Jak zarządzać zagrożeniami cyberbezpieczeństwa związanymi z shadow IT?

Katgoria: BEZPIECZEŃSTWO IT / Utworzono: 04 listopad 2021

BEZPIECZEŃSTWO IT

Podczas pandemii wiele organizacji priorytetowo traktuje ciągłość biznesową kosztem cyberbezpieczeństwa, zwłaszcza w pierwszej fazie lockdownu skupiając się na szybkim przechodzeniu w tryb pracy zdalnej i poszukiwaniu nowych sposobów docierania do klientów. Efektem zmian jest narastające zjawisko shadow IT, czyli wykorzystywania niezatwierdzonego przez pracodawcę czy dział bezpieczeństwa IT sprzętu i oprogramowania.

REKLAMA

To realny problem, z którym możemy zetknąć się praktycznie w każdej organizacji prywatnej czy publicznej. W nowej rzeczywistości pracy hybrydowej powstała dodatkowa przestrzeń dla rozwoju shadow IT a tym samym wzrosło ryzyko ataków nowymi kanałami – ostrzega ekspert ESET.

Sytuację pogarsza rozluźnianie polityki bezpieczeństwa IT. Według 76 procent zespołów IT uczestniczących w badaniu Hewlett Packard, w pandemicznej rzeczywistości bezpieczeństwo w ich organizacji straciło priorytet na rzecz ciągłości biznesowej, a 91 procent twierdzi, że odczuwa presję, by rozluźniać polityki bezpieczeństwa.

Czym jest shadow IT?

Zjawisko shadow IT istnieje od lat. Termin ten odnosi się do używanych przez pracowników bez zgody i kontroli działu IT lub pracodawcy aplikacji, oprogramowania lub podłączonego do firmowej sieci sprzętu. Najczęściej są to urządzenia i oprogramowanie dla użytkowników indywidualnych, które używane w środowisku firmowym mogą narazić organizację na dodatkowe ryzyko w obszarze cyberbezpieczeństwa.

Zjawisko shadow IT zwykle pojawia się, gdy pracownicy mają dość nieefektywnych korporacyjnych narzędzi informatycznych, które ich zdaniem blokują produktywność lub proces pracy (tzw. workflow) jest zaburzony. Wraz z pandemią wiele organizacji zostało zmuszonych do umożliwienia pracownikom korzystania z urządzeń prywatnych do wykonywania pracy w domu. To otworzyło drzwi do pobierania i wykorzystywania niezatwierdzonych aplikacji na telefonach i komputerach – mówi Beniamin Szczepankiewicz, starszy specjalista ds. cyberbezpieczeństwa w ESET.

Pandemia wzmacnia zjawisko shadow IT także ponieważ zespoły IT – za sprawą zdalnego trybu pracy – mogą być w mniejszym stopniu dostępne dla pracowników i proces weryfikacji może trwać o wiele dłużej. Utrudnia to sprawdzanie nowych narzędzi przed ich użyciem w ramach firmowej sieci i może przyczyniać się do łamania obowiązującej polityki bezpieczeństwa.

Chociaż rozpowszechniony w czasie pandemii trend „Bring your own device” (BYOD), czyli wykorzystywanie prywatnych urządzeń do celów służbowych, może częściowo wyjaśniać ryzyko związane z shadow IT, nie jest to pełen obraz problemu. Zagrożenie związane jest także z hostowaniem firmowych zasobów na prywatnych dyskach chmurowych, np. Dropbox itp. Problemem jest brak zrozumienia przez pracowników istoty problemu jakim jest przechowywanie na przykład firmowych dokumentów lub kontaktów w prywatnych serwisach. Zagrożeniem jest założenie, że dostawca usług dba o bezpieczeństwo zasobów na tym samym poziomie jak w organizacji, w której pracujemy. W rzeczywistości zabezpieczenie aplikacji i danych zależy od pracownika. A dział bezpieczeństwa IT nie może chronić zasobów shadow IT, gdy ich nie widzi – przestrzega Beniamin Szczepankiewicz z ESET.

Sytuację pogarsza rozluźnienie polityki bezpieczeństwa IT, która w czasach pandemii koronawirusa ma miejsce w wielu firmach. Choć 83 proc. przebadanych przez Hewlett Packard specjalistów z działów IT uważa pracę zdalną za tykającą bombę dla zagrożeń sieci, to jednocześnie 76 proc. przyznało, że podczas pandemii bezpieczeństwo straciło priorytet na rzecz ciągłości biznesowej, a 91 procent twierdzi, że odczuwa presję, by rozluźniać politykę bezpieczeństwa.

