Che cos'è la shadow IT? Rischi e best practice
La shadow IT comprende le tecnologie utilizzate in azienda senza l'approvazione o l'autorizzazione del team IT centrale. Scoprite in questa guida come funzionano gli attacchi legati alla shadow IT.
I dipendenti potrebbero non essere soddisfatti delle tecnologie o dei flussi di lavoro attuali. Alcuni potrebbero non aver ancora espresso le proprie preoccupazioni sui problemi che si profilano sul lavoro. I rischi della shadow IT non vanno sottovalutati e spesso nascono proprio da questa insoddisfazione. Un dipendente scontento, che teme di parlare apertamente per via della cultura aziendale, potrebbe ricorrere a uno strumento di shadow IT per svolgere il proprio lavoro.
Il motivo? Non vuole contrariarsi il responsabile né far sapere agli altri che i processi attuali sono inefficienti. Ma questa iniziativa personale può creare nuovi rischi senza che se ne renda conto. Il software utilizzato potrebbe contenere codice dannoso oppure essere ancora in fase di prototipo o beta. Questa guida spiega che cos'è la shadow IT nella cybersecurity, come funziona la sicurezza della shadow IT e quali strumenti vi rientrano.
Che cos'è la shadow IT?
A volte gli strumenti di sicurezza e i sistemi IT tradizionali non bastano per svolgere determinate attività. Alcuni dipendenti decidono quindi di usare software e strumenti specializzati non approvati dal team IT centrale. La shadow IT è un problema crescente per le aziende: oltre ad aggirare i controlli, comporta diversi rischi per la sicurezza. Secondo uno studio di Gartner, i dipendenti continueranno a modificare o creare tecnologie che sfuggono alla visibilità dell'IT.
La maggior parte dei rischi di sicurezza della shadow IT è sotto gli occhi di tutti. Eppure spesso passa inosservata e può richiedere molto tempo per essere rilevata. Strumenti SaaS sconosciuti, sistemi legacy ancora in uso nonostante ne sia prevista la dismissione, database ridondanti e condivisione non autorizzata di dati o file o collaborazione su piattaforme non approvate sono esempi di attività di shadow IT in ambienti on-premise, ibridi e multi-cloud.
Cause della shadow IT
La shadow IT può nascere da esigenze lavorative specifiche dei dipendenti, che usano questi strumenti per comodità. Ecco alcune delle cause principali:
- A volte gli strumenti di sicurezza tradizionali e i sistemi IT non sono sufficienti per svolgere determinati compiti. È in questi casi che alcuni dipendenti decidono di utilizzare software e strumenti specializzati non approvati dalle autorità e dai sistemi IT centrali. Lo Shadow IT sta diventando un grosso problema per le aziende non solo perché aggira i limiti, ma anche perché comporta diversi rischi per la sicurezza. Secondo uno studio di Gartner, in futuro i dipendenti continueranno a modificare o creare tecnologie che vanno oltre la visibilità dell'IT.
- Scarsa consapevolezza dei rischi per la sicurezza – Alcuni dipendenti credono sinceramente che questi strumenti non autorizzati siano sicuri. Potrebbero non sapere che gli strumenti di shadow IT possono contenere malware.
- Processi di approvazione lenti – I dipendenti potrebbero stancarsi delle lunghe attese per ottenere l'approvazione di nuovi software o strumenti. Finiscono così per adottare pratiche di shadow IT all'insaputa degli altri membri dell'azienda.
- Vincoli di budget – Alcuni strumenti di shadow IT sono considerati alternative più economiche, senza limiti o restrizioni d'uso, rispetto ai software approvati dall'azienda. Questo spinge i dipendenti a utilizzarli.
Impatto della shadow IT
La shadow IT comporta rischi e pericoli reali che restano nascosti, senza lasciare tracce evidenti.
