Обізнаність про Shadow IT

Що таке Обізнаність про Shadow IT?

Shadow IT — це будь-яке програмне забезпечення, хмарний сервіс або обладнання, які працівники використовують для роботи без затвердження ІТ-відділом або командою безпеки. За оцінками Gartner, 30-40% ІТ-витрат у великих підприємствах припадають на shadow IT. Поширені приклади включають особисті облікові записи Dropbox для обміну файлами, неавторизовані інструменти управління проєктами, ШІ-чатботи для допомоги з написанням текстів та месенджери, які використовуються для обговорення роботи за межами затверджених платформ. У цій симуляції Ваша команда працює під тиском дедлайну, і хтось пропонує використати безкоштовний онлайн-інструмент для конвертації конфіденційної таблиці в інший формат. Це здається нешкідливим. Інструмент працює, файл конвертується, і ніхто в ІТ-відділі нічого не дізнається. Але вправа показує, що насправді сталося за лаштунками: дані Вашої компанії були завантажені на сервер третьої сторони без угоди про обробку даних, без гарантій шифрування та без можливості запитати видалення. Ви пройдете через кілька реалістичних сценаріїв shadow IT, з якими працівники стикаються щотижня. Реєстрація в SaaS-інструменті за допомогою корпоративної електронної пошти. Вставлення конфіденційного коду в публічний ШІ-асистент. Передача документа клієнта через посилання особистого хмарного сховища. Кожен сценарій показує конкретні ризики, від порушень вимог щодо розташування даних та невідповідності до витоку облікових даних та вразливостей ланцюжка постачання. Симуляція не просто каже Вам 'спочатку перевірте з ІТ-відділом'. Вона навчить Вас, чому shadow IT створює сліпі зони, від яких Ваша команда безпеки не може захистити, та дає Вам практичну схему для оцінки того, чи безпечно запитувати інструмент через офіційні канали.

Що ви дізнаєтесь у Обізнаність про Shadow IT

• Визначити shadow IT та розпізнати поширені приклади, включаючи неавторизовані SaaS-інструменти, особисте хмарне сховище та незатверджених ШІ-асистентів, що використовуються для робочих завдань
• Оцінити ризики безпеки завантаження даних компанії на неперевірені сторонні сервіси, включаючи розташування даних та відповідність вимогам
• Застосувати практичний контрольний список для оцінки того, чи потрібно запитувати новий інструмент або сервіс через офіційні ІТ-канали
• Зрозуміти, як shadow IT створює сліпі зони безпеки, що перешкоджають Вашій організації моніторити, оновлювати або відкликати доступ до конфіденційних даних
• Визначити різницю між зручними обхідними шляхами та реальними ризиками безпеки, коли члени команди пропонують нові інструменти під тиском часу

Обізнаність про Shadow IT — Кроки навчання

1. Стислий термін

   Ваша команда завершила роботу над файлами дизайну для проекту Hawthorne, але є проблема: загальний розмір файлів становить 127 МБ, а затверджена компанією платформа для обміну файлами обробляє лише до 50 МБ. Клієнт уже запитує файли.

2. Повідомлення від Маркуса

   У телефоні Аліси дзижчить сповіщення в Telegram від її колеги Маркуса Чена.

3. Отримання посилання

   Здається, CloudDrop негайно вирішить проблему Аліси. Дедлайн наближається, і їй потрібне швидке рішення.

4. Відкриття CloudDrop

   Аліса відкриває CloudDrop у браузері на робочому столі. Сайт виглядає професійно та зрозуміло – чистий інтерфейс обіцяє швидкий безкоштовний обмін файлами.

5. Вибір файлів для завантаження

   Аліса натискає кнопку «Завантажити файли». Відкриється файловий браузер, щоб вона могла вибрати результати Хоторна зі своєї папки документів.

6. Завантаження результатів Hawthorne

   Відкриється файловий менеджер із файлами Аліси. Їй потрібно перейти до папки документів і вибрати zip-файл результатів роботи Hawthorne - 127 Мб файлів дизайну, графіків проекту та документів, що містять контактну інформацію клієнта.

7. Спільне використання посилання з клієнтом

   Завантаження завершено, і CloudDrop створив посилання для спільного використання. Аліса перемикається на свою електронну пошту, щоб надіслати посилання для завантаження Сарі з Hawthorne Industries.

8. Тривожний електронний лист

   Минув тиждень. Аліса починає ранок понеділка, щоб знайти несподіваний електронний лист від CloudDrop.

9. Сповіщення про інцидент безпеки ІТ

   Перш ніж Аліса встигне повністю обробити сповіщення про порушення безпеки CloudDrop, приходить інший електронний лист — цей із власного Центру безпеки Pinnacle.

10. Виклик IT Security

    У Аліси падає серце. Файли проекту Hawthorne, які вона завантажила в CloudDrop минулого тижня, є частиною злому. Їй потрібно негайно зателефонувати в службу безпеки інформаційних технологій і звернутися.