Che cos’è lo shadow IT e come le organizzazioni possono eliminarlo?

Sai cosa scaricano i tuoi dipendenti? In un mondo perfetto, tutti i sistemi IT e i software utilizzati da un’organizzazione sono esplicitamente approvati dal dipartimento IT. Nella realtà, la tua rete assomiglia molto al selvaggio west.

Che si tratti di un software di design per dei ritocchi veloci, di un servizio basato sul cloud per trasferire file di marketing pesanti o di un’applicazione desktop che facilita le attività contabili, è probabile che i dipendenti della tua organizzazione utilizzino software gratuiti o addirittura account a pagamento senza che il team IT ne sia a conoscenza.

Questo uso non autorizzato della tecnologia è comunemente noto come “shadow IT” e potrebbe mettere a rischio la tua organizzazione.

Lo shadow IT può aumentare la superficie di attacco della tua organizzazione e renderti più vulnerabile agli attacchi alla catena di fornitura, oltre che ad altri rischi. I software non regolamentati o non controllati possono anche rappresentare un ostacolo alla conformità e causare problemi di integrazione con i tuoi sistemi IT “approvati”. Infine, lo shadow IT costituisce un costo e una perdita di risorse poiché i dipendenti potrebbero utilizzare più strumenti per più team per svolgere le stesse attività o attività correlate.

Keeper risolve questo problema offrendo al tuo team IT sicurezza, controllo e visibilità sui software e sui servizi utilizzati dalla tua organizzazione.

Perché lo shadow IT è un problema in crescita

La procedura per ottenere l’approvazione di nuovi software e programmi dal dipartimento IT delle sede dell’azienda viene spesso percepita come lunga e complessa, il che provoca frustrazione nei dipendenti.

Di conseguenza, i dipendenti tendono ad aggirare le regole e i regolamenti stabiliti, acquistando, installando o addirittura sviluppando in segreto i software e le piattaforme che vogliono per soddisfare le loro esigenze più rapidamente.

Negli ultimi anni c’è stato un aumento sostanziale dello shadow IT, in particolare con il proliferare dell’adozione di applicazioni e servizi basati sul cloud. Infatti, il 61% dei dipendenti ammette di non essere soddisfatto della proposta tecnologica a lavoro e il 65% dei lavoratori da remoto ha ammesso di ricorrere allo shadow IT.

Sfortunatamente, ci sono stati numerosi esempi di shadow IT che hanno portato a violazioni dei dati devastanti. In un caso particolarmente eclatante, una soluzione di sicurezza informatica molto diffusa è stata violata dopo che le credenziali di un dipendente senior sono state compromesse. L’aggressore è stato in grado di accedere alle credenziali del dipendente sfruttando una versione non aggiornata del server multimediale Plex che presentava vulnerabilità note. Questo server multimediale non aggiornato è un esempio classico di shadow IT.

Perché lo shadow IT rappresenta una sfida per i team IT?

La natura decentralizzata dello shadow IT aumenta la complessità della sua gestione, costituendo delle sfide uniche per i team IT.

• Mancanza di visibilità: uno dei principali ostacoli è la mancanza di visibilità, in cui l’uso diffuso e non regolamentato della tecnologia tra vari reparti rende difficile per i team IT individuare e monitorare tutte le attività non autorizzate all’interno dell’organizzazione in modo completo. Tale opacità rappresenta una seria minaccia in termini di sicurezza, poiché lo shadow IT introduce fattori non noti nella questione della sicurezza, aumentando sostanzialmente il rischio di violazioni dei dati e di attacchi informatici.
• Problemi di conformità: l’utilizzo di tecnologia non autorizzata può risultare nella non conformità alle normative del settore e alle politiche interne, esponendo potenzialmente l’organizzazione a ripercussioni legali.
• Resistenza degli utenti: i dipendenti potrebbero opporsi alle politiche IT e preferire la facilità e la familiarità degli strumenti da loro scelti, pur rappresentando un rischio per la sicurezza. Infatti, l’82% dei professionisti IT ha riscontrato problemi con i team quando sono stati suggeriti nuovi strumenti.

È interessante notare che vi è una dicotomia nella percezione dello shadow IT e dei professionisti IT. Sebbene il 77% ammetta i potenziali vantaggi dello shadow IT, riconoscendo la miriade di strumenti disponibili che possono migliorare la produttività e l’efficienza dei dipendenti, va comunque aggiunto che tali strumenti non autorizzati possono rappresentare dei seri rischi per la sicurezza informatica.

Keeper® protegge le organizzazioni dalle vulnerabilità dello shadow IT

Per via delle richieste crescenti, delle scadenze per l’approvazione dell’IT e della proliferazione di applicazioni sul mercato, i dipendenti continueranno a cercare nuovi strumenti per soddisfare le esigenze dei loro ruoli.

La soluzione di gestione degli accessi privilegiati (PAM) di Keeper Security è una piattaforma di nuova generazione che consente alle organizzazioni di implementare controlli degli accessi granulari, facendo sì che solo il personale autorizzato possa accedere ai sistemi e alle risorse critiche.

KeeperPAM™ fornisce una serie di strumenti critici per contribuire a mitigare i rischi per la sicurezza legati allo shadow IT:

• Gestione centralizzata delle credenziali: Keeper fornisce una piattaforma centralizzata per archiviare, condividere e ruotare in modo sicuro le credenziali, tra cui password, chiavi di accesso e altro ancora, garantendo che gli utenti adottino pratiche sicure.
• Mascheramento delle password: una volta condivise le credenziali dalla propria cassaforte, gli utenti di Keeper possono mascherare le password, consentendo ad altri di utilizzare le credenziali per accedere senza dover mai esporre le password al rischio di keylogging, malware e altri attacchi informatici sofisticati.
• Offboarding dei dipendenti: Keeper facilita la procedura di offboarding mediante funzionalità quali controlli degli accessi basati sui ruoli e amministrazione delegata. Quando un dipendente lascia l’organizzazione, gli amministratori IT possono trasferire con facilità la sua cassaforte a un altro utente in modo da non perdere le credenziali, evitando al contempo che l’ex dipendente possa accedere alla sua cassaforte.
• Monitoraggio e avvisi in tempo reale: Keeper fornisce il monitoraggio in tempo reale delle attività degli utenti, generando avvisi circa eventuali azioni sospette o non autorizzate, riducendo al minimo i potenziali rischi per la sicurezza.
• Audit e report: grazie alle funzionalità complete di audit e report di Keeper, i team IT possono ottenere visibilità e informazioni approfondite sulle attività degli utenti, sui modelli di accesso e sulle modifiche delle autorizzazioni, fornendo così un audit trail.
• Gestione dei segreti: la diffusione dei segreti può essere una delle principali minacce introdotte in ambiente IT mediante l’uso di strumenti non autorizzati. Keeper elimina la diffusione dei segreti rimuovendo le credenziali hard-coded dal codice sorgente, dai file di configurazione e dai sistemi CI/CD.

L’architettura zero-trust e zero-knowledge di Keeper fa sì che i tuoi segreti, le credenziali e le connessioni remote siano accessibili solo alle persone autorizzate.

Richiedi una demo di KeeperPAM oggi stesso e proteggi la tua organizzazione.