آنچه در این مقاله می‌خوانید
فناوری اطلاعات در سایه یا Shadow IT اصطلاحی است مخصوص زمانی که کارکنان بدون اطلاع یا مجوز بخش‌های فناوری اطلاعات از برنامه‌های کاربردی SaaS استفاده می‌کنند و یا به آنها دسترسی دارند؛ چنین برنامه‌هایی اصولاً خراب یا آسیب‌زا نیستند. به‌طور کلی فناوری اطلاعات در سایه به این معناست که برنامه‌ای خارج از سیاست‌های IT استفاده می‌شود و خطراتی را برای سازمان به‌همراه دارد.
ظهور فناوری اطلاعات در سایه (Shadow IT)
کاربران نهایی سازمان‌ها تا پیش از ظهور خدمات ابری تنها می‌توانستند به برنامه‌هایی دسترسی داشته باشند که بخش فناوری اطلاعات در اختیارشان قرار می‌داد. این بخش، نرم‌افزارها را برای کل سازمان تهیه و مدیریت می‌کرد و همچنین وظیفه کنترل مجوزها، به‌روزرسانی نرم‌افزارها، تنظیم حقوق دسترسی و سیاست‌های امنیتی را بر عهده داشت.
کاربران با ظهور فناوری جدید برنامه‌های خودخدمت که از جانب فضای ابری و فروشگاه‌های برنامه میسر شده است، دیگر محدود به برنامه‌های تأییدشده در بخش فناوری اطلاعات نیستند. در عوض آنها می‌توانند ابزارهایی را انتخاب کنند که انجام کارهایشان را ساده‌تر یا کارآمدتر می‌سازد.
علت وقوع فناوری اطلاعات در سایه
فناوری اطلاعات در سایه (Shadow IT) معمولاً زمانی اتفاق می‌افتد که کارمندی از سازمان وظیفه خاصی بر عهده دارد و آن را به روش خود انجام می‌دهد. این کارمند ممکن است از قبل تجربه کار با برنامه‌ای خاص را داشته باشد یا حتی عملکرد آن برنامه را نسبت به برنامه‌های تأییدشده در سازمان ترجیح دهد؛ همچنین شاید سازمان، جایگزینی برای رفع‌نیاز کارمند مانند برنامه پیام‌رسان، اشتراک‌گذاری فایل (مانند دراپ‌باکس، واتس‌اپ، گوگل‌درایو و …) یا سایر موارد نداشته باشد.
فناوری اطلاعات در سایه همچنین زمانی رخ می‌دهد که کارمندی به برنامه تأییدنشده‌ای که از سوی شخص ثالثی استفاده می‌شود، دسترسی پیدا کند. این شخص ثالث می‌تواند از افراد زیر باشد:
- تأمین‌کننده
- شریک فناوری
- شریک کانال
فناوری اطلاعات در سایه (Shadow IT) معمولاً زمانی اتفاق می‌افتد که کارمندی از سازمان وظیفه خاصی بر عهده دارد و آن را به روش خود انجام می‌دهد. این کارمند ممکن است از قبل تجربه کار با برنامه‌ای خاص را داشته باشد یا حتی عملکرد آن برنامه را نسبت به برنامه‌های تأییدشده در سازمان ترجیح دهد؛ همچنین شاید سازمان، جایگزینی برای رفع‌نیاز کارمند مانند برنامه پیام‌رسان، اشتراک‌گذاری فایل (مانند دراپ‌باکس، واتس‌اپ، گوگل‌درایو و …) یا سایر موارد نداشته باشد.
می‌خواهید درمورد انواع مشکلات امنیتی در دوران دورکاری بیشتر بدانید؟ پیشنهاد می‌کنیم مقاله «الزامات امنیت دورکاری» را مطالعه کنید.
مخاطرات فناوری اطلاعات در سایه
فناوری اطلاعات در سایه می‌تواند منجر به نگرانی‌هایی نظیر امنیت سایبری، سوء‌استفاده از منابع فناوری اطلاعات، کاهش بهره‌وری و حتی حملات سایبری شود. برخی از مهم‌ترین ریسک‌ها شامل موارد زیر است:
افشای داده‌ها: فناوری اطلاعات در سایه بستر مهمی برای نشت و از‌دست‌رفتن داده‌ها محسوب می‌شود. برنامه‌های تأییدنشده (به‌ویژه هنگام استفاده در گوشی‌های هوشمند یا لپ‌تاپ‌های شخصی) به راحتی منجر به افشا یا اشتراک‌گذاری نابجای داده‌های حساس می‌شوند.
کاهش بهره‌وری: استفاده از برنامه‌های تأییدنشده (مانند شبکه‌های اجتماعی) می‌تواند به دلیل ناسازگاری با سایر برنامه‌ها و همچنین عدم‌دسترسی یا ناآگاهی همکاران از نحوه کار آن برنامه بر بهره‌وری تأثیر منفی بگذارد.
