זה נשמע מרושע.
לאחרונה, ייתכן ששמתם לב למונח חדש בחוגי ה-IT או בפורומים שלכם. זה אולי מעלה תמונות של איומי "כובע שחור" מבחוץ, אבל "IT צל" הוא דאגה פנימית שמצטברת בשקט בחברות במהלך השנים האחרונות. זוהי בעיה שלא ניתן להתייחס אליה בקלות ראש.
הפורמלי הגדרה זה פשוט. צל-IT נוצר כאשר מערכות תוכנה נפרסות על ידי מחלקות או אנשים שאינם מחלקת ה-IT. תשתית לא מנוהלת זו עוקפת את כל אמצעי ההגנה והמדיניות שמחלקות ה-IT יישמו כדי להגן על נתוני העסק הקריטיים שלהן.
מערכות מידע צלליות (Shadow IT) הופכות לבעיה משמעותית יותר ויותר עבור עסקים מודרניים, שכן הן בונות תלות בתוכנה כשירות (SaaS) ובאפליקציות ענן. הארגון שלכם צריך להבין את היקף הפגיעות של מערכות מידע צלליות וכיצד להתמודד איתה.
אם לא, עלולות להיווצר השלכות בצורה של:
זהו תרחיש סיוט פוטנציאלי לכל עסק, וסביר להניח שבעיית ה-Shadow IT גדלה באופן בלתי נראה כבר מספר שנים. לפני שנעמיק בבעיות וכיצד ניתן לצמצם אותן, בואו נדגיש כיצד הגענו לנקודה זו.
כשמסתכלים צעד אחורה, צל-IT אינו מושג חדש. בעבר, זה היה יכול להיות שרת לא מורשה מוסתר מתחת לשולחן או מכונה וירטואלית שהפעילה שרת שיתוף קבצים פרטי של מישהו. עם זאת, מחלקות ה-IT עדיין שלטו בפריסת התוכנה והיו להן אמצעי הגנה להגנה על נתונים קריטיים לעסקים.
זה השתנה באופן דרמטי היום, כאשר SaaS הפך לכלי הדומיננטי עבור עסקים רבים. כל מחלקה, ובמקרים רבים, אנשים פרטיים, מקימה את הכלים שלה. מורשים ולא מורשים.
על פי "מצב ה-SaaSOps לשנת 2023"דו"ח, בשנת 2015, חברה ממוצעת הסתמכה על שמונה יישומי SaaS. בשנת 2022, המספר הממוצע של יישומי SaaS שהיו בשימוש גדל ליותר מ-130.
זוהי עלייה של 1525% בשבע שנים בלבד.
ואלה רק היישומים שאתם מכירים. הסיבות לעלייה הזו פשוטות. כלי SaaS הפכו לצרכניים וידידותיים להפליא למשתמש עבור קהל שאינו טכני. הם דורשים מעט ידע, אם בכלל, כדי להגדיר אותם, ועובדים משתמשים בהם בכל מקום בו הם יכולים לגשת לחיבור אינטרנט.
האימוץ הגורף של SasS ענה על הרצון ליעילות וחדשנות בעסקים של ימינו. עם זאת, הדחיפה המהירה לענן יצרה סיכונים חדשים וחששות אבטחה. הנה סקירה של כמה סכנות:
כאשר עובדים משתמשים ביישומים לא מאושרים, כלים אלה עלולים לעקוף את תקני האבטחה של הארגון שנקבעו, כמו בקרות גישה, אימות משתמשים ופרוטוקולי אבטחת רשת. זוהי דאגה בעיקר כאשר עובדים מתחילים לשלב יישומים. זה מגביר את הפגיעויות שבהן נתונים רגישים בכלים מרובים חשופים לפריצות פוטנציאליות, דליפות, איומים זדוניים או אירועים מקריים.
תעשיות רבות כפופות לתקנים רגולטוריים מחמירים (כמו GDPR, HIPAA וכו'). מערכות מידע צלליות יכולות ליצור נקודות עיוורות בנוגע לציות, שבהן הארגון מפר את התקנות הללו מבלי דעת עקב טיפול לקוי בנתונים או באחסון. זה כמו הפרת החוק בטעות כי לא ראיתם את השלט - בורות אינה הגנה.
מחלקות IT בדרך כלל מוודאות שהנתונים מוצפנים ומאוחסנים בצורה מאובטחת. מערכות מידע צלליות יוצרות לעתים קרובות סביבות שלא הוגדרו כראוי. זה יוצר חולשה באסטרטגיות אבטחת המידע שלכם, מכיוון שהאנשים המנהלים את הכלים הללו צריכים לרכוש את הכישורים והניסיון המתאימים. עולם ה-ShadowIT מגביר את הסיכונים של נתונים שנפרצים.
הפעלת יתירות ובניית אסטרטגיות שחזור עבור יישומי ענן גדולים כמו AWS נפוצים כיום. עם זאת, יישומי SaaS הם סיפור אחר. רוב יישומי ה-SaaS לציין באותיות הקטנות שהם אינם אחראים לנתונים שנוצרו על ידי המשתמש שלך ואינם מספקים את התשתית לגיבוי או שחזור נכון של הנתונים. במילים אחרות, לא ניתן לשחזר נתונים עסקיים קריטיים אם הם אובדים או נמחקים עקב חוסר ריכוזיות ב-Shadow IT.