Dlaczego shadow IT jest groźne?

Nie ma wątpliwości, że zjawisko shadow IT stanowi zagrożenie dla organizacji. Potencjalne ryzyko może obejmować następujące aspekty:

brak kontroli działu IT oznacza, że używane przez pracowników oprogramowanie może zostać źle skonfigurowane lub zabezpieczone zbyt słabymi hasłami, co wzmaga zagrożenie cyberatakami  brak stosowania firmowych rozwiązań przeciw złośliwemu oprogramowaniu lub innych narzędzi zabezpieczających zasoby sieci korporacyjnych
brak kontroli nad przypadkowymi lub celowymi przypadkami wycieku lub udostępniania danych
narażenie na utratę danych spowodowane brakiem firmowych procedur tworzenia kopii zapasowych dla aplikacji i narzędzi shadow IT
wyzwania w zakresie procedur compliance i audytu
szkody finansowe i wizerunkowe dla organizacji wynikające z poważnych naruszeń polityki bezpieczeństwa i wycieków danych.

Jak przeciwdziałać negatywnym skutkom shadow IT?

Pierwszym krokiem jest świadomość skali zagrożeń wynikających dla organizacji za sprawą shadow IT. Zdaniem ekspertów ESET ograniczeniu potencjalnego ryzyka pomóc może również:

wdrożenie kompleksowej polityki postępowania z shadow IT, która będzie między innymi zawierać listę zatwierdzonego i niezatwierdzonego w organizacji oprogramowania i sprzętu oraz jasno określony proces ubiegania się o zgodę na użycie rozwiązań spoza listy
szkolenie pracowników z zakresu potencjalnego wpływu shadow IT na cyberbezpieczeństwo
wsłuchiwanie się w opinie pracowników nt. skuteczności stosowanych w organizacji narzędzi oraz dostosowanie zasad, które zapewnią bezpieczeństwo i wygodę pracy
korzystanie z narzędzi monitorujących wykorzystywanie shadow IT w organizacji - narzędzi oraz niebezpiecznego zachowania.

Źródło: Eset

Najnowsze wiadomości

Kwantowy przełom w cyberochronie - nadchodząca dekada przepisze zasady szyfrowania na nowo

Przez długi czas cyfrowe bezpieczeństwo opierało się na prostym założeniu: współczesne komputery potrzebowałyby ogromnych zasobów i wielu lat, aby złamać silne algorytmy szyfrowania. Rozwój technologii kwantowej zaczyna jednak tę regułę podważać, a eksperci przewidują, że w perspektywie 5–10 lat może nadejść „dzień zero”. Jest to moment, w którym zaawansowana maszyna kwantowa będzie w stanie przełamać większość aktualnie stosowanych zabezpieczeń kryptograficznych w czasie liczonym nie w latach, lecz w godzinach.

Czytaj całość

PSI prezentuje nową identyfikację wizualną

W ramach realizowanej strategii transformacji PSI Software SE zaprezentowała nową identyfikację wizualną. Odświeżony wizerunek w spójny sposób oddaje technologiczne zaawansowanie firmy, jej głęboką wiedzę branżową oraz silne ukierunkowanie na potrzeby klientów. Zmiany te wzmacniają pozycję PSI jako innowacyjnego lidera technologicznego w obszarze skalowalnych rozwiązań informatycznych opartych na sztucznej inteligencji i chmurze, rozwijanych z myślą o energetyce i przemyśle.

Czytaj całość

PROMAG S.A. rozpoczyna wdrożenie systemu ERP IFS Cloud we współpracy z L-Systems

PROMAG S.A., lider w obszarze intralogistyki, rozpoczął wdrożenie systemu ERP IFS Cloud, który ma wesprzeć dalszy rozwój firmy oraz integrację kluczowych procesów biznesowych. Projekt realizowany jest we współpracy z firmą L-Systems i obejmuje m.in. obszary finansów, produkcji, logistyki, projektów oraz serwisu, odpowiadając na rosnącą skalę i złożoność realizowanych przedsięwzięć.

