентов среди прочих незакрытых Google-документов, бессчетны.

Также сервисы могут содержать уязвимости, которые позволяют третьим лицам получить доступ к вашим данным. Даже если их создатели и закрывают дырки оперативно, никто не может гарантировать, что все сотрудники скачают и установят патчи для клиентской программы. Также чаще всего никто не готов добровольно брать на себя ответственность за управление правами доступа в таких сервисах (например, отзывом прав при увольнении) — если такая функция вообще предусмотрена авторами. Короче говоря, за сохранность данных, которые передаются или обрабатываются при помощи таких сторонних сервисов, не отвечает никто.

Нарушение требований регуляторов

Сейчас по всему миру существует множество региональных законов, диктующих, как бизнес должен работать с персональными данными. Плюс есть немало отраслевых стандартов на ту же тему. Периодически компании должны проходить аудит, чтобы соответствовать требованиям разнообразных регуляторов. Если во время такого аудита внезапно выяснится, что персональные данные клиентов или сотрудников передаются через ненадежные сервисы, а IT-отдел об этом не имеет ни малейшего понятия, то компания может попасть на внушительный штраф.

Трата бюджета впустую

С точки зрения отдельного сотрудника то, что он использует сторонний инструмент вместо рекомендованного — не страшно. С точки зрения компании это пустая трата денег. IT-отдел ведь закупает лицензии для каждого предполагаемого участника рабочего процесса. Если этими инструментами не пользуются, то, может быть, стоило экономить?

Что делать с Shadow IT

С Shadow IT нужно не бороться, а контролировать. Тогда, возможно, удастся не только повысить уровень защищенности данных вашей компании, но и найти действительно популярные и полезные инструменты, которые можно будет развернуть в масштабах всей компании.

Сейчас, в разгар всеобщей работы из дома, риски, связанные с использованием сторонних приложений и сервисов, возрастают. Сотрудники вынуждены приспосабливаться к новым условиям и часто пытаются найти новые инструменты, которые, по их мнению, будут удобнее для удаленной работы. Поэтому мы добавили в обновленную версию Kaspersky Endpoint Security Cloud дополнительные функции, позволяющие обнаруживать использование сторонних облачных сервисов и приложений. Это дает в руки администраторов дополнительный инструмент контроля.

Более того, версия Kaspersky Endpoint Security Cloud Plus позволяет еще и блокировать использование таких сервисов и приложений. Также, установив этот вариант решения, компания получает еще и доступ к Kaspersky Security для Microsoft Office 365. Это приложение позволяет организовать дополнительный слой защиты вокруг таких компонентов офиса, как Exchange Online, OneDrive, SharePoint Online и Microsoft Teams.

Узнать больше о нашем решении и приобрести его можно на официальной странице Kaspersky Endpoint Security Cloud.

24.04.2020