بدافزار: مدیران ارشد فناوری و امنیت اطلاعات دائماً نگران نفوذ بدافزار و باج‌افزار به سازمان خود هستند؛ Shadow IT نیز اغلب تهدید بزرگی‌ست. برنامه‌های تأییدنشده می‌توانند حاوی فایل‌های مخربی باشند که از دستگاه‌های شخصی ناامن یا اشخاص ثالث بارگذاری شده‌اند.
آسیب‌پذیری‌ها: بر اساس گزارش زد‌دی‌نت ۶۰٪ از برنامه‌های اندروید از لحاظ امنیتی آسیب‌پذیر هستند و به‌طور متوسط ۳۹ حفره امنیتی در هر برنامه وجود دارد. این حفره‌ها در برخی از موارد به مهاجمان اجازه می‌دهند دستگاه‌ها را به‌طور نامحسوس تصرف کنند و پس از نفوذ به شبکه سازمان سیستم‌های فناوری اطلاعات را آلوده کرده و اطلاعات حساس را بدزدند.
عدم انطباق: فناوری اطلاعات در سایه می‌تواند اطلاعات نظارت‌شده را طوری به فضای ابری منتقل کند که بخش فناوری اطلاعات قادر به مشاهده یا ایمن‌سازی آنها نباشد. این امر منجر به مشکلات انطباق با مقرراتی نظیر GDPR شده و علاوه بر جریمه‌های مالی باعث بی‌اعتمادی نیز می‌شود.
افزایش سطح حمله: اگر کارمندی بدون مشورت با بخش فناوری اطلاعات از برنامه‌ای استفاده کند؛ باعث می‌شود سازمان در معرض حمله قرار بگیرد. داده‌های در حال تبادل با برنامه‌ها یا نرم‌افزارهای مرتبط با Shadow IT به زیرساخت پایه فناوری اطلاعات متصل نیستند و این ویژگی آنها را آسیب‌پذیر می‌سازد.
مدیریت فناوری اطلاعات در سایه
اولین قدم برای بخش فناوری اطلاعات شناسایی تمام برنامه‌های تأییدنشده در سراسر سازمان و سپس استفاده از کارگزار امنیت دسترسی ابری یا به اصطلاح Cloud Access Security Broker است. این کارگزار در جلوگیری از مسدودسازی که Shadow IT با خود به‌دنبال دارد خدمات امنیتی چشمگیری ارائه می‌دهد نظیر:
- لاگ‌ها و گردش کار را از دستگاه‌های شبکه مانند فایروال‌ها و پراکسی دریافت می‌کند
- لاگ‌ها و گردش کار مذکور را جهت یافتن برنامه‌های تأییدنشده بررسی می‌کند
- ویژگی‌های امنیتی برنامه‌های مذکور و هرگونه اقدام امنیتی اضافی مورد نیاز را شرح می‌دهد
اگرچه بخش فناوری اطلاعات ممکن است در شرایط خاص اجازه استفاده از برخی برنامه‌های تأییدنشده را بدهد (مثلاً در زمانی که کاربران خاصی به آنها دسترسی دارند) اما سایر برنامه‌ها به‌طور کامل ممنوع خواهند شد. منبع
برای اطلاعات بیشتر و مشاوره با کارشناسان ابرآمد، با ما در تماس باشید:
- فناوری اطلاعات در سایه (Shadow IT) دقیقاً چیست و چرا به وجود می‌آید؟
Shadow IT به استفاده از نرم‌افزارها، اپلیکیشن‌ها یا سرویس‌های ابری توسط کارکنان بدون اطلاع یا تأیید بخش فناوری اطلاعات سازمان گفته می‌شود. این اتفاق معمولاً به‌خاطر نیازهای کاری برآورده‌نشده، راحتی استفاده، تجربه قبلی کارکنان با نرم‌افزار خاص یا نبود جایگزین مناسب در سازمان رخ می‌دهد.
- مهم‌ترین خطرات و ریسک‌های Shadow IT برای سازمان‌ها کدامند؟
برخی از اصلی‌ترین تهدیدها شامل:
کاهش بهره‌وری به‌دلیل ناسازگاری ابزارها یا عدم آشنایی کارکنان
نشت یا افشای داده‌های حساس (Data Leakage)
افزایش احتمال آلودگی به بدافزار و باج‌افزار
مشکلات انطباق با قوانین و مقررات (مثل GDPR)
ایجاد حفره‌های امنیتی و افزایش سطح حمله
- سازمان‌ها چطور می‌توانند Shadow IT را مدیریت یا کنترل کنند؟
مدیریت Shadow IT نیازمند رویکردی ترکیبی از سیاست‌گذاری و ابزارهای امنیتی است:
- شناسایی و پایش اپلیکیشن‌های تأییدنشده از طریق لاگ‌ها، فایروال‌ها و پروکسی‌ها
- استفاده از Cloud Access Security Broker (CASB) برای کنترل دسترسی و امنیت
- آموزش کارکنان درباره خطرات Shadow IT
- فراهم‌کردن ابزارها و سرویس‌های کارآمد و امن توسط تیم فناوری اطلاعات تا نیازهای کارکنان برطرف شود
این مقاله را به اشتراک بگذارید