ללא ניהול נכון או הבנה וביקורת של הנתונים הנמצאים בתוך אפליקציה, עובדים עלולים לשתף בטעות מידע רגיש או סודי דרך ערוצים לא מאובטחים, מה שמגדיל את הסיכון לדליפות נתונים. משתמשים שאינם טכניים בדרך כלל לא חושבים על נתונים בהקשר זה. הם גם לא שוקלים הרשאות שיתוף ברירת מחדל או את ההשלכות של מתן נראות רבה מדי לכלי. אובדן הניהול המרכזי, שבדרך כלל מטופל על ידי מחלקות IT, פירושו שמידע פרטי עלול להפוך באופן בלתי צפוי לנחלת הכלל.
בעיות ה-Shadow IT מדאיגות, אך ישנן גישות בהן נוכל לנקוט כדי להתמודד איתן. היתרונות של שימוש בתוכנה מקוונת ברחבי הארגון הם אמיתיים ומושכים מאוד. התשובה אינה להפעיל לחץ על אנשים בתוך הארגון ולהגביל את השימוש. הדרך הטובה יותר היא לבנות אסטרטגיות כדי לצמצם בעיות ביעילות לפני ואחרי שהן מגיעות.
ראשית, אתם יכולים לנהל רק את מה שאתם יודעים שקיים. הצעד הראשון הוא לבצע ביקורת ולמפות את הנוף של יישומי ה-SaaS הנמצאים כעת בשימוש. אם אין לכם תוכנית ניהול נכסי IT, סביר להניח שתצטרכו להתחיל לבנות אחת. לאטלסיאן יש... פריימר נהדר על איך לגשת לזה.
כלי ניהול נכסי IT שונים גם עוזרים לכם לחשוף את כל התוכנות והיישומים בארגון שלכם. זה כמו להשתמש בגלאי מתכות כדי למצוא אוצרות נסתרים (או סכנות) בחצר האחורית שלכם. כלים אלה נותנים לכם תמונה מקיפה של הנוף הדיגיטלי שלכם, מה שמקל על זיהוי אפליקציות לא מורשות. עליכם להבין מה נמצא בשימוש וכיצד תוכלו להגן כראוי על העסק יחד.
חשבו על זה כסביבה שבה אבטחה היא בראש סדר העדיפויות של כולם. אתם רוצים לעודד דיונים פתוחים על הכלים והפתרונות בהם משתמשים העובדים כדי לבצע את עבודתם ביעילות. זה לא עניין של שיטור אנשים. זה עניין של פיתוח הבנה משותפת.
אלה יכולים לנוע בין סדנאות ועד לעדכונים שוטפים בדוא"ל בנוגע לסיכונים מתמשכים או חדשים. ב-Rewind, כל העובדים עוברים הכשרה חודשית למודעות אבטחה כיצד להשתמש בכלי SaaS בצורה בטוחה. המטרה היא לחנך את העובדים שלכם, להעצים אותם להיות חלק מהפתרון, לא מהבעיה.
עליכם גם לקבוע את כללי המשחק בעת שימוש בכלי SaaS. פתחו מדיניות והנחיות ברורות לרכישה ושימוש בכל התוכנות והיישומים. שיתוף פעולה עם צוותים בתרגיל זה הוא גם דרך מצוינת להפיץ מודעות וליצור תחושת בעלות הדדית. אתם רוצים להימנע מלהישמע כמו הורים נוקשים. עדיף להנחות את הצוות שלכם לגבי מה מקובל ומה לא.
לכלי SaaS יש מגבלות אחריות במסגרת התנאים וההגבלות שלהם. רובם מצהירים שלא יוכלו לשחזר את הנתונים שאבדו במקרה של מתקפה זדונית, התנגשות נתונים או תאונה שיזמה המשתמש. כמעט בכל מקרה, הבטחת עמידות הנתונים היא אחריות משותפת בין ספקי SaaS למשתמשים בכלי SaaS. חובה משותפת זו חשובה יותר לטפל בה עם העלייה ב-Shadow IT, מכיוון שצוותי IT מרכזיים אינם עוד אחראים לנזקים כאשר מתרחש אסון.
אסטרטגיית שחזור נתונים (DRS) היא תוכנית להגנה על נתונים עסקיים חיוניים, לרוב שילוב של משימות ידניות ואוטומטיות. אם משהו משתבש, כמו מחיקות בשוגג או מתקפת כופר, ה-DRS הוא התוכנית שלך לחזור במהירות לפעילות. תוכנית חזקה כוללת הוראות ברורות לשחזור מערכות ונתונים, כך שלא תצטרך לבזבז זמן במחשבה על הצעדים הבאים.
אסטרטגיות ידניות יותר שאינן מתחשבות באופי המשותף של אחריות על נתונים נמצאות בסיכון להשפיע לרעה על העסק. גיבוי פִּתָרוֹן יעזור להגן על הארגון שלך מפני אובדן פוטנציאלי של זמן, נתונים ומוניטין, עם יכולות חזקות משמעותית יותר להשגת הנתונים הנכונים תוך דקות מכל נקודת זמן.
למרות שאנשי IT רבים ראו את עליית ה-Shadow IT, זהו מושג שתפס עסקים רבים בהפתעה. החדשות הטובות הן שתכנית נכונה תוכל למתן את הבעיות נגרם כתוצאה מכך שיש עשרות יישומי SaaS משולבים ברחבי ארגון.
ניהול מקיף של נכסי IT, עידוד דיאלוג פתוח בנוגע לצורכי תוכנה וקביעת הנחיות ברורות חיוניים להפחתת הסיכונים הכרוכים ב-Shadow IT. ותמיד זכרו, כאשר כל השאר נכשל, אסטרטגיית שחזור נתונים חזקה תבטיח שהעסק שלכם יישאר עמיד כאשר הבלתי נמנע קורה. גישה פרואקטיבית מאפשרת לארגונים לרתום את העוצמה של כלי SaaS תוך שמירה על שליטה בסביבת הענן והנתונים שלהם.
