В любой растущей компании рано или поздно появляется параллельная IT-система – та, которую никто не согласовывал, не покупал официально и не вносил в реестр. Она собирается из десятков мелких решений, которые сотрудники подключают сами, чтобы работать быстрее и удобнее. Этот феномен называют теневым IT, который по мере роста бизнеса превращается из мелкого неудобства в серьезную статью скрытых расходов и рисков.
Что такое теневая IT-система
Это любые программы, сервисы, облачные хранилища и приложения, которые используются в рабочих процессах, но не подключены и не контролируются IT-отделом компании.
Речь не только об откровенно серых инструментах. Чаще всего это вполне легальные и полезные сервисы:
- Таск-трекер, который отдел маркетинга завел сам себе, потому что корпоративный показался неудобным.
- Облачный диск, куда дизайнер сохраняет макеты для быстрого доступа с телефона.
- Бесплатный конвертер файлов, который менеджер нашел по первой ссылке в поиске и использует каждый день.
По отдельности каждое приложение выглядит безобидно. Проблема возникает, когда таких инструментов в компании становится не пять и не десять, а несколько десятков – и ни один из них не проходил проверку на безопасность, не имеет резервного копирования и не отключается автоматически при увольнении сотрудника.
Почему даже дисциплинированные команды нарушают правила IT-безопасности
Причина редко в халатности. Чаще сотрудник сталкивается с конкретной задачей здесь и сейчас, а официальный процесс согласования нового инструмента занимает дни или недели. Проще скачать бесплатное приложение и решить вопрос за десять минут.
Свою роль играет и разрозненность корпоративных инструментов: если для одной задачи нужно открывать три разные системы с разными паролями и интерфейсами, а стороннее приложение решает все в одном окне, выбор сотрудника предсказуем. Наконец, многие сервисы требуют для установки буквально одного клика и почтового адреса – барьер входа настолько низкий, что подключение нового инструмента перестает восприниматься как серьезное решение, требующее согласования.
Последствия теневых технологий для бизнеса
- Утечка и потеря данных. Файлы, которые лежат в личных облаках сотрудников, не защищены корпоративными политиками шифрования и резервного копирования. Если аккаунт скомпрометирован или человек случайно удаляет файл, восстановить его зачастую невозможно – компания о его существовании даже не знала.
- Дублирующие расходы. Разные отделы нередко платят за похожие сервисы независимо друг от друга, просто потому что не знают о существовании уже оплаченной альтернативы в соседнем отделе. При аудите подписок компании часто обнаруживают, что оплачивают три-четыре инструмента с одинаковым функционалом.
- Пробелы в защите информации. Если бизнес работает с персональными данными клиентов или подпадает под отраслевые регуляции, использование несогласованных сервисов может напрямую нарушать законодательные требования – причем руководство узнает об этом обычно уже после проверки или инцидента.
- Разрыв рабочих процессов. Когда увольняется сотрудник, пользовавшийся собственным набором инструментов, вместе с ним нередко теряется: доступ к файлам, история переписки в стороннем мессенджере, настройки в незарегистрированном сервисе. Восстановить это без участия бывшего сотрудника бывает крайне сложно.
Как взять теневую IT-инфраструктуру под контроль
Логичная на первый взгляд реакция – заблокировать все посторонние сервисы через IT-политики. На практике это редко работает по нескольким причинам:
- Полностью перекрыть доступ технически сложно: список сторонних приложений меняется ежедневно, а сотрудники находят новые способы обхода блокировок – быстрее, чем IT-отдел успевает их закрывать.
- Жесткие ограничения часто бьют по продуктивности сильнее, чем по рискам: люди тратят время на поиск обходных путей вместо работы, а недовольство внутри команды растет.
Работающий подход строится не на запрете, а на видимости и управляемой гибкости IT-системы. Перечислю ключевые шаги:
- Инвентаризация. Провести аудит, чтобы понять, какими сервисами сотрудники пользуются на практике, а не по документам. Часто этот список оказывается в разы длиннее официального реестра IT-инструментов.
- Легализация полезного. Если сервис, который сотрудники массово выбирают сами, действительно решает задачу лучше корпоративного аналога, логичнее внедрить его официально – с настройками безопасности, резервным копированием и единым биллингом, – чем продолжать бороться с ним как с нарушением.
- Упрощение официальных каналов. Если запрос на подключение нового инструмента можно согласовать за один день через понятную форму, а не за две недели бюрократии, у сотрудников просто не остается причин искать обходные пути.
- Регулярный, а не разовый контроль. Теневой IT не исчезает после одной проверки: список используемых сервисов нужно пересматривать на постоянной основе, по мере того как меняется состав команды и появляются новые задачи.