Ecco alcuni degli effetti delle minacce legate alla shadow IT:
- Gli utenti con accessi non autorizzati possono apportare modifiche critiche a dati sensibili e database dei clienti. Potrebbero persino modificare cartelle cliniche, manomettere informazioni e compromettere le attività quotidiane dell'azienda.
- Le attività di shadow IT possono introdurre codice dannoso in qualsiasi fase del processo di produzione, intenzionalmente o meno. Possono rendere le aziende più vulnerabili agli attacchi zero-day e ransomware. Possono anche violare i firewall e aggirare i sistemi di rilevamento delle intrusioni e gli antivirus.
Come rilevare la shadow IT?
Potete rilevare la shadow IT monitorando e verificando regolarmente la rete. Ecco come:
- Eseguite controlli periodici della rete per individuare applicazioni e servizi non autorizzati in esecuzione
- Monitorate il traffico di rete per individuare trasferimenti di dati insoliti o connessioni sospette – I dipendenti possono sentirsi più a loro agio o produttivi sul posto di lavoro grazie all'uso di strumenti shadow IT. Possono ritenere che queste tecnologie li aiutino a portare a termine i loro compiti in modo più rapido e agevole.
- Analizzate note spese e dati sugli acquisti, se disponibili, per individuare software acquistati senza autorizzazione
- Collegatevi ai vostri provider SSO e ID, come Google Workspace o Azure Active Directory, per tracciare gli utenti delle applicazioni Alcuni dipendenti sono sinceramente ingenui e pensano che questi strumenti non autorizzati siano sicuri. Potrebbero non essere consapevoli del fatto che gli strumenti shadow IT possono contenere malware.
- Distribuite agenti di rilevamento ed estensioni del browser per individuare le applicazioni installate sugli endpoint
- Formate i dipendenti affinché segnalino le nuove applicazioni non approvate che utilizzano – I dipendenti potrebbero stancarsi dei lunghi periodi di attesa per ottenere l'approvazione di software o strumenti approvati per le nuove tecnologie. Ricorrono quindi a pratiche di lavoro shadow IT all'insaputa degli altri membri dell'organizzazione.
- Senza valutazioni periodiche della sicurezza, la shadow IT continuerà a crescere senza essere rilevata
- Monitorate le modalità d'uso del cloud per individuare gli accessi a servizi cloud non autorizzati – Alcuni strumenti shadow IT sono considerati alternative più convenienti, senza limiti o restrizioni d'uso, rispetto al software approvato all'interno dell'organizzazione. Ciò motiva i dipendenti a utilizzarli.
- Prima di implementare qualsiasi piattaforma, create un inventario completo di tutte le applicazioni approvate
- Per ottenere una visibilità completa, dovrete combinare questi metodi
Come prevenire e controllare la shadow IT?
Ecco come prevenire e controllare i rischi della shadow IT:
- Provate i Cloud Security Access Broker (CASB) – I Cloud Security Access Broker (CASB) possono controllare gli accessi alle reti aziendali e alla sicurezza del cloud. Potete usarli per implementare protocolli di crittografia, controlli degli accessi e misure di prevenzione della perdita di dati (DLP) misure. Potete anche prevenire le fughe di dati e garantire la protezione dei dati sensibili, oltre ad applicare le migliori pratiche di sicurezza SaaS utilizzandole.
- Integrate la formazione sulla consapevolezza dello shadow IT e sulla gestione dei rischi – La formazione è necessaria per tutti i dipendenti, indipendentemente dalla loro conoscenza delle pratiche di shadow IT. Quando tutti sono aggiornati sulle ultime innovazioni dello shadow IT, è meno probabile che vengano ingannati o colti di sorpresa. È importante organizzare sessioni di formazione regolari e verificare periodicamente le conoscenze dei dipendenti. Devono anche sapere quali alternative allo shadow IT usare se preferiscono altri strumenti.
Vantaggi dello shadow IT
Gli strumenti di shadow IT offrono alcuni vantaggi agli utenti:
- Ecco alcuni degli impatti delle minacce dello shadow IT:
- Le applicazioni di shadow IT possono semplificare la condivisione dei file e rendere più comoda la messaggistica. Possono accelerare la collaborazione tra i dipendenti e rendere più efficiente la comunicazione tra i reparti.
