Что такое Shadow IT и как с ним бороться в компании?

Чем опасен Shadow IT? Руководство по выявлению скрытых IT-ресурсов и стратегии борьбы с ними

Современные сотрудники часто используют неавторизованные облачные сервисы и приложения для решения рабочих задач — это явление известно как Shadow IT. Согласно исследованию Gartner, к 2025 году 75% ИТ-инцидентов в компаниях будут связаны именно с неконтролируемыми цифровыми активами. При этом 80% сотрудников уверены, что такие инструменты помогают им работать эффективнее. В этой статье разберем реальные риски скрытых ИТ-ресурсов и стратегии их легализации без потери продуктивности.

Почему Shadow IT стал повсеместным явлением?

Цифровая трансформация бизнес-процессов опережает возможности корпоративных ИТ-отделов. Когда официальные системы слишком сложны или медленно внедряются, сотрудники самостоятельно находят решения: от Google Диска для обмена файлами до Telegram-чатов для оперативных обсуждений. Особенно распространена практика в отделах маркетинга (87% случаев) и финансов (63% по данным McAfee).

Какие скрытые IT-ресурсы самые опасные?

Наиболее опасными специалисты считают следующие проявления Shadow IT:

персональные облачные хранилища с корпоративными данными;
несанкционированные SaaS-подписки (например, на дизайн-инструменты);
мессенджеры для рабочих коммуникаций без шифрования;
самописные скрипты и макросы в таблицах Excel.

Риски использования Shadow IT для бизнеса

Неконтролируемые сервисы становятся лазейками для утечек: 43% корпоративных данных в облаках хранятся в публичном доступе (отчет Bitglass). Вот несколько типичных сценариев:

финансовые отчеты в личном Dropbox;
клиентские базы в небезопасных CRM-системах;
пароли в заметках на персональных смартфонах.

Использование непроверенных решений может нарушать GDPR, 152-ФЗ и отраслевые стандарты. Например, фармацевтическая компания получила штраф €1.9 млн за хранение персональных данных пациентов в нелицензированном облаке.

Стратегии контроля и легализации

Рассказываем о стратегиях поведения в случае, если в вашей компании пользуются инструментами Shadow IT.

1. Инвентаризация цифровых активов

Специализированные решения типа Cloud Access Security Broker (CASB) помогают автоматически обнаруживать используемые сервисы и анализировать потоки данных. Так, инструменты инвентаризации позволят оценить соответствие используемых протоколов политике безопасности компании.

2. Альтернативы вместо запретов

Попробуйте предложить сотрудникам аналоги инструментов, которые будут безопасными и не приведут к утечке, кибератаке или заражению устройств вирусами. Например, используйте корпоративные версии популярных облачных сервисов и внутренние low-code платформы для создания простых приложений.

3. Гибкая политика управления

IT-отдел должен внедрить упрощенный процесс запроса новых сервисов с максимальным сроком обработки запроса в 3 дня. Также полезно включить в работу прозрачные критерии оценки безопасности и возможность пилотного тестирования решений.

Ключевые тезисы

Shadow IT — неизбежное следствие цифровой трансформации, а не злонамеренные действия сотрудников. Чтобы решить проблему, не нужны строгие ограничения и тотальные запреты. Как правило, запрет приводит к еще более опасным обходным путям, а еще могут вызвать у сотрудников негативные эмоции и снизить эффективность их работы. Оптимальная стратегия включает обнаружение, оценку рисков и легализацию полезных инструментов и внедрение культуры кибербезопасности в коллективе.