Shadow IT: una sfida da gestire per la sicurezza
Lo Shadow IT è una espressione che indica applicazioni, dispositivi e servizi di cloud pubblico utilizzati al di fuori delle politiche di sicurezza aziendali, sfuggendo quindi ai tradizionali processi di approvvigionamento e approvazione del reparto IT.
È la conseguenza del maggiore uso di dispositivi personali da parte dei dipendenti, oltre che dall’adozione diffusa di strumenti basati sul cloud.
Il rischio dello shadow IT
Kaspersky stima che l’11% delle aziende a livello mondiale abbia subito incidenti informatici proprio a causa dell’uso non autorizzato di applicazioni e dispositivi da parte dei dipendenti.
E il più colpito è proprio il settore IT, dove il 16% degli incidenti del 2022 e 2023 deriva da uso non autorizzato dello Shadow IT. Seguono, ed è preoccupante, le infastrutture critiche e le società di logistica e trasporto, con il 13% di incidenza.
Spesso si tratta di utilizzo della email privata per gestire il lavoro, o di file aziendali salvati in un cloud personale, come Google Drive, Dropbox o Amazon Drive.
Ma nel perimetro dello Shadow IT rientrano app come Trello, Asana, Monday, Teams, Slack, Box, Onedrive, Wetransfer, Google Drive, Dropbox, Zoom, Skype, WebEx e così via. Oltre, naturalmente, a smartphone e tablet personali usati per scopi lavorativi.
Perché sono un pericolo?
Questi strumenti personali diventano pericolosi perché i dipendenti possono utilizzare questi servizi per condividere informazioni aziendali, eludendo le misure di Governance IT. Oppure utilizzare servizi online inserendo credenziali aziendali.
O, ancora, installare software non legittimi, mascherati come app autorizzate.
Come ridurre lo Shadow IT
Il modo più efficace per affrontare il problema dello Shadow IT è offrire agli utenti i servizi di cui hanno bisogno per gestire le attività, archiviare in modo sicuro i dati provenienti da fonti terze e il software per svolgere il loro lavoro.
Il controllo deve estendersi anche ai dispositivi: si deve lavorare solo con quelli autorizzati dall’azienda.
Definito che cosa è legittimo, si può limitare l’uso o l’accesso ad applicazioni non autorizzate con tecnologie che consentono il controllo degli applicativi e la gestione dell’uso di dispositivi esterni, e che identificano e bloccano l’accesso a specifici servizi DNS non autorizzati.
Per ogni dipartimento dovrebbe essere costruito un approccio personalizzato, legato alle esigenze specifiche di ciascuna mansione. Ma il tutto va sottoposto alle medesime logiche di monitoraggio.