- Le tecnologie di shadow IT sono molto flessibili e facili da implementare. Potete distribuirle rapidamente e integrarle facilmente. Possono anche risolvere inefficienze nelle prestazioni o colli di bottiglia della vostra organizzazione.
- Gli strumenti di shadow IT sono anche altamente personalizzabili: potete aggiungere o rimuovere funzionalità secondo le vostre esigenze. Non hanno i vincoli dei software pronti all'uso né le regole integrate dei servizi cloud. Alcune tecnologie di shadow IT sono completamente open source e gratuite, quindi riducono anche i costi.
Rischi e sfide dello shadow IT
Ecco alcuni rischi e sfide dello shadow IT:
Mancanza di visibilità
Quando i dipendenti usano strumenti e applicazioni cloud non autorizzati, i reparti IT non sanno cosa accade in background. Perdono visibilità e gestire la sicurezza diventa difficile. L'azienda non riesce più a monitorare gli ultimi aggiornamenti di sicurezza né ad applicare efficacemente misure di sicurezza rigorose.
Scarsa sicurezza dei dati
Gli strumenti di shadow IT possono causare fughe di dati sensibili o la condivisione non sicura dei file. Poiché provengono da fornitori non approvati, non è possibile sapere cosa accada ai dati che archiviano e trasmettono. Questo può causare gravi danni alla reputazione e alle finanze di un'organizzazione.
Crea lacune di conformità
Lo shadow IT può creare nuove lacune di conformità e violare normative esistenti sulla protezione dei dati, come CIS Benchmark, NIST, HIPAA o GDPR. Gli strumenti non autorizzati non seguono sempre gli standard di settore e possono esporre un'azienda a multe, cause legali e altre sanzioni.
Inefficienze e flussi di lavoro frammentati
Le applicazioni di shadow IT non si integrano facilmente nei sistemi IT. Possono frammentare i flussi di lavoro, creare incoerenze nei dati e causare interruzioni operative. Nel lungo periodo, tutto questo può compromettere la produttività dei dipendenti e le prestazioni dell'intera organizzazione.
Migliori pratiche per gestire lo shadow IT
Ecco alcune delle migliori pratiche che potete adottare per gestire lo shadow IT nella vostra organizzazione:
- Esaminate anche i controlli degli accessi e rispettate gli obblighi legali e normativi. Analizzate tutte le transazioni associate alle applicazioni non approvate, confrontate i dati delle transazioni e rilevate i volumi di download e upload per ciascuna applicazione.
- Controllate i parametri di sicurezza e verificate che la vostra organizzazione utilizzi gli standard di crittografia più recenti. Se individuate sistemi privi di patch o aggiornamenti mancanti, intervenite immediatamente. È inoltre consigliabile creare policy dinamiche e granulari per controllare efficacemente il trasferimento dei dati tra applicazione e utente.
- Adottate il principio dell'accesso con privilegi minimi e costruite un'architettura di sicurezza di rete zero trust. Riesaminate periodicamente le vostre policy e raccogliete il feedback degli utenti finali per valutarne l'efficacia.
- Create anche meccanismi di eccezione, utili quando la vostra organizzazione non vuole applicare policy o controlli specifici. Offrono flessibilità senza imporre l'uso di tecnologie e strumenti di shadow IT.
Esempi di shadow IT
Ecco alcuni esempi concreti di shadow IT:
- Vantaggi dello shadow IT
- Scaricare software specializzato senza la previa approvazione dell'organizzazione può introdurre rischi legati allo shadow IT nella rete aziendale. I dipendenti possono anche usare strumenti di progettazione, CRM, software di contabilità e altre applicazioni SaaS non autorizzati, creando problemi di conformità e riducendo il controllo.
