Do shadow IT dochodzi shadow data

Zdążyliśmy się już przyzwyczaić do pojęcia „shadow IT” odnoszącego się do sprzętu, oprogramowania, usług lub projektów, nad którymi dział IT w przedsiębiorstwie nie ma żadnej kontroli. Na początku, gdy to zjawisko tylko się pojawiło, stanowiło poważne zagrożenie dla bezpieczeństwa danych. Jednak wraz ze wzrostem świadomości pojawiły się strategie i rozwiązania umożliwiające skuteczne zarządzanie i kontrolę nad tą częścią infrastruktury IT, której nie obejmowała wewnętrzna polityka bezpieczeństwa. Postęp techniczny, zwłaszcza rosnące wykorzystanie usług chmurowych, przyczynił się do tzw. demokratyzacji danych, czyli umożliwiania dostępu do informacji użytkownikom bez konieczności interwencji działu IT. Przyniosło to ze sobą liczne korzyści dla firm i konsumentów poprzez zwiększenie dostępu do cennych informacji oraz poprawę ogólnej efektywności.

Jednak korzystanie z chmury oznacza również, że dane rozprzestrzeniają się w różnych miejscach, co utrudnia ich śledzenie. Nie ma już w pełni zamkniętych, lokalnych systemów, a związany z tym większy dostęp do danych wiąże się z większym ryzykiem. Zagrożenie w postaci niechronionych danych znajdujących się w różnych miejscach zostało nazwane „shadow data”. W przeciwieństwie do stosunkowo ograniczonych zagrożeń związanych z shadow IT, wnosi ono wyjątkowo poważne ryzyko dla bezpieczeństwa danych.

Shadow data odnosi się do wszelkich danych, które istnieją poza scentralizowanym i zabezpieczonym systemem zarządzania informacją – zostały skopiowane, zarchiwizowane lub są przechowywane w sposób, który nie jest objęty przyjętą polityką bezpieczeństwa. Dane te zazwyczaj nie podlegają ograniczeniom kontroli dostępu ani nie są widoczne dla narzędzi monitorujących, co stanowi poważne wyzwanie. Ostatecznie więc o shadow data dział IT wie, że istnieją, ale nie wie dokładnie, gdzie się znajdują. A co ważniejsze, ponieważ nie ma informacji o ich podatności, nie może ich odpowiednio zabezpieczyć przed wyciekiem.

Zjawisko to stanowi nie tylko problem bezpieczeństwa, ale również poważne wyzwanie w zakresie zgodności z przepisami oraz kwestiami biznesowymi. Hakerzy często celują w shadow data jako łatwo dostępne źródło poufnych informacji. Ryzyko braku zgodności z regulacjami rośnie, zwłaszcza w przypadku danych osobowych, finansowych i medycznych, które wymagają szczegółowej identyfikacji i zabezpieczenia. Dodatkowo, niepotrzebne przechowywanie danych w chmurze generuje koszty, co podkreśla finansowy wpływ shadow data na wyniki firmy. Lepsza kontrola nad danymi pozwala firmom zmniejszyć koszty użytkowania chmury i zwiększyć zwrot z inwestycji.

Wieczne problemy z pracownikami

Procesy wdrażania nowych pracowników oraz kończenia współpracy z nimi wciąż należą do największych zagrożeń dla bezpieczeństwa danych w przedsiębiorstwie. Nowi pracownicy otrzymują dostęp do wielu zasobów firmy, co automatycznie wpływa na wzrost poziomu ryzyka. Istnieją też badania dotyczące zachowania odchodzących pracowników – nie brakuje takich osób, które wprost przyznają się do zabierania firmowych danych, nadużywania swojego legalnego dostępu i naruszania poufnych informacji. Dlatego dostęp nowo zatrudnionych osób powinien być dostosowany do ich roli, a dostęp odchodzących pracowników do zasobów powinien być kontrolowany i monitorowany, aby upewnić się, że dane firmy nie opuszczają jej razem z pracownikiem.

Zagrożenie wzrasta też wraz ze zmianą sposobu pracy. Wraz z upowszechnieniem się pracy zdalnej, tradycyjne, skupione na ochronie firmowego środowiska systemy zapobiegania wyciekom danych (DLP) nie są już wystarczające. Pracownicy zdalni są bezpośrednio połączeni z internetem, a ich urządzenia mogą przechowywać wrażliwe dane przedsiębiorstwa. Zarządzanie ryzykiem wycieku danych w rozproszonych i zdalnych środowiskach pracy wymaga rozwiązań DLP, które monitorują i zabezpieczają także urządzenia mobilne i komputery stacjonarne użytkowników zdalnych. Pozwala to zespołom IT ustalić, jakie dane wrażliwe opuszczają firmę, kiedy i za pomocą którego kanału lub urządzenia, zgodnie z określonymi zasadami ochrony danych.

Kontrola prowadzona przez rozwiązania zabezpieczające urządzenia końcowe może zapobiegać nieautoryzowanemu transferowi danych, a dodatkowe środki, takie jak trudne do odgadnięcia hasła czy szyfrowanie, mogą skuteczniej chronić urządzenia przenośne. Tego typu rozwiązania są niezbędne w kontekście pracy zdalnej, gdzie tradycyjne zabezpieczenia biurowe mogą nie mieć zastosowania.