Czytaj całość

F5 rozszerza portfolio bezpieczeństwa o narzędzia do ochrony systemów AI w środowiskach enterprise

F5 ogłosiło wprowadzenie dwóch nowych rozwiązań - F5 AI Guardrails oraz F5 AI Red Team - które mają odpowiedzieć na jedno z kluczowych wyzwań współczesnych organizacji: bezpieczne wdrażanie i eksploatację systemów sztucznej inteligencji na dużą skalę. Nowa oferta łączy ochronę działania modeli AI w czasie rzeczywistym z ofensy

Czytaj całość

Snowflake + OpenAI: AI bliżej biznesu

Snowflake przyspiesza wykorzystanie danych i sztucznej inteligencji w firmach, przenosząc AI z fazy eksperymentów do codziennych procesów biznesowych. Nowe rozwiązania w ramach AI Data Cloud integrują modele AI bezpośrednio z danymi, narzędziami deweloperskimi i warstwą semantyczną. Partnerstwo z OpenAI, agent Cortex Code, Semantic View Autopilot oraz rozwój Snowflake Postgres pokazują, jak budować skalowalne, bezpieczne i mierzalne wdrożenia AI w skali całej organizacji.

Czytaj całość

RAPORT ERP

Katalog rozwiązań IT

Katalog firm

Najnowsze artykuły

Magazyn bez błędów? Sprawdź, jak system WMS zmienia codzienność logistyki

Współczesna logistyka wymaga nie tylko szybkości działania, lecz także maksymalnej precyzji – to właśnie te czynniki coraz częściej decydują o przewadze konkurencyjnej firm. Nawet drobne pomyłki w ewidencji stanów magazynowych, błędy przy przyjmowaniu dostaw czy nieprawidłowe rozmieszczenie towarów, mogą skutkować poważnymi stratami finansowymi i opóźnieniami w realizacji zamówień. W jaki sposób nowoczesne rozwiązania do zarządzania pomagają unikać takich sytuacji? Czym właściwie różni się tradycyjny system magazynowy od zaawansowanych rozwiązań klasy WMS (ang. Warehouse Management System)? I w jaki sposób inteligentne zarządzanie procesami magazynowymi realnie usprawnia codzienną pracę setek firm?

Czytaj całość

Migracja z SAP ECC na S4 HANA: Ryzyka, korzyści i alternatywne rozwiązania

W ostatnich latach wiele firm, które korzystają z systemu SAP ECC (Enterprise Central Component), stoi przed decyzją o przejściu na nowszą wersję — SAP S4 HANA. W obliczu końca wsparcia dla ECC w 2030 roku, temat ten staje się coraz bardziej aktualny. Przemiany technologiczne oraz rosnące oczekiwania związane z integracją nowych funkcji, jak sztuczna inteligencja (AI), skłaniają do refleksji nad tym, czy warto podjąć tak dużą zmianę w architekturze systemu. Przyjrzyjmy się głównym powodom, dla których firmy rozważają migrację do S4 HANA, ale także argumentom, które mogą przemawiać za pozostaniem przy dotychczasowym systemie ECC, przynajmniej na krótki okres.

Czytaj całość

Jak maksymalizować zyski z MTO i MTS dzięki BPSC ERP?

Zysk przedsiębiorstwa produkcyjnego zależy nie tylko od wydajności maszyn, ale przede wszystkim od precyzyjnego planowania, realnych danych i umiejętnego zarządzania procesami. Dlatego firmy, które chcą skutecznie działać zarówno w modelu Make to Stock (MTS), jak i Make to Order (MTO), coraz częściej sięgają po rozwiązania klasy ERP, takie jak BPSC ERP.

Czytaj całość

Ponad połowa cyberataków zaczyna się od błędu człowieka

Ponad 2/3 firm w Polsce odnotowała w zeszłym roku co najmniej 1 incydent naruszenia bezpieczeństwa . Według danych Unit 42, zespołu analitycznego Palo Alto Networks, aż 60% ataków rozpoczyna się od działań wymierzonych w pracowników – najczęściej pod postacią phishingu i innych form inżynierii społecznej . To pokazuje, że w systemie ochrony organizacji pracownicy są kluczowym ogniwem – i że firmy muszą nie tylko edukować, ale też konsekwentnie egzekwować zasady cyberhigieny. Warto o tym pamiętać szczególnie teraz, w październiku, gdy obchodzimy Europejski Miesiąc Cyberbezpieczeństwa.

Czytaj całość

MES - holistyczne zarządzanie produkcją

Nowoczesna produkcja wymaga precyzji, szybkości i pełnej kontroli nad przebiegiem procesów. Rosnąca złożoność zleceń oraz presja kosztowa sprawiają, że ręczne raportowanie i intuicyjne zarządzanie coraz częściej okazują się niewystarczające. Firmy szukają rozwiązań, które umożliwiają im widzenie produkcji „na żywo”, a nie z opóźnieniem kilku godzin czy dni. W tym kontekście kluczową rolę odgrywają narzędzia, które porządkują informacje i pozwalają reagować natychmiast, zamiast po fakcie.

Czytaj całość