- I dipendenti possono usare controlli delle policy di shadow IT per personalizzare le policy di sicurezza esistenti dell'organizzazione senza che il consiglio di amministrazione e gli stakeholder ne siano a conoscenza. Per quanto riguarda le policy BYOD (Bring Your Own Device), possono scegliere di ignorarle e lavorare con laptop, telefoni e tablet personali non gestiti dal reparto IT, introducendo diversi rischi di cybersecurity legati allo shadow IT.
Conclusioni
Ecco come prevenire lo shadow IT e bloccare l'uso di questi strumenti e tecnologie nella vostra organizzazione. Non tutto lo shadow IT è negativo, ma nella maggior parte dei casi può rivelarsi dannoso. Dipende dalle esigenze della vostra organizzazione, dallo stato d'animo dei dipendenti e dalle prestazioni di tutti.
Una comunicazione trasparente è fondamentale per il successo nel tempo: incoraggiate quindi un dialogo aperto. Potete anche creare canali di segnalazione anonimi per i dipendenti che vogliono esprimere le proprie preoccupazioni ma temono di farlo. Avranno così uno spazio per condividere ciò che pensano senza ricorrere allo shadow IT.
Rischi e sfide dello Shadow IT
Ecco alcuni dei rischi e delle sfide dello Shadow IT:
Mancanza di visibilità
I reparti IT non sanno cosa succede dietro le quinte quando i dipendenti utilizzano strumenti non autorizzati e app basate sul cloud. Perdono il controllo e diventa difficile gestire la sicurezza. L'azienda perde la possibilità di monitorare gli ultimi aggiornamenti di sicurezza e non può applicare misure di sicurezza rigorose in modo efficace.
Scarsa sicurezza dei dati
Gli strumenti di shadow IT possono causare fughe di dati sensibili o condivisione di file non sicura. Poiché questi strumenti sono creati da fornitori non approvati, non si può sapere cosa può accadere ai dati che vengono memorizzati e trasmessi da essi. Ciò può potenzialmente causare gravi danni alla reputazione e alle finanze di un'organizzazione.
Crea lacune di conformità
Lo Shadow IT può creare nuove lacune di conformità e violare le normative esistenti in materia di protezione dei dati come CIS Benchmark, NIST, HIPAA o GDPR. Gli strumenti non autorizzati non sempre seguono gli standard del settore e possono rendere un'azienda più soggetta a multe, cause legali e altre sanzioni.
Inefficienze e flussi di lavoro frammentati
Le app di Shadow IT non si integrano facilmente nei sistemi IT. Possono causare flussi di lavoro frammentati, incongruenze nei dati e interruzioni operative. In definitiva, tutto ciò può influire sulla produttività dei dipendenti e, a lungo termine, sull'organizzazione nel suo complesso.
Best practice per la gestione dello Shadow IT
Ecco alcune delle best practice che è possibile implementare per gestire lo Shadow IT nella propria organizzazione:
- Esaminate e sottoponete a verifica tutti gli account utente presenti all'interno delle organizzazioni, esaminate anche l'utilizzo delle applicazioni SaaS e verificate che siano in linea con i requisiti di utilizzo e tolleranza al rischio della vostra organizzazione.
- Dovreste anche esaminare i controlli di accesso e rimanere in linea con gli obblighi di conformità legale e normativa. Esaminare tutte le transazioni associate ad applicazioni non autorizzate, effettuare un'analisi comparativa dei dati delle transazioni e prendere nota dei volumi di download e upload tra di esse.
- Controllare i parametri di sicurezza e verificare se l'organizzazione utilizza gli standard di crittografia più recenti. Inoltre, se vi sono segni di sistemi non aggiornati o mancanza di aggiornamenti, intervenire immediatamente. Si consiglia inoltre di creare politiche dinamiche e renderle granulari in modo da poter controllare efficacemente il trasferimento di dati tra l'app e l'utente.
- Adottare il principio dell'accesso con privilegi minimi e costruire un'architettura di sicurezza di rete zero-trust. Rivedere periodicamente le politiche e raccogliere il feedback degli utenti finali per verificarne l'efficacia.