Выводы
Теневая IT-система возникает не потому, что сотрудники стремятся навредить компании, а потому что официальные процессы не успевают за реальными потребностями команды. Бороться с этим явлением бессмысленно одними запретами – эффективнее сделать так, чтобы удобный путь совпадал с безопасным. Тогда компания получает контроль над своей инфраструктурой, не жертвуя скоростью и гибкостью, ради которых сотрудники и искали обходные решения в первую очередь.
Также читайте:
Анатолий поднял очень важную тему! И согласен, что закрыться от внешненго мира уже невозможно. Полностью поддерживаю.
Я бы добавил некоторые детали.
- Инвентаризация очень важна, это так. Но дело очень трудоемкое. Вручную выявлять сервисы - задача неподьемная. Айти отдел тоже может что-то не знать. Количество приложений растет лавинообразно. Поэтому, на мой взгляд, ИТ должны иметь свой ссылочный перечень рекомендованных сервисов. Их для работы не так много: таск-менеджеры, всякого рода переключалки клавиатуры, конверторы, редакторы. И автор прав - нужно упростить волокиту.
- Как-то, на мой взгялд, уходит мода на создание внутренних корпортаивных блогов, сайтов, где не пустая реклама достижений, а инструкции, советы. Это важно!
- множество раз обсуждали: должны быть узаконенные, упорядоченные каналы связи - для каждого типа задач свои линии, мессенджеры, облака (если нужно). Каналы контролируемые айтишниками.
Благодарю автора!
Согласен: тема важная, поэтому в современном бизнесе под нее уже выработалась определенная практика. Закрываться от мира не нужно, даже если бы это было возможным; взамен нужно просто организовать правильные каналы коммуникаций.
Если исходить из того, что есть минимальный набор финансовых средств для организации IT-периметра бизнеса, то пакет мер может быть разделен на три блока:
1. Аппаратная инфраструктура: корпоративный сервер и выдаваемые сотрудникам устройства (ноутбуки, телефоны), которые соединены с серверной частью по VPN-каналам.
2. Программная инфраструктура: на устройствах размещаются DLP-системы с возможностью глубокой аналитики действий пользователя.
3. Инфраструктура ЛНА: сотрудники при первичном инструктаже знакомятся под подпись с процессами и процедурами, которые внедрены в компании. В частности, с логированием всех действий по подключению устройств, пересылке информации, попыткам установить сторонний софт.
Разумеется, система не может быть односторонней и репрессивной, поэтому со своей стороны собственник должен предпринимать усилия по объяснению менеджменту необходимости поддержания имеющейся структуры в согласованных форматах, а также требовать быстрой реакции на запросы сотрудников. Так, если имеется некий open source проект, который может позволить ускорить работу, IT-подразделение должно взять его на анализ потенциальных рисков, и, если их нет, выдать доступ сотруднику и внести софт в реестр доступных. Другие сотрудники смогут им пользоваться без дополнительного согласования.
Важно подчеркнуть: и технически, и технологически здесь нет нерешаемых вопросов; в большей степени вся задача лежит в области желания и понимания собственником того, что системное решение может быть выгодно, но обычно - в долгосрочном периоде. Если речь идет о хайп-бизнесе, там нет задачи долгосрочного планирования, но это не означает, что нет и рисков: осознанно или нет, но они остаются на удержании у собственника.
Спасибо автору. Действительно очень продуманный и хороший - на мой взгляд - текст. И многое скрыто между строк.
Слишком большая и специальная тема без готовых ответов. Тысячи страниц было бы мало для описания возможных угроз и лучших практик по их предотвращению или минимизации последствий уже случившегося. Ситуация меняется каждый день, это щит и меч.
Сложность и актуальность защиты корпоративных систем никто не ставит под сомнение. С ростом списочного состава сотрудников и увеличением количества и сложности задач, приложений для их решения и инфраструктуры для поддержки всего работающего в режиме 24/7 очень многое приходится продумывать заблаговременно и постоянно проводить разъяснительные работы.
Но дальше есть соблазн, признавая - на словах - важность и серьёзность проблем, минимизировать все возможные расходы по этим статьям. Включая ужесточение ИБ. Дальнейшее примерно понятно - от бесконечного списка замечательных бесплатных или удивительно дешёвых сервисов и приложений неизвестного авторства до хранения коммерческой и прочей информации во внешних хранилищах до использования собственного оборудования ради дальнейшей экономии. Слово "нельзя" больше не используется.
Но, увы, такие риски всегда есть. Хуже, что профессиональный анализ постоянно меняющегося кода сторонних, помимо собственных, приложений требует, в свою очередь, специальных средств и большого опыта. Своими силами можно не справится, внешняя экспертиза и сервис - дополнительные расходы.
Нерешаемых, возможно, немного, если ничем себя не ограничивать. Но мы тут практически всегда говорим о организационных и финансовых проблемах. Добавьте неизбежный конфликт краткосрочные vs долговременные приоритеты и тактика vs стратегия. Это про людей и деньги, а не про технику.