- Inoltre, create meccanismi di eccezione che possano rivelarsi utili quando la vostra organizzazione non desidera applicare politiche o controlli specifici. Ciò garantirà flessibilità e non renderà obbligatorio l'uso di tecnologie e strumenti di shadow IT.
Esempi di shadow IT
Ecco alcuni esempi di shadow IT in azione:
- App di terze parti come Discord, Telegram, Signal e Slack possono essere utilizzate per crittografare le comunicazioni e diffondere la condivisione non autorizzata di file. Le organizzazioni non possono tracciare i flussi di informazioni attraverso questi servizi né monitorarli.
- Il download di software specializzati senza la previa approvazione dell'organizzazione può introdurre rischi di shadow IT all'interno della rete aziendale. I dipendenti possono anche utilizzare strumenti di progettazione shadow IT, CRM, account e altre app SaaS che possono creare problemi di conformità e mancanza di controllo.
- I dipendenti possono avvalersi dei controlli delle politiche IT ombra e personalizzare le politiche di sicurezza esistenti di un'organizzazione con essi, all'insaputa dei membri del consiglio di amministrazione e delle parti interessate. Quando si tratta di politiche BYOD (Bring Your Own Device), possono scegliere di ignorarle e lavorare utilizzando i propri laptop, telefoni e tablet personali, che non sono gestiti dal reparto IT e introducono diversi rischi di sicurezza informatica legati allo shadow IT.
Cybersicurezza alimentata dall'intelligenza artificiale
Elevate la vostra posizione di sicurezza con il rilevamento in tempo reale, la risposta automatica e la visibilità totale dell'intero ambiente digitale.
Conclusione
Ecco come prevenire lo shadow IT e impedire l'uso di questi strumenti e tecnologie nella vostra organizzazione. Non stiamo dicendo che tutto lo shadow IT sia negativo, ma nella maggior parte dei casi può rivelarsi dannoso. Tutto dipende dalle esigenze della vostra organizzazione, dallo stato mentale dei vostri dipendenti e dalle prestazioni di ciascuno.
Una comunicazione trasparente è la chiave per un successo duraturo, motivo per cui dovreste incoraggiare un feedback aperto. Potete anche creare canali di segnalazione anonimi per i dipendenti che desiderano esprimere le loro preoccupazioni ma hanno troppa paura. Questo darà loro la possibilità di esprimere ciò che pensano senza dover ricorrere a pratiche di shadow IT.
Domande frequenti
Lo shadow IT comprende qualsiasi software, hardware o servizio digitale usato senza che il vostro reparto IT ne sia a conoscenza o lo abbia approvato. Si verifica quando i dipendenti creano account cloud, scaricano applicazioni o usano dispositivi personali per lavorare. Aggirano i canali ufficiali per completare le attività più velocemente. Quando accade, la vostra organizzazione perde visibilità e controllo sulla destinazione dei dati aziendali e sulle modalità di accesso. Non potete proteggere ciò di cui ignorate l'esistenza.
Una policy per lo shadow IT stabilisce regole chiare sull'uso di tecnologie non autorizzate nella vostra organizzazione. Definisce quali strumenti possono usare i dipendenti, come richiedere nuovo software e quali sono le conseguenze del mancato rispetto delle regole. Potete adottare un approccio a livelli in base al rischio – approvazione rapida per gli strumenti a basso rischio, interventi correttivi per quelli a medio rischio e divieto immediato per quelli ad alto rischio. Una buona policy dovrebbe prevedere un periodo di tolleranza in cui i dipendenti possano dichiarare gli strumenti di shadow IT già in uso senza subire sanzioni.