Было бы интересно обсудить в этой ветке реальные возможности создания действительно - а не формально - работающих корпоративных стандартов, политики безопасности и лучшие практики.
Здесь все очень сильно зависит от масштаба бизнеса и/или заинтересованности спонсоров проекта (т.е. тех, кто в нем заинтересован). Например, в одной из компаний ТОР-3 по РФ я как-то столкнулся с задачей, которую нужно было решать редко (дважды в год), но со сложными вычислениями. Вариант 1 включал покупку софта (тысячи евро ежегодно), вариант 2 был бесплатным, но софт не был в реестре разрешенного. В течение недели IT-департамент провел необходимые исследования, и ситуация разрешилась: сотрудники получили работающий инструмент, компания сэкономила деньги, акционеры получили более глубокую аналитику. Нужно было подать запрос, а получатели просто штатно его отработали.
Отдельно отмечу, что критически важно, чтобы на позиции CIO не находилась номинальная фигура, которая "за все хорошее и против всего плохого", но при этом не содействует реальным решениям в рамках "стратегии малых дел". Обеспечить наличие такого CIO - прямая задача собственника.
Также собственнику не будет лишним прикинуть, какую пользу для бизнеса создаст оптимизация IT-периметра: для условной шавермной не будет правильным проектировать устойчивость к нагрузкам уровня Amazon.
Согласен. Но я изначально сделал оговорку про наличие бюджета. Если в кармане осталась пара центов, то закупить каждому сотруднику X1 Carbon не получится. В таком случае управление изменениями может обернуться изменением управления, причем с потерей управляемости.
Я бы расставил приоритеты так: воля/понимание собственника -> финансовые ресурсы -> организационная работа.
Поддерживаю. Очень хотелось бы обсудить реально работаюшие практики.
В качестве "первого шара" укажу на то, что реально реализуемо: рабочие коммуникации и рабочие проекты ведутся только с рабочих устройств. Групповые чаты и личные обсуждения по рабочим вопросам проводятся только в авторизованных мессенджерах. У себя в контрактах на найм, например, мы прописывали штраф по 100 т.р. за каждый инцидент операционного риска. С другой стороны - вся IT инфраструктура управлялась профессионально, поэтому не было недель на согласование задач. В итоге все сотрудники очень быстро приняли правила игры, а информацию можно было хранить во внутреннем контуре. И не нужно бояться озвучивать банальности: очевидное для собственника вполне может не быть таким для вчерашнего студента. Периодические тренинги по IT-безопасности этому очень способствуют.
Понятно, что я не знаю, что и как именно проверялось в этом случае.
Если проверяющие уже делали такое раньше, просто сделали еще раз. Если нет - могли заказать это сервис на стороне.
Для сложных продуктов первый подобный опыт без сканеров и прочих средств может занять намного дольше. Успех не гарантирован..
Без бюджета мы ничего не обсуждаем.
Интересная мысль.
Я бы поставил долгосрочные и среднесрочные приоритеты выше финансовых ресурсов. Деньги можно потратить и на мебель. Вдруг на ИБ опять не хватит.
В качестве основы:
- профессионально подготовленная и постоянно обновляемая корпоративная политика в части ИБ, обязательная к исполнению без исключений.
- Второй документ, обновляемый в связке и параллельно первому - то же по IT для сотрудников.
- Плюс средства автоматического контроля исполнения политик IT и ИБ. Вручную это тяжело или невозможно, учитывая важность проблематики и желаемое время реакции.
Это для начала.
Очень круто написано.
я бы ещё добавил, нужно регулярно просвещать сотрудников на тему безопасности и рисков. показывать примеры, помогать решать проблемы и вопросы.
Тоже не скажу: мне только итог озвучили, но софт был уникальным, поэтому явно хоть что-то, но проверять в первый раз пришлось.
Согласен. Я просто все первичные блоки (миссия, видение, цели, задачи) в понимание собственника включил. Если нет понимания по приоритетам и направлениям - не важно в какую сторону грести.
Согласен. Методология + автоматизация. Сейчас без грамотной настройки автопроверок в IT далеко уйти не удастся. Частично здесь и ИИ помочь может - например, для выявления типовых паттернов поведения пользователей.
Для многих случаев нужно больше, чем просто анализ паттернов. При воровстве чужих учетных записей и паролей, к примеру. Нужно отслеживать комбинации нескольких параметров, особенно при удаленной работе, и усложнять вход для части стандартных операций.
Но не будем о грустном. Те, кто в теме, должны знать, что они хотят предотвратить.
Да, интересно! Но не думаю, что кто-то будет делится лучшими практиками ИБ. Тема эта боится публичности.
Интересная статья