Lo shadow IT crea gravi lacune di sicurezza nella vostra rete. Quando i dipendenti usano strumenti non approvati, espongono i dati sensibili a potenziali violazioni. Non potete applicare patch né monitorare ciò di cui ignorate l'esistenza. Se nella vostra organizzazione è presente shadow IT, dovrete affrontare costi più elevati per le violazioni dei dati – circa 4,24 milioni di dollari in media. Può anche causare violazioni di normative come GDPR, HIPAA e PCI-DSS, con conseguenti sanzioni e multe severe.
I dipendenti ricorrono allo shadow IT quando gli strumenti ufficiali non soddisfano le loro esigenze. Cercano alternative più rapide e semplici quando il software approvato risulta macchinoso o obsoleto. Se i processi di approvazione IT sono rigidi, li aggirano per evitare ritardi. Quando il personale non riesce a lavorare in modo efficiente con gli strumenti autorizzati, trova delle alternative. Questo comportamento aumenta quando il lavoro da remoto richiede strumenti immediati o quando ai dipendenti servono funzionalità assenti nelle opzioni approvate dall'azienda.
Lo shadow IT si manifesta in molte forme nella vostra organizzazione. I dipendenti usano account Google Drive o Dropbox personali per condividere file di lavoro. Creano carichi di lavoro cloud non autorizzati usando credenziali personali. Se controllate i loro dispositivi, potreste trovare app di messaggistica non approvate come WhatsApp o account Zoom non autorizzati. Acquistano abbonamenti SaaS al di sotto delle soglie di acquisto dell'IT. Potreste anche trovare dipendenti che usano strumenti di produttività come Trello o Asana senza l'approvazione dell'IT.
Potete individuare lo shadow IT con strumenti di rilevamento degli asset che eseguono scansioni regolari della vostra rete. Vi aiutano a trovare applicazioni e servizi cloud non autorizzati. Monitorando il traffico di rete, individuate schemi anomali che segnalano l'uso dello shadow IT. Implementate strumenti automatizzati di rilevamento dei servizi cloud che identificano gli accessi dei dipendenti a servizi non approvati. Verifiche periodiche dell'inventario identificano i dispositivi personali che accedono ai dati aziendali. Monitorate costantemente le applicazioni SaaS ad alto rischio per tracciare le modalità di accesso.
Create processi di approvazione chiari e semplici per le nuove tecnologie. Con un percorso rapido per gli strumenti a basso rischio, i dipendenti non aggireranno il reparto IT. Chiedete al personale perché usa strumenti non autorizzati e colmate le lacune. Offrite alternative sicure che soddisfino le loro esigenze – se usano un'applicazione di messaggistica non approvata, proponete Microsoft Teams o Slack. Formate i dipendenti sui rischi di sicurezza senza punirli quando segnalano casi di shadow IT.
Il vostro reparto IT guida la gestione della shadow IT, ma non può farcela da solo. Ha bisogno del supporto dei responsabili di reparto, che devono far rispettare le policy. Se vi occupate di sicurezza, monitorate le reti e implementate strumenti di rilevamento. La dirigenza dovrebbe destinare risorse e sostenere la definizione delle policy. Avete bisogno che i dipendenti si assumano la responsabilità di segnalare gli strumenti non autorizzati che utilizzano. Quando tutti collaborano, create una cultura in cui la shadow IT diventa visibile anziché restare nascosta.
La shadow IT mette seriamente a rischio la vostra conformità. Quando i dati transitano attraverso canali non autorizzati, non rispetterete i requisiti di normative come GDPR, HIPAA e SOX. Se le informazioni sui clienti si trovano in sistemi shadow, non potete applicare controlli degli accessi o misure di crittografia adeguati. Il vostro framework di governance dei dati non regge quando i dati shadow sfuggono alla gestione centralizzata. Dovreste preoccuparvi soprattutto delle copie di dati dimenticate negli ambienti di sviluppo o nelle applicazioni dismesse che contengono informazioni sensibili.
Scopri di più su Sicurezza informatica
Scopri la piattaforma di cybersecurity più avanzata
Scopri come la piattaforma di cybersecurity autonoma e più intelligente al mondo può proteggere la tua organizzazione oggi e in